NIS2 dotyczy firm z określonych sektorów, które są średnie albo duże, oraz kilku rodzajów firm bez względu na wielkość. Mała firma co do zasady nie jest objęta wprost, ale często dostaje wymagania od klienta, który podlega ustawie. Na tej stronie sprawdzisz, czy i jako kto podlegasz. Analizę statusu Twojej firmy wyceniamy po rozmowie.
W skrócie
Ustawa o krajowym systemie cyberbezpieczeństwa w art. 5 dzieli objęte firmy na dwie grupy:
Jeśli firma spełnia warunki obu grup, jest podmiotem kluczowym (art. 5 ust. 4). Od grupy zależy m.in. obowiązek regularnego audytu i wysokość kar.
Ustawa odsyła do załącznika I rozporządzenia Komisji (UE) nr 651/2014 (tekst rozporządzenia):
Status ocenia się według stanu na dzień sporządzenia sprawozdania finansowego (art. 5 ust. 5). Do progów co do zasady wlicza się firmy powiązane i partnerskie. Jeśli jednak firma przekracza progi tylko dzięki nim, a jej systemy informacyjne są od nich niezależne, nie jest z tego powodu podmiotem kluczowym ani ważnym (art. 5 ust. 6 i 7).
| Załącznik nr 1 (sektory kluczowe) | Przykładowe podsektory |
|---|---|
| Energia | wydobywanie kopalin, energia elektryczna, ciepło, ropa i paliwa, gaz, energetyka jądrowa, wodór |
| Transport | lotniczy, kolejowy, wodny, drogowy |
| Bankowość i infrastruktura rynków finansowych | banki, SKOK, rynki regulowane |
| Ochrona zdrowia | podmioty lecznicze, produkcja i dystrybucja leków i wyrobów medycznych, apteki |
| Zaopatrzenie w wodę pitną i jej dystrybucja | wodociągi |
| Zbiorowe odprowadzanie ścieków | kanalizacja, oczyszczalnie |
| Infrastruktura cyfrowa | chmura, centra danych, DNS, rejestracja domen, usługi zaufania, komunikacja elektroniczna |
| Zarządzanie usługami ICT | dostawcy usług zarządzanych, także w zakresie cyberbezpieczeństwa |
| Przestrzeń kosmiczna | infrastruktura naziemna |
| Podmioty publiczne | m.in. starostwa, urzędy gmin od 50 etatów |
| Załącznik nr 2 (sektory ważne) | Przykładowe podsektory |
|---|---|
| Usługi pocztowe | operatorzy pocztowi |
| Inwestycje energetyki jądrowej | inwestorzy z decyzją zasadniczą |
| Gospodarowanie odpadami | zbieranie, transport, przetwarzanie, pośrednictwo, gdy to podstawowa działalność |
| Produkcja, wytwarzanie i dystrybucja chemikaliów | substancje i mieszaniny (REACH) |
| Produkcja, przetwarzanie i dystrybucja żywności | hurt oraz produkcja i przetwarzanie przemysłowe |
| Produkcja | wyroby medyczne, komputery i elektronika, urządzenia elektryczne, maszyny, pojazdy i naczepy, pozostały sprzęt transportowy |
| Dostawcy usług cyfrowych | platformy handlowe, wyszukiwarki, serwisy społecznościowe |
| Badania naukowe | organizacje badawcze |
| Podmioty publiczne | samorządowe jednostki i spółki komunalne |
Pełna lista rodzajów podmiotów: załączniki nr 1 i 2 do ustawy o KSC (Dz.U. 2026 poz. 252 (stan na październik 2026)).
Organ może też decyzją uznać za podmiot kluczowy albo ważny mniejszą firmę z sektora z załączników, np. gdy jako jedyna świadczy usługę kluczową dla życia gospodarczego albo jej usługa ma istotne znaczenie w województwie (art. 7l).
To najczęstsza sytuacja w małych firmach. Podmiot kluczowy i ważny musi zadbać o bezpieczeństwo łańcucha dostaw produktów i usług ICT (art. 8 ust. 1 pkt 2 lit. e). Twoja firma nie podlega wtedy ustawie, ale klient przenosi wymagania na Ciebie: w umowie, w ankiecie bezpieczeństwa dostawcy, w żądaniu raportu. Kiedy kontrahent przyśle taką ankietę, dobrze mieć już odpowiedzi o kopiach zapasowych, dostępach i obsłudze incydentów.
Ustawa jest uchwalona i obowiązuje od 3 kwietnia 2026 r. Termin na wniosek o wpis do wykazu dla firm objętych od pierwszego dnia minął 3 października 2026 r. Kto go przegapił, składa wniosek teraz (art. 73 ust. 1a: organ może za to nałożyć karę, a art. 35 odsuwa większość kar do 3 kwietnia 2028 r.). Na pierwszy rzut oka status sprawdzisz w ankiecie samooceny na biznes.gov.pl.
Ankieta daje kierunek, ale nie widzi Twoich spółek powiązanych, PKD ani umów z klientami. Przejdziemy to z Tobą zdalnie i powiesz zarządowi, czy firma jest kluczowa, ważna, czy jest tylko dostawcą. My audytujemy i pomagamy wdrożyć wszystko, a przy kontroli organu i przy incydencie jesteśmy po Twojej stronie. Zadzwoń pod 531 770 411 albo napisz przez formularz.
Analizę, czy i jako kto Twoja firma podlega ustawie o KSC, robimy zdalnie w całej Polsce. Cenę podajemy po krótkiej rozmowie, przed zamówieniem. Gdy wniosek o wpis jest spóźniony, pomagamy go przygotować. Zobacz cennik.
Stan prawny: październik 2026.
Sprawdź dwa warunki: czy Twoja działalność jest w załączniku nr 1 albo nr 2 do ustawy o KSC i czy firma jest co najmniej średnia według rozporządzenia 651/2014. Potem sprawdź wyjątki niezależne od wielkości. Pierwszy test daje ankieta samooceny na biznes.gov.pl.
Co do zasady mikro i małe firmy oraz firmy spoza sektorów z załączników. Wyjątki to m.in. rejestratorzy domen, dostawcy DNS i małe firmy świadczące usługi zarządzane w zakresie cyberbezpieczeństwa.
Dyrektywa wiąże państwa, a firmy wiąże polska ustawa o KSC. Dla podmiotów kluczowych i ważnych obowiązki wynikają z ustawy od 3 kwietnia 2026 r., z 12 miesiącami na dostosowanie, do 3 kwietnia 2027 r.
Sektor działalności (załączniki nr 1 i 2), wielkość firmy (pracownicy, obrót, suma bilansowa) i rodzaj usługi. Niektóre usługi, np. DNS czy rejestracja domen, wystarczą same, bez progu wielkości.
Jeśli nie jesteś w wyjątkach, ustawa nie nakłada na Ciebie obowiązków wprost. Warto jednak przygotować podstawy: kopie zapasowe, uwierzytelnianie wieloskładnikowe, listę dostępów. O to zapyta klient objęty NIS2, zanim podpisze lub przedłuży umowę.
wycena po rozmowie
wycena po rozmowie
wycena po rozmowie
wycena po rozmowie
Opisz krótko, czym się zajmujesz. Odpowiemy, co przygotujemy i ile to kosztuje.
My audytujemy i pomagamy wdrożyć wszystko. W razie kontroli jesteśmy po Twojej stronie. Zadzwoń albo napisz - powiemy, od czego zacząć w Twojej firmie.
