NIS2 – co to jest i kogo dotyczy?

NIS2 to unijna dyrektywa 2022/2555, która w Polsce została wdrożona przez nowelizację ustawy o KSC i od 2026 roku nakłada twarde obowiązki cyberbezpieczeństwa na tysiące firm. Jeśli działasz w jednym z 18 sektorów i jesteś średnim lub dużym przedsiębiorstwem, jest duże prawdopodobieństwo, że staniesz się podmiotem kluczowym albo podmiotem ważnym. W artykule znajdziesz konkretne wyjaśnienie, co to jest NIS2, kogo dotyczy w Polsce i jakie realne konsekwencje ma dla twojej organizacji – od rejestracji w Systemie S46 po raportowanie incydentów poważnych.

Czym jest NIS2 i jak działa w Polsce?

Dyrektywa NIS2 to nowe prawo UE, które ma zapewnić wysoki, wspólny poziom cyberbezpieczeństwa w całej Unii. Zastąpiło ono poprzednią dyrektywę NIS1 i od 18 października 2024 r. formalnie obowiązuje wszystkie państwa członkowskie. W Polsce przepisy wdrażające NIS2 znalazły się w nowelizacji ustawy o Krajowym Systemie Cyberbezpieczeństwa (ustawy o KSC), podpisanej w 2026 roku i opublikowanej 2 marca 2026 r.

Ustawa o KSC nie jest „zaleceniem IT”. To ustawa sektorowa, która definiuje, kto jest objęty regulacją, jakie środki bezpieczeństwa wdrożyć, kiedy zgłaszać incydenty oraz jakie kary grożą za zaniechania. Dla organizacji ze strategicznych branż cyberbezpieczeństwo zyskuje taki sam ciężar, jak compliance finansowe czy RODO – z osobistą odpowiedzialnością zarządów włącznie.

NIS2 – kogo dotyczy w praktyce?

Podstawą jest proste pytanie: w jakim sektorze działasz i jakiej wielkości jest twoja firma. Dyrektywa obejmuje 18 sektorów, w tym energię, transport, zdrowie, finanse, wodę i ścieki, infrastrukturę cyfrową, produkcję wybranych dóbr, usługi pocztowe, gospodarkę odpadami, administrację publiczną czy sektor kosmiczny. W polskiej ustawie te obszary rozbito na tzw. sektory kluczowe i sektory ważne.

W ramach tych sektorów przedsiębiorstwa dzieli się na podmioty kluczowe oraz podmioty ważne. Co do zasady NIS2 obejmuje średnie i duże firmy – czyli powyżej 50 pracowników lub 10 mln euro obrotu – ale część organizacji wchodzi pod reżim niezależnie od wielkości, na przykład dostawcy usług DNS, rejestry domen TLD, kwalifikowani dostawcy usług zaufania czy operatorzy obiektów energetyki jądrowej.

Podmiot kluczowy – kiedy nim jesteś?

Za podmiot kluczowy uznaje się przede wszystkim dużych przedsiębiorców z sektorów kluczowych – na przykład w energetyce, transporcie, finansach, ochronie zdrowia, wodzie pitnej, infrastrukturze cyfrowej. W tej grupie znajdują się też wybrane firmy z branży komunikacji elektronicznej, dostawcy zarządzanych usług cyberbezpieczeństwa oraz podmioty wskazane wprost w załączniku do ustawy o KSC, w tym część jednostek publicznych i podmiotów krytycznych.

Ta kategoria wiąże się z najwyższym poziomem nadzoru, obowiązkowymi audytami i najwyższymi limitami kar – do 10 mln euro lub 2% przychodów rocznych, zależnie od tego, która wartość jest wyższa.

Podmiot ważny – dla kogo ta kategoria?

