Co to jest NIS 2 i jak działa w Polsce?

NIS2 to unijna dyrektywa dotycząca cyberbezpieczeństwa, której celem jest zwiększenie odporności organizacji działających w sektorach istotnych dla gospodarki i społeczeństwa. Wprowadza między innymi wymagania dotyczące zarządzania ryzykiem, zabezpieczania systemów informacyjnych oraz zgłaszania poważnych incydentów.

W Polsce wymagania wynikające z NIS2 zostały wdrożone przede wszystkim poprzez nowelizację ustawy o krajowym systemie cyberbezpieczeństwa. Nowelizacja weszła w życie 3 kwietnia 2026 r. i wprowadziła między innymi podział na podmioty kluczowe oraz podmioty ważne.

Dla przedsiębiorcy oznacza to, że nie wystarczy sprawdzić samej treści dyrektywy NIS2. Kluczowe znaczenie ma ustalenie, czy firma spełnia kryteria określone w polskiej ustawie o KSC.

Kogo dotyczy NIS2 w Polsce?

Nowe przepisy obejmują znacznie więcej sektorów niż wcześniejszy system cyberbezpieczeństwa.

Do sektorów kluczowych zaliczono między innymi energię, transport, bankowość i infrastrukturę rynków finansowych, ochronę zdrowia, wodę i ścieki, infrastrukturę cyfrową, zarządzanie usługami ICT, przestrzeń kosmiczną oraz część podmiotów publicznych. Wśród sektorów ważnych znajdują się między innymi usługi pocztowe, gospodarowanie odpadami, produkcja i dystrybucja chemikaliów oraz żywności, określone rodzaje produkcji przemysłowej, dostawcy usług cyfrowych i badania naukowe.

Samo prowadzenie działalności w jednej z tych branż nie oznacza jednak automatycznie, że każda firma podlega ustawie.

Jak sprawdzić, czy firma podlega NIS2?

Ministerstwo Cyfryzacji wskazuje trzy podstawowe elementy, które firma powinna przeanalizować: rzeczywisty zakres działalności i sektor, wielkość przedsiębiorstwa oraz szczególne kryteria wynikające z art. 5 ustawy o KSC. Kod PKD może być pomocny, ale decydujące znaczenie ma faktycznie wykonywana działalność.

Przy określaniu wielkości firmy trzeba uwzględnić również przedsiębiorstwa partnerskie i powiązane. Średnie przedsiębiorstwo to co do zasady podmiot zatrudniający mniej niż 250 osób, którego roczny obrót nie przekracza 50 mln euro lub suma bilansowa nie przekracza 43 mln euro. Przepisy przewidują jednak również przypadki, w których firma może zostać objęta ustawą niezależnie od wielkości.

Dobrym przykładem są przedsiębiorcy telekomunikacyjni. Ministerstwo Cyfryzacji wskazuje, że podlegają oni ustawie niezależnie od wielkości przedsiębiorstwa.

Dlatego ocena, czy NIS2 dotyczy konkretnej firmy, powinna uwzględniać zarówno sektor, wielkość organizacji, jak i szczególne zasady zawarte w ustawie.

Podmiot kluczowy a podmiot ważny

Nowelizacja KSC rozróżnia podmioty kluczowe i podmioty ważne. Obie grupy zostały objęte obowiązkami dotyczącymi zarządzania ryzykiem cyberbezpieczeństwa i bezpieczeństwa systemów informacyjnych, ale różnią się między innymi sposobem nadzoru oraz niektórymi obowiązkami kontrolnymi.

Przykładowo obowiązek cyklicznego audytu cyberbezpieczeństwa dotyczy podmiotów kluczowych. Pierwszy audyt dla podmiotów kluczowych, które wcześniej nie były operatorami usług kluczowych, powinien zostać przeprowadzony do 3 kwietnia 2028 r., a kolejne co najmniej raz na trzy lata.

Do kiedy trzeba wpisać firmę do Wykazu KSC?

To jeden z najważniejszych terminów w 2026 roku.

Podmioty kluczowe i ważne, które spełniały kryteria w dniu wejścia w życie nowelizacji i nie są wpisywane z urzędu, mają czas na dokonanie samorejestracji w Wykazie KSC do 3 października 2026 r. Samorejestracja została uruchomiona 7 maja 2026 r.

Nie wszystkie organizacje rejestrują się jednak samodzielnie. Część podmiotów, między innymi określone podmioty publiczne oraz niektóre podmioty objęte wcześniejszym systemem, jest wpisywana do wykazu z urzędu.

Jakie obowiązki wynikają z nowych przepisów?

