NIS2 – co to jest i kogo dotyczy?

Dyrektywa NIS2 to unijne przepisy, które od 2023 r. podnoszą wymagania w zakresie cyberbezpieczeństwa wobec firm z wielu sektorów gospodarki i administracji publicznej. W Polsce zostaną one wdrożone głównie przez ustawę o KSC, która od 3 kwietnia 2026 r. nakłada nowe obowiązki na tzw. podmioty kluczowe i podmioty ważne. Jeśli chcesz sprawdzić, czy Twoja organizacja podlega tym regulacjom i co w praktyce musisz zrobić, przeczytaj poniższe wyjaśnienia.

Czym jest dyrektywa NIS2?

16 stycznia 2023 r. weszła w życie Dyrektywa NIS2, czyli unijne prawo w sprawie środków na rzecz wysokiego wspólnego poziomu cyberbezpieczeństwa w całej Unii Europejskiej. Zastąpiło ono wcześniejszą dyrektywę NIS1 z 2016 r., która obejmowała dużo węższy krąg podmiotów i sektorów. Nowe przepisy dotyczą łącznie 18 sektorów krytycznych – od energii i transportu, przez wodę pitną, zdrowie, finanse, po infrastrukturę cyfrową i administrację publiczną.

NIS2 wyznacza wspólny standard ochrony sieci i systemów informatycznych – obejmuje zarządzanie ryzykiem, techniczne i organizacyjne środki bezpieczeństwa, raportowanie incydentów oraz współpracę międzynarodową. Dyrektywa wprowadza też jednolite kryteria identyfikacji podmiotów oraz minimalne wymagania, które każde z nich musi spełnić, niezależnie od kraju UE, w którym działa.

Kogo dotyczy NIS2?

Dyrektywa nie jest adresowana do „wszystkich firm w internecie”, ale do organizacji, których usługi są istotne dla funkcjonowania państwa i gospodarki. NIS2 wyróżnia dwie kategorie: podmiot kluczowy oraz podmiot ważny. Obie grupy muszą spełnić podobne wymagania merytoryczne, ale są inaczej nadzorowane przez organy państwowe.

Jakie sektory obejmuje NIS2?

W dyrektywie wskazano 18 sektorów i podsektorów. Do najważniejszych – często określanych jako sektory o wysokiej krytyczności – należą między innymi:

• energia – w tym energia elektryczna, gaz, paliwa, ropa, ciepło,
• transport – lotniczy, kolejowy, wodny i drogowy,
• finanse – bankowość oraz infrastruktura rynku finansowego,
• ochrona zdrowia – szpitale, podmioty lecznicze, producenci wyrobów medycznych o znaczeniu krytycznym, laboratoria referencyjne UE,
• woda pitna i ścieki – przedsiębiorstwa wodociągowe i wodno-kanalizacyjne,
• infrastruktura cyfrowa – dostawcy usług centrów danych, chmury, sieci łączności elektronicznej, usług łączności,
• zarządzanie usługami ICT – usługi zarządzane, w tym cyberbezpieczeństwo,
• przestrzeń kosmiczna – wybrane systemy i usługi satelitarne,
• wybrane podmioty publiczne na poziomie centralnym.

Druga grupa – sektory ważne – obejmuje m.in. usługi pocztowe i kurierskie, gospodarkę odpadami, produkcję żywności, wytwarzanie sprzętu komputerowego i elektronicznego, część branży chemicznej, a także dostawców usług cyfrowych, takich jak platformy handlowe, wyszukiwarki i sieci społecznościowe.

Kim jest podmiot kluczowy?

Podmiot kluczowy to najczęściej duży przedsiębiorca z jednego z sektorów uznanych za krytyczne, wskazanych w załączniku nr 1 do ustawy o KSC. W jego przypadku stosuje się stały, aktywny nadzór – organy nadzorcze mogą planowo kontrolować poziom cyberbezpieczeństwa, żądać audytów, wydawać zalecenia i polecenia.

Do tej kategorii trafiają też niektóre podmioty bez względu na wielkość, np. dostawca usług DNS, kwalifikowany dostawca usług zaufania, operator obiektu energetyki jądrowej czy rejestr nazw domen najwyższego poziomu TLD. W uzasadnionych przypadkach organ nadzorczy może decyzją uznać dowolny podmiot za kluczowy, jeśli jego usługa ma szczególne znaczenie dla bezpieczeństwa lub ciągłości działania państwa.

Kim jest podmiot ważny?

Podmiot ważny to głównie średnie i duże firmy z tzw. sektorów ważnych, opisanych w załączniku nr 2 do ustawy o KSC, a także część średnich przedsiębiorstw z sektorów kluczowych, które nie spełniają progów uznania za podmiot kluczowy. W stosunku do tej grupy stosuje się nadzór następczy – kontrola pojawia się zwykle po incydencie lub stwierdzonym naruszeniu przepisów.

