Andrzej Klusiewicz

Posted on Sep 9 Edited on Sep 14 Originally published at jsystems.pl

NIS2 w praktyce - kogo dotyczy dyrektywa, jakie obowiazki i jakie kary

#nis2 #cybersecurity #compliance #eu

NIS2 rozszerza obowiazki cyberbezpieczenstwa na tysiace polskich firm, ktore wczesniej nie musialy sie tym zajmowac. Rozkladamy dyrektywe na czynniki pierwsze - kogo dotyczy, co trzeba wdrozyc i ile kosztuje niedopelnienie obowiazkow.

NIS2 w pigułce: unijna dyrektywa (UE) 2022/2555, którą w Polsce wdrożono ustawą o krajowym systemie cyberbezpieczeństwa (Dz.U. 2026 poz. 252, obowiązuje od 3 kwietnia 2026). Osiemnaście sektorów, twarde terminy zgłoszenia incydentu i kary sięgające milionów euro.

NIS2 to największa zmiana w europejskim prawie cyberbezpieczeństwa od lat. Do tej pory obowiązki dotyczyły wąskiej grupy operatorów usług kluczowych. NIS2 rozszerza je na osiemnaście sektorów gospodarki i tysiące średnich oraz dużych firm, które wcześniej żadnych takich wymogów nie miały. Co ważniejsze, dyrektywa nie jest już odległą teorią: w Polsce została przełożona na prawo krajowe nowelizacją ustawy o krajowym systemie cyberbezpieczeństwa, która obowiązuje od kwietnia 2026 roku, a firmy dostały konkretne terminy na dostosowanie.

W tym artykule wyjaśnimy bez prawniczego żargonu, czym jest NIS2, kogo dokładnie dotyczy, jakie nakłada obowiązki i jakie grożą kary. Pokażemy też, co zmienia polska ustawa i od czego zacząć przygotowania. Zacznijmy od pojęcia, które będzie się przewijać przez cały tekst: dyrektywa to akt prawa Unii Europejskiej, który wyznacza cel, ale sam w sobie nie obowiązuje firm wprost. Żeby zaczął działać, każde państwo musi go wdrożyć własną ustawą. Ten proces nazywa się transpozycją. Dla polskiej firmy wiążące jest więc brzmienie polskiej ustawy, która odwzorowuje dyrektywę.

Z tego artykułu dowiesz się:

Czym jest NIS2 i skąd się wzięła

Pełna nazwa to dyrektywa (UE) 2022/2555 w sprawie środków na rzecz wysokiego wspólnego poziomu cyberbezpieczeństwa na terytorium Unii. Skrót NIS pochodzi od angielskiego Network and Information Systems, czyli sieci i systemów informatycznych. Dwójka oznacza, że to druga odsłona: NIS2 zastąpiła pierwszą dyrektywę NIS z 2016 roku, która okazała się zbyt wąska i nierówno wdrożona w różnych krajach.

Od pierwszej dyrektywy NIS z 2016 roku, przez wejście w życie NIS2 w styczniu 2023 i termin transpozycji w październiku 2024, po polską ustawę o krajowym systemie cyberbezpieczeństwa obowiązującą od kwietnia 2026.

Najważniejsze daty warto zapamiętać. Dyrektywa NIS2 weszła w życie 16 stycznia 2023 roku, a państwa członkowskie miały czas na jej wdrożenie do 17 października 2024 roku. Od 18 października 2024 stara dyrektywa NIS przestała obowiązywać. Cel całej zmiany jest prosty: podnieść realny poziom odporności na cyberataki w całej gospodarce, a nie tylko u kilku operatorów infrastruktury, oraz ujednolicić zasady tak, by firma działająca w kilku krajach nie musiała mierzyć się z zupełnie innymi wymogami w każdym z nich. Źródłem pierwotnym jest tekst dyrektywy na EUR-Lex oraz strona Komisji Europejskiej.

Kogo dotyczy NIS2: podmioty kluczowe i ważne

NIS2 dzieli objęte firmy na dwie kategorie: podmioty kluczowe (po angielsku essential) i podmioty ważne (important). Podział nie jest kosmetyczny, bo decyduje o tym, jak ścisły jest nadzór i jak wysoka może być kara.

Podmioty kluczowe podlegają nadzorowi z góry: organ może skontrolować firmę, zlecić audyt czy test penetracyjny bez konkretnego powodu. Podmioty ważne podlegają nadzorowi po fakcie: działania kontrolne uruchamiają się dopiero, gdy pojawi się sygnał naruszenia.