Do 3 kwietnia 2027 r. podmioty objęte nowymi regulacjami mają wdrożyć zasadnicze obowiązki wynikające z nowelizacji KSC. Obejmują one między innymi przygotowanie i wdrożenie Systemu Zarządzania Bezpieczeństwem Informacji, systematyczne szacowanie ryzyka, wdrożenie odpowiednich środków technicznych i organizacyjnych, zarządzanie incydentami, analizowanie cyberzagrożeń i podatności oraz bezpieczeństwo łańcucha dostaw.

Przedsiębiorstwa muszą również wyznaczyć osoby odpowiedzialne za kontakt w ramach krajowego systemu cyberbezpieczeństwa oraz spełnić wymagania dotyczące personelu realizującego określone zadania z zakresu cyberbezpieczeństwa. Kierownictwo podmiotów kluczowych i ważnych otrzymało również konkretne obowiązki w zakresie nadzoru nad cyberbezpieczeństwem i szkoleń.

Jak wygląda zgłaszanie incydentów?

Nowe przepisy przewidują wieloetapowe raportowanie poważnych incydentów.

Podmiot kluczowy lub ważny powinien przekazać wczesne ostrzeżenie o poważnym incydencie nie później niż w ciągu 24 godzin od jego wykrycia. Zgłoszenie incydentu powinno nastąpić nie później niż w ciągu 72 godzin, a sprawozdanie końcowe zasadniczo w ciągu miesiąca od zgłoszenia.

Dlatego jednym z elementów przygotowania firmy do nowych wymagań powinno być ustalenie, kto rozpoznaje incydenty, kto podejmuje decyzję o ich zgłoszeniu oraz jak szybko informacja trafia do odpowiedzialnych osób.

Najważniejsze terminy NIS2 w Polsce

Nowelizacja KSC obowiązuje od 3 kwietnia 2026 r.

Dla podmiotów objętych okresem przejściowym szczególnie istotne są trzy daty. 3 października 2026 r. mija termin samorejestracji w Wykazie KSC dla podmiotów, które spełniały kryteria w momencie wejścia ustawy w życie. 3 kwietnia 2027 r. kończy się okres na wdrożenie zasadniczych obowiązków i rozpoczęcie korzystania z systemu S46. 3 kwietnia 2028 r. jest między innymi terminem pierwszego audytu dla części podmiotów kluczowych. UKE wskazuje również, że dla większości obowiązków możliwość nakładania administracyjnych kar pieniężnych rozpocznie się po 3 kwietnia 2028 r.

Co firma powinna sprawdzić teraz?

Pierwszym krokiem powinno być ustalenie, czy faktycznie wykonywana działalność znajduje się w sektorach wskazanych w załącznikach nr 1 lub 2 do ustawy o KSC.

Następnie należy określić wielkość przedsiębiorstwa z uwzględnieniem podmiotów partnerskich i powiązanych oraz przeanalizować szczególne kryteria z art. 5 ustawy. Jeżeli firma spełnia przesłanki, kolejnym krokiem jest sprawdzenie statusu w Wykazie KSC oraz rozpoczęcie przygotowań organizacyjnych i technicznych do obowiązków, które trzeba wdrożyć do 3 kwietnia 2027 r.

Dlaczego warto monitorować dalsze zmiany?

W przypadku NIS2 sama znajomość jednej daty nie wystarczy. Nowelizacji KSC towarzyszą kolejne materiały, wytyczne, dokumenty normalizacyjne oraz informacje publikowane przez właściwe organy.

Dla przedsiębiorcy oznacza to konieczność śledzenia nie tylko samej ustawy, ale również zmian i komunikatów dotyczących jej praktycznego stosowania.

Właśnie w tym pomaga BizneSignal. System monitoruje zmiany prawne i pomaga wychwytywać te, które mogą mieć znaczenie dla Twojej firmy.

Czy NIS2 dotyczy każdej firmy?

Nie. Zakres nowych przepisów zależy między innymi od sektora działalności, wielkości podmiotu oraz szczególnych kryteriów wskazanych w ustawie o KSC.

Czy małe firmy mogą podlegać NIS2?

Tak, w określonych przypadkach. Ustawa przewiduje wyjątki od zasad dotyczących wielkości. Przykładowo przedsiębiorcy telekomunikacyjni podlegają ustawie niezależnie od wielkości.

Do kiedy trzeba wpisać firmę do Wykazu KSC?

Dla podmiotów, które spełniały kryteria w dniu wejścia w życie nowelizacji i podlegają samorejestracji, termin upływa 3 października 2026 r.

Czy NIS2 już obowiązuje w Polsce?

Polska nowelizacja ustawy o KSC wdrażająca NIS2 weszła w życie 3 kwietnia 2026 r. Jednocześnie dla wielu obowiązków przewidziano okres dostosowawczy do 3 kwietnia 2027 r