NIS2 to unijna dyrektywa (2022/2555), która w Polsce obowiązuje od 3 kwietnia 2026 r. jako znowelizowana ustawa o krajowym systemie cyberbezpieczeństwa. Nakłada na firmy z kilkunastu sektorów obowiązek wprowadzenia środków zarządzania ryzykiem w cyberbezpieczeństwie, zgłaszania poważnych incydentów w 24 godziny i przewiduje kary do 10 mln EUR dla podmiotu oraz do 300% pensji dla członka zarządu osobiście.
Jest jedna rzecz, którą trzeba powiedzieć na wstępie wprost.
NIS2 to nie jest kolejny temat „dla działu IT”. To temat dla zarządu. Bo za niedostosowanie firmy do przepisów odpowiada finansowo i osobiście nie informatyk, tylko osoba zarządzająca.
Jeżeli dziś w Twojej firmie NIS2 leży wyłącznie na biurku IT – to już jest błąd, który regulacja wprost karze.
Czym jest NIS2 i od kiedy obowiązuje w Polsce?
NIS2 to dyrektywa Parlamentu Europejskiego i Rady (UE) 2022/2555 z 14 grudnia 2022 r. Zastępuje wcześniejszą dyrektywę NIS z 2016 r. i znacząco poszerza krąg firm objętych obowiązkami w zakresie cyberbezpieczeństwa na terytorium unii.
W Polsce do prawa krajowego NIS2 została wdrożona nowelizacją ustawy o krajowym systemie cyberbezpieczeństwa, która weszła w życie 3 kwietnia 2026 r.
To ważne rozróżnienie: przepisy już obowiązują. Etap „poczekamy, aż to wejdzie” się skończył.
Zmieniła się też filozofia. Wcześniej to organy wskazywały, kto podlega obowiązkom. Teraz działa zasada samookreślenia – to firma sama musi ocenić swój status i się zgłosić.
Kto w Polsce podlega NIS2? Podmioty kluczowe i ważne
Ustawa dzieli objęte organizacje na dwie grupy i to właśnie podział na podmioty kluczowe i ważne decyduje o zakresie obowiązków.
Różnica sprowadza się głównie do intensywności nadzoru i wysokości kar. Podmioty kluczowe podlegają ściślejszej kontroli i wyższym sankcjom. Podmioty ważne są nadzorowane bardziej reaktywnie, ale obowiązki merytoryczne mają w dużej mierze takie same.
O objęciu firmy regulacją decydują dwa filtry: sektor i wielkość.
{{widget50}}
Które sektory są objęte?
Do sektorów kluczowych zaliczają się m.in.:
- sektor energetyki,
- transport,
- podmioty finansowe (w tym operatorzy systemów obrotu instrumentami finansowymi),
- ochrona zdrowia,
- zaopatrzenie w wodę pitną,
- ścieki (systemy kanalizacyjne),
- infrastruktura cyfrowa,
- zarządzanie usługami ICT,
- administracja publiczna,
- przestrzeń kosmiczna.
Do sektorów, z których wywodzą się przede wszystkim podmioty ważne, należą m.in.:
- usługi pocztowe i kurierskie,
- gospodarka odpadami,
- produkcja i dystrybucja chemikaliów,
- produkcja i dystrybucja żywności,
- przemysł produkcyjny,
- dostawcy usług cyfrowych (platformy internetowe, centra danych),
- badania naukowe.
Od jakiej wielkości firmy NIS2 zaczyna obowiązywać?
Co do zasady regulacja obejmuje średnie i duże firmy, czyli takie, które:
- zatrudniają co najmniej 50 osób, albo
- przekraczają 10 mln EUR rocznego obrotu lub sumy bilansowej.
Ale to nie jest reguła bezwzględna.
Część podmiotów jest objęta ustawą niezależnie od wielkości, ze względu na charakter usług lub rolę w łańcuchu dostaw. Dotyczy to m.in. kwalifikowanych dostawców usług zaufania czy dostawców usług DNS.