Podmiot ważny to najczęściej średni przedsiębiorca z sektorów kluczowych oraz średni lub duży przedsiębiorca z sektorów ważnych, który nie spełnia kryteriów podmiotu kluczowego. Dotyczy to na przykład wielu firm produkcyjnych, podmiotów z gospodarki odpadami, poczty i kurierskich czy dostawców usług cyfrowych, takich jak platformy handlowe, wyszukiwarki lub sieci społecznościowe.

Ta grupa podlega nadzorowi następczemu – w szczególności po incydentach – ale zakres obowiązków bezpieczeństwa jest bardzo zbliżony do podmiotów kluczowych. Górny pułap sankcji wynosi tu 7 mln euro lub 1,4% przychodów, przy ustawowym minimum 15 000 zł.

Łańcuch dostaw i MŚP – kiedy mały też wchodzi pod NIS2?

Niewielka firma może znaleźć się w zasięgu NIS2 na kilka sposobów: gdy ustawa wprost ją wymienia (jak niekwalifikowany dostawca usług zaufania), gdy organ właściwy do spraw cyberbezpieczeństwa decyzją nada jej status podmiotu kluczowego lub ważnego ze względu na znaczenie świadczonej usługi, albo gdy jest dostawcą w łańcuchu dostaw dużego gracza objętego ustawą. W tym ostatnim przypadku wymagania bezpieczeństwa przenoszą się kontraktowo – w praktyce mała firma musi spełnić podobne standardy jak jej klient.

Kiedy w Polsce obowiązują nowe przepisy i jakie są terminy?

Nowelizacja ustawy o KSC kończąca implementację NIS2 została podpisana 19 lutego 2026 r., a opublikowana 2 marca 2026 r. Po miesięcznym vacatio legis zaczyna obowiązywać od 2 kwietnia 2026 r. Od tej daty rusza harmonogram obowiązków dla podmiotów kluczowych i ważnych.

Podmiot, który spełnia kryteria NIS2 2 kwietnia 2026 r., ma 6 miesięcy na rejestrację w wykazie w Systemie S46 i 12 miesięcy na pełne wdrożenie środków bezpieczeństwa, czyli odpowiednio do 2 października 2026 r. i 2 kwietnia 2027 r.

Rejestracja w wykazie podmiotów kluczowych i ważnych

Od momentu, gdy twoja firma zaczyna spełniać przesłanki uznania za podmiot kluczowy lub ważny, biegnie 6‑miesięczny termin na zgłoszenie do wykazu. Wpis jest realizowany elektronicznie przez System S46, a wniosek podpisuje kierownik podmiotu lub osoba przez niego upoważniona. Jeśli tego nie zrobisz, możesz zostać wpisany z urzędu – wraz z ryzykiem szybkiego wszczęcia nadzoru.

Rok na wdrożenie środków bezpieczeństwa

Na wdrożenie systemu zarządzania bezpieczeństwem informacji (SZBI), uruchomienie zarządzania ryzykiem i incydentami, przygotowanie dokumentacji oraz techniczne podłączenie do S46 podmiot ma 12 miesięcy od spełnienia przesłanek. Dla firm, które były w zakresie już w dniu wejścia ustawy w życie, krańcową datą jest 2 kwietnia 2027 r.

Audyty i stały nadzór

Dla podmiotów kluczowych pierwszym ważnym progiem jest audyt zgodności – trzeba go przeprowadzić w ciągu 24 miesięcy od uzyskania statusu, a następnie cyklicznie, co najmniej raz na 3 lata. Raport z audytu trafia elektronicznie do organu właściwego do spraw cyberbezpieczeństwa, który na tej podstawie ocenia realne wdrożenie wymogów.

Jakie są główne obowiązki firm pod NIS2 i ustawą o KSC?

Trzon obowiązków to wdrożenie procesowego podejścia do cyberbezpieczeństwa – z naciskiem na zarządzanie ryzykiem, ciągłość działania i raportowanie incydentów poważnych. Ustawa nie narzuca jednej technologii, ale jasno mówi, że środki muszą być proporcjonalne do ryzyka i skali działalności.

