NIS2 – co to jest i kogo dotyczy?

NIS2 to unijna dyrektywa (UE) 2022/2555, która narzuca jednolite wymagania cyberbezpieczeństwa na średnie i duże firmy z 18 sektorów gospodarki oraz na wybrane instytucje publiczne. W Polsce jej przepisy realizuje nowa ustawa o KSC, która od 2026 r. wprost wskazuje, kto jest podmiotem kluczowym lub ważnym i jakie ma obowiązki. Jeśli działasz w energetyce, transporcie, finansach, ochronie zdrowia, usługach cyfrowych lub administracji – temat dotyczy także Twojej organizacji. W dalszej części znajdziesz klarowne wyjaśnienie, co dokładnie oznacza NIS2 w praktyce dla firm w 2026 roku.

Czym jest NIS2 i czym różni się od NIS1?

Dyrektywa NIS 2 to nowe unijne ramy prawne cyberbezpieczeństwa, które zastąpiły pierwszą dyrektywę NIS 1 (2016/1148). Poprzedni akt obejmował głównie operatorów usług kluczowych (np. energetyka, transport, bankowość) i wybranych dostawców usług cyfrowych, koncentrując się na obowiązkowym raportowaniu incydentów oraz podstawowych środkach bezpieczeństwa. Nowa wersja znacznie rozszerza zakres branż, zaostrza wymagania techniczne i organizacyjne oraz wprowadza znacznie precyzyjniejsze zasady nadzoru i kar.

NIS2 ma charakter ramowy na poziomie UE – każdy kraj wdraża ją do swojego porządku prawnego. W Polsce realizuje to nowelizacja ustawy o krajowym systemie cyberbezpieczeństwa (ustawa o KSC), która określa, jakie podmioty podlegają przepisom, jakie środki muszą wdrożyć i jak wygląda nadzór. NIS2 ujednolica też podejście do łańcucha dostaw ICT – odpowiedzialność za bezpieczeństwo rozciąga się nie tylko na wewnętrzne systemy, ale też na dostawców, operatorów chmury czy podmioty utrzymujące infrastrukturę.

W przeciwieństwie do NIS1, gdzie państwa samodzielnie typowały operatorów usług kluczowych, NIS2 opiera się przede wszystkim na kryterium wielkości przedsiębiorstwa oraz sektorze działalności. To podmioty same muszą ocenić, czy spełniają definicję i zgłosić się do właściwych rejestrów. Brak samoidentyfikacji nie chroni przed sankcjami – to dziś jedno z najbardziej newralgicznych wymagań.

Kogo dotyczy NIS2 i ustawa o KSC?

Co do zasady NIS2 obejmuje średnie i duże organizacje działające w sektorach o dużym znaczeniu dla funkcjonowania państwa i gospodarki. W polskim porządku prawnym przepisy te wdraża ustawa o KSC, która dzieli adresatów na podmioty kluczowe i podmioty ważne. Ten podział decyduje o poziomie nadzoru, częstotliwości audytów oraz maksymalnych karach finansowych.

Podmioty kluczowe

Podmioty kluczowe to przede wszystkim duże przedsiębiorstwa z tzw. sektorów o wysokim stopniu krytyczności (załącznik nr 1 do ustawy o KSC) oraz określone instytucje, które są objęte przepisami niezależnie od wielkości. Ustawa opisuje je jako podmioty o szczególnym znaczeniu dla ciągłości usług oraz bezpieczeństwa państwa, objęte stałym, aktywnym nadzorem. W tej grupie znajdują się m.in. duże firmy z branży energii elektrycznej, gazu, paliw, transportu, finansów, infrastruktury cyfrowej czy wody pitnej, a także wybrane podmioty publiczne.

Część organizacji – np. dostawca usług DNS, kwalifikowany dostawca usług zaufania, operator obiektu energetyki jądrowej czy rejestr krajowej domeny najwyższego poziomu – jest traktowana jako podmioty kluczowe niezależnie od liczby pracowników czy obrotu. Dzięki temu przepisy obejmują te elementy infrastruktury, których awaria lub przejęcie może mieć natychmiastowy, szeroki wpływ na gospodarkę lub bezpieczeństwo obywateli.

Podmioty ważne

Podmioty ważne to z kolei najczęściej średnie przedsiębiorstwa z sektorów kluczowych oraz średnie i duże firmy z tzw. sektorów ważnych (załącznik nr 2 do ustawy o KSC), m.in. produkcji przemysłowej, gospodarki odpadami, żywności czy usług pocztowych. W wielu przypadkach to właśnie MŚP, które do tej pory nie miały formalnych obowiązków w zakresie cyberbezpieczeństwa, a ich dojrzałość w tym obszarze bywa niższa.