Do tej kategorii mogą zostać zaliczeni także mniejsi przedsiębiorcy, np. niekwalifikowani dostawcy usług zaufania czy mikro i mali dostawcy usług komunikacji elektronicznej. Organ właściwy do spraw cyberbezpieczeństwa może też decyzją uznać daną firmę za podmiot ważny, gdy oferuje ona usługę o wysokim znaczeniu dla społeczeństwa lub gospodarki.

Jak NIS2 jest wdrażana w Polsce przez ustawę o KSC?

W Polsce przepisy unijne są implementowane przez ustawę o KSC, czyli ustawę o krajowym systemie cyberbezpieczeństwa. Nowelizacja ma zacząć obowiązywać od 3 kwietnia 2026 r. i wprost odwołuje się do wymogów NIS2. To ten akt określa, które podmioty uznaje się za kluczowe lub ważne, jakie mają obowiązki, jak wygląda nadzór oraz jakie grożą sankcje za naruszenia.

System krajowy obejmuje nie tylko przedsiębiorców, ale także sieć instytucji – organy właściwe do spraw cyberbezpieczeństwa w poszczególnych sektorach, zespoły reagowania na incydenty (CSIRT GOV, CSIRT NASK, CSIRT MON oraz CSIRT sektorowe) oraz centralne narzędzia teleinformatyczne, takie jak system S46 i wykaz podmiotów.

Jakie są główne terminy dla firm?

Ustawa wprowadza kilka istotnych dat i okresów przejściowych, które decydują, kiedy konkretny podmiot musi zrealizować swoje obowiązki. W największym skrócie wygląda to tak:

• 3 kwietnia 2026 r. – wejście w życie nowelizacji ustawy o KSC, od tej daty liczone są terminy na zgłoszenia i wdrożenia,
• 6 miesięcy – czas na zgłoszenie się do wykazu podmiotów kluczowych i ważnych od momentu spełnienia kryteriów,
• 12 miesięcy – na wdrożenie systemu zarządzania bezpieczeństwem informacji, procedur i rozpoczęcie raportowania incydentów,
• 24 miesiące – na przeprowadzenie pierwszego audytu zgodności przez podmiot kluczowy.

Jeśli przedsiębiorstwo spełniało kryteria już w dniu wejścia w życie ustawy, termin na zgłoszenie do wykazu mija 3 października 2026 r., a na pełne wdrożenie środków bezpieczeństwa – 3 kwietnia 2027 r.

Jakie obowiązki nakłada NIS2 i ustawa o KSC?

Na organizacje objęte systemem nakładany jest cały pakiet wymagań – od analizy ryzyka, przez techniczne zabezpieczenia, aż po szczegółowe raportowanie incydentów i audyty. W centrum tych wymagań pozostaje zawsze cyberbezpieczeństwo systemów informacyjnych wykorzystywanych do świadczenia usług.

Jak wygląda zarządzanie ryzykiem?

Podmiot kluczowy i ważny musi wdrożyć system zarządzania bezpieczeństwem informacji obejmujący cały cykl życia systemów IT. Oznacza to konieczność regularnej oceny ryzyka, identyfikacji podatności oraz wprowadzania środków technicznych, organizacyjnych i operacyjnych proporcjonalnych do zidentyfikowanych zagrożeń.

Do takich środków zalicza się m.in. politykę szacowania ryzyka, kontrolę dostępu, zabezpieczenia fizyczne i personalne, ochronę łańcucha dostaw, zasady nabywania i utrzymania systemów, procedury zapewnienia ciągłości działania, kopie zapasowe, mechanizmy kryptograficzne czy monitoring i testy penetracyjne. Wymaga się też systematycznej edukacji pracowników i wprowadzania zasad tzw. cyberhigieny.

Jak działa łańcuch dostaw w NIS2?

Nowością jest mocne zaakcentowanie bezpieczeństwa łańcucha dostaw. Podmioty kluczowe i ważne muszą uwzględniać ryzyko związane z dostawcami sprzętu, oprogramowania i usług ICT – zarówno przy wyborze nowych kontrahentów, jak i podczas współpracy. W praktyce oznacza to konieczność wymagań kontraktowych, ocen bezpieczeństwa u dostawców oraz monitorowania statusu dostawców wysokiego ryzyka.

Środki zarządzania ryzykiem dotyczą nie tylko własnych systemów IT, ale także relacji z dostawcami i partnerami biznesowymi w całym łańcuchu dostaw.

Jak wygląda dokumentacja i odpowiedzialność zarządu?

Każdy podmiot objęty ustawą musi prowadzić rozbudowaną dokumentację – zarówno normatywną (polityki, procedury, plany), jak i operacyjną (zapisy z dzienników systemowych, potwierdzenia wykonanych czynności, raporty). Dokumenty trzeba aktualizować, odpowiednio chronić i przechowywać co najmniej 2 lata po zakończeniu korzystania z danego systemu.

