NIS2 - co dyrektywa i ustawa o KSC oznaczają dla Twojej firmy

Co to jest NIS2

Dyrektywa NIS2 to dyrektywa Parlamentu Europejskiego i Rady (UE) 2022/2555 z 14 grudnia 2022 r. w sprawie środków na rzecz wysokiego wspólnego poziomu cyberbezpieczeństwa w Unii (tekst dyrektywy). Objęła dużo więcej sektorów niż pierwsza dyrektywa NIS, od szpitali po produkcję żywności i usługi IT.

Ważne rozróżnienie: dyrektywa jest adresowana do państw. Firma w Polsce stosuje polską ustawę, która przenosi dyrektywę do naszego prawa. Gdy ktoś mówi "musimy wdrożyć NIS2", w praktyce chodzi o obowiązki z ustawy o KSC.

NIS2 w Polsce: ustawa o KSC już obowiązuje

Ustawa z 23 stycznia 2026 r. o zmianie ustawy o krajowym systemie cyberbezpieczeństwa oraz niektórych innych ustaw została ogłoszona w Dz.U. 2026 poz. 252 i weszła w życie 3 kwietnia 2026 r. (ustawa w ISAP (stan na październik 2026)). To nie projekt: obowiązki biegną od tego dnia.

Terminy NIS2, które warto mieć w kalendarzu

• 3 kwietnia 2026 r. - ustawa wchodzi w życie (art. 49).
• 3 października 2026 r. - koniec terminu na wniosek o wpis do wykazu podmiotów kluczowych i ważnych dla firm objętych ustawą od pierwszego dnia (art. 7c, art. 33 ust. 3 i harmonogram ministra). Ten termin już minął. Kto nie złożył wniosku, a powinien, składa go teraz.
• 3 kwietnia 2027 r. - koniec 12 miesięcy na wykonanie obowiązków z rozdziału 3 ustawy: system zarządzania bezpieczeństwem informacji, obsługa incydentów, szkolenia (art. 33 ust. 1).
• 3 kwietnia 2028 r. - termin pierwszego audytu bezpieczeństwa, tylko dla podmiotów kluczowych (art. 33 ust. 2).
• Po 3 kwietnia 2028 r. - większość kar pieniężnych można nałożyć po raz pierwszy (art. 35).

Kogo dotyczy NIS2 w skrócie

Ustawa dzieli firmy na podmioty kluczowe i podmioty ważne (art. 5). Decydują dwie rzeczy: sektor wymieniony w załączniku nr 1 albo nr 2 do ustawy oraz wielkość firmy. Co do zasady obowiązki dotyczą firm średnich i dużych. Kilka rodzajów firm, np. rejestratorzy domen, podlega bez względu na wielkość.

Mała firma zwykle nie jest objęta wprost. Bywa jednak dostawcą dla firmy objętej ustawą, a ta musi pilnować bezpieczeństwa swojego łańcucha dostaw (art. 8 ust. 1 pkt 2 lit. e). Wtedy wymagania przychodzą w umowie albo w ankiecie dostawcy. Szczegóły i tabela sektorów: NIS2 - kogo dotyczy.

Co musi zrobić firma objęta ustawą

• wdrożyć system zarządzania bezpieczeństwem informacji z szacowaniem ryzyka, politykami i planem ciągłości działania (art. 8);
• zgłaszać incydenty poważne do właściwego CSIRT sektorowego: wczesne ostrzeżenie do 24 godzin, zgłoszenie do 72 godzin, sprawozdanie końcowe w miesiąc (art. 11);
• przeszkolić kierownika i osobę odpowiedzialną za cyberbezpieczeństwo raz w roku kalendarzowym (art. 8e);
• w podmiocie kluczowym przeprowadzać audyt co najmniej raz na 3 lata (art. 15).

Audytujemy, wdrażamy i zostajemy przy Tobie

My audytujemy i pomagamy wdrożyć wszystko. W razie kontroli jesteśmy po Twojej stronie. Przy kontroli organu i przy incydencie jesteśmy po Twojej stronie: pomagamy przygotować odpowiedzi, dokumenty i zgłoszenie do CSIRT.

Analizę, polityki i szkolenie online prowadzimy zdalnie w całej Polsce. Przegląd techniczny na miejscu i szkolenie w firmie robimy w województwie śląskim. Obsługujemy stale 236 firm.

Zanim organ zapyta o system zarządzania bezpieczeństwem, sprawdź swoją firmę

Który krok robisz najpierw: sprawdzenie, czy i jako kto podlegasz, czy od razu audyt? Kiedy kontrahent przyśle ankietę bezpieczeństwa dostawcy, będziesz mieć gotowe odpowiedzi. Zadzwoń pod 531 770 411 albo napisz przez formularz, a powiemy, czego jeszcze brakuje Twojej firmie do wymagań ustawy.