NIS2 dotyczy podmiotów, które spełniają jednocześnie dwa warunki: działają w jednym z 18 sektorów wskazanych w załącznikach do dyrektywy (UE) 2022/2555 i są co najmniej średnim przedsiębiorstwem, czyli zatrudniają 50 osób lub więcej albo przekraczają progi finansowe. Od tej zasady są wyjątki — część podmiotów podlega niezależnie od wielkości. Według danych Ministerstwa Cyfryzacji zakres w Polsce obejmuje około 38 tysięcy podmiotów, z czego około 27 tysięcy to podmioty publiczne.
- Sektor plus wielkość — oba warunki muszą być spełnione naraz. Sam sektor nie przesądza.
- Średnie przedsiębiorstwo to 50–249 pracowników, obrót do 50 mln EUR albo suma bilansowa do 43 mln EUR.
- Małe i mikro co do zasady są poza zakresem — poza wyjątkami z art. 2 ust. 2 dyrektywy.
- Termin, który biegnie teraz: samorejestracja w Wykazie kończy się 3 października 2026 r.
Kto podlega pod NIS2? Zasada w jednym zdaniu
Kwalifikacja wynika z dwóch rzeczy naraz: sektora i wielkości podmiotu. Firma z sektora objętego dyrektywą, ale mniejsza niż średnie przedsiębiorstwo, co do zasady nie podlega. Firma duża, ale z sektora spoza załączników — również nie.
Podstawą prawną jest dyrektywa Parlamentu Europejskiego i Rady (UE) 2022/2555 z 14 grudnia 2022 r. W Polsce wdraża ją ustawa z 23 stycznia 2026 r. o zmianie ustawy o krajowym systemie cyberbezpieczeństwa (Dz.U. 2026 poz. 252), która weszła w życie 3 kwietnia 2026 r.
Krok 1: sprawdź, czy twój sektor jest w załącznikach
Dyrektywa wymienia 18 sektorów w dwóch załącznikach. Załącznik I to sektory określane jako kluczowe — między innymi energetyka, transport, bankowość, infrastruktura rynków finansowych, zdrowie, woda pitna, ścieki, infrastruktura cyfrowa, zarządzanie usługami ICT i administracja publiczna. Załącznik II obejmuje pozostałe sektory, w tym usługi pocztowe i kurierskie, gospodarowanie odpadami, produkcję i dystrybucję chemikaliów, produkcję i dystrybucję żywności oraz produkcję wyrobów.
Załącznik I nazywa się „sektory kluczowe”, ale to nie znaczy, że każdy podmiot z tego załącznika jest podmiotem kluczowym. Średnie przedsiębiorstwo z sektora z załącznika I jest co do zasady podmiotem ważnym, nie kluczowym. Różnica ma bezpośrednie przełożenie na wysokość kar i zakres nadzoru.
Krok 2: sprawdź wielkość swojej firmy
Wielkość ocenia się według zalecenia Komisji 2003/361/WE — tego samego, które służy do klasyfikacji mikro, małych i średnich przedsiębiorstw.
| Wielkość podmiotu | Zatrudnienie | Próg finansowy | Status wobec NIS2 |
|---|---|---|---|
| Mikro i małe | poniżej 50 osób | poniżej progów dla średnich | co do zasady poza zakresem |
| Średnie | 50–249 osób | obrót ≤ 50 mln EUR albo suma bilansowa ≤ 43 mln EUR | co do zasady podmiot ważny |
| Duże | 250 osób i więcej | albo przekroczone oba progi finansowe | w sektorach z zał. I co do zasady podmiot kluczowy |
Progi liczy się dla całej grupy powiązanych przedsiębiorstw, a nie dla pojedynczej spółki w oderwaniu od właściciela. To najczęstszy powód, dla którego firma uznaje się za małą, a formalnie nią nie jest.
Krok 3: sprawdź, czy nie łapią cię wyjątki
Artykuł 2 ust. 2 dyrektywy (UE) 2022/2555 wskazuje podmioty objęte niezależnie od wielkości. Jeśli jesteś w tej grupie, kroki 1 i 2 nie mają znaczenia — podlegasz nawet jako mikrofirma.
- dostawcy usług DNS i rejestry nazw domen najwyższego poziomu (TLD),
- dostawcy usług zaufania,
- dostawcy publicznych sieci łączności elektronicznej i publicznie dostępnych usług łączności elektronicznej,
- podmioty administracji publicznej,
- podmioty uznane za krytyczne na podstawie przepisów o odporności podmiotów krytycznych (CER),
- podmioty będące jedynym dostawcą danej usługi w państwie członkowskim.