Ta kategoria obejmuje także część dostawców usług cyfrowych (platformy handlowe, wyszukiwarki, sieci społecznościowe) oraz podmioty publiczne na poziomie regionalnym, np. samorządowe jednostki budżetowe czy spółki realizujące zadania użyteczności publicznej. Nadzór nad nimi ma charakter następczy – kontrole i działania organów uruchamia się najczęściej po poważnym incydencie lub stwierdzonym naruszeniu przepisów.

Sektory objęte NIS2

Łącznie NIS2 wskazuje 18 sektorów, które muszą spełnić wymogi cyberbezpieczeństwa – to znaczne rozszerzenie względem NIS1. W polskiej ustawie o KSC dzielą się one na:

Sektory kluczowe (m.in.):

• energia – energia elektryczna, gaz, paliwa, ciepło,
• transport – lotniczy, kolejowy, wodny, drogowy,
• finanse – bankowość i infrastruktura rynku finansowego,
• ochrona zdrowia – podmioty lecznicze, producenci leków krytycznych i wyrobów medycznych,
• woda pitna i ścieki,
• infrastruktura cyfrowa i zarządzanie usługami ICT,
• przestrzeń kosmiczna,
• wybrane podmioty administracji publicznej.

Sektory ważne (m.in.):

• usługi pocztowe i kurierskie,
• gospodarka odpadami,
• produkcja chemikaliów, żywności, sprzętu komputerowego, elektronicznego i maszyn,
• niektóre branże motoryzacyjne i transportowe,
• dostawcy usług cyfrowych – platformy handlowe, wyszukiwarki, sieci społecznościowe,
• wybrane podmioty sektora badawczo-rozwojowego oraz samorządowe podmioty publiczne.

NIS2 a MŚP i łańcuch dostaw

Wiele mikro i małych firm formalnie nie będzie zakwalifikowanych jako podmioty kluczowe czy ważne, ale i tak odczuje skutki NIS2. Ustawa o KSC zobowiązuje większe organizacje do zarządzania ryzykiem w łańcuchu dostaw ICT, co oznacza, że będą one wymagały od dostawców określonych standardów bezpieczeństwa, zapisów umownych, a często także audytów. W praktyce oznacza to, że MŚP współpracujące z większymi klientami z sektorów regulowanych będą musiały wdrożyć przynajmniej część procesów bezpieczeństwa, nawet jeśli nie są formalnie wpisane do wykazu.

Jakie obowiązki nakłada NIS2 na firmy?

Na organizacje objęte NIS2 nakładany jest zestaw wymagań obejmujący zarządzanie ryzykiem, środki techniczne i organizacyjne, raportowanie incydentów oraz ścisłą odpowiedzialność kierownictwa. W polskich realiach szczegółowo precyzuje je ustawa o KSC, określając konkretne terminy i zakres implementacji. Trzonem jest wdrożenie systemu zarządzania bezpieczeństwem informacji (SZBI), który obejmuje całą infrastrukturę IT związaną ze świadczeniem usług.

Środki zarządzania ryzykiem i SZBI

Podmioty kluczowe i ważne muszą wdrożyć spójny system zarządzania ryzykiem cybernetycznym. Obejmuje on okresową analizę ryzyka, klasyfikację zasobów, identyfikację podatności oraz dobór środków technicznych, operacyjnych i organizacyjnych proporcjonalnych do zagrożeń. W praktyce oznacza to polityki bezpieczeństwa, procedury kontroli dostępu, wymagania dla dostawców, regularne aktualizacje i łatki, szyfrowanie transmisji i danych oraz testy bezpieczeństwa.

System zarządzania bezpieczeństwem informacji powinien obejmować cały cykl życia systemów – od planowania, przez wdrożenie i eksploatację, aż po wycofanie. Organizacja dokumentuje polityki, procedury, plany ciągłości działania, scenariusze awaryjne oraz wyniki audytów. Dokumentacja dzieli się na część normatywną (co robimy i jak) oraz operacyjną (dowody, że to robimy – logi, rejestry, raporty). To wszystko ma świadczyć, że bezpieczeństwo nie jest jednorazowym projektem, ale stałym procesem.

