NIS2 w Polsce: kogo naprawdę dotyczy nowa ustawa o KSC i jak przygotować firmę

Piętnastoosobowa firma IT pod Warszawą. Obsługuje kilkunastu klientów, w tym dwóch sporych: szpital powiatowy i regionalnego dystrybutora energii. W czwartek po południu do właściciela trafia mail od działu zakupów szpitala: „Prosimy o wypełnienie ankiety zgodności z ustawą o KSC oraz przesłanie oświadczenia dotyczącego NIS2 w terminie 14 dni”. Właściciel otwiera ustawę pierwszy raz w życiu, przewija do definicji i zatrzymuje się na jednym zdaniu. Okazuje się, że jako dostawca usług zarządzanych w obszarze cyberbezpieczeństwa jego firma podlega przepisom już od progu małego przedsiębiorcy, a nie średniego, jak większość rynku, którą do tej pory „to nie dotyczyło”. Termin na rejestrację: 3 października 2026 roku.

To nie jest wyjątkowa historia. To codzienność setek polskich firm od kwietnia 2026 roku. Poniżej tłumaczymy, czym jest NIS2, jak działa w Polsce przez ustawę o KSC, kogo obejmuje, jakie nakłada obowiązki i od czego zacząć, żeby nie obudzić się z karą i osobistą odpowiedzialnością zarządu.

Czym jest NIS2? Dyrektywa w trzech zdaniach

NIS2 to unijna dyrektywa (2022/2555) w sprawie wspólnego, wysokiego poziomu cyberbezpieczeństwa na terenie całej Unii Europejskiej. Jej celem jest podniesienie odporności firm i instytucji na cyberataki poprzez nałożenie konkretnych obowiązków w zakresie zarządzania ryzykiem, zgłaszania incydentów i bezpieczeństwa łańcucha dostaw. Jako dyrektywa NIS2 nie obowiązuje bezpośrednio; każde państwo członkowskie musi ją przenieść do własnego prawa, i to właśnie zrobiła Polska nowelizacją ustawy o krajowym systemie cyberbezpieczeństwa.

W praktyce NIS2 to następca starszej dyrektywy NIS z 2016 roku, która w Polsce obejmowała relatywnie wąską grupę operatorów usług kluczowych, głównie z energetyki, transportu i bankowości, w sumie około 400 podmiotów. Nowe przepisy rozciągają obowiązki na dziesiątki tysięcy organizacji w kilkunastu sektorach gospodarki. Zmienił się też ciężar odpowiedzialności: cyberbezpieczeństwo przestaje być wyłącznie sprawą działu IT, a staje się obowiązkiem zarządu.

NIS2 a ustawa o KSC: jak dyrektywa działa w Polsce

Polska nie napisała nowej ustawy od zera. Zamiast tego znowelizowała istniejącą ustawę z 5 lipca 2018 roku o krajowym systemie cyberbezpieczeństwa (KSC). Nowelizacja, czyli ustawa z dnia 23 stycznia 2026 roku, została opublikowana w Dzienniku Ustaw 2 marca 2026 roku i po miesięcznym vacatio legis weszła w życie.

Warto zapamiętać, że w polskim systemie współistnieją teraz trzy powiązane akty: sama dyrektywa NIS2 (poziom unijny), znowelizowana ustawa o KSC (polskie prawo z konkretnymi obowiązkami) oraz rozporządzenia wykonawcze doprecyzowujące wymagania techniczne. To ustawa o KSC, nie dyrektywa, jest dokumentem, według którego rozliczana będzie Twoja firma.

Od kiedy przepisy obowiązują w Polsce

Dniem zero jest 3 kwietnia 2026 roku. Od tej daty biegną wszystkie terminy i od tej daty obowiązki są prawnie wiążące. Nie ma tu żadnego „przygotujemy się, jak przepisy wejdą”; one już weszły.

Harmonogram, czyli trzy daty, które musisz znać

• 3 października 2026 r. to ostateczny termin na złożenie wniosku o wpis do wykazu podmiotów. Masz sześciomiesięczne okno na to, żeby ocenić, czy podlegasz przepisom, i dopełnić formalności rejestracyjnych.
• 3 kwietnia 2027 r. to termin na pełne dostosowanie systemów, procedur i struktury organizacyjnej do wymagań ustawy: zarządzanie ryzykiem, zabezpieczenia techniczne, ciągłość działania.
• 3 kwietnia 2028 r. to pierwszy obowiązkowy audyt cyberbezpieczeństwa dla podmiotów kluczowych. Kolejne audyty muszą się odbywać nie rzadziej niż co trzy lata.