Różnica sprowadza się do jednego pytania: kiedy patrzy na Ciebie organ nadzoru. W przypadku podmiotów kluczowych nadzór jest zapobiegawczy (prawnicy mówią o nadzorze ex-ante, czyli z góry). Organ może przeprowadzić kontrolę na miejscu, audyt zdalny albo zlecić test bezpieczeństwa nawet bez podejrzenia, że coś jest nie tak. W przypadku podmiotów ważnych nadzór jest reaktywny (ex-post, czyli po fakcie): kontrola wchodzi w grę dopiero, gdy pojawia się dowód lub uzasadnione podejrzenie, że firma nie spełnia obowiązków. W praktyce oznacza to, że podmioty kluczowe muszą być gotowe na kontrolę w każdej chwili, a podmioty ważne przynajmniej na kontrolę po incydencie lub sygnale.

Przynależność do jednej z tych dwóch kategorii zależy od sektora działalności razem z wielkością firmy. Pełną listę osiemnastu objętych branż, z podziałem na sektory o wysokiej krytyczności i pozostałe sektory krytyczne, wymieniamy w dalszej części artykułu.

Kiedy firma wpada pod NIS2: próg wielkości

Sama przynależność do objętego sektora nie wystarczy. Dyrektywa stosuje tak zwaną regułę wielkości: co do zasady obejmuje firmy co najmniej średniej wielkości. W rozumieniu unijnej definicji wystarczy przy tym spełnić jeden z warunków wielkości, a nie oba naraz.

Reguła wielkości: firma wpada pod NIS2, gdy działa w objętym sektorze i zatrudnia co najmniej 50 osób LUB ma ponad 10 milionów euro rocznego obrotu bądź sumy bilansowej - wystarczy jeden z tych warunków. Część podmiotów, jak telekomy czy dostawcy usług DNS, jest objęta niezależnie od wielkości.

Progi to co najmniej 50 pracowników lub ponad 10 milionów euro rocznego obrotu albo sumy bilansowej. Słowo kluczowe to lub: wystarczy spełnić jeden z warunków. Firma zatrudniająca 60 osób wpada pod dyrektywę z tytułu wielkości nawet przy skromnych obrotach, a mały podmiot poniżej obu progów, czyli zatrudniający mniej niż 50 osób i o obrotach do 10 milionów euro, zwykle pozostaje poza zakresem. Od tej zasady jest jednak ważny wyjątek. Niektóre podmioty są objęte niezależnie od wielkości, bo ich rola jest zbyt istotna dla funkcjonowania państwa. Należą do nich między innymi dostawcy publicznych sieci i usług łączności elektronicznej, dostawcy usług DNS, rejestry nazw domen najwyższego poziomu, kwalifikowani dostawcy usług zaufania oraz administracja publiczna. Jeśli mała firma jest jedynym w kraju dostawcą jakiejś usługi krytycznej, też może zostać objęta mimo niewielkiego rozmiaru.

Osiemnaście sektorów objętych dyrektywą

NIS2 wymienia objęte branże w dwóch załącznikach. Załącznik I to sektory o wysokiej krytyczności, a Załącznik II to pozostałe sektory krytyczne. Różnica między nimi ma znaczenie: firmy z Załącznika I łatwiej trafiają do kategorii podmiotów kluczowych, a te z Załącznika II częściej są podmiotami ważnymi.

Osiemnaście sektorów objętych NIS2: jedenaście sektorów o wysokiej krytyczności z Załącznika I oraz siedem pozostałych sektorów krytycznych z Załącznika II.

Warto zwrócić uwagę, jak szeroka jest ta lista. To już nie tylko energetyka, banki czy szpitale. Pod dyrektywę wpadają producenci żywności, firmy gospodarujące odpadami, dostawcy usług cyfrowych, a nawet jednostki badawcze. Osobno wymieniona jest kategoria zarządzania usługami ICT, czyli firmy świadczące dla innych obsługę informatyczną. Oznacza to, że integrator IT albo dostawca usług zarządzanych może być objęty NIS2 nie tylko z tytułu własnego rozmiaru, ale także dlatego, że obsługuje klientów z sektorów krytycznych. Pierwszym krokiem dla każdej firmy jest więc uczciwe sprawdzenie, czy jej działalność pasuje do któregoś z tych osiemnastu sektorów.