Podmiot kluczowy czy ważny? Czym się różnią
Podział przekłada się na dwie rzeczy: wysokość maksymalnej kary i sposób nadzoru. Poniższe progi wynikają z dyrektywy (UE) 2022/2555.
| Kryterium | Podmiot kluczowy | Podmiot ważny |
|---|---|---|
| Maksymalna kara | do 10 mln EUR albo 2% całkowitego rocznego światowego obrotu — kwota wyższa | do 7 mln EUR albo 1,4% obrotu — kwota wyższa |
| Nadzór | nadzór wyprzedzający, także bez sygnału o naruszeniu | nadzór następczy, po sygnale o możliwym naruszeniu |
| Typowa kwalifikacja | duży podmiot z sektora z załącznika I | średni podmiot z załącznika I oraz podmioty z załącznika II |
Dyrektywa (UE) 2022/2555 ustala dolny pułap maksimum — formuła brzmi „maksimum wynoszące co najmniej”. Państwo członkowskie może przewidzieć kary wyższe, nie może niższych.
Jakie firmy nie podlegają NIS2?
Poza zakresem pozostają co do zasady mikroprzedsiębiorstwa i małe przedsiębiorstwa, o ile nie łapie ich żaden z wyjątków z art. 2 ust. 2, oraz podmioty każdej wielkości działające w sektorach spoza obu załączników. Nie oznacza to jednak, że temat ich nie dotyczy: jeśli dostarczasz usługi ICT podmiotowi objętemu NIS2, wymagania trafią do ciebie umową, w ramach nadzoru nad łańcuchem dostaw. To dziś najczęstszy powód, dla którego małe firmy technologiczne muszą udokumentować swoje zabezpieczenia.
Od kiedy NIS2 obowiązuje w Polsce? Kalendarz
3 kwietnia 2026 — ustawa w życie
Nowelizacja ustawy o krajowym systemie cyberbezpieczeństwa (Dz.U. 2026 poz. 252) zaczyna obowiązywać. Od tej daty biegną wszystkie kolejne terminy.
13 kwietnia 2026 — uruchomienie Wykazu
Ministerstwo Cyfryzacji uruchamia Wykaz podmiotów kluczowych i ważnych.
3 października 2026 — koniec samorejestracji
Termin na samodzielne wpisanie się do Wykazu. Kto się nie zarejestruje, zostanie wpisany z urzędu przez organ właściwy — bez wpływu na to, jak zostanie zakwalifikowany.
3 kwietnia 2027 — koniec okresu przejściowego
Data, do której trzeba mieć wdrożone wymagania.
3 kwietnia 2028 — przepisy o karach
Od tego dnia zaczynają obowiązywać przepisy o karach.
Podlegasz. Co teraz?
Pierwszym krokiem nie jest kupowanie narzędzi, tylko ustalenie stanu faktycznego: jako jaki podmiot podlegasz, czego wymagają przepisy w twoim przypadku i czego brakuje. Ta praca nazywa się analizą luk i kończy się dokumentem, na podstawie którego da się zaplanować budżet.
- Potwierdź kwalifikację — sektor, wielkość, wyjątki, powiązania kapitałowe.
- Zarejestruj się w Wykazie przed 3 października 2026 r. — jak wpisać firmę krok po kroku.
- Zrób analizę luk wobec wymagań ustawy.
- Zaplanuj wdrożenie systemu zarządzania bezpieczeństwem, procedur zgłaszania incydentów i nadzoru nad dostawcami.
- Zweryfikuj skuteczność zabezpieczeń — dyrektywa wymaga oceny, a nie deklaracji. Służą do tego testy penetracyjne i audyt bezpieczeństwa IT.
Jeśli twoja firma działa równolegle w sektorze finansowym, sprawdź też różnice między NIS2 a DORA — reżimy potrafią się nakładać, a wymagania nie są identyczne.
Najczęstsze pytania o zakres NIS2
Jak sprawdzić, czy podlegam pod NIS2?
Sprawdź trzy rzeczy po kolei: czy twój sektor jest w załączniku I albo II dyrektywy (UE) 2022/2555, czy firma jest co najmniej średnim przedsiębiorstwem (50 osób lub więcej albo przekroczone progi finansowe) i czy nie obejmuje cię któryś z wyjątków z art. 2 ust. 2 dyrektywy (UE) 2022/2555, które działają niezależnie od wielkości. Jeśli pierwsze dwa warunki są spełnione naraz albo zachodzi wyjątek — podlegasz.
Jakie podmioty nie podlegają dyrektywie NIS2?
