NIS2 – co to jest i kogo dotyczy?

NIS2 to unijna dyrektywa (UE) 2022/2555, która nakłada nowe obowiązki z zakresu cyberbezpieczeństwa na średnie i duże firmy z wybranych sektorów oraz na część administracji publicznej. Jeśli działasz w energetyce, transporcie, finansach, usługach cyfrowych, wodzie, zdrowiu, produkcji czy samorządzie, istnieje duża szansa, że jesteś lub będziesz podmiotem kluczowym albo ważnym. Warto sprawdzić swoją sytuację i zacząć porządkować zarządzanie ryzykiem, incydentami oraz dokumentacją bezpieczeństwa, bo kary sięgają do 10 mln euro lub 2% obrotu. W dalszej części tekstu znajdziesz zwięzłe wyjaśnienie, czym jest NIS2, kogo konkretnie dotyczy i jakie praktyczne konsekwencje wywołuje dla polskich firm do 2026 r.

Czym jest NIS2 i czym różni się od NIS1?

Dyrektywa NIS 2 to zaktualizowane przepisy UE dotyczące bezpieczeństwa sieci i systemów informacyjnych, które zastąpiły NIS 1 (dyrektywa 2016/1148). Nowy akt – formalnie dyrektywa (UE) 2022/2555 – obowiązuje w Unii od 16 stycznia 2023 r., a NIS1 została uchylona 18 października 2024 r. Jej celem jest podniesienie wspólnego poziomu odporności na cyberzagrożenia w całej UE, w szczególności w sektorach uznanych za krytyczne dla gospodarki i społeczeństwa.

Najważniejsza zmiana w stosunku do NIS1 to rozszerzenie zakresu – z 7 do 18 sektorów gospodarki – oraz odejście od pojęcia operatora usług kluczowych na rzecz dwóch grup: podmiot kluczowy i podmiot ważny. Zmieniono też logikę identyfikacji: państwo nie typuje już wszystkich firm „z góry”, lecz przedsiębiorstwo musi potrafić samo wykazać, czy wpada w zakres dyrektywy.

NIS2 nie jest „dobrowolnym standardem”, lecz twardym prawem unijnym, które państwa członkowskie muszą wdrożyć do swojego porządku prawnego i egzekwować wobec firm.

Jak NIS2 jest wdrażana w Polsce przez ustawę o KSC?

W Polsce NIS2 realizuje Ustawa o KSC, czyli ustawa o krajowym systemie cyberbezpieczeństwa po dużej nowelizacji. Projekt ustawy rząd przyjął w październiku 2025 r., a nowe przepisy zaczynają działać etapami od 2026 r. Krajowy system cyberbezpieczeństwa obejmuje między innymi podmioty kluczowe, podmioty ważne, organy właściwe do spraw cyberbezpieczeństwa i zespoły CSIRT (GOV, NASK, MON oraz CSIRT sektorowe).

Mechanizm jest prosty: NIS2 określa ramy na poziomie UE, a Ustawa o KSC przekłada je na konkretne obowiązki, terminy, tryb nadzoru i wysokość kar w Polsce. Ten akt decyduje, jak wygląda rejestr podmiotów, jak zgłaszać incydenty, jak prowadzić dokumentację i jak często przeprowadzać audyty bezpieczeństwa.

Jakie terminy obowiązują polskie firmy?

Nowa wersja ustawy o KSC zakłada kilka kluczowych dat:

• od 3 kwietnia 2026 r. – formalnie obowiązują nowe przepisy krajowe, a firmy zaczynają okres dostosowawczy,
• w ciągu 6 miesięcy od spełnienia kryteriów (np. od 3 kwietnia 2026 r.) – zgłoszenie się do wykazu podmiotów kluczowych i ważnych w systemie S46,
• w ciągu 12 miesięcy – wdrożenie systemu zarządzania bezpieczeństwem informacji, środków technicznych i organizacyjnych oraz rozpoczęcie raportowania incydentów,
• w ciągu 24 miesięcy – pierwszy audyt zgodności (dla podmiotów kluczowych); standardowo co 3 lata.

W praktyce oznacza to, że pełna gotowość – z działającym systemem bezpieczeństwa, dokumentacją i raportowaniem – musi być osiągnięta najpóźniej do 3 kwietnia 2027 r. dla firm, które już w momencie wejścia ustawy spełniają progi NIS2.

NIS2 – kogo dotyczy w Polsce?

