Dyrektywa NIS2 – wdrożenie w firmie

Obowiązek nie znika. Podmioty, które się nie zarejestrują, zostaną wpisane z urzędu przez organ właściwy, z możliwością czynności nadzorczych. Przepisy o karach zaczynają obowiązywać dopiero 3 kwietnia 2028 r., ale wpis z urzędu oznacza wejście w reżim bez kontroli nad tym, jak zaklasyfikowano podmiot.

Kwalifikacja wynika z sektora i wielkości łącznie. Duże przedsiębiorstwo w sektorze z załącznika nr 1 jest co do zasady podmiotem kluczowym, a średnie z tego samego sektora — podmiotem ważnym. Nazwa „sektory kluczowe” w tytule załącznika nie przesądza kwalifikacji podmiotu. Różnica przekłada się na wysokość maksymalnych kar i intensywność nadzoru.

Dostajesz zawiadomienie wraz z wezwaniem do uzupełnienia brakujących danych w terminie 6 miesięcy od doręczenia, pod rygorem kary. Uzupełnienia dokonuje się przez opcję „Wprowadź kod wezwania” w Wykazie KSC — nie przez nowy wniosek o wpis, bo to zdubluje podmiot (instrukcja gov.pl).

Dyrektywa NIS2 przewiduje wczesne ostrzeżenie w 24 godziny, zgłoszenie w 72 godziny i sprawozdanie końcowe w miesiąc — przy czym miesiąc liczy się od zgłoszenia 72-godzinnego, a nie od wykrycia incydentu (dyrektywa (UE) 2022/2555). Jeśli podlegasz też rozporządzeniu DORA, prowadzisz dwa różne zegary — zobacz zestawienie terminów DORA.

Nie. Wpis to punkt wejścia. Do 3 kwietnia 2027 r. trzeba mieć wdrożony system zarządzania bezpieczeństwem informacji, szacowanie ryzyka, procedury zgłaszania incydentów i rozpoczęte korzystanie z Systemu S46. Podmioty kluczowe przechodzą pierwszy audyt do 3 kwietnia 2028 r., a potem co najmniej raz na trzy lata.

Ustawa obejmuje podmioty kluczowe i ważne działające w osiemnastu sektorach wymienionych w dwóch załącznikach, jeśli zatrudniają co najmniej 50 osób albo przekraczają progi finansowe. W Polsce to około 38 tysięcy podmiotów, z czego blisko 27 tysięcy to podmioty publiczne.

Małe i mikroprzedsiębiorstwa są co do zasady poza zakresem, ale art. 5 ustawy przewiduje wyjątki niezależne od wielkości — między innymi dostawców DNS, rejestry domen najwyższego poziomu, usługi zaufania, łączność elektroniczną i administrację publiczną. Sprawdź w trzech pytaniach, czy podlegasz.

Krajowy system cyberbezpieczeństwa obejmuje podmioty kluczowe i ważne, organy właściwe do spraw cyberbezpieczeństwa oraz zespoły reagowania na incydenty. Nakłada obowiązek zarządzania ryzykiem, zgłaszania incydentów w terminach ustawowych i korzystania z systemu teleinformatycznego S46.

Nowelizacja z 2026 roku zastąpiła dotychczasowy podział na operatorów usług kluczowych i dostawców usług cyfrowych podziałem na podmioty kluczowe i podmioty ważne, a kwalifikacja odbywa się przez samoidentyfikację.

Ustawa z 23 stycznia 2026 r. o zmianie ustawy o krajowym systemie cyberbezpieczeństwa (Dz.U. 2026 poz. 252) wdraża do prawa polskiego dyrektywę NIS2. Weszła w życie 3 kwietnia 2026 r.

Wprowadza samoidentyfikację podmiotów, obowiązki wobec łańcucha dostaw, szkolenia i osobistą odpowiedzialność kierownictwa oraz terminy zgłaszania incydentów: 24 godziny, 72 godziny i miesiąc. Kluczowe daty to 3 października 2026 r. (koniec samorejestracji), 3 kwietnia 2027 r. (koniec okresu przejściowego) i 3 kwietnia 2028 r. (początek stosowania przepisów o karach).

Podstawą jest ustawa z 5 lipca 2018 r. o krajowym systemie cyberbezpieczeństwa (Dz.U. 2018 poz. 1560), znowelizowana ustawą z 23 stycznia 2026 r. (Dz.U. 2026 poz. 252), która wdraża dyrektywę NIS2.

Obok niej obowiązują: rozporządzenie o Krajowych Ramach Interoperacyjności dla jednostek publicznych, rozporządzenie DORA dla podmiotów finansowych oraz RODO w zakresie ochrony danych osobowych. Zobacz, czym różni się DORA od NIS2.