Innymi słowy: do października masz się zarejestrować, przez pierwszy rok wdrożyć obowiązki, a od 2028 roku liczy się dowodzenie zgodności podczas audytu.

Kogo dotyczy NIS2? Podmioty kluczowe i ważne

Najważniejsza rzecz, którą musisz zrozumieć na starcie: żadnego pisma z urzędu nie dostaniesz. To Ty musisz samodzielnie ocenić, czy Twoja organizacja podlega ustawie, i sam zgłosić się do wykazu. Bierność nie jest neutralna. Jeśli podlegasz, a się nie zarejestrujesz, jesteś po prostu firmą, która złamała przepisy.

Skala jest ogromna. Nowe regulacje obejmują około 42 000 polskich podmiotów w 18 sektorach: od energetyki, transportu, bankowości i ochrony zdrowia, przez infrastrukturę cyfrową i administrację publiczną, aż po nowo dodane obszary, takie jak gospodarka wodno-ściekowa, usługi pocztowe, przestrzeń kosmiczna oraz produkcja i dystrybucja chemikaliów i żywności.

Ustawa dzieli objęte organizacje na dwie grupy:

• Podmioty kluczowe to z reguły duże organizacje (powyżej 250 pracowników albo obrót powyżej 50 mln EUR) z sektorów o krytycznym znaczeniu dla państwa i gospodarki. Podlegają najostrzejszemu reżimowi, w tym cyklicznym audytom.
• Podmioty ważne to organizacje o mniejszej skali, które mimo to muszą spełniać obowiązki: zgłaszać incydenty i stosować podstawowe procedury ochrony systemów.

MSSP i firmy IT: próg dużo niższy, niż myślisz

Tu jest haczyk, który dotyka wielu firm technologicznych. Dostawca usług zarządzanych w zakresie cyberbezpieczeństwa (tzw. MSSP) podlega ustawie już od progu małego przedsiębiorcy, czyli od około 10 zatrudnionych i 2 mln EUR obrotu. To około pięciokrotnie niższy próg niż ogólna zasada NIS2, która startuje od średniego przedsiębiorcy (ok. 50 osób, 10 mln EUR).

Oznacza to, że mała firma świadcząca usługi bezpieczeństwa IT, która była przekonana, że „przepisy dla dużych” jej nie dotyczą, może być objęta ustawą na równi z korporacją. Jeśli prowadzisz lub obsługujesz taki podmiot, ta analiza to pierwsza rzecz do zrobienia, nie ostatnia.

„Mam małą firmę, więc mnie to nie dotyczy”: dlaczego to błąd

Nawet jeśli formalnie nie jesteś podmiotem kluczowym ani ważnym, NIS2 i tak potrafi Cię dosięgnąć przez łańcuch dostaw. Podmioty objęte ustawą mają obowiązek zarządzać bezpieczeństwem swoich dostawców. W praktyce znaczy to, że Twoi duzi klienci zaczną wymagać od Ciebie oświadczeń, ankiet bezpieczeństwa, konkretnych zabezpieczeń i klauzul w umowach. Nie dlatego, że urząd Cię o to poprosił, tylko dlatego, że Twój klient musi udowodnić własną zgodność.

To dokładnie ten sam mechanizm, który obserwujemy przy rozporządzeniu DORA w sektorze finansowym: obowiązek formalnie ciąży na instytucji, ale realnie spływa na każdego dostawcę IT, hosting i software house, który ją obsługuje.

Checklista samooceny: pięć pytań

Zanim uznasz, że temat Cię omija, odpowiedz sobie na pięć pytań:

1. Czy działam w jednym z 18 sektorów objętych ustawą (energetyka, transport, zdrowie, infrastruktura cyfrowa, produkcja żywności, chemikaliów, usługi pocztowe itd.)?
2. Czy przekraczam próg średniego przedsiębiorcy (ok. 50 osób lub 10 mln EUR obrotu), albo, jeśli świadczę usługi zarządzane w cyberbezpieczeństwie, próg małego przedsiębiorcy?
3. Czy świadczę usługi na rzecz podmiotów kluczowych lub ważnych jako podwykonawca?
4. Czy moi więksi klienci zaczęli przysyłać mi ankiety bezpieczeństwa lub pytania o zgodność z NIS2?
5. Czy przetwarzam dane lub obsługuję systemy, których awaria zakłóciłaby działanie istotnej usługi?

Jeśli na którekolwiek z tych pytań odpowiedziałeś „tak”, potrzebujesz świadomej analizy zgodności, a nie założenia, że jakoś to będzie.

Wymagania NIS2 w praktyce: co trzeba wdrożyć

Ustawa nie wręcza gotowej listy zakupów. Nakłada obowiązki, które trzeba przełożyć na konkretne działania w firmie. Najważniejsze z nich to:

• Zarządzanie ryzykiem, czyli regularna analiza zagrożeń i wdrażanie zabezpieczeń adekwatnych do skali ryzyka. Ustawa nie każe wydawać fortuny na rozwiązania, których nie potrzebujesz; każe wydawać rozsądnie i umieć to uzasadnić.
• Zgłaszanie incydentów, czyli obowiązek raportowania w rygorystycznych terminach: wczesne ostrzeżenie w ciągu 24 godzin, pełne zgłoszenie w ciągu 72 godzin, raport końcowy w ciągu miesiąca. To wymaga wcześniej ustawionego procesu, a nie improwizacji w dniu ataku.
• Ciągłość działania, czyli plany na wypadek awarii, kopie zapasowe i zdolność do odtworzenia kluczowych procesów. Backup, który nie był nigdy testowany, nie jest ciągłością działania.
• Bezpieczeństwo łańcucha dostaw, czyli bieżąca ocena dostawców, a nie jednorazowa ankieta raz do roku.
• Szkolenia i świadomość, czyli regularne podnoszenie kompetencji zespołu, w tym kierownictwa.
• Odpowiedzialność zarządu: to zarząd zatwierdza środki bezpieczeństwa i odpowiada za ich wdrożenie.

Polskie dodatki, których nie ma w dyrektywie

Polski ustawodawca skorzystał z marginesu swobody i dołożył kilka wymogów, których nie znajdziesz wprost w tekście dyrektywy. Warto je znać, bo zaskakują firmy przygotowujące się wyłącznie „pod NIS2″:

• formalny rejestr, w którym oświadczenia składa się pod rygorem odpowiedzialności karnej,
• obowiązek corocznych szkoleń kierownictwa, wraz z dokumentacją potwierdzającą ich przeprowadzenie,
• weryfikacja niekaralności kluczowych pracowników,
• mechanizm Dostawcy Wysokiego Ryzyka (o którym za chwilę osobno),
• „polecenie zabezpieczające”, czyli narzędzie, które w razie incydentu krytycznego pozwala ministrowi nakazać określone działania.

Dostawca Wysokiego Ryzyka: dlaczego branża IT bije na alarm

Najbardziej kontrowersyjny element całej ustawy to mechanizm Dostawcy Wysokiego Ryzyka (DWR). Daje on ministrowi właściwemu do spraw informatyzacji prawo do uznania konkretnego dostawcy sprzętu lub oprogramowania za zagrożenie dla podstawowego interesu bezpieczeństwa państwa.

Skutki takiej decyzji są poważne: bezwzględny zakaz kupowania nowych rozwiązań od takiego producenta oraz obowiązek wycofania już posiadanych urządzeń z infrastruktury podmiotów kluczowych i ważnych, w horyzoncie kilku lat. Dla firm telekomunikacyjnych organizacje branżowe szacowały koszt takiej wymiany na miliardy złotych łącznie, a dla pojedynczej małej firmy nawet na kwotę zbliżoną do miliona złotych w ciągu kilku lat.

Ten fragment ustawy budzi największe emocje. Prezydent Karol Nawrocki podpisał nowelizację 19 lutego 2026 roku, ale jednocześnie skierował przepisy o DWR do Trybunału Konstytucyjnego w trybie kontroli następczej. Zastrzeżenia dotyczą między innymi braku odszkodowań za przymusową wymianę sprzętu oraz ograniczenia prawa do sądu: skargę na decyzję o uznaniu za DWR sąd administracyjny rozpoznaje na posiedzeniu niejawnym, a skarżący nie ma dostępu do pełnego uzasadnienia wyroku.

Kluczowe dla firm jest jednak to, że kontrola następcza nie wstrzymuje obowiązywania ustawy. Sprawa czeka na rozpoznanie przez Trybunał, a do tego czasu przepisy obowiązują w całości. W praktyce oznacza to, że zarządzanie łańcuchem dostaw trzeba prowadzić na bieżąco: wiedzieć, jaki sprzęt i oprogramowanie masz w infrastrukturze, od kogo pochodzi i jak szybko byłbyś w stanie je wymienić, gdyby zaszła taka potrzeba. Nawet jeśli część przepisów zostanie w przyszłości uchylona, sama zdolność do panowania nad łańcuchem dostaw pozostaje wartością.

Kary i odpowiedzialność zarządu

Ustawa ma zęby. Wysokość sankcji zależy od kategorii podmiotu:

• Podmioty kluczowe: kary do 10 mln EUR lub 2% całkowitego rocznego światowego obrotu, w zależności od tego, która kwota jest wyższa.
• Podmioty ważne: kary do 7 mln EUR lub 1,4% obrotu.

Najbardziej dotkliwa jest jednak osobista odpowiedzialność. Członkowie kierownictwa mogą odpowiadać osobiście karą do 300% swojego wynagrodzenia. Kary grożą między innymi za brak wdrożenia środków bezpieczeństwa, brak wymaganego audytu, nieprawidłowe raportowanie incydentów i niedopełnienie obowiązków wobec dostawców. To celowa zmiana filozofii: cyberbezpieczeństwo ma przestać być czymś, co zarząd „deleguje do informatyka”, a stać się elementem osobistej odpowiedzialności menedżerskiej.

Od czego zacząć? Plan przygotowania w pięciu krokach

Terminy już biegną, a najgorszą strategią jest czekanie na wyrok Trybunału albo na to, aż klient przyśle ankietę. Oto uporządkowana ścieżka.

Krok 1. Audyt luki (gap analysis). Zacznij od ustalenia dwóch rzeczy: czy w ogóle podlegasz ustawie i, jeśli tak, jak duży dystans dzieli Cię od zgodności. Rzetelny audyt bezpieczeństwa pokazuje, co już masz, czego brakuje i które braki są krytyczne. To fundament, bez którego reszta kroków jest zgadywaniem.

Krok 2. Rejestracja. Jeśli analiza potwierdza, że jesteś podmiotem kluczowym lub ważnym, złóż wniosek o wpis do wykazu prowadzonego przez Ministerstwo Cyfryzacji. Termin: 3 października 2026 roku.

Krok 3. Polityki i procedury. Opracuj lub zaktualizuj dokumentację: politykę zarządzania ryzykiem, procedurę zgłaszania incydentów pod terminy 24/72 godziny, plan ciągłości działania. Dokumenty muszą odpowiadać realnym procesom, a nie leżeć w segregatorze na pokaz.

Krok 4. Umowy z dostawcami. Przejrzyj łańcuch dostaw. Zinwentaryzuj, z czyjego sprzętu i oprogramowania korzystasz, i wprowadź do umów klauzule bezpieczeństwa oraz mechanizm bieżącej oceny dostawców.

Krok 5. Szkolenia i dowody. Przeszkol zespół oraz, co równie ważne, kierownictwo, z zachowaniem dokumentacji potwierdzającej. Od 2028 roku będziesz musiał umieć wykazać zgodność podczas audytu, a dowody buduje się od pierwszego dnia, nie tydzień przed kontrolą.

Jeśli w firmie nie ma zasobów, żeby przeprowadzić ten proces samodzielnie, to naturalny moment na wsparcie z zewnątrz. Audyt bezpieczeństwa IT i outsourcing obsługi informatycznej pozwalają zdjąć z zarządu ciężar samodzielnej interpretacji przepisów i zbudować zgodność w oparciu o realne doświadczenie, a nie o czytanie ustawy po nocach.

NIS2 to nie kolejny papierek do odhaczenia, tylko trwała zmiana w tym, jak polskie firmy mają traktować cyberbezpieczeństwo: jako obowiązek zarządu, a nie zadanie „na kiedyś” dla działu IT. Terminy już biegną, a pierwszy krok jest zawsze ten sam: ustalić, czy podlegasz, i zmierzyć dystans do zgodności. Jeśli chcesz to zrobić spokojnie i z głową, porozmawiajmy o audycie bezpieczeństwa IT.

Zobacz też: NIS2 w instytucjach kultury | Rozporządzenie DORA