Szczególną rolę odgrywa zarząd lub inny kierownik podmiotu. To on zatwierdza środki bezpieczeństwa, musi zapewnić zasoby i nadzór, a także wyznaczyć osoby do kontaktu z krajowym systemem cyberbezpieczeństwa. Dyrektywa NIS2 i ustawa o KSC przewidują osobistą odpowiedzialność osób zarządzających za brak wdrożenia środków zarządzania ryzykiem – włącznie z możliwością nałożenia na nie kary finansowej.

Jak wygląda zgłaszanie incydentów do CSIRT?

Jednym z filarów NIS2 jest obowiązek zgłaszania poważnych incydentów do zespołów reagowania na incydenty bezpieczeństwa komputerowego, określanych wspólnie jako CSIRT. To do tych jednostek – CSIRT NASK, CSIRT GOV, CSIRT MON lub CSIRT sektorowego – trafiają informacje o zdarzeniach mogących poważnie zakłócić świadczenie usług.

Jakie są etapy zgłaszania incydentu?

Dla incydentów poważnych obowiązuje wieloetapowy model raportowania z krótkimi terminami:

• wczesne ostrzeżenie – do 24 godzin od wykrycia, z informacją o charakterze zdarzenia i możliwym wpływie transgranicznym,
• zgłoszenie incydentu – do 72 godzin, z opisem wpływu na usługę, przyczyn, przebiegu i działań podjętych w celu ograniczenia skutków,
• sprawozdanie końcowe – najpóźniej w ciągu miesiąca od zgłoszenia, obejmujące szczegółową analizę incydentu i zastosowane środki naprawcze.

W razie potrzeby CSIRT może też poprosić o sprawozdanie okresowe, a gdy incydent trwa dłużej – o raport z postępu obsługi. Dodatkowo podmiot ma obowiązek poinformować odbiorców usług o incydentach, które mogą dotknąć ich bezpośrednio, oraz o działaniach, które powinni podjąć dla własnej ochrony.

Jakie kary grożą za naruszenie NIS2?

Dyrektywa wprowadza surowe sankcje finansowe, aby wymusić realne działanie, a nie wyłącznie deklaracje. W polskim systemie ich wysokość zależy od tego, czy mamy do czynienia z podmiotem kluczowym, czy ważnym. Funkcjonuje też limit maksymalny w złotych, określony na poziomie 100 mln.

Jakie są poziomy kar dla firm?

W przypadku podmiotów kluczowych maksymalna kara finansowa to do 10 mln euro lub do 2% rocznego obrotu, z zastosowaniem kwoty wyższej, przy czym nie mniej niż 20 000 zł. Dla podmiotów ważnych jest to do 7 mln euro lub do 1,4% rocznego obrotu, nie mniej niż 15 000 zł. Oprócz sankcji pieniężnych organ nadzorczy może wydać zalecenia, nakazać wdrożenie dodatkowych środków, przeprowadzić audyt lub kontrolę.

W skrajnych sytuacjach, zwłaszcza przy krytycznych incydentach, minister właściwy do spraw informatyzacji może wydać tzw. polecenia zabezpieczające. Zobowiązują one całe grupy podmiotów do podjęcia konkretnych działań – np. instalacji poprawek, zmiany konfiguracji systemów lub wycofania z użycia produktów dostawcy uznanego za wysokiego ryzyka.

Jakie są obowiązki MŚP i firm w łańcuchu dostaw?

Mikro, małe i średnie firmy nie są automatycznie wyłączone z NIS2. Jeśli spełniają kryteria sektorowe i wielkościowe albo zostaną decyzją organu uznane za podmiot kluczowy lub ważny, podlegają tym samym przepisom co więksi gracze. Nawet jeśli pozostają poza formalnym zakresem ustawy, mogą być objęte wymaganiami pośrednio – jako dostawcy dla organizacji regulowanych, które muszą zadbać o bezpieczeństwo całego łańcucha dostaw.

Brak formalnego statusu podmiotu kluczowego lub ważnego nie oznacza braku obowiązków – wymagania cyberbezpieczeństwa często przenoszą się na dostawców przez umowy i standardy łańcucha dostaw.

Jak sprawdzić, czy NIS2 dotyczy Twojej organizacji?

Podstawowe pytanie brzmi: czy Twoja firma działa w sektorze wymienionym w załącznikach do ustawy o KSC i czy spełnia progi wielkościowe (zatrudnienie i obrót) właściwe dla podmiotu kluczowego lub podmiotu ważnego? Jeśli tak, musisz przygotować zgłoszenie do wykazu, wdrożyć system zarządzania bezpieczeństwem informacji, ustalić procedury raportowania incydentów do CSIRT oraz zadbać o regularne audyty.

W 2026 r. czas na działanie będzie liczony w miesiącach, a nie w latach. Im wcześniej zaczniesz analizę ryzyka, porządkowanie dokumentacji i budowanie procesów, tym łatwiej unikniesz niepotrzebnego pośpiechu i kosztownych błędów.