NIS2 to unijna dyrektywa, która od 3 kwietnia 2026 roku fundamentalnie zmieniła zasady cyberbezpieczeństwa w Polsce. Nowa ustawa o KSC 2.0 obejmuje nawet 40 tysięcy podmiotów, od energetyki po branżę spożywczą. Sprawdź, czy Twoja firma też podlega nowym przepisom.
Firma Y dostała prezent: wypłynęła kompletna baza klientów jej największego konkurenta. Hasła, problemy, słabości - wszystko na talerzu. Wystarczyło zadzwonić do tych klientów, prawda? Zobaczcie, co z tego wyszło i jaka lekcję płynie z tego dla całej branży.
Większość firm, które do nas trafia, jest przekonana, że z ich bezpieczeństwem IT jest w porządku. Po pierwszym audycie okazuje się, że prawie żadna z nich nie ma racji. Nie dlatego, że ktoś zaniedbał obowiązki - po prostu nikt wcześniej nie sprawdził.
NIS2 nie jest już tylko europejską ciekawostką, o której pisano w 2023 roku. To obowiązujące w Polsce prawo, które nakłada konkretne terminy i obowiązki na dziesiątki tysięcy firm i instytucji. Ten artykuł wyjaśnia, czym jest NIS2, jak została wdrożona w Polsce, kogo dotyczy i co trzeba zrobić, żeby uniknąć kar sięgających 10 milionów euro.
NIS2 to dyrektywa Parlamentu Europejskiego i Rady (UE) 2022/2555 z 14 grudnia 2022 roku w sprawie wysokiego wspólnego poziomu cyberbezpieczeństwa w Unii Europejskiej. Jest następczynią pierwszej dyrektywy NIS z 2016 roku, która w Polsce została wdrożona ustawą o Krajowym Systemie Cyberbezpieczeństwa (KSC) z sierpnia 2018 roku.
Powodem powstania NIS2 była niska skuteczność pierwszej dyrektywy. Obejmowała ona zbyt wąski krąg podmiotów, pozostawiała państwom członkowskim zbyt dużą swobodę interpretacji i nie nadążała za rosnącą skalą ataków ransomware, kradzieży danych i ataków na łańcuchy dostaw. NIS2 rozszerza zakres podmiotowy, ujednolica wymogi i znacząco zaostrza sankcje.
Najważniejsze zmiany wprowadzone przez NIS2 w stosunku do pierwszej dyrektywy:
NIS2 to regulacja horyzontalna. Dotyczy nie tylko sektora IT, lecz wszystkich branż, które obsługują infrastrukturę lub usługi krytyczne dla funkcjonowania państwa i społeczeństwa. Obejmuje banki, szpitale, wodociągi, dostawców chmury, firmy kurierskie, producentów żywności, a nawet wybrane podmioty z branży chemicznej i kosmicznej.
Polska wdrożyła NIS2 z ponad rocznym opóźnieniem względem unijnego terminu, który upłynął 17 października 2024 roku. Proces legislacyjny ciągnął się przez kolejne projekty, konsultacje i poprawki. Ostateczny kształt ustawa o KSC 2.0 uzyskała dopiero na początku 2026 roku.
Kluczowe etapy wdrożenia:
Polska wersja NIS2 w niektórych obszarach wykracza poza minimalne wymogi dyrektywy unijnej. Szacuje się, że ustawa obejmuje od 30 do 40 tysięcy podmiotów w Polsce, co jest jednym z najszerszych zakresów w całej Unii Europejskiej. Dla porównania, pierwsza ustawa o KSC obejmowała około 400 podmiotów.
Jedną z fundamentalnych zmian wprowadzonych przez NIS2 jest nowy podział podmiotów objętych regulacją. Dotychczasowa kategoria „operatorów usług kluczowych" i „dostawców usług cyfrowych" została zastąpiona dwoma nowymi pojęciami.
Podmioty kluczowe: to duże przedsiębiorstwa i instytucje działające w sektorach o najwyższej krytyczności. Dla tych podmiotów przepisy są najbardziej rygorystyczne, a nadzór najściślejszy. Sektory, w których działają podmioty kluczowe, to między innymi:
Podmioty ważne: to organizacje z sektorów nieco niższego znaczenia lub mniejsze organizacje z sektorów krytycznych. Wymogi są podobne, ale nadzór mniej intensywny - reaktywny zamiast proaktywnego. Do sektorów podmiotów ważnych należą:
Podstawową zasadą NIS2 jest to, że regulacja obejmuje średnie i duże przedsiębiorstwa w wybranych sektorach. Kryteria wielkości są zgodne z europejską definicją MŚP (zalecenie 2003/361/WE):
Mikroprzedsiębiorstwa (do 10 osób) i małe firmy (do 50 osób) z zasady nie podlegają NIS2, z wyjątkiem sytuacji, gdy świadczą usługi o znaczeniu strategicznym, takie jak operatorzy DNS, dostawcy usług zaufania kwalifikowanego czy dostawcy publicznych usług łączności elektronicznej.
Sama liczba pracowników nie rozstrzyga sprawy. Ustawa wprowadza szereg wyjątków, w których wielkość firmy nie ma znaczenia, a kluczowa jest rola, jaką organizacja pełni w łańcuchu usług krytycznych. Jeżeli masz wątpliwości, czy Twoja firma podlega NIS2, samodzielna ocena i konsultacja z doradcą prawnym są koniecznością.
Polska ustawa o KSC 2.0 weszła w życie, ale to nie oznacza, że wszystko trzeba zrobić od razu. Ustawodawca przewidział stopniowy harmonogram wdrożenia, który daje firmom czas na dostosowanie.
Oto kluczowe daty, które warto zapamiętać:
To, że kary zaczną być egzekwowane dopiero od 2028 roku, nie oznacza, że można zwlekać. Wdrożenie SZBI, szkolenia zarządu, dokumentacja, procedury obsługi incydentów i integracja z systemem S46 to zwykle od 9 do 12 miesięcy pracy dla średniej firmy. Jeśli firma zacznie dopiero w drugiej połowie 2027 roku, nie zdąży.
NIS2 nie jest listą technicznych zabezpieczeń, które trzeba kupić. To system zarządzania cyberbezpieczeństwem, który musi być wbudowany w strukturę organizacyjną firmy. Obowiązki można podzielić na kilka obszarów.
Każdy podmiot objęty ustawą musi wdrożyć System Zarządzania Bezpieczeństwem Informacji (SZBI) oparty na analizie ryzyka. W praktyce oznacza to:
Jednym z najbardziej wymagających elementów NIS2 jest „zegarowy" tryb zgłaszania incydentów. Każdy poważny incydent bezpieczeństwa musi zostać zgłoszony w trzech etapach:
Wszystkie zgłoszenia przechodzą przez system S46 i trafiają do właściwego CSIRT, sektorowego lub krajowego. Opóźnienie w zgłoszeniu lub jego brak to podstawa do nałożenia kary administracyjnej, niezależnie od tego, czy sam incydent został dobrze obsłużony.
Podmioty kluczowe mają obowiązek poddawania się cyklicznym audytom cyberbezpieczeństwa prowadzonym przez uprawnione podmioty. Pierwszy audyt musi zostać wykonany do 3 kwietnia 2028 roku, a kolejne nie rzadziej niż raz na trzy lata. Zakres audytu obejmuje zarówno aspekty organizacyjne (polityki, procedury, dokumentacja), jak i techniczne (konfiguracja systemów, testy penetracyjne, analiza logów).
Podmioty ważne nie muszą przeprowadzać regularnych audytów proaktywnie, ale mogą zostać im one nakazane w razie incydentu lub podejrzenia naruszenia przepisów.
Jedna z najbardziej przełomowych zmian wprowadzonych przez NIS2 dotyczy nie działów IT, lecz zarządów firm. Cyberbezpieczeństwo przestaje być wyłącznie problemem technicznym, który można delegować do informatyka czy firmy zewnętrznej. Staje się obowiązkiem kadry zarządzającej, a konkretnie osób pełniących funkcje w organach zarządzających.
Co to oznacza w praktyce:
W przypadku rażącego zaniedbania obowiązków członek zarządu może zostać ukarany karą finansową nałożoną osobiście, a w skrajnych przypadkach czasowo pozbawiony prawa do pełnienia funkcji kierowniczych w podmiocie objętym regulacją.
Koniec z zasłanianiem się działem IT. Jeśli doszło do incydentu, bo zarząd nie zatwierdził budżetu na backup, nie wdrożył szkoleń dla pracowników albo ignorował sygnały o lukach, odpowiedzialność jest imienna, a nie korporacyjna.
NIS2 wprowadza jedne z najwyższych kar administracyjnych w europejskim prawie cyberbezpieczeństwa. Wysokość kar zależy od rangi podmiotu.
Dla podmiotów kluczowych przewidziano kary do 10 000 000 euro albo do 2% rocznego światowego obrotu, przy czym stosuje się kwotę wyższą. Dla podmiotów ważnych kary sięgają 7 000 000 euro albo 1,4% rocznego światowego obrotu (również wyższa z kwot).
Kary mogą być nakładane za szeroki katalog naruszeń:
Pełna egzekucja kar rusza dopiero od 3 kwietnia 2028 roku, ale przepisy już obowiązują. Dwuletni okres karencji nie oznacza braku obowiązku, tylko czas na dostosowanie.
Poza karami finansowymi przepisy przewidują także sankcje niepieniężne: publiczne ostrzeżenia, obowiązek powiadomienia klientów o niezgodności czy czasowe zakazy prowadzenia określonej działalności w regulowanym sektorze.
Wokół NIS2 narosło sporo nieporozumień. Poniżej najczęstsze z nich, które słyszymy w rozmowach z klientami.
„Jesteśmy mali, nas to nie dotyczy". Niekoniecznie. Choć NIS2 nie obejmuje mikrofirm i małych firm jako zasada, wyjątkiem są podmioty świadczące usługi strategiczne (dostawcy zaufania, operatorzy DNS, ISP i inne). Dodatkowo, jeśli jesteś dostawcą dużej firmy objętej NIS2, to ona będzie wymagała od Ciebie zgodności. I to nie z ustawy, tylko z umowy handlowej.
„Mamy ISO 27001, to wystarczy". ISO 27001 to świetny fundament, ale nie zastępuje obowiązków ustawowych. NIS2 wymaga konkretnych procedur zgłaszania incydentów, wpisu do rejestru S46, osobistej odpowiedzialności zarządu i konkretnych audytów. Posiadanie ISO skraca drogę, ale nie zamyka sprawy.
„Mamy dwa lata, to zdążymy". Dwuletni okres karencji dotyczy wyłącznie kar pieniężnych. Sama ustawa obowiązuje od 3 kwietnia 2026 roku, a obowiązki rejestracyjne wygasają już 3 października 2026 roku. Wdrożenie SZBI to 9 do 12 miesięcy pracy, nie tygodni.
„Zapłaci ubezpieczyciel". Polisy od ryzyk cybernetycznych coraz częściej wymagają wdrożenia NIS2 jako warunku ochrony. Brak zgodności może oznaczać nie tylko karę administracyjną, ale też odmowę wypłaty odszkodowania po incydencie.
„IT się tym zajmie". To nieprawda na kilku poziomach. Po pierwsze, NIS2 to odpowiedzialność zarządu, a nie tylko IT. Po drugie, wiele obowiązków ma charakter organizacyjny i proceduralny, a nie techniczny. Po trzecie, nawet najlepsze IT nie ma mocy decydowania o budżecie, szkoleniach pracowników i politykach całej firmy.