NIS2 kierowana jest do dwóch grup firm i instytucji: podmiotów kluczowych i podmiotów ważnych. Obie grupy mają zbliżone obowiązki techniczne i organizacyjne, ale różny jest poziom nadzoru i wysokość sankcji. Podział opiera się na sektorze oraz wielkości przedsiębiorcy, z wyjątkiem branż, które są wciągane do systemu niezależnie od rozmiaru.

Jakie sektory są uznane za kluczowe?

Za sektory kluczowe uznaje się obszary, których naruszenie ma bezpośrednie przełożenie na funkcjonowanie państwa i społeczeństwa. Należą do nich między innymi:

• sektor energetyczny – w tym energia elektryczna, gaz, paliwa, ropa, ciepło,
• transport – lotniczy, kolejowy, drogowy i wodny,
• bankowość i infrastruktura rynku finansowego,
• ochrona zdrowia – szpitale, przychodnie, laboratoria referencyjne UE, producenci leków i wyrobów medycznych o znaczeniu krytycznym,
• woda pitna i ścieki,
• infrastruktura cyfrowa – centra danych, chmury, publiczne sieci łączności elektronicznej, usługi łączności,
• zarządzanie usługami ICT (outsourcing IT, usługi zarządzane),
• przestrzeń kosmiczna,
• wybrane podmioty administracji publicznej na poziomie centralnym.

Jeśli w którymś z tych sektorów prowadzisz działalność jako duży przedsiębiorca lub spełniasz szczególne kryteria, możesz być zakwalifikowany jako podmiot kluczowy.

Jakie sektory są uznane za ważne?

Sektory ważne to obszary, które nie zawsze stanowią infrastrukturę krytyczną, ale ich zaburzenie może silnie uderzyć w gospodarkę lub łańcuchy dostaw. To m.in.:

• usługi pocztowe i kurierskie,
• inwestycje w energetykę jądrową,
• gospodarka odpadami,
• produkcja i dystrybucja chemikaliów,
• produkcja i przetwórstwo żywności,
• produkcja komputerów, elektroniki, sprzętu elektrycznego, maszyn, pojazdów i innego sprzętu transportowego,
• dostawcy usług cyfrowych – platformy handlowe online, wyszukiwarki, sieci społecznościowe,
• badania naukowe,
• samorządowe podmioty publiczne (instytucje kultury, zakłady budżetowe, spółki komunalne).

Podmioty z tych branż będą najczęściej klasyfikowane jako podmiot ważny, jeśli osiągają co najmniej status średniego przedsiębiorcy w rozumieniu prawa UE.

Jakie progi wielkości decydują o wejściu w NIS2?

Dyrektywa przyjmuje tę samą logikę, co definicje MŚP w regulacjach unijnych. W uproszczeniu:

• średnie przedsiębiorstwo – co najmniej 50 pracowników i obrót powyżej 10 mln euro,
• duże przedsiębiorstwo – co najmniej 250 pracowników i obrót powyżej 50 mln euro.

Duże podmioty w sektorach kluczowych co do zasady są podmiotami kluczowymi, a średnie – podmiotami ważnymi (chyba że ustawa wskazuje inaczej). Istnieje też lista podmiotów „z mocy prawa”, które podlegają KSC niezależnie od wielkości – np. dostawcy usług DNS, rejestry nazw domen najwyższego poziomu (TLD), kwalifikowani dostawcy usług zaufania czy operatorzy obiektów energetyki jądrowej.

Czy mikro i małe firmy też mogą podlegać NIS2?

Tak, choć standardowo dyrektywa obejmuje średnie i duże przedsiębiorstwa. Mikro i małe firmy mogą zostać objęte, gdy:

• ustawa wymienia je wprost (np. jako dostawcę usług zaufania czy przedsiębiorcę komunikacji elektronicznej),
• zostaną uznane decyzją organu właściwego do spraw cyberbezpieczeństwa za podmiot kluczowy lub ważny ze względu na znaczenie świadczonej usługi,
• funkcjonują w łańcuchu dostaw przedsiębiorstwa objętego KSC, które wprowadziło twarde wymagania bezpieczeństwa wobec swoich dostawców.

Dla MŚP, nawet nieobjętych wprost ustawą, NIS2 oznacza często realne wymogi stawiane kontraktowo przez dużych partnerów biznesowych.

Jakie obowiązki nakłada NIS2 na firmy?