Obowiązek pierwszy: zarządzanie ryzykiem

Sercem NIS2 jest artykuł 21. Nakłada on na objęte firmy obowiązek wdrożenia odpowiednich i proporcjonalnych środków technicznych oraz organizacyjnych, które ograniczają ryzyko dla ich systemów. Dyrektywa nie zostawia tego ogólnikiem: wymienia dziesięć minimalnych obszarów, oznaczonych w art. 21 literami od a do j, które firma musi zaadresować.

Dziesięć minimalnych środków zarządzania ryzykiem z art. 21 NIS2: od analizy ryzyka i obsługi incydentów, przez ciągłość działania i bezpieczeństwo łańcucha dostaw, po kryptografię i uwierzytelnianie wieloskładnikowe.

To nie jest lista życzeń, tylko minimum wspólne dla wszystkich objętych podmiotów. Kilka pozycji zasługuje na szczególną uwagę, bo często są zaniedbywane:

Bezpieczeństwo łańcucha dostaw (litera d). Firma odpowiada nie tylko za własne systemy, ale też za to, jak zabezpieczeni są jej bezpośredni dostawcy i usługodawcy. Słaby podwykonawca staje się Twoim ryzykiem.
Obsługa i ujawnianie podatności (litera e). Trzeba nie tylko tworzyć oprogramowanie bezpiecznie, ale też mieć proces wykrywania i łatania luk. Tutaj wprost wchodzą w grę testy bezpieczeństwa i testy penetracyjne.
Cyberhigiena i szkolenia (litera g). Podstawowe nawyki i regularne szkolenia pracowników, bo najczęstszym wektorem ataku pozostaje człowiek.
Uwierzytelnianie wieloskładnikowe (litera j). Po polsku: logowanie wymagające więcej niż samego hasła, na przykład kodu z aplikacji. To jeden z najtańszych i najskuteczniejszych środków.

W skrócie: art. 21 wymaga, żeby firma nie tylko kupiła kilka narzędzi, ale zbudowała powtarzalny proces: rozpoznaj ryzyko, wdróż zabezpieczenia, sprawdzaj ich skuteczność, popraw i powtarzaj.

Obowiązek drugi: zgłoszenia incydentów

Drugi filar NIS2 to obowiązek zgłaszania poważnych incydentów. Dyrektywa określa, kiedy incydent jest poważny: gdy spowodował lub może spowodować poważne zakłócenie działania usług albo straty finansowe, lub gdy dotknął inne osoby, wyrządzając znaczne szkody. Jeśli tak jest, uruchamia się sztywna kaskada terminów, liczona od momentu, gdy firma dowiedziała się o incydencie.

Kaskada zgłoszeń poważnego incydentu: wczesne ostrzeżenie w 24 godziny, pełne zgłoszenie w 72 godziny, raport pośredni tylko na żądanie organu, a raport końcowy w ciągu miesiąca. Czas liczy się od momentu wykrycia incydentu.

Ta kaskada to najczęściej cytowany, a zarazem najbardziej wymagający element NIS2:

W ciągu 24 godzin firma składa wczesne ostrzeżenie. To krótki sygnał do zespołu reagowania: coś się stało, a jeśli wiadomo, doprecyzowuje, czy incydent wygląda na działanie celowe i czy może mieć skutki transgraniczne.
W ciągu 72 godzin następuje pełne zgłoszenie incydentu: wstępna ocena wagi i skutków oraz, jeśli są dostępne, wskaźniki naruszenia (po angielsku indicators of compromise, w skrócie IoC, czyli ślady świadczące o włamaniu).
Raport pośredni firma składa wyłącznie na żądanie zespołu reagowania (CSIRT, czyli zespołu do spraw reagowania na incydenty komputerowe) albo organu nadzoru. Nie ma tu stałego terminu.
W ciągu miesiąca trzeba złożyć raport końcowy: pełny opis incydentu, jego przyczynę źródłową oraz zastosowane środki zaradcze.

Praktyczny wniosek jest taki, że samo zbieranie logów nie wystarczy. Żeby zdążyć w 24 godziny, firma musi mieć z góry ustaloną procedurę: kto wykrywa, kto decyduje, że to incydent poważny, i kto go zgłasza. Bez tego zegar zaczyna tykać, zanim ktokolwiek zorientuje się, że trzeba działać.

Odpowiedzialność zarządu

NIS2 celowo przenosi cyberbezpieczeństwo z działu IT na poziom zarządu. Artykuł 20 stanowi, że organy zarządzające muszą zatwierdzać środki zarządzania ryzykiem i nadzorować ich wdrożenie. To nie jest już temat, który można w całości oddelegować administratorowi.