Dlatego założenie „jesteśmy za mali, więc nas to nie dotyczy” bywa złudne. To trzeba zweryfikować na podstawie realnego profilu firmy, a nie intuicji.
„Najczęściej rozmowa o NIS2 zaczyna się od zdania: »to chyba nie o nas«. A po dwóch pytaniach o to, komu firma sprzedaje i kto ma dostęp do jej sieci i systemów informatycznych, okazuje się, że jednak o nich. Status podmiotu to fakt do ustalenia, nie kwestia przeczucia.” – Damian Sawicki
Samoocena statusu i 6 miesięcy na zgłoszenie do wykazu
NIS2 opiera się na zasadzie samookreślenia. To organizacja, biorąc pod uwagę sektor, skalę i charakter usług, sama ocenia, czy jest podmiotem kluczowym albo ważnym.
Ciężar wstępnej kwalifikacji nie spoczywa więc na organach publicznych. Leży po stronie przedsiębiorcy.
Z samooceną wiąże się konkretny obowiązek formalny. Podmiot, który kwalifikuje się jako kluczowy albo ważny, ma 6 miesięcy od wejścia ustawy w życie, czyli czas do 3 października 2026 r., na zgłoszenie się do właściwego wykazu.
Warto od razu znać dalszy harmonogram, bo to on wyznacza realne tempo prac:
- 3 października 2026 r. - termin rejestracji w wykazie,
- 3 kwietnia 2027 r. - termin pełnego wdrożenia obowiązków w zakresie zarządzania ryzykiem,
- 3 kwietnia 2028 r. - pierwszy audyt podmiotów kluczowych.
Z tym harmonogramem wiąże się jedno praktyczne ostrzeżenie: obowiązek rejestracji jest pierwszy w kolejności i najłatwiejszy do przeoczenia. Brak zgłoszenia to nie „opóźnienie we wdrożeniu” – to osobne naruszenie.
Jakie obowiązki nakłada NIS2?
Najkrócej: NIS2 wymaga, żeby firma świadomie zarządzała ryzykiem w obszarze cyberbezpieczeństwa i potrafiła to wykazać.
Nie wystarczy mieć antywirusa i backupu. Trzeba mieć system.
W praktyce oznacza to wdrożenie środków technicznych i organizacyjnych obejmujących m.in.:
- politykę analizy ryzyka i bezpieczeństwa sieci,
- procedury obsługi incydentów,
- plany ciągłości działania i odtwarzania po awarii,
- bezpieczeństwo łańcucha dostaw,
- bezpieczeństwo w procesie nabywania, rozwoju i utrzymania sieci,
- mechanizmy oceny skuteczności zastosowanych środków,
- szkolenia personelu,
- stosowanie kryptografii i kontroli dostępu tam, gdzie jest to uzasadnione.
Brzmi jak długa lista, ale chodzi o jedno: firma ma rozumieć, gdzie ma słabe punkty, mieć przygotowane procedury na wypadek incydentu i zarządzać tym w sposób uporządkowany, a nie ad hoc.
Jak szybko trzeba zgłosić incydent w NIS2?
Drugim kluczowym obszarem są obowiązki raportowe.
Incydenty mają różną skalę, od lokalnej awarii, przez błędy w procesach biznesowych, aż po zorganizowany cyberatak. Przepisy rozróżniają incydent poważny oraz incydent na dużą skalę, ale dla większości firm najistotniejsze jest to pierwsze pojęcie: zdarzenie, które powoduje lub może spowodować poważne zakłócenie usług, straty finansowe albo istotne szkody u innych podmiotów.
Jeżeli dojdzie do incydentu podlegającego zgłoszeniu, obowiązuje ścisły harmonogram (zgłoszenia trafiają przez system S46 do właściwego CSIRT-u lub organu nadzorczego):
- 24 godziny od uzyskania wiedzy o incydencie – wczesne ostrzeżenie.