Obowiązki dla podmiotów kluczowych i ważnych można ująć w czterech hasłach: zarządzanie ryzykiem, ochrona techniczna i organizacyjna, raportowanie incydentów oraz nadzór nad łańcuchem dostaw. Dla wielu organizacji oznacza to konieczność zbudowania lub dojrzałego uporządkowania systemu zarządzania bezpieczeństwem informacji.

Zarządzanie ryzykiem i SZBI

Każdy podmiot kluczowy i podmiot ważny musi wdrożyć spójny system zarządzania bezpieczeństwem informacji obejmujący cały cykl życia systemów IT, od planowania po wycofanie. Wymagane jest systematyczne zarządzanie ryzykiem – identyfikacja zasobów, zagrożeń, podatności, analiza wpływu na działalność oraz dobór adekwatnych środków ochrony.

Do katalogu wymaganych elementów należą m.in. polityki bezpieczeństwa (w tym fizycznego i personalnego), kontrola dostępu, plany ciągłości działania i odtwarzania, monitorowanie logów, zabezpieczenia kryptograficzne, regularne aktualizacje, testy i audyty. NIS2 wprost wskazuje, że środki mają być proporcjonalne do oszacowanego ryzyka, a nie jedynie symboliczne.

Raportowanie incydentów i incydent krytyczny

Dyrektywa bardzo precyzyjnie opisuje obowiązki w przypadku cyberincydentów. Za incydent poważny uznaje się zdarzenie, które zakłóca świadczenie usługi, zagraża poufności, integralności lub dostępności danych albo wywołuje poważną szkodę finansową czy niematerialną. Osobną kategorią jest incydent krytyczny, który powoduje znaczną szkodę dla bezpieczeństwa lub porządku publicznego, obronności, interesów gospodarczych czy życia i zdrowia ludzi.

Procedura zgłaszania wygląda następująco:

• wczesne ostrzeżenie – do 24 godzin od wykrycia incydentu,
72 godzin, z opisem wpływu, przyczyn i podjętych działań,
• sprawozdanie końcowe – w ciągu miesiąca od zgłoszenia lub zakończenia obsługi zdarzenia.

Zgłoszenia składa się do właściwego CSIRT (CSIRT GOV, CSIRT NASK, CSIRT MON lub CSIRT sektorowy), głównie przez system S46. W przypadku incydentów na dużą skalę na poziomie UE w zarządzanie kryzysem włącza się sieć EU‑CyCLONe, która koordynuje działania między państwami.

Łańcuch dostaw i dostawca wysokiego ryzyka

NIS2 bardzo mocno akcentuje odpowiedzialność za bezpieczeństwo w relacjach z dostawcami i usługodawcami ICT. Wymagane jest włączenie bezpieczeństwa do kryteriów wyboru partnerów, zawierania umów, a także monitorowanie, czy kluczowi dostawcy nie zostali uznani za dostawców wysokiego ryzyka.

Ustawa o KSC daje ministrowi właściwemu do spraw informatyzacji narzędzie w postaci decyzji uznającej dostawcę sprzętu lub oprogramowania za dostawcę wysokiego ryzyka. Jeśli taka decyzja obejmie produkt lub usługę, podmioty kluczowe i ważne będą musiały stopniowo wycofać je z użycia (zazwyczaj w ciągu 7 lat, a w telekomunikacji – 4 lat) i nie będą mogły wdrażać ich w nowych systemach.

Szkolenia i odpowiedzialność kierownictwa

NIS2 przenosi ciężar odpowiedzialności na najwyższe kierownictwo. Członkowie organów zarządzających odpowiadają za zatwierdzenie środków bezpieczeństwa, zapewnienie zasobów oraz nadzór nad wdrożeniem. Ustawa przewiduje możliwość nakładania kar także na osoby zarządzające, jeśli zaniedbają obowiązki.

Obowiązkowe są regularne szkolenia z zakresu cyberbezpieczeństwa dla kadry zarządzającej i kluczowych pracowników IT/bezpieczeństwa. Tworzy się wymóg, by zarząd miał realne rozeznanie w ryzykach i przyjmowanych strategiach ochrony, a nie tylko formalnie delegował te kwestie niżej.

Jakie kary i środki nadzorcze przewiduje NIS2?

System sankcji po wdrożeniu NIS2 jest zdecydowanie ostrzejszy niż w czasach NIS1. Organy nadzorcze – zależnie od sektora – uzyskały prawo zarówno do ścisłego nadzoru, jak i do stosowania dotkliwych kar finansowych i środków o charakterze naprawczym.