Artykuł 20 NIS2 stawia cztery obowiązki przed zarządem: zatwierdzanie środków zarządzania ryzykiem, nadzór nad ich wdrożeniem, obowiązkowe szkolenia oraz osobistą odpowiedzialność za zaniedbania.

Dwa punkty mają tu realne zęby. Po pierwsze, obowiązek szkoleń: członkowie zarządu muszą odbywać regularne szkolenia z cyberbezpieczeństwa, a podobne szkolenia firma ma oferować pracownikom. Po drugie, osobista odpowiedzialność: za naruszenie obowiązków przez firmę mogą odpowiadać członkowie organu zarządzającego. W skrajnych przypadkach wobec podmiotów kluczowych możliwe jest nawet czasowe zakazanie konkretnej osobie pełnienia funkcji kierowniczych. To sygnał, że cyberbezpieczeństwo przestaje być kosztem, który łatwo odłożyć na później.

Kary finansowe i sankcje

Kary w NIS2 są wysokie i policzone od skali firmy, a nie ryczałtowe. Ich górne granice zależą od tego, czy firma jest podmiotem kluczowym, czy ważnym.

Górne granice kar administracyjnych: dla podmiotu kluczowego do 10 milionów euro lub 2 procent światowego obrotu, dla podmiotu ważnego do 7 milionów euro lub 1,4 procent (obowiązuje wyższa z kwot). Polska ustawa dodaje karę nadzwyczajną do 100 milionów złotych oraz sankcje dla kierownika.

Dla podmiotu kluczowego kara może sięgnąć 10 milionów euro lub 2 procent całkowitego rocznego światowego obrotu, w zależności od tego, która kwota jest wyższa. Dla podmiotu ważnego górna granica to 7 milionów euro lub 1,4 procent obrotu. Mechanizm wyższej z dwóch kwot sprawia, że dla dużej grupy kapitałowej procent od obrotu bywa znacznie bardziej dotkliwy niż sama kwota nominalna. Poza karami pieniężnymi organy nadzoru mają też inne narzędzia: wiążące polecenia, obowiązkowe audyty, a w skrajnych sytuacjach wobec podmiotów kluczowych czasowe zawieszenie certyfikacji lub wspomniany zakaz pełnienia funkcji kierowniczych.

Polska ustawa o KSC dodaje własne, jeszcze surowsze narzędzia. Przy poważnym zagrożeniu obronności lub bezpieczeństwa państwa przewiduje karę nadzwyczajną do 100 milionów złotych, a wobec kierownika podmiotu z sektora prywatnego - karę pieniężną sięgającą 300 procent jego wynagrodzenia. To dosłownie przenosi odpowiedzialność za cyberbezpieczeństwo na osoby zarządzające.

Polska ustawa o KSC i terminy dla firm

Dla polskiej firmy najważniejsza jest nie sama dyrektywa, lecz ustawa, która ją wdraża. NIS2 została przełożona na prawo krajowe przez nowelizację ustawy o krajowym systemie cyberbezpieczeństwa (w skrócie ustawa o KSC). Proces legislacyjny został zakończony, a ustawa już obowiązuje.

Terminy dla firm liczone od wejścia w życie 3 kwietnia 2026: wpis do Wykazu KSC w ciągu 6 miesięcy (do 3 października 2026), wdrożenie środków bezpieczeństwa w ciągu 12 miesięcy (do 3 kwietnia 2027) i pierwszy audyt podmiotu kluczowego po 24 miesiącach (do 3 kwietnia 2028).

Ustawa została ogłoszona w Dzienniku Ustaw z 2026 roku pod pozycją 252 i weszła w życie 3 kwietnia 2026 roku. Od tej daty biegną terminy dostosowawcze dla firm:

Około sześciu miesięcy, czyli do 3 października 2026, na samoidentyfikację i rejestrację: ustalenie, że firma jest podmiotem kluczowym lub ważnym, i zgłoszenie tego do Wykazu KSC.
Około dwunastu miesięcy, czyli do 3 kwietnia 2027, na wdrożenie systemu zarządzania ryzykiem i wymaganych zabezpieczeń.
Około dwudziestu czterech miesięcy, czyli do 3 kwietnia 2028, na pierwszy audyt bezpieczeństwa dla podmiotów kluczowych, powtarzany potem cyklicznie.
24 godziny na zgłoszenie poważnego incydentu do właściwego zespołu reagowania (CSIRT), zgodnie z kaskadą opisaną wyżej.

