#nis2

Wokół NIS2 krąży kilka dat i prawie wszystkie bywają przytaczane jako termin dla firm. Rozstrzygnięcie, która z nich cokolwiek znaczy, jest pierwszą rzeczą do zrobienia, bo od tego zależy cały harmonogram.

Czym jest NIS2

NIS2 to unijna dyrektywa o bezpieczeństwie sieci i systemów informatycznych. Nie jest normą techniczną ani listą produktów do kupienia: to zestaw wymagań organizacyjnych i technicznych nałożonych na firmy z wyznaczonych sektorów, razem z obowiązkiem zgłaszania poważnych incydentów i z odpowiedzialnością po stronie kierownictwa.

Jedna rzecz decyduje o tym, jak czytać wszystkie daty w tej sprawie. Dyrektywa jest poleceniem wydanym państwom, a nie firmom. Bruksela mówi rządowi, że ten ma do określonego dnia napisać u siebie ustawę o takiej treści. Rząd pisze, parlament uchwala i dopiero ta ustawa jest rachunkiem wystawionym przedsiębiorcy.

Jak wygląda to w Polsce

Tym rachunkiem jest ustawa o krajowym systemie cyberbezpieczeństwa w brzmieniu nadanym nowelizacją z 23 stycznia 2026 roku, ogłoszoną 2 marca 2026 roku w Dzienniku Ustaw pod pozycją 252 i obowiązującą od 3 kwietnia 2026 roku. To w niej, a nie w dyrektywie, sprawdza się każdy termin.

Obowiązki wchodzą schodkami. Do 3 października 2026 roku podmioty kluczowe i ważne składają wniosek o wpis do wykazu, co jest zgłoszeniem się, a nie wdrożeniem. Do 3 kwietnia 2027 roku trzeba mieć wdrożone same obowiązki. Do 3 kwietnia 2028 roku podmioty kluczowe przeprowadzają pierwszy obowiązkowy audyt, a kary pieniężne mogą być nakładane dopiero po tej dacie. Ostatni punkt bywa czytany jako zapas czasu i jest to odczytanie kosztowne, ponieważ odroczona jest sankcja, a nie obowiązek.

Kogo obejmuje

Zakres liczy się z dwóch rzeczy naraz i obie muszą być spełnione. Sektor rozstrzyga, czy firma w ogóle podlega. Wielkość rozstrzyga, do której z dwóch kategorii trafia. Sektory wymieniono w dwóch załącznikach: pierwszy zbiera branże o najwyższej krytyczności, w tym energetykę, transport, bankowość, ochronę zdrowia, wodę pitną i infrastrukturę cyfrową, drugi pozostałe objęte przepisami, w tym usługi pocztowe i kurierskie, gospodarowanie odpadami, produkcję chemikaliów, żywności, wyrobów medycznych, elektroniki, maszyn i pojazdów.

Zaskakuje zwykle to, że średniej wielkości zakład z branży z pierwszego załącznika nie jest podmiotem kluczowym, mimo że jego branża stoi na liście najbardziej krytycznych. Różnica między kategoriami nie dotyczy zresztą tego, czy trzeba coś robić, bo obowiązki techniczne są wspólne. Dotyczy nadzoru: podmiot kluczowy sprawdzany jest z urzędu, a podmiot ważny wtedy, gdy pojawi się sygnał, że coś jest nie tak.

Czym różni się od ISO 27001

Norma i dyrektywa mówią o tym samym z dwóch różnych powodów, przez co bywają mylone. ISO/IEC 27001 to norma dobrowolna, wdrażana z własnej woli i potwierdzana certyfikatem wydanym przez jednostkę zewnętrzną. NIS2 to obowiązek wynikający z przepisów, którego nikt nie certyfikuje, a którego spełnienie weryfikuje organ nadzoru.

Trzy różnice mają znaczenie w praktyce. Przy normie granice systemu wyznacza sama firma, a przepisy obejmują działalność, którą prowadzi. Norma wymaga procesu obsługi incydentów, ale terminów nie narzuca, natomiast ustawa wprowadza ścieżkę i terminy. Norma mówi o zaangażowaniu zarządu bez części sankcyjnej, przepisy wskazują kierownictwo wprost i wiążą z tym sankcje.

Na co uważać

Najwięcej małych firm dotyka mechanizm, który formalnie ich nie obejmuje. Odbiorca podlegający przepisom musi ocenić bezpieczeństwo swojego łańcucha dostaw, a jedynym sposobem wykonania tego obowiązku jest zapytanie dostawców i wpisanie czegoś do umów. Firma poniżej progu odpowiada więc na te same pytania, tylko przed kontrahentem, a konsekwencją nie jest kara, lecz utrata kontraktu.

Druga rzecz dotyczy dowodów. Wymagane środki mają być adekwatne do ryzyka, wdrożone i udokumentowane, przy czym ostatnie słowo waży najwięcej: środek, którego nie da się pokazać, przy kontroli nie istnieje. Firma z porządnie zrobioną warstwą techniczną zaczyna więc od dokumentowania tego, co już działa, a nie od kupowania czegokolwiek.

Czego w tej sprawie nie da się kupić

Żadne urządzenie nie jest zgodnością z NIS2 w pudełku. Przepisy nie wskazują producenta i nie zawierają listy dopuszczonych rozwiązań, a mówią o zarządzaniu ryzykiem, obsłudze incydentów i odpowiedzialności kierownictwa. Zgodność powstaje z procedur, ewidencji i przećwiczonej reakcji, a sprzęt bywa jednym z narzędzi.

Nie jest też odpowiedzią zakup dokumentacji przed uporządkowaniem podstaw. Drugi składnik logowania na poczcie i panelach, przetestowane odtworzenie kopii, porządek w kontach po byłych pracownikach i spisana ścieżka zgłoszenia incydentu z nazwiskami zamykają realne ryzyko i pozycje na liście wymagań, a kosztują znacznie mniej niż komplet papierów opisujący stan, którego nie ma.