Zarządzanie ryzykiem i SZBI

Każdy podmiot kluczowy i ważny musi uruchomić system zarządzania bezpieczeństwem informacji obejmujący cały cykl życia wykorzystywanych systemów IT. W praktyce oznacza to polityki szacowania ryzyka, zasady doboru zabezpieczeń, procedury aktualizacji i testów, wymogi bezpieczeństwa w procesach zakupu oraz rozwoju oprogramowania, a także włączanie dostawców w analizę ryzyka. Raz wykonana analiza nie wystarczy – ustawa wymaga regularnych przeglądów i aktualizacji w miarę zmiany zagrożeń.

Bezpieczeństwo łańcucha dostaw

Szczególne miejsce zajmuje bezpieczeństwo relacji z dostawcami ICT i usługodawcami. Podmiot ma obowiązek oceniać ich zabezpieczenia i wprowadzać do umów wymagania dotyczące zgłaszania incydentów, standardów technicznych i prawa do audytu. Jeśli dostawca zostanie uznany przez ministra za dostawcę wysokiego ryzyka, organizacja musi w określonym czasie – z reguły do 7 lat, a przy krytycznych funkcjach telekomunikacyjnych do 4 lat – wycofać jego produkty i usługi z eksploatacji.

Dokumentacja – normatywna i operacyjna

System musi być udokumentowany. Chodzi nie tylko o polityki i procedury (dokumentacja normatywna), lecz także o logi systemowe, rejestry incydentów, zapisy szkoleń, decyzji i przeglądów bezpieczeństwa (dokumentacja operacyjna). Te materiały przechowuje się co najmniej 2 lata po zakończeniu korzystania z danego systemu i udostępnia wyłącznie uprawnionym osobom oraz organom nadzorczym.

Rola kierownika podmiotu

Na szczycie odpowiedzialności stoi kierownik podmiotu – zarząd spółki, wspólnicy prowadzący sprawy spółki osobowej lub odpowiednik w jednostce publicznej. To on zatwierdza środki bezpieczeństwa, nadzoruje ich wdrożenie, zapewnia budżet i kadry oraz wyznacza osoby do kontaktu z CSIRT i organem nadzoru. Ustawa przewiduje dla kierowników osobne kary pieniężne, sięgające nawet wielokrotności miesięcznego wynagrodzenia, jeśli zaniedbają te obowiązki.

Jak wygląda zgłaszanie poważnych incydentów?

Incydent poważny to zdarzenie, które obniża jakość lub przerywa świadczenie usługi, powoduje istotne straty finansowe lub wywołuje poważną szkodę u innych podmiotów. Dla takich zdarzeń ustawa nakłada precyzyjne terminy i zakres danych przekazywanych do właściwego CSIRT (GOV, NASK, MON lub sektorowego).

Trzystopniowy model raportowania

Proces raportowania jest etapowy i wygląda następująco:

• wczesne ostrzeżenie – do 24 godzin od wykrycia, z informacją, że doszło do poważnego incydentu, wstępną oceną przyczyn i ewentualnego wpływu transgranicznego,
• pełne zgłoszenie – do 72 godzin, z opisem przebiegu, skutków, przyczyn oraz zastosowanych środków zabezpieczających,
• sprawozdanie końcowe – w ciągu miesiąca od zgłoszenia albo od zakończenia obsługi incydentu, jeśli trwa dłużej.

Dostawcy usług zaufania podlegają jeszcze ostrzejszemu reżimowi – mają obowiązek zgłosić poważny incydent maksymalnie w ciągu 24 godzin od jego wykrycia, co wymusza bardzo wysoki poziom monitoringu i gotowości operacyjnej.