- 72 godziny – uzupełnienie zgłoszenia o dalsze informacje.
- 1 miesiąc – raport końcowy z oceną skutków i zastosowanymi środkami zaradczymi.
Wniosek jest prosty: przy incydencie nie ma czasu na improwizację.
Jeżeli firma nie ma wcześniej przygotowanych procedur i sprawnej ścieżki decyzyjnej, problemem stanie się nie tylko sam incydent, ale również sposób wykonania obowiązków wynikających z ustawy.
NIS2 a łańcuch dostaw – dlaczego same procedury wewnętrzne nie wystarczą
Jedną z najważniejszych zmian jest nacisk na bezpieczeństwo łańcucha dostaw.
Organizacja nie może patrzeć wyłącznie na własne systemy. Musi patrzeć też na dostawców, partnerów i podwykonawców.
Bo nawet dobrze zabezpieczona firma może paść ofiarą incydentu, jeśli słabym ogniwem okaże się podmiot zewnętrzny: dostawca chmury, software house, zewnętrzny helpdesk, operator infrastruktury, integrator albo podwykonawca z dostępem do danych i systemów.
NIS2 wymaga uporządkowania przede wszystkim trzech obszarów:
- wskazania dostawców krytycznych,
- określenia wymagań bezpieczeństwa w umowach,
- wdrożenia zasad weryfikacji i monitorowania dostawców.
Oceniać trzeba nie sam fakt korzystania z dostawcy, ale jego podatności, praktyki cyberbezpieczeństwa, jakość usług i znaczenie dla ciągłości działania. Szczególnie w przypadku dostawców ICT, chmury, oprogramowania i przetwarzania danych.
I tu cyberbezpieczeństwo przestaje być tematem czysto technicznym. Wchodzi w obszar prawny, zakupowy i compliance.
Bo narzędzia nie wystarczą, jeżeli umowy z dostawcami:
- nie określają konkretnych obowiązków w zakresie bezpieczeństwa,
- nie przewidują zasad współpracy w razie incydentu,
- nie dają prawa do audytu ani do uzyskania niezbędnych informacji,
- nie nakładają obowiązku zgłaszania naruszeń,
- nie regulują odpowiedzialności stron.
„Widzę to na umowach nieustannie: firma inwestuje w zabezpieczenia u siebie, a jednocześnie oddaje dostęp do swoich systemów kontraktem na dwie strony, w którym o bezpieczeństwie nie ma ani słowa. NIS2 nie pozwala już traktować dostawcy jako cudzego problemu.” – Damian Sawicki
Dodatkowo na ocenę zgodności firmy z NIS2 mogą wpływać szersze analizy ryzyka prowadzone na poziomie unijnym lub krajowym. Jeśli konkretny dostawca, technologia czy usługa zostaną uznane za szczególnie ryzykowne, firma musi to uwzględnić w swoim podejściu do ryzyka.
Dlatego w wielu organizacjach największym wyzwaniem nie będzie wdrożenie narzędzi, lecz zbudowanie realnej kontroli nad tym, kto ma dostęp do danych, systemów i procesów i na jakich zasadach.
NIS2 a odpowiedzialność zarządu – czym ryzykujesz osobiście?
To jest sedno, które trzeba wybrzmieć najmocniej.
Zgodnie z NIS2 i polskimi przepisami cyberbezpieczeństwo staje się obszarem bezpośredniej odpowiedzialności osób zarządzających. Dotyczy to nie tylko członków zarządu, ale także komplementariuszy czy wspólników uprawnionych do prowadzenia spraw spółki.
Konsekwencje działają na dwóch poziomach.
Po pierwsze sankcje wobec organizacji:
- podmiot kluczowy: kara finansowa co najmniej 10 mln EUR albo 2% całkowitego rocznego światowego obrotu - w zależności od tego, która wartość jest wyższa,
- podmiot ważny: kara co najmniej 7 mln EUR albo 1,4% obrotu,
- dodatkowo w przypadkach powodujących poważne zagrożenie dla porządku lub bezpieczeństwa publicznego, polska ustawa przewiduje karę pieniężną do 100 mln zł.