Dla firm, które dopiero zaczynają przygotowania, kolejność działań jest dość prosta. Im wcześniej się za to weźmiesz, tym mniej stresujące będzie wdrożenie.
Krok 1: samoidentyfikacja do 3 października 2026 roku. Sprawdź, czy Twoja firma podlega NIS2. Ministerstwo Cyfryzacji udostępniło na stronach gov.pl materiały pomocnicze, w tym zestaw pytań i odpowiedzi. Proces weryfikacji obejmuje ustalenie sektora działalności i porównanie go z załącznikami do ustawy, ocenę wielkości firmy (pracownicy, obrót, suma bilansowa), weryfikację wyjątków dotyczących usług strategicznych niezależnie od wielkości oraz złożenie wniosku o wpis do wykazu przez system S46.
Krok 2: analiza luk, czyli gap analysis. Porównaj aktualny stan bezpieczeństwa firmy z wymogami ustawy. Typowa analiza luk obejmuje audyt istniejących polityk i procedur bezpieczeństwa, ocenę technicznych środków ochrony (MFA, backup, szyfrowanie, monitoring), weryfikację procedur obsługi incydentów i ciągłości działania, analizę łańcucha dostaw i ocenę krytycznych dostawców, sprawdzenie poziomu świadomości i przeszkolenia kadry zarządzającej oraz przygotowanie roadmapy wdrożenia z priorytetami.
Krok 3: wdrożenie SZBI do 3 kwietnia 2027 roku. Wdrożenie Systemu Zarządzania Bezpieczeństwem Informacji to proces równoległy: organizacyjny, techniczny i dokumentacyjny. Najważniejsze elementy to powołanie osoby odpowiedzialnej za cyberbezpieczeństwo w firmie (CISO, pełnomocnik ds. bezpieczeństwa lub równoważne), zatwierdzenie przez zarząd polityk bezpieczeństwa i planu obsługi incydentów, wdrożenie technicznych środków ochrony zgodnych z analizą ryzyka, integracja procedur zgłaszania incydentów z systemem S46, szkolenia dla zarządu i pracowników oraz przygotowanie dokumentacji pod pierwszy audyt w przypadku podmiotów kluczowych.
W UXU od lat realizujemy projekty, które pokrywają znaczną część wymogów NIS2, nawet jeśli pierwotnie nie były pod tym kątem projektowane. Backup i Disaster Recovery, audyty sieci, wdrożenia Palo Alto Networks i FortiGate, segmentacja infrastruktury, uwierzytelnianie wieloskładnikowe, konfiguracja VPN oraz monitoring to elementy, które składają się na fundament zgodności z nową ustawą.
W obszarze NIS2 wspieramy klientów w:
NIS2 to nie projekt na tydzień i nie jeden zakup sprzętu. To ciągły proces, w którym techniczne wdrożenia muszą iść w parze z procedurami, dokumentacją i świadomością ludzi. Dobre IT to tylko połowa sukcesu. Druga połowa to dojrzała organizacja.
NIS2 to nie kolejna biurokratyczna zmora, którą można odłożyć na później. To najpoważniejsza zmiana w polskim prawie cyberbezpieczeństwa od 2018 roku. Obejmuje nawet 40 tysięcy podmiotów, wprowadza osobistą odpowiedzialność zarządów i kary sięgające 10 milionów euro. Przepisy obowiązują od 3 kwietnia 2026 roku, pierwsze praktyczne terminy wygasają już jesienią 2026, a pełne wdrożenie musi nastąpić do kwietnia 2027 roku. Firmy, które zaczną przygotowania teraz, zdążą bez presji. Te, które odłożą temat na 2027 rok, wpadną w kłopoty - operacyjne i finansowe jednocześnie.
No additional posts available.
Klikając „Akceptuję”, zgadzasz się na przechowywanie plików cookie przez wTrasie w celu poprawy działania strony, analizy i wsparcia działań marketingowych.