Podmiot kluczowy a podmiot ważny – różne poziomy nadzoru

Podmiot kluczowy podlega aktywnemu, stałemu nadzorowi. Organ może przeprowadzać kontrole, żądać raportów, nakazywać audyty i weryfikować zgodność nawet bez poprzedzającego incydentu. Dla podmiotu ważnego nadzór jest następczy – w praktyce uruchamia się go po incydencie, zgłoszeniu naruszeń lub przy istotnych sygnałach ryzyka.

Zanim zostanie nałożona kara pieniężna, organy zwykle wydają zalecenia usunięcia nieprawidłowości, mogą też wydać decyzje nakazujące wdrożenie konkretnych środków bezpieczeństwa, np. wymuszenie audytu zewnętrznego czy aktualizacji oprogramowania eliminujących krytyczne podatności.

Wysokość kar i odpowiedzialność osobista

Dyrektywa określa maksymalne progi finansowe, a Ustawa o KSC przelicza je na realia polskie. Dla podmiotów kluczowych maksymalna kara może sięgnąć 10 mln euro lub 2% rocznego obrotu, a dla podmiotów ważnych – 7 mln euro lub 1,4% obrotu. W systemie krajowym maksymalna administracyjna kara może sięgać 100 mln zł.

Kary nakładane są przede wszystkim za: brak wdrożenia środków zarządzania ryzykiem, brak zgłoszenia incydentu w terminie, uporczywe lekceważenie zaleceń organów nadzorczych czy brak wymaganej dokumentacji. Nowością jest możliwość dotknięcia finansowo również osób zasiadających w zarządach, jeśli zostanie wykazane rażące niedbalstwo w obszarze cyberbezpieczeństwa.

Jak praktycznie przygotować firmę do NIS2?

Przygotowanie do NIS2 i znowelizowanej ustawy o KSC nie sprowadza się do kupna pojedynczego systemu bezpieczeństwa. To projekt organizacyjny na kilka–kilkanaście miesięcy, szczególnie dla firm, które do tej pory nie miały dojrzałego podejścia do cyberbezpieczeństwa ani zintegrowanego systemu zarządzania.

Od czego zacząć?

Dobrą ścieżką działania jest najpierw sprawdzenie, czy przepisy w ogóle dotyczą twojej organizacji. Warto wykonać następujące kroki:

1. Analiza sektora i wielkości – sprawdzenie, czy firma widnieje w załącznikach do ustawy o KSC i czy spełnia progi średniego lub dużego przedsiębiorcy.
2. Ocena, czy nie jest się podmiotem wymienionym wprost, np. dostawcą usług DNS, rejestrem TLD, kwalifikowanym dostawcą usług zaufania, operatorem obiektu energetyki jądrowej lub inną jednostką publiczną z katalogu ustawowego.
3. Przegląd roli w łańcuchu dostaw – weryfikacja wymagań stawianych przez klientów, którzy już są objęci KSC i mogą przenosić część wymogów na kontrahentów.
4. Decyzja co do samoidentyfikacji – jeśli spełniasz kryteria dla podmiotu kluczowego lub ważnego, przygotowanie dokumentów do wpisu do wykazu w S46.

Jak uporządkować cyberbezpieczeństwo w praktyce?

Gdy już wiesz, że NIS2 cię dotyczy, wygodnie jest podejść do wdrażania wymagań etapowo. W pierwszym roku najczęściej sprawdzają się działania takie jak:

• przegląd istniejących polityk i procedur bezpieczeństwa oraz ich dostosowanie do wymogów NIS2,
• budowa lub wzmocnienie monitoringu bezpieczeństwa (SOC, SIEM, systemy detekcji incydentów),
• wprowadzenie spójnego procesu zarządzania podatnościami – od skanów, przez priorytetyzację, po wdrażanie poprawek,
• przygotowanie planów ciągłości działania i planów odtwarzania po incydentach (BCP/DRP),
• wdrożenie mechanizmów uwierzytelniania wieloskładnikowego i zarządzania tożsamością (IAM) w krytycznych systemach,
• przeprowadzenie cyklicznych szkoleń pracowników i testów socjotechnicznych, np. kampanii phishingowych.

W kolejnym kroku przychodzi czas na audyty, doskonalenie procesów, lepszą integrację bezpieczeństwa z zarządzaniem łańcuchem dostaw i regularne przeglądy scenariuszy reagowania na incydenty. To właśnie takie podejście – oparte na wiedzy o ryzyku, ciągłym monitoringu i realnej odpowiedzialności zarządu – stoi w centrum wymagań NIS2 na 2026 r. i kolejne lata.