NIS2 – dyrektywa o cyberbezpieczeństwie
NIS2 to unijna dyrektywa 2022/2555 o cyberbezpieczeństwie, która nakłada obowiązki na średnie i duże organizacje z kilkunastu sektorów - m.in. energii, transportu, ochrony zdrowia, produkcji i usług cyfrowych - oraz na administrację publiczną. W Polsce wdraża ją nowelizacja ustawy o krajowym systemie cyberbezpieczeństwa, obowiązująca od 3 kwietnia 2026 r.
NIS2 w polskim prawie - nowelizacja ustawy o KSC
Dyrektywa nie wiąże firm bezpośrednio - robi to ustawa o krajowym systemie cyberbezpieczeństwa (KSC), zmieniona ustawą z 23 stycznia 2026 r. (Dz.U. 2026 poz. 252). Nowelizacja weszła w życie 3 kwietnia 2026 r., z opóźnieniem - państwa UE miały przenieść NIS2 do swojego prawa do 17 października 2024 r. Najważniejsza zmiana: wcześniej ustawa obejmowała głównie operatorów usług kluczowych wskazanych decyzją organu. Teraz organizacja sama sprawdza, czy spełnia kryteria, i sama składa wniosek o wpis do wykazu.
Kogo dotyczy NIS2 - podmioty kluczowe i ważne
O statusie decydują łącznie dwa kryteria: sektor wymieniony w załączniku do ustawy i wielkość firmy liczona według unijnej definicji MŚP.
- Podmiot kluczowy - duża organizacja z sektorów z załącznika nr 1, m.in.: energia, transport, bankowość i infrastruktura rynków finansowych, ochrona zdrowia, woda i ścieki, infrastruktura cyfrowa, zarządzanie usługami ICT, przestrzeń kosmiczna. Duża, czyli zatrudniająca co najmniej 250 osób albo mająca ponad 50 mln euro obrotu i ponad 43 mln euro sumy bilansowej.
- Podmiot ważny - średnia firma z sektorów z załącznika nr 1 oraz średnia lub duża z sektorów z załącznika nr 2, m.in.: usługi pocztowe, gospodarowanie odpadami, chemikalia, żywność, produkcja m.in. wyrobów medycznych, elektroniki, maszyn i pojazdów, dostawcy usług cyfrowych, badania naukowe.
- Niezależnie od wielkości - m.in. kwalifikowani dostawcy usług zaufania, dostawcy DNS, podmioty krytyczne i wskazane podmioty publiczne.
Banki i infrastruktura rynków finansowych są w wykazie, ale system zarządzania bezpieczeństwem i zgłaszanie incydentów regulują u nich przepisy rozporządzenia DORA - ustawa wyłącza w tym zakresie swoje przepisy (art. 8i). Mikro- i małe firmy co do zasady nie podlegają ustawie, ale NIS2 dotknie je jako dostawców: podmiot kluczowy lub ważny musi zadbać o bezpieczeństwo łańcucha dostaw i przeniesie część wymagań do umów.
NIS2 - obowiązki i terminy
- Wpis do wykazu - wniosek w ciągu 6 miesięcy od spełnienia kryteriów, podpisany m.in. podpisem kwalifikowanym lub zaufanym. Firmy, które spełniały je już 3 kwietnia 2026 r., składają wniosek według harmonogramu z komunikatu Ministra Cyfryzacji - do 3 października 2026 r.
- System zarządzania bezpieczeństwem informacji (SZBI) - szacowanie ryzyka, kontrola dostępu, kryptografia, plany ciągłości działania, bezpieczeństwo łańcucha dostaw, szkolenia i ciągłe monitorowanie systemu. Termin: 12 miesięcy od spełnienia kryteriów, dla pierwszej grupy 3 kwietnia 2027 r.
- Incydenty poważne - wczesne ostrzeżenie do właściwego CSIRT w ciągu 24 godzin od wykrycia, zgłoszenie w ciągu 72 godzin, sprawozdanie końcowe w ciągu miesiąca od zgłoszenia.
- Dokumentacja - normatywna, czyli polityki i plany, oraz operacyjna, czyli zapisy dowodzące wykonania czynności, w tym logi systemów.
- Audyt - podmiot kluczowy co najmniej raz na 3 lata, pierwszy w ciągu 24 miesięcy.
Za wykonanie obowiązków odpowiada kierownik podmiotu, zwykle zarząd - także wtedy, gdy zadania powierzył innej osobie. Raz w roku musi przejść szkolenie z cyberbezpieczeństwa. Kary dla podmiotu kluczowego sięgają 10 mln euro lub 2% przychodów, dla ważnego 7 mln euro lub 1,4% przychodów, a kierownikowi grozi kara do 300% wynagrodzenia. Ustawa pozwala nałożyć je po raz pierwszy po 2 latach od wejścia w życie.
NIS2 w dokumentach i procesach - praktyka e-MSI
Ustawa wymaga nie tylko zabezpieczeń, ale też dowodów, że działają. Audytor zapyta, kto zatwierdził politykę, kto nadał uprawnienia i jak obsłużono incydent - z maili i arkuszy trudno to odtworzyć. Dlatego obsługę incydentu, przegląd uprawnień czy ocenę dostawcy warto prowadzić jako proces z rolami, terminami i historią.