Zastrzeżenie prawne. Ustawa obowiązuje, ale została skierowana przez Prezydenta do Trybunału Konstytucyjnego w trybie kontroli następczej. Oznacza to, że przepisy są wiążące, jednak ewentualne przyszłe orzeczenie może wpłynąć na niektóre z nich. Przy ważnych decyzjach warto opierać się na aktualnym tekście w Dzienniku Ustaw i śledzić komunikaty organów.

Dostawca wysokiego ryzyka

Polska ustawa dodaje element, którego sama dyrektywa nie narzuca w tej formie: procedurę dostawcy wysokiego ryzyka. Chodzi o mechanizm, który pozwala państwu ograniczyć korzystanie ze sprzętu i oprogramowania dostawców uznanych za zagrożenie dla bezpieczeństwa.

Procedura dostawcy wysokiego ryzyka w polskiej ustawie o KSC: decyzję wydaje minister po opinii Kolegium do spraw Cyberbezpieczeństwa, skutkiem jest zakaz stosowania produktów i usług danego dostawcy oraz obowiązek ich wycofania w wyznaczonym czasie.

Decyzję o uznaniu dostawcy za dostawcę wysokiego ryzyka wydaje minister właściwy do spraw informatyzacji, po opinii Kolegium do spraw Cyberbezpieczeństwa. Ocena bierze pod uwagę między innymi zagrożenia dla bezpieczeństwa narodowego oraz prawdopodobieństwo, że dostawca jest pod kontrolą państwa spoza Unii i NATO. Skutek decyzji jest poważny: zakaz wprowadzania do użytku produktów i usług ICT takiego dostawcy oraz obowiązek wycofania już używanych rozwiązań. Na wycofanie firmy dostają czas: co do zasady do siedmiu lat dla podmiotów kluczowych i ważnych, a dla funkcji krytycznych u przedsiębiorców telekomunikacyjnych do czterech lat.

Jak przygotować firmę: roadmapa

Zgodność z NIS2 nie jest jednorazowym projektem, który da się odhaczyć, ale ciągłym procesem. Dobra wiadomość jest taka, że da się go ułożyć w prostą kolejność kroków.

Sześć kroków do zgodności z NIS2: ustalenie, czy firma jest w zakresie, rejestracja podmiotu, analiza ryzyka, wdrożenie zabezpieczeń, uruchomienie obsługi incydentów oraz przeszkolenie zarządu i pracowników.

Kolejność ma znaczenie. Najpierw ustal, czy w ogóle jesteś w zakresie: sprawdź sektor i próg wielkości. Jeśli tak, zarejestruj podmiot w wyznaczonym terminie, bo to obowiązek formalny niezależny od stanu zabezpieczeń. Dopiero potem zabierz się za treść: zrób analizę ryzyka, która pokaże luki wobec dziesięciu środków z artykułu 21, i na jej podstawie wdróż zabezpieczenia. Osobno zbuduj obsługę incydentów z gotową procedurą zgłoszenia w 24 i 72 godziny, bo to element, który sprawdza się dopiero pod presją czasu. Na końcu, a najlepiej równolegle, zadbaj o ludzi: przeszkol zarząd i pracowników, bo tego wymaga zarówno artykuł 20, jak i zdrowy rozsądek.

Najtrudniejsze w NIS2 nie jest kupienie kolejnego narzędzia, lecz decyzje na poziomie zarządu: kto odpowiada za zgodność, jak zatwierdzić i nadzorować środki zarządzania ryzykiem, jak ułożyć procedurę zgłaszania incydentów w 24 i 72 godziny oraz jak przygotować firmę na kontrolę. Artykuł 20 dyrektywy i polska ustawa o KSC stawiają te obowiązki wprost przed kierownictwem, a nie tylko przed działem IT. Jeśli chcesz przełożyć wymogi NIS2 i KSC na konkretne decyzje zarządcze, warto zacząć od ukierunkowanego szkolenia.

Szkolenie: Obowiązki z NIS2 / KSC2 w praktyce decyzji zarządczych -->

Szkolenie dla kadry kierowniczej i osób odpowiedzialnych za zgodność: jak przełożyć obowiązki z dyrektywy NIS2 i ustawy o KSC na konkretne decyzje zarządcze, procedury, nadzór i przygotowanie firmy do kontroli. Szkolenie ma terminy gwarantowane.

To szkolenie może być dofinansowane dla Ciebie z KFS lub BUR.

★★★★★Średnia ocena naszych szkoleń w Google: 5/5

DEV Community