Komunikacja z użytkownikami

Oprócz kontaktu z CSIRT organizacja musi informować swoich odbiorców usług, jeśli incydent może wpłynąć na ich dostęp do świadczeń lub bezpieczeństwo danych. W przypadku wykrycia poważnego cyberzagrożenia – jeszcze zanim dojdzie do szkody – firma ma obowiązek przekazać użytkownikom możliwe działania ochronne, które ci mogą samodzielnie podjąć.

Jakie kary i środki nadzorcze przewiduje ustawa?

Nadzór nad przestrzeganiem przepisów różni się w zależności od kategorii. Podmiot kluczowy pozostaje pod stałym, aktywnym nadzorem – z możliwością planowych kontroli, obowiązkowych audytów i systematycznych przeglądów dokumentacji. Podmiot ważny podlega nadzorowi następczemu, uruchamianemu w związku z incydentem lub podejrzeniem naruszenia.

Środki przed nałożeniem kary

Zanim organ sięgnie po sankcje finansowe, może wydać zalecenia usunięcia nieprawidłowości, nakazać wdrożenie konkretnych środków technicznych lub organizacyjnych, przeprowadzić kontrolę lub zarządzić zewnętrzny audyt bezpieczeństwa na koszt podmiotu. W sytuacjach krytycznych minister właściwy do spraw informatyzacji może wystawić tzw. polecenie zabezpieczające, które – na okres do 2 lat – nakazuje wszystkim wskazanym firmom podjęcie konkretnych działań ograniczających skutki incydentu krytycznego.

Wysokość kar pieniężnych

Dla podmiotów komercyjnych ustawa odwołuje się do progów z NIS2. Podmiot kluczowy może zostać ukarany do 10 mln euro lub 2% przychodów z poprzedniego roku obrotowego, a podmiot ważny do 7 mln euro lub 1,4% przychodów. Dodatkowo w polskim systemie istnieje górna granica kary administracyjnej na poziomie 100 mln zł dla najpoważniejszych naruszeń godzących w bezpieczeństwo państwa.

Samo naruszenie obowiązku wdrożenia środków zarządzania ryzykiem, brak zgłoszenia incydentu w terminie albo nieprowadzenie wymaganej dokumentacji wystarczy, by organ nałożył sankcję finansową – nawet jeśli nie doszło jeszcze do głośnego ataku.

Odpowiedzialność osobista kierownictwa

Obok kar dla organizacji ustawa wprowadza kary wymierzone bezpośrednio w kierownika podmiotu. W skrajnych przypadkach może chodzić o wysokie grzywny, konieczność publicznego wskazania odpowiedzialnej osoby, a nawet czasowy zakaz pełnienia funkcji kierowniczych. Ta konstrukcja ma spowodować, że tematy cyberbezpieczeństwa wejdą na stałe do porządku posiedzeń zarządu, a nie będą delegowane wyłącznie do działu IT.

Jak sprawdzić, czy NIS2 i ustawa o KSC dotyczą twojej firmy?

Na końcu zawsze wracasz do trzech prostych kryteriów: sektor, wielkość, charakter usługi. Jeśli działasz w jednym z sektorów wymienionych w załącznikach do ustawy o KSC, zatrudniasz co najmniej kilkadziesiąt osób lub przekraczasz próg 10 mln euro obrotu i twoje systemy IT są niezbędne do świadczenia usług dla społeczeństwa lub gospodarki, jest duża szansa, że twoja organizacja zostanie zakwalifikowana jako podmiot kluczowy albo podmiot ważny.

Jeżeli natomiast formalnie nie wchodzisz w katalog, ale obsługujesz firmy objęte reżimem NIS2 jako dostawca ICT, operator chmury, software house, integrator czy producent urządzeń – musisz liczyć się z tym, że wymagania cyberbezpieczeństwa trafią do twoich umów. W 2026 roku to już nie kwestia reputacji, lecz regulacji, nadzoru i konkretnych terminów zapisanych w ustawie.