Na platformie JobRouter®, którą wdraża e-MSI, dostęp do procesów i danych wynika z ról i może być powiązany z Active Directory. Każda operacja może trafić do dziennika z informacją, kto, kiedy i co zrobił, a archiwum dokumentów jest codziennie weryfikowane pod kątem nieuprawnionych zmian. Komunikacja jest szyfrowana, a system działa on-premise lub w chmurze. Sam system nie zapewni zgodności z ustawą, ale dostarcza zapisów, z których składa się dokumentacja operacyjna. Szczegóły na stronie bezpieczeństwo systemów.
Najczęstsze błędy przy wdrażaniu NIS2
- Założenie, że ustawa dotyczy tylko energetyki i banków.
- Traktowanie NIS2 jako projektu działu IT, bez zarządu, który odpowiada osobiście.
- Liczenie wielkości bez spółek powiązanych i partnerskich.
- Przekonanie, że certyfikat ISO 27001 załatwia sprawę - nie zastępuje wpisu do wykazu ani zgłaszania incydentów.
- Polityki bez dowodów wykonania - logów i protokołów.
- Brak dyżuru i ścieżki zgłoszenia incydentu w nocy i w weekend, choć termin to 24 godziny.
Przykłady zastosowania
Producent maszyn zatrudniający 180 osób sprawdza załącznik nr 2 do ustawy o KSC, uznaje się za podmiot ważny i składa wniosek o wpis do wykazu podpisany kwalifikowanym podpisem prezesa.
Szpital wykrywa w piątek wieczorem zaszyfrowane serwery. Administrator dyżurny wysyła wczesne ostrzeżenie do CSIRT w ciągu 24 godzin, a pełne zgłoszenie po wstępnej ocenie skutków, przed upływem 72 godzin.
Firma transportowa obsługująca spółkę energetyczną dostaje ankietę bezpieczeństwa i aneks do umowy - klient jako podmiot kluczowy ocenia ryzyko w łańcuchu dostaw.
Zarząd spółki wodociągowej przechodzi coroczne szkolenie z cyberbezpieczeństwa, a potwierdzenia udziału trafiają do dokumentacji systemu zarządzania bezpieczeństwem informacji.
Przed audytem dział IT eksportuje z systemu obiegu dokumentów historię nadawania uprawnień i zatwierdzania polityk - to dokumentacja operacyjna, o którą zapyta audytor.
Najczęstsze pytania
Czym jest NIS2?
To unijna dyrektywa 2022/2555 o cyberbezpieczeństwie, następczyni pierwszej dyrektywy NIS. Nakłada na średnie i duże organizacje z kilkunastu sektorów oraz na administrację obowiązki w zakresie zarządzania ryzykiem, zgłaszania incydentów i odpowiedzialności kierownictwa. Dyrektywa nie wiąże firm bezpośrednio - w Polsce robi to znowelizowana ustawa o krajowym systemie cyberbezpieczeństwa, obowiązująca od 3 kwietnia 2026 r.
Kto musi wdrożyć NIS2?
Średnie i duże organizacje z sektorów wymienionych w załącznikach do ustawy o KSC, m.in. energii, transportu, bankowości, ochrony zdrowia, infrastruktury cyfrowej, produkcji i usług cyfrowych, oraz wskazane podmioty publiczne. Niektórzy, np. dostawcy DNS, podlegają ustawie niezależnie od wielkości. Firma sama ocenia sektor i wielkość według unijnej definicji MŚP i sama składa wniosek o wpis do wykazu.
Kiedy wchodzi NIS2 w Polsce?
NIS2 obowiązuje w Polsce od 3 kwietnia 2026 r., kiedy weszła w życie nowelizacja ustawy o krajowym systemie cyberbezpieczeństwa (Dz.U. 2026 poz. 252). Dla firm, które już wtedy spełniały kryteria, przewidziano okresy przejściowe: wniosek o wpis do wykazu do 3 października 2026 r. (według komunikatu Ministra Cyfryzacji), 12 miesięcy na wdrożenie obowiązków i 24 miesiące na pierwszy audyt podmiotu kluczowego.
Jakie obowiązki nakłada NIS2?
Wpis do wykazu podmiotów kluczowych i ważnych, wdrożenie systemu zarządzania bezpieczeństwem informacji opartego na szacowaniu ryzyka, prowadzenie dokumentacji, zgłaszanie incydentów poważnych do CSIRT w terminach 24 i 72 godzin, wyznaczenie osób do kontaktu, coroczne szkolenie kierownictwa oraz - dla podmiotów kluczowych - audyt co najmniej raz na 3 lata.
Jakie kary grożą za niespełnienie NIS2?
Podmiotowi kluczowemu do 10 mln euro lub 2% przychodów, ważnemu do 7 mln euro lub 1,4% przychodów. Osobno ukarany może być kierownik podmiotu - do 300% wynagrodzenia. Według przepisów przejściowych kary można nałożyć po raz pierwszy po 2 latach od wejścia ustawy w życie.
Czy certyfikat ISO 27001 wystarczy do spełnienia NIS2?
Nie w całości. System zarządzania zbudowany według ISO 27001 pokrywa dużą część wymagań SZBI, bo opiera się na tej samej analizie ryzyka. Ustawa ma jednak obowiązki, których norma nie obejmuje: wpis do wykazu, terminy zgłaszania incydentów do CSIRT, szkolenia kierownika i odpowiedzialność zarządu.
Powiązane hasła
Zobacz, jak wygląda to w systemach, które wdrażamy w polskich firmach.