Co do zasady mikroprzedsiębiorstwa i małe przedsiębiorstwa w rozumieniu zalecenia Komisji 2003/361/WE, czyli zatrudniające poniżej 50 osób i nieprzekraczające progów finansowych dla średnich, oraz podmioty z sektorów spoza obu załączników dyrektywy (UE) 2022/2555. Wyjątkiem są podmioty wymienione w art. 2 ust. 2 tej dyrektywy — one podlegają niezależnie od wielkości.
Czy dyrektywa NIS2 jest obowiązkowa?
Tak. Dyrektywa (UE) 2022/2555 została wdrożona do polskiego porządku prawnego ustawą z 23 stycznia 2026 r. o zmianie ustawy o krajowym systemie cyberbezpieczeństwa (Dz.U. 2026 poz. 252), która weszła w życie 3 kwietnia 2026 r. Przepisy o karach zaczynają obowiązywać 3 kwietnia 2028 r.
Jakie sektory są objęte dyrektywą NIS2?
Dyrektywa (UE) 2022/2555 obejmuje 18 sektorów w dwóch załącznikach. Załącznik I to sektory kluczowe, między innymi energetyka, transport, bankowość, infrastruktura rynków finansowych, zdrowie, woda pitna, ścieki, infrastruktura cyfrowa, zarządzanie usługami ICT i administracja publiczna. Załącznik II obejmuje między innymi usługi pocztowe i kurierskie, gospodarowanie odpadami, chemikalia, żywność oraz produkcję wyrobów.
Czym różni się podmiot kluczowy od ważnego?
Zgodnie z dyrektywą (UE) 2022/2555 podmiot kluczowy podlega nadzorowi wyprzedzającemu i wyższym karom — do 10 mln EUR albo 2% całkowitego rocznego światowego obrotu, w zależności od tego, która kwota jest wyższa. Podmiot ważny podlega nadzorowi następczemu, a maksymalna kara to 7 mln EUR albo 1,4% obrotu. Duży podmiot z załącznika I jest co do zasady kluczowy, średni z tego samego załącznika — ważny.
Kiedy mija termin rejestracji w Wykazie?
Zgodnie z kalendarzem Ministerstwa Cyfryzacji samorejestracja w Wykazie podmiotów kluczowych i ważnych kończy się 3 października 2026 r. Po tej dacie organ właściwy wpisuje podmioty z urzędu, bez wpływu podmiotu na to, jak zostanie zakwalifikowany.
Czy NIS2 dotyczy dostawców firm objętych dyrektywą?
Nie bezpośrednio, ale w praktyce tak. Podmioty objęte dyrektywą (UE) 2022/2555 mają obowiązek zarządzania ryzykiem w łańcuchu dostaw, więc wymagania trafiają do dostawców ICT drogą umowną — niezależnie od tego, jakiej wielkości jest dostawca.
Jak Pentestica może pomóc
Zaczynamy od ustalenia, czy i jako jaki podmiot podlegasz — to analiza luk, która kończy się dokumentem, a nie ofertą na narzędzia. Dopiero po niej wyceniamy wdrożenie. Zakres, przebieg i orientacyjne widełki opisaliśmy na stronie wdrożenia NIS2, razem z cennikiem.
Sprawdź, czy podlegasz — bezpłatna analiza wstępna
Źródła
- Dyrektywa Parlamentu Europejskiego i Rady (UE) 2022/2555 z 14 grudnia 2022 r. (Dz.U. UE L 333 z 27.12.2022, s. 80–152)
- Ustawa z 23 stycznia 2026 r. o zmianie ustawy o krajowym systemie cyberbezpieczeństwa (Dz.U. 2026 poz. 252)
- Zalecenie Komisji 2003/361/WE z 6 maja 2003 r. dotyczące definicji mikroprzedsiębiorstw oraz małych i średnich przedsiębiorstw
- Kalendarz wdrożenia i dane o liczbie podmiotów: komunikaty Ministerstwa Cyfryzacji
Redakcja Pentestica to zespół pentesterów i konsultantów bezpieczeństwa, którzy na co dzień wykonują testy penetracyjne, testy TLPT wymagane przez DORA, red teaming i audyty bezpieczeństwa IT, a także prowadzą wdrożenia zgodności z NIS2, DORA i MiCA. Teksty na tym blogu piszemy z tej praktyki, a nie z opracowań. Każde twierdzenie o przepisie, terminie albo karze opieramy na źródle pierwotnym: dzienniku ustaw, tekście dyrektywy, komunikacie organu nadzoru. Jeśli czegoś nie da się potwierdzić, piszemy o tym wprost, zamiast powtarzać liczbę krążącą po branżowych portalach.