Po drugie konsekwencje osobiste wobec osób zarządzających:
- kara pieniężna - do 300% miesięcznego wynagrodzenia danej osoby (w sektorze publicznym 100%),
- czasowy zakaz pełnienia funkcji kierowniczych - w przypadku poważnych lub powtarzających się naruszeń (dotyczy podmiotów kluczowych),
- ryzyko reputacyjne - organ może nakazać publiczne ujawnienie informacji o naruszeniu, a w określonych przypadkach także wskazanie osób odpowiedzialnych.
Ważne zastrzeżenie co do dat: pełne obowiązki zarządzania ryzykiem obowiązują od 3 kwietnia 2027 r., a pierwsze audyty podmiotów kluczowych zaplanowano na 2028 r. To nie jest jednak powód do zwłoki, to okno na przygotowanie, które właśnie się zamyka.
Jak przeprowadzić gap analysis krok po kroku?
Najgorsza strategia to wdrażanie wszystkiego naraz, w panice i bez priorytetów.
Sensowny start to gap analysis – rzetelne porównanie tego, gdzie firma jest dziś, z tym, czego wymaga prawo.
1. Ustalenie statusu podmiotu. Najpierw sprawdź, czy firma w ogóle podlega przepisom i czy jest podmiotem kluczowym, czy ważnym.
2. Identyfikacja procesów i sektorów krytycznych. Ustal, które procesy, systemy, dane i usługi są kluczowe dla działalności. Bez tego nie da się rzetelnie ocenić ryzyka.
3. Przegląd istniejących procedur i środków bezpieczeństwa. Sprawdź, co już działa — technicznie i organizacyjnie: reagowanie na incydenty, ciągłość działania, zarządzanie dostępami, szkolenia, dokumentacja.
4. Analiza dostawców i gotowości do raportowania incydentów. Oceń bezpieczeństwo łańcucha dostaw, zapisy umowne z kluczowymi partnerami oraz zdolność firmy do wykrywania, kwalifikowania i terminowego zgłaszania incydentów.
5. Plan działań i przypisanie odpowiedzialności. Ułóż wyniki w konkretny plan wdrożenia: najważniejsze luki, priorytety, osoby odpowiedzialne i realne terminy.
Od czego zacząć?
Jeżeli dziś w firmie nie ma pewności, czy NIS2 ma zastosowanie i co konkretnie trzeba zrobić, sam ten brak pewności jest już sygnałem do działania.
Rozsądny start to cztery rzeczy:
- potwierdzenie statusu firmy wobec nowych przepisów,
- wskazanie osoby odpowiedzialnej po stronie zarządu (lub osoby jemu bezpośrednio podległej), a nie wyłącznie po stronie IT,
- przeprowadzenie gap analysis, która pokaże faktyczne luki,
- ułożenie planu wdrożenia według rzeczywistych ryzyk, a nie przypadkowych priorytetów.
Najgorszy scenariusz to firma, która robi wiele rzeczy naraz, bez ładu, w przekonaniu, że „już się tym zajmuje”. Przy incydencie albo kontroli ten chaos staje się widoczny w ciągu kilku godzin.
NIS2 nie ocenia intencji. Ocenia, czy firma realnie zarządza ryzykiem i potrafi to wykazać.
Chcesz sprawdzić, czy Twoja firma podlega NIS2 i jakie obowiązki ciążą na niej po 3 kwietnia 2026 r.? Dobrym punktem startu jest analiza statusu i luk – zajmuje zwykle kilka tygodni i kończy się konkretnym planem działania. W Sawicki Legal wspieramy zarządy w tym procesie od strony prawnej, kontraktowej i organizacyjnej, tak żeby wdrożenie było realne, a nie pozorne.
Napisz do nas i umów rozmowę – zanim zrobi to za Ciebie regulator.
