NIS2 – co to jest i kogo dotyczy?

Dyrektywa NIS2 to zestaw unijnych wymogów, które podnoszą poziom cyberbezpieczeństwa w 18 sektorach gospodarki i obejmą w Polsce tysiące firm jako podmioty kluczowe lub ważne. Jeśli działasz w energetyce, transporcie, finansach, zdrowiu, usługach cyfrowych czy administracji, istnieje duże prawdopodobieństwo, że nowe przepisy dotyczą także Twojej organizacji. W artykule wyjaśniam, co dokładnie oznacza NIS2, kogo obejmuje i jakie praktyczne obowiązki wynikają z niej na gruncie polskiej ustawy o KSC.

NIS2 – co to jest?

Dyrektywa NIS2 (dyrektywa (UE) 2022/2555) to nowe unijne przepisy dotyczące bezpieczeństwa sieci i systemów informacyjnych, które zastąpiły dyrektywę NIS1 z 2016 r. Ma ona zapewnić wysoki wspólny poziom cyberbezpieczeństwa we wszystkich państwach członkowskich UE, ze szczególnym naciskiem na infrastrukturę krytyczną i usługi o wysokim znaczeniu dla gospodarki oraz społeczeństwa.

NIS2 ustala między innymi, że państwa członkowskie muszą przyjąć krajowe strategie cyberbezpieczeństwa, zbudować jednolite struktury reagowania na incydenty i wdrożyć spójne zasady nadzoru, współpracy i egzekwowania. Przewidziano okres 21 miesięcy na transpozycję do prawa krajowego, a stosowanie nowych zasad na poziomie UE określono od 18 października 2024 r.

NIS2 wymusza na organizacjach przejście z punktowych działań technicznych na pełne zarządzanie ryzykiem cybernetycznym – z udziałem zarządu i z realną odpowiedzialnością finansową za zaniedbania.

Jak NIS2 zmienia podejście do cyberbezpieczeństwa?

NIS1 koncentrowała się głównie na operatorach usług kluczowych i wybranych dostawcach usług cyfrowych. Dyrektywa NIS2 znacząco poszerza ten krąg – obejmuje więcej sektorów, wprowadza nowe podejście do kwalifikacji firm i zaostrza wymogi w zakresie zarządzania bezpieczeństwem informacji.

Najważniejsze zmiany obejmują: rozszerzenie katalogu sektorów z 7 do 18 sektorów, wprowadzenie dwóch kategorii podmiotów – podmioty kluczowe i ważne, obowiązkowe zarządzanie ryzykiem w cyberbezpieczeństwie, precyzyjne zasady raportowania incydentów, silniejszy nadzór państwowy i wyższe kary pieniężne, sięgające do 10 mln EUR lub 2% obrotu.

Jaką rolę odgrywa zarząd?

Kierownictwo firmy nie może już traktować cyberbezpieczeństwa jako wyłącznie sprawy działu IT. NIS2 wprost wskazuje, że zarząd odpowiada za zatwierdzanie środków bezpieczeństwa, nadzór nad ich wdrożeniem oraz zapewnienie zasobów. Ustawa o KSC, która implementuje te wymogi w Polsce, przewiduje osobne sankcje finansowe dla osób zarządzających – także wtedy, gdy zadania formalnie powierzono innym pracownikom.

W praktyce oznacza to konieczność regularnych szkoleń zarządu z zakresu cyberbezpieczeństwa, aktywnego uczestnictwa w procesach decyzyjnych dotyczących ochrony systemów oraz bieżącego monitorowania zgodności z wymaganiami.

Jak działa sieć CSIRT i EU-CyCLONe?

Dyrektywa ustanawia europejską sieć CSIRT (Computer Security Incident Response Team), czyli zespołów reagowania na incydenty bezpieczeństwa komputerowego. W Polsce funkcjonują: CSIRT GOV (administracja rządowa), CSIRT NASK (sektor cywilny) i CSIRT MON (resort obrony) – to do nich podmioty zgłaszają poważne incydenty.

Na poziomie unijnym powstała też sieć EU‑CyCLONe, odpowiedzialna za koordynację reakcji na kryzysy cybernetyczne o dużej skali. Informacje raportowane przez firmy do krajowych CSIRT trafiają dalej – tworząc jednolity obraz sytuacji w całej Unii.

Kogo dotyczy NIS2?

NIS2 obejmuje średnie i duże organizacje działające w ściśle określonych sektorach, a w wybranych przypadkach również mniejsze podmioty, jeśli ich działalność ma strategiczne znaczenie. Kluczowe jest połączenie dwóch kryteriów: rodzaju sektora oraz wielkości przedsiębiorstwa.

Dyrektywa wymienia 18 sektorów. Wśród nich znajdują się między innymi: sektor energetyki (energia elektryczna, gaz, paliwa, ciepło), transport (lotniczy, kolejowy, wodny, drogowy), woda pitna i ścieki, zdrowie, bankowość i infrastruktura rynku finansowego, infrastruktura cyfrowa i usługi ICT, administracja publiczna, przestrzeń kosmiczna, produkcja żywności, chemikalia, gospodarka odpadami oraz usługi pocztowe i kurierskie.

Jak dzielone są firmy – podmioty kluczowe i ważne?

Dyrektywa odchodzi od wcześniejszego podziału na operatorów usług kluczowych i dostawców usług cyfrowych. W zamian wprowadza dwie kategorie: podmioty kluczowe i podmioty ważne. Obie grupy muszą spełniać te same wymogi merytoryczne w zakresie bezpieczeństwa, ale różni je poziom nadzoru i wysokość sankcji.

Do podmiotów kluczowych zalicza się przede wszystkim duże przedsiębiorstwa z sektorów uznanych za kluczowe – w Polsce objęte ścisłym, stałym nadzorem. Ta kategoria obejmuje także szereg jednostek niezależnie od ich wielkości, na przykład dostawców usług DNS czy operatorów obiektów energetyki jądrowej. Podmioty ważne to najczęściej średnie firmy z sektorów kluczowych oraz średnie i duże podmioty z tzw. sektorów ważnych.

Jakie są progi wielkości przedsiębiorstwa?

Przy kwalifikacji bierze się pod uwagę unijne definicje wielkości firm. Za duże przedsiębiorstwo uznaje się podmiot zatrudniający co najmniej 250 pracowników i osiągający roczne obroty przekraczające 50 mln EUR. Średnie przedsiębiorstwo to co najmniej 50 pracowników i minimum 10 mln EUR obrotu rocznie.

Mikro i małe firmy co do zasady nie są objęte NIS2, ale mogą zostać zakwalifikowane jako kluczowe lub ważne, jeśli świadczą usługi o szczególnym znaczeniu dla bezpieczeństwa państwa, porządku publicznego, zdrowia publicznego lub funkcjonowania innych podmiotów krytycznych. Dotyczy to między innymi dostawców usług zaufania czy wybranych podmiotów z łańcucha dostaw ICT.

Jak NIS2 wdrażana jest w Polsce?

Na poziomie krajowym wymogi NIS2 implementuje Ustawa o KSC – znowelizowana ustawa o krajowym systemie cyberbezpieczeństwa. Przewiduje ona kompleksowy system nadzoru, rejestrację podmiotów oraz precyzyjny kalendarz wdrożenia obowiązków dla firm działających w Polsce.

Nowe przepisy wejdą w życie 3 kwietnia 2026 r., a przedsiębiorstwa będą wdrażać je etapami. Proces obejmuje identyfikację statusu (podmiot kluczowy lub ważny), rejestrację w wykazie, wdrożenie środków bezpieczeństwa, uruchomienie raportowania incydentów oraz przeprowadzenie pierwszych audytów.

Co to jest wykaz podmiotów kluczowych i ważnych?

Wykaz to centralny rejestr organizacji objętych ustawą o KSC. Służy on identyfikacji podmiotów objętych nadzorem, organizacji kontaktu z CSIRT oraz koordynacji działań w zakresie cyberbezpieczeństwa. Prowadzony jest w systemie S46 przez właściwe organy (np. ministra właściwego ds. energii dla sektora energetycznego).

Jeśli firma spełnia kryteria uznania za podmiot kluczowy lub ważny, ma 6 miesięcy na zgłoszenie do wykazu od dnia spełnienia przesłanek. W przypadku podmiotów już spełniających kryteria w momencie wejścia w życie nowelizacji, termin zgłoszenia upływa 3 października 2026 r.

Jakie są główne terminy dla firm?

Poza datą wejścia w życie i obowiązkiem rejestracji, ustawa o KSC wyznacza kilka kluczowych kroków dla organizacji:

• do 6 miesięcy – zgłoszenie do wykazu podmiotów kluczowych i ważnych,
• do 12 miesięcy – wdrożenie systemu zarządzania bezpieczeństwem informacji, środków zarządzania ryzykiem oraz uruchomienie raportowania incydentów,
• do 24 miesięcy (podmioty kluczowe) – przeprowadzenie pierwszego audytu bezpieczeństwa i przekazanie raportu organowi nadzorczemu.
• przerwanie tych terminów lub ich przekroczenie zwiększa ryzyko nałożenia sankcji po zakończeniu okresu dostosowawczego.

Jakie obowiązki nakłada NIS2 i ustawa o KSC?

Na gruncie NIS2 i polskiej ustawy o KSC organizacje muszą przede wszystkim zbudować spójny system zarządzania bezpieczeństwem informacji, dostosowany do poziomu ryzyka i znaczenia świadczonych usług. Same rozwiązania techniczne są tylko jednym z elementów – równie ważne są procesy, dokumentacja i kompetencje pracowników.

Obowiązki można podzielić na kilka grup: zarządzanie ryzykiem, techniczne i organizacyjne środki ochrony, bezpieczeństwo łańcucha dostaw, raportowanie incydentów, dokumentacja, szkolenia oraz regularne audyty dla wybranych podmiotów.

Jak wygląda zarządzanie ryzykiem?

Zarządzanie ryzykiem w cyberbezpieczeństwie staje się procesem obowiązkowym, a nie dobrowolną praktyką. Organizacja powinna regularnie identyfikować zagrożenia, podatności i skutki potencjalnych incydentów, a następnie planować adekwatne środki ochrony.

To obejmuje zarówno ryzyka typowo techniczne – luki w oprogramowaniu, błędne konfiguracje systemów, niewystarczające szyfrowanie – jak i czynniki ludzkie, takie jak niska świadomość pracowników, brak szkoleń czy nieprawidłowe zarządzanie hasłami. Wymagane jest podejście „all‑hazard”, obejmujące również zagrożenia fizyczne i organizacyjne.

Jakie środki techniczne i organizacyjne trzeba wdrożyć?

Ustawa o KSC nie narzuca jednego sztywnego zestawu rozwiązań, ale wskazuje obszary, które muszą być objęte ochroną. Chodzi m.in. o: polityki bezpieczeństwa i szacowania ryzyka, kontrolę dostępu i uwierzytelnianie (w tym MFA), ciągłość działania (plany awaryjne i odtworzeniowe), aktualizacje i łatki bezpieczeństwa, stosowanie kryptografii i szyfrowania komunikacji, monitorowanie i testowanie systemów.

Duże znaczenie ma systematyczna analiza ryzyka i dokumentowanie efektów – firmy muszą potrafić wykazać przed organem nadzorczym, że działają w sposób proporcjonalny do zagrożeń i reagują na nowe podatności w odpowiednim czasie.

Jak chronić łańcuch dostaw?

NIS2 zwraca szczególną uwagę na bezpieczeństwo w relacjach z dostawcami. Atak na słabiej zabezpieczonego partnera może być skutecznym wejściem do infrastruktury dużej organizacji – i takie scenariusze coraz częściej materializują się w praktyce.

Podmiot kluczowy lub ważny ma obowiązek oceniać ryzyka związane z produktami i usługami ICT dostarczanymi przez zewnętrzne firmy. Wymogi bezpieczeństwa powinny znaleźć się w umowach, przetargach i procesach zakupowych. Klienci coraz częściej żądają od dostawców potwierdzenia stosowania odpowiednich standardów – nawet jeśli sami nie podlegają bezpośrednio ustawie o KSC.

Jak wygląda zgłaszanie incydentów i system kar?

Jednym z filarów NIS2 jest precyzyjnie uregulowane raportowanie poważnych incydentów cyberbezpieczeństwa do właściwych CSIRT. Chodzi o zdarzenia, które powodują lub mogą spowodować poważne zakłócenia usług, znaczące straty finansowe albo istotne szkody dla innych podmiotów.

Procedura zgłaszania jest wieloetapowa i silnie osadzona w krótkich terminach. Spóźnione lub niekompletne raporty mogą zostać uznane za naruszenie obowiązków, co otwiera drogę do zastosowania środków nadzorczych i sankcji finansowych.

Jakie są terminy raportowania incydentów?

Dla poważnych incydentów ogólny schemat wygląda następująco:

• do 24 godzin – wczesne ostrzeżenie do właściwego CSIRT sektorowego z informacją, że incydent wystąpił i może mieć charakter celowego ataku,
• do 72 godzin – zgłoszenie incydentu z opisem wpływu na usługę, prawdopodobnych przyczyn i podjętych działań,
• w ciągu miesiąca – sprawozdanie końcowe z analizą przyczyn, skutków oraz zastosowanych środków naprawczych.
• w przypadku dostawców usług zaufania – pełne zgłoszenie następuje maksymalnie w ciągu 24 godzin od wykrycia incydentu.

Jak wysokie mogą być kary finansowe?

Narzędzie sankcyjne NIS2 jest celowo silne – tak, by brak działań w obszarze cyberbezpieczeństwa nie był już „tańszą” opcją. Kara finansowa dla podmiotów kluczowych może sięgać do 10 mln EUR lub 2% całkowitego rocznego obrotu, w zależności od tego, która kwota jest wyższa. Dla podmiotów ważnych górne progi są niższe, ale nadal bardzo dotkliwe.

Na poziomie polskiej ustawy o KSC, dla podmiotów kluczowych sankcja może wynieść równowartość do 10 mln EUR lub 2% przychodów, przy minimalnym progu 20 tys. zł. Dla podmiotów ważnych – do 7 mln EUR lub 1,4% przychodów, przy minimum 15 tys. zł. Maksymalna kara administracyjna w systemie krajowym może sięgnąć 100 mln zł.

Największą zmianą jakościową jest połączenie: wysokich kar pieniężnych, osobistej odpowiedzialności kierownictwa oraz stałego nadzoru nad podmiotami kluczowymi.

Za co grożą sankcje?

Organy nadzorcze mogą stosować kary w różnych sytuacjach. Dotyczy to między innymi: niewdrożenia środków zarządzania ryzykiem, braku zabezpieczenia systemów informacyjnych, niezgłaszania incydentów w wymaganych terminach, nieprowadzenia dokumentacji, ignorowania zaleceń organu czy utrudniania kontroli.

Zanim dojdzie do nałożenia kary, możliwe jest stosowanie środków „miękkich” – zaleceń, poleceń usunięcia nieprawidłowości, nakazu wdrożenia konkretnych rozwiązań lub obowiązku przeprowadzenia audytu. Niezastosowanie się do takich decyzji zwykle kończy się wejściem na ścieżkę sankcyjną.

Jak sprawdzić, czy NIS2 dotyczy Twojej organizacji?

Pierwszym krokiem jest uczciwa samoocena. W odróżnieniu od NIS1, obecnie to nie administracja automatycznie identyfikuje podmioty objęte regulacją – firmy same muszą ustalić, czy spełniają kryteria. Brak tej analizy lub jej zignorowanie nie chroni przed odpowiedzialnością.

Ocena powinna obejmować trzy obszary: sektor działalności (czy firma należy do sektorów kluczowych lub ważnych), wielkość przedsiębiorstwa (progi zatrudnienia i obrotów), charakter usług (czy świadczone usługi mają znaczenie dla ciągłości działania państwa, bezpieczeństwa publicznego lub innych podmiotów krytycznych).

Jak uporządkować informacje – przykładowa tabela

Pomocne bywa zestawienie podstawowych parametrów organizacji w prostej strukturze:

Na tej podstawie można przejść do wypełnienia ankiet samooceny, przygotowanych zgodnie z wymogami dyrektywy – wiele instytucji publicznych i branżowych udostępnia już takie narzędzia online. Wynik jest dobrym punktem wyjścia do dalszego planowania działań wdrożeniowych.

Co z mikro i małymi firmami?

Nawet jeśli mała organizacja nie wchodzi formalnie do kategorii podmiotów kluczowych lub ważnych, temat NIS2 może ją dotyczyć pośrednio. Dzieje się tak wtedy, gdy jest częścią łańcucha dostaw większego podmiotu – klient może wymagać od dostawców stosowania konkretnych standardów bezpieczeństwa, audytów czy raportowania.

Dodatkowo niektóre podmioty, takie jak operatorzy obiektów energetyki jądrowej, dostawcy określonych usług DNS czy kwalifikowani dostawcy usług zaufania, podlegają regulacji niezależnie od liczby pracowników czy wysokości obrotów.

NIS2 tworzy nową normalność: cyberbezpieczeństwo nie jest już „dodatkiem do IT”, ale obowiązkiem prawnym – z mierzalnymi wymaganiami i realną ceną zaniedbań.