Raportowanie incydentów do CSIRT

NIS2 kładzie bardzo duży nacisk na szybkie i rzetelne zgłaszanie poważnych incydentów bezpieczeństwa do właściwych zespołów reagowania na incydenty – CSIRT. W Polsce funkcjonują CSIRT GOV, CSIRT NASK, CSIRT MON oraz zespoły sektorowe. Podmioty kluczowe mają obowiązek aktywnej współpracy z nimi, a podmioty ważne – reagują, gdy dochodzi do incydentu lub naruszenia. Definicja incydentu obejmuje każde zdarzenie zagrażające poufności, integralności czy dostępności systemów informacyjnych lub zakłócające świadczone usługi.

Procedura zgłaszania przewiduje kilka etapów – od wczesnego ostrzeżenia, które należy przekazać w ciągu 24 godzin, przez pełne zgłoszenie do 72 godzin, aż po raport końcowy, który opisuje przyczyny, przebieg, skalę skutków i podjęte działania naprawcze. Dodatkowo firmy mogą dzielić się z CSIRT informacjami o podatnościach, obserwowanych trendach oraz zastosowanych środkach obronnych, co wzmacnia obraz sytuacji w całej UE.

Odpowiedzialność zarządu i kary finansowe

NIS2 wprowadza osobistą odpowiedzialność najwyższego kierownictwa za brak zgodności z wymogami zarządzania ryzykiem w cyberprzestrzeni. Kierownicy zatwierdzają środki bezpieczeństwa, nadzorują ich wdrażanie, zapewniają budżet i zasoby oraz wyznaczają osoby kontaktowe do współpracy z krajowym systemem cyberbezpieczeństwa. W razie poważnych naruszeń prawo przewiduje nie tylko kary finansowe dla organizacji, ale także sankcje wobec osób zarządzających.

Dla podmiotów kluczowych maksymalne kary to do 10 mln euro lub 2% rocznego obrotu, zależnie od tego, która kwota jest wyższa, przy dolnym progu 20 000 zł. W przypadku podmiotów ważnych górny pułap to 7 mln euro lub 1,4% obrotu, nie mniej niż 15 000 zł. Polski system przewiduje także maksymalną karę administracyjną na poziomie nawet 100 mln zł. To poziomy, które sprawiają, że cyberbezpieczeństwo staje się bezpośrednim tematem dla rad nadzorczych i zarządów.

Dyrektywa NIS2 łączy wymogi techniczne z silną odpowiedzialnością zarządczą – od 2026 r. brak realnego systemu zarządzania bezpieczeństwem informacji może skutkować karą sięgającą 10 mln euro lub 2% światowego obrotu.

Jak wygląda wdrażanie NIS2 w Polsce w 2026 roku?

Na poziomie unijnym NIS 2 weszła w życie 16 stycznia 2023 r., a państwa członkowskie miały czas do 17 października 2024 r. na przeniesienie jej do prawa krajowego. W Polsce robi to ustawa o KSC, która wprowadza harmonogram obowiązków dla organizacji. Kluczowe są tu trzy kwestie: rejestracja w wykazie, wdrożenie środków bezpieczeństwa oraz przeprowadzanie audytów.

Wykaz podmiotów kluczowych i ważnych oraz system S46

W Polsce stworzono wykaz podmiotów kluczowych i ważnych, który służy do identyfikacji adresatów ustawy, kontaktu z nimi i prowadzenia nadzoru. Rejestr prowadzą właściwe organy dla poszczególnych sektorów (np. minister energii, minister zdrowia). Zgłoszenia dokonuje się elektronicznie w systemie S46, który obsługuje również zgłaszanie incydentów, wymianę informacji o zagrożeniach i nadzór nad realizacją obowiązków.

Firma, która spełnia kryteria uznania za podmiot kluczowy lub ważny, ma 6 miesięcy od momentu spełnienia przesłanek na zgłoszenie się do wykazu. Podmiot ujęty w rejestrze ma obowiązek aktualizować dane (np. zmiana osób kontaktowych, adresów IP, domen) w terminie 14 dni od zmiany. Możliwe jest również wpisanie z urzędu – jeśli organizacja nie zgłosi się sama, a organ stwierdzi, że spełnia definicję.

Etapy wdrożenia obowiązków

Po wpisie do wykazu firmy mają 12 miesięcy na wdrożenie pełnego zestawu środków bezpieczeństwa: budowę SZBI, formalne procedury zarządzania ryzykiem i incydentami, przygotowanie dokumentacji oraz techniczne przyłączenie do systemu S46 w zakresie raportowania. Dla podmiotów kluczowych w ciągu 24 miesięcy od spełnienia przesłanek przewidziano obowiązek przeprowadzenia pierwszego audytu zgodności – jego wyniki trafiają do właściwego organu nadzorczego.

Organy nadzorcze, w oparciu o nowe przepisy, mogą stosować różne środki – od zaleceń usunięcia nieprawidłