Większość firm, które pytają nas o NIS 2, nie wie, czy w ogóle podlega dyrektywie, i to jest właściwe pierwsze pytanie, bo od odpowiedzi zależy wszystko dalej. Ten tekst rozstrzyga je na dwa sposoby: przez sektor i wielkość, a potem przez umowę od odbiorcy, która dosięga firmy znacznie mniejsze.
NIS 2 obejmuje firmy z wymienionych sektorów, które przekroczyły próg średniego przedsiębiorstwa. Mniejsze podmioty dostają te same wymagania inną drogą: przez umowę od odbiorcy, który sam podlega. Część techniczną da się zrobić bez dużego budżetu, część prawna wymaga rozstrzygnięcia na piśmie, a tego nie wystawi firma informatyczna.
Nie znajdziecie tu opinii prawnej ani gotowej deklaracji zgodności, bo żadnej z tych rzeczy nie wolno nam wystawić. Znajdziecie odpowiedź na pytanie, od którego zależy wszystko dalej: czy dyrektywa w ogóle Was obejmuje. Rozstrzygamy je dwa razy, przez sektor i wielkość, a potem przez umowę od odbiorcy, która sięga znacznie niżej.
NIS 2 to unijna dyrektywa o bezpieczeństwie sieci i systemów informatycznych, która zastąpiła wcześniejszą dyrektywę NIS. Nie jest to norma techniczna ani lista produktów do kupienia: to zestaw wymagań organizacyjnych i technicznych nałożonych na firmy z wyznaczonych sektorów, razem z obowiązkiem zgłaszania poważnych incydentów i z odpowiedzialnością po stronie kierownictwa.
Jedna rzecz decyduje o tym, jak czytać wszystkie daty, które usłyszycie w tej sprawie. Dyrektywa jest poleceniem wydanym państwom, a nie firmom. Bruksela mówi rządowi: macie do tej daty napisać u siebie ustawę o takiej treści. Rząd pisze, Sejm uchwala i dopiero ta ustawa jest rachunkiem wystawionym Wam. Dlatego w obiegu krążą dwie różne daty i obie bywają prawdziwe: jedna to termin, w którym państwo miało zdążyć, druga to dzień, od którego coś obowiązuje Waszą firmę. Do harmonogramu prac bierzecie wyłącznie tę drugą.
W Polsce tym rachunkiem jest ustawa o krajowym systemie cyberbezpieczeństwa w brzmieniu nadanym nowelizacją z 23 stycznia 2026 roku, ogłoszoną 2 marca 2026 roku w Dzienniku Ustaw pod pozycją 252 i obowiązującą od 3 kwietnia 2026 roku. To jest akt, którego treść jest dla Was wiążąca, i to w nim, a nie w dyrektywie, sprawdza się każdy termin.
Ustawa nie każe zrobić wszystkiego na raz i to jest najważniejsza praktyczna informacja w całym tekście. Obowiązki wchodzą schodkami, liczonymi od dnia jej wejścia w życie:
Ostatni punkt bywa czytany jako „mamy czas do 2028” i jest to odczytanie kosztowne. Odroczona jest sankcja, a nie obowiązek. Firma, która nie zdąży z wpisem do wykazu jesienią 2026 roku, nie dostanie za to od razu kary, ale wejdzie w kolejne terminy jako podmiot, którego w systemie nie ma, i pierwsze pytanie przy kontroli będzie dotyczyło właśnie tego.
Zakres liczy się z dwóch rzeczy naraz i obie muszą być spełnione. Pierwsza to sektor, w którym działacie. Druga to wielkość firmy.
Te dwie rzeczy odpowiadają na dwa różne pytania i mylenie ich jest najczęstszym błędem w streszczeniach krążących po sieci. Sektor rozstrzyga, czy w ogóle podlegacie. Wielkość rozstrzyga, do której z dwóch kategorii traficie. Załącznik nie jest zatem etykietą „kluczowy” albo „ważny”, tylko spisem branż.
Sektory są wymienione w dwóch załącznikach. Pierwszy zbiera branże uznane za najbardziej krytyczne, drugi pozostałe objęte przepisami.
Załącznik | Co zawiera | Sektory (skrótowo) |
|---|---|---|
1 | branże o najwyższej krytyczności | energetyka, transport, bankowość, infrastruktura rynków finansowych, ochrona zdrowia, woda pitna, ścieki, infrastruktura cyfrowa, zarządzanie usługami ICT, administracja publiczna, przestrzeń kosmiczna |
2 | pozostałe branże objęte przepisami | usługi pocztowe i kurierskie, gospodarowanie odpadami, produkcja i dystrybucja chemikaliów, produkcja i dystrybucja żywności, produkcja wyrobów medycznych, elektroniki, maszyn i pojazdów, dostawcy usług cyfrowych, badania naukowe |
Mogę Ci jakoś pomóc?
Dopiero na to nakłada się wielkość i dopiero z obu razem wychodzi kategoria. Zasada, w uproszczeniu, wygląda tak: duża firma z załącznika 1 jest podmiotem kluczowym, a średnia firma z załącznika 1 oraz firmy z załącznika 2 są podmiotami ważnymi. Wynika z tego rzecz, która zaskakuje najczęściej: średniej wielkości zakład z branży z pierwszego załącznika nie jest podmiotem kluczowym, mimo że jego branża stoi na liście najbardziej krytycznych.
Różnica między kategoriami nie dotyczy tego, czy trzeba coś robić, bo obowiązki techniczne są wspólne. Dotyczy nadzoru i sankcji. Podmiot kluczowy jest sprawdzany z urzędu, czyli organ nie potrzebuje powodu. Podmiot ważny jest sprawdzany wtedy, gdy pojawi się sygnał, że coś jest nie tak. Mówiąc obrazowo: jedni mają kontrolę okresową jak w przychodni, drudzy wizytę, gdy ktoś zgłosi objawy.
Poniżej progu firma zwykle nie podlega, chyba że przepis wskazuje jej rodzaj działalności osobno.
Najczęstsza reakcja, jaką słyszymy przy tej rozmowie, brzmi: to nie o nas, my tylko robimy opakowania. Warto jednak przeczytać załącznik II uważnie, bo obejmuje produkcję i dystrybucję jako takie, nie wyłącznie infrastrukturę o znaczeniu krajowym. Rozstrzygnięcie zapada na piśmie i jest pierwszą rzeczą, jakiej potrzebujecie, zanim ktokolwiek zacznie liczyć budżet.
Zakres i sposób prowadzenia takiego projektu opisujemy przy zgodności z NIS 2 .
To jest mechanizm, który w praktyce dotyka najwięcej małych firm, a w tekstach o dyrektywie prawie nie występuje, bo formalnie nie jest obowiązkiem tych firm.
Działa tak. Wasz odbiorca podlega NIS 2. Jednym z jego wymagań jest ocena bezpieczeństwa łańcucha dostaw, czyli podmiotów, które mają dostęp do jego systemów, danych albo procesów. Nie ma innego sposobu, żeby to wymaganie spełnić, niż zapytać dostawców i wpisać coś do umów. Więc pyta i wpisuje.
Od tej strony wygląda to znajomo, jeśli kiedykolwiek dostaliście aneks do warunków dostaw z załączoną ankietą o zabezpieczeniach. Pytania są krótkie, odpowiedzi wymagają dowodu, a termin odesłania bywa krótszy niż czas potrzebny na naprawienie czegokolwiek. Formalnie nie podlegacie przepisom. Praktycznie odpowiadacie na te same pytania, tylko przed kontrahentem, a nie przed organem nadzoru, i konsekwencją nie jest kara, tylko utrata kontraktu.
Najwięcej kłopotu sprawia rejestrowanie zdarzeń, bo odpowiedź brzmi zwykle „chyba tak”, a przy pytaniu o zdarzenie sprzed miesiąca okazuje się, że rejestr trzyma dane przez kilka dni.
Dobra wiadomość jest taka, że praca wykonana pod ankietę odbiorcy nie idzie w próżnię. To ten sam materiał, którego potrzebowalibyście, gdyby okazało się, że podlegacie wprost, i ten sam, który zamyka audyt bezpieczeństwa IT .
Dyrektywa wymienia grupy środków zarządzania ryzykiem. Nie narzuca produktów ani dostawców, wymaga za to, żeby środki były adekwatne do ryzyka, wdrożone i udokumentowane. Ostatnie słowo jest tu najważniejsze.
Środek, którego nie da się pokazać, przy kontroli nie istnieje.
Obszar | Co to znaczy w praktyce | Czym to zamykamy |
|---|---|---|
Analiza ryzyka i polityki | spisane ryzyka z właścicielem, terminem i decyzją | warsztat plus dokument, przeglądany cyklicznie |
Obsługa incydentów | procedura z nazwiskami i numerami, rejestr zgłoszeń | ścieżka zgłoszenia i ćwiczenie na sucho |
Ciągłość działania i kopie | ustalone RTO i RPO, kopie odporne na skasowanie | kopie niemodyfikowalne i udokumentowany test odtworzenia |
Łańcuch dostaw | wymagania wobec dostawców i zapisy w umowach | przegląd dostępów firm zewnętrznych do Waszej sieci |
Utrzymanie systemów | zarządzanie podatnościami i zmianą | harmonogram aktualizacji zamiast łatania po awarii |
Kontrola dostępu i konta | nadawanie i odbieranie uprawnień, konta imienne | porządek w kontach po byłych pracownikach |
Uwierzytelnianie | drugi składnik na wszystkim, co wystawione na zewnątrz | MFA na poczcie, VPN i panelach administracyjnych |
Kryptografia | szyfrowanie nośników i transmisji | szyfrowanie dysków laptopów i certyfikaty na usługach |
Rejestrowanie zdarzeń | zapis, który przeżyje pytanie sprzed miesiąca | zbiórka logów z ustalonym okresem przechowywania |
Szkolenia i higiena cyfrowa | cykliczne szkolenia całej firmy, nie tylko IT | kampanie testowe i szkolenie kierownictwa |
Mogę Ci jakoś pomóc?
Żadna pozycja z tej tabeli nie jest wymysłem dyrektywy. Wszystkie były potrzebne wcześniej, tylko nikt nie żądał dowodu. Dlatego firma, która ma porządnie zrobioną warstwę techniczną, wchodzi w ten projekt od dokumentowania tego, co już działa, a nie od kupowania czegokolwiek.
Trzy z tych obszarów opisaliśmy osobno, bo najczęściej wracają w rozmowach: uwierzytelnianie wieloskładnikowe , segmentacja sieci oraz monitoring infrastruktury . Kopie odporne na skasowanie to osobny temat, do którego wraca wpis o taśmach LTO .
Obowiązek zgłoszenia jest tą częścią przepisów, która najszybciej robi różnicę, bo działa pod zegar i nie da się jej nadrobić później.
Ścieżka ma trzy etapy i to jest jej najważniejsza cecha: pierwsze zgłoszenie nie musi zawierać wyjaśnienia, co się stało. Ma być szybkie i wstępne. Pełny opis oraz przyczyna źródłowa idą w kolejnych krokach, gdy już wiadomo więcej.
Cokolwiek pokaże weryfikacja terminów, wniosek operacyjny jest ten sam i nie zależy od liczby godzin. Wąskim gardłem nigdy nie jest wysłanie formularza, tylko decyzja, że to już jest incydent podlegający zgłoszeniu, a tę decyzję podejmują ludzie, z których jeden bywa na urlopie. Dlatego procedura, którą piszemy u klienta, zaczyna się od nazwisk, numerów telefonu i zastępstw, a nie od definicji.
Ostatni krok to ćwiczenie: zgłaszamy incydent fikcyjny i mierzymy, ile zajmuje przejście całej ścieżki. To jedyny sposób, żeby sprawdzić procedurę przed dniem, w którym będzie potrzebna naprawdę.
Norma i dyrektywa mówią o tym samym z dwóch różnych powodów. ISO/IEC 27001 to norma dobrowolna, którą wdrażacie sami i możecie potwierdzić certyfikatem wydanym przez jednostkę zewnętrzną. NIS 2 to obowiązek wynikający z przepisów, którego nikt nie certyfikuje, a którego spełnienie weryfikuje organ nadzoru.
Pokrywają się w dużej części: analiza ryzyka, kontrola dostępu, kopie i ciągłość działania, obsługa incydentów, bezpieczeństwo łańcucha dostaw oraz wymaganie, żeby kierownictwo się tym zajmowało. Firma z działającym systemem zgodnym z normą wchodzi w rozmowę o dyrektywie od uzupełnień, a nie od budowy wszystkiego od zera.
Różnice, które mają znaczenie w praktyce, są trzy.
Różnica | ISO/IEC 27001 | NIS 2 |
|---|---|---|
Zakres | sami wyznaczacie granice systemu | obejmuje działalność, którą prowadzicie |
Zgłaszanie incydentów | wymaga procesu, ale terminów nie narzuca | wprowadza ścieżkę i terminy ustawowe |
Odpowiedzialność | mówi o zaangażowaniu zarządu bez części sankcyjnej | wskazuje kierownictwo wprost i wiąże z tym sankcje |
Praktyczny wniosek dla firmy, która musi spełnić jedno i rozważa drugie: zrobić jeden audyt obejmujący oba zestawy wymagań, bo to i tak jedna praca, wdrożyć system zgodny z normą, a certyfikat dołożyć dopiero wtedy, gdy zacznie go wymagać klient albo przetarg. Rozpisaliśmy to w porównaniu ISO 27001 i NIS 2 , a samą normę przy wdrożeniu ISO 27001 .
Kolejność poniżej jest ułożona według jednej zasady: najpierw to, co zmniejsza realne ryzyko i jednocześnie zamyka pozycję na liście wymagań, a przy tym nie wymaga rozstrzygnięcia prawnego ani zakupu.
Mogę Ci jakoś pomóc?
Dopiero po tych sześciu punktach ma sens rozmowa o analizie braków, dokumentacji i o tym, czego brakuje kupić. Odwrotna kolejność, czyli dokument najpierw, kończy się polityką opisującą stan, którego nie ma, a taka polityka jest przy kontroli dowodem obciążającym, nie odciążającym.
Mówimy tak częściej, niż wynikałoby to z naszego interesu, i wolimy to napisać wprost, żeby nikt nie kupił u nas projektu, którego nie potrzebuje.
Nie dotyczy Was wprost, jeżeli spełnione są naraz trzy warunki:
Wtedy pełny projekt zgodności jest wydatkiem bez podstawy, a sensowne zostaje sześć punktów z sekcji wyżej, bo one chronią firmę niezależnie od tego, co mówi przepis.
Jest też przypadek pośredni, najczęstszy ze wszystkich: nie wiadomo. Firma jest blisko progu, sektor jest dyskusyjny, a odbiorca zadał pytanie, ale nie wpisał nic do umowy. Wtedy właściwą pierwszą pracą nie jest wdrożenie, tylko rozstrzygnięcie zakresu obowiązku, na piśmie, z uzasadnieniem, do trzymania w dokumentacji.
I tu kończy się nasza rola. Kwalifikacja prawna podmiotu, wykładnia załączników, ocena odpowiedzialności członków zarządu i reprezentowanie Was przed organem nadzoru to praca kancelarii, nie firmy IT. My robimy warstwę techniczną, dokumentujemy ją tak, żeby dało się ją pokazać, i przygotowujemy odpowiedzi na pytania, które padają w ankietach i przy kontroli. Nie wydajemy opinii prawnych i nie udajemy, że możemy.
O sankcjach za niespełnienie wymagań piszemy tu jedno zdanie i celowo bez kwot: są przewidziane, różnią się dla podmiotu kluczowego i ważnego, a ich wysokość przepisuje się z aktu prawnego albo wcale.
Zwykle nie wprost. Obowiązek zaczyna się od progu średniego przedsiębiorstwa, a firma na dwadzieścia osób jest poniżej niego, chyba że przepis wskazuje jej rodzaj działalności osobno. Realnie dosięga ją co innego: wymagania w umowie od większego odbiorcy, który sam podlega i przenosi je na dostawców.
Z listy sektorów w załącznikach do dyrektywy, sprawdzonej w jej tekście, a nie w streszczeniu. Najczęstsza pomyłka to uznanie, że przepis dotyczy wyłącznie infrastruktury o znaczeniu krajowym. Katalog jest szerszy i obejmuje między innymi produkcję oraz dystrybucję, więc zwykły zakład też bywa w zakresie.
Nie zawsze, ale skutek jest ten sam. Odbiorca objęty dyrektywą musi ocenić bezpieczeństwo swoich dostawców, więc przenosi pytania i klauzule na Was. Formalnie nie podlegacie przepisom, praktycznie odpowiadacie na te same pytania, tylko przed kontrahentem, a nie przed organem nadzoru. Termin na odpowiedź bywa krótszy niż czas na jakąkolwiek naprawę.
Nie zwalnia, ale skraca drogę. Norma pokrywa dużą część środków organizacyjnych i technicznych oraz dostarcza gotowych dowodów, których i tak trzeba by szukać. Obowiązki wynikające z przepisów, w tym zgłaszanie incydentów w wyznaczonych terminach, zostają niezależnie od tego, czy macie certyfikat. Certyfikat jest decyzją handlową, nie warunkiem zgodności.
Zależy od punktu wyjścia, bo płacicie za różnicę między stanem faktycznym a wymaganiami, a nie za sam dokument. Kwota za analizę braków stoi na stronie usługi i liczy się z konfiguracji, więc nie przepisujemy jej tutaj. Wdrożenie wycenia się dopiero po raporcie, gdy wiadomo, czego brakuje.
Kierownictwo, i to jest zmiana, przez którą projekt wraca ze stołu informatyka na stół zarządu. Dział IT wdraża środki i obsługuje incydenty, ale decyzja o tym, czy firma podlega, oraz zatwierdzenie działań należą do osób zarządzających. Zakres ich odpowiedzialności rozstrzyga prawnik, nie dostawca IT.
Od rzeczy, które i tak są potrzebne i nie wymagają rozstrzygnięcia prawnego: uwierzytelnianie wieloskładnikowe, kopia zapasowa z przetestowanym odtworzeniem, porządek w kontach po byłych pracownikach i spisana ścieżka zgłoszenia incydentu z nazwiskami. To pierwsze cztery pozycje na każdej naszej liście, niezależnie od tego, czy podlegacie.
Jeżeli nie wiecie, czy podlegacie, to jest dokładnie ta sytuacja, w której warto zapytać, zanim ktokolwiek zacznie liczyć budżet. Rozstrzygnięcie zakresu jest tanie, a projekt zbudowany na złym założeniu nie jest.
Umówcie 30 minut rozmowy o zakresie obowiązku i powiedzcie nam trzy rzeczy: czym firma się zajmuje, ile osób zatrudnia i czy któryś odbiorca przysłał już pytania o zabezpieczenia. Trzecia odpowiedź zwykle rozstrzyga najwięcej.
Pozostałe prace z tego obszaru zebraliśmy w usługach cyberbezpieczeństwa .
Mogę Ci jakoś pomóc?
Zestaw zmienia się codziennie, więc przy kolejnej wizycie zobaczysz inny wycinek bloga.
Ceny licencji i chmury producent publikuje, ceny pracy wdrożeniowej w Polsce nie. Z tekstu dowiesz się, ile kosztuje gotowy asystent na użytkownika, ile agent rozliczany kredytami i tokenami, jakie koszty ukrywa potok danych oraz jakie wsparcie publiczne czeka na firmę w Polsce.
Czytaj artykułNiezależnego cennika obsługi informatycznej w Polsce nie ma: stawki publikują głównie firmy, które tę usługę sprzedają. Da się za to policzyć składniki rachunku, czyli etat informatyka według GUS, dopłaty za Windows 10 według Microsoftu i obowiązki z ustawy o cyberbezpieczeństwie.
Czytaj artykułKoszty oprogramowania do zdalnego pulpitu to jedna z tych pozycji w budżecie firmy IT, którą łatwo zlekceważyć, dopóki nie zsumuje się trzech lat faktur. 📉
Czytaj artykułKrótka rozmowa wystarczy, żeby ocenić zakres prac i podać widełki kosztu. Bez zobowiązań.
Klikając „Akceptuję”, zgadzasz się na przechowywanie plików cookie przez UXU w celu poprawy działania strony, analizy i wsparcia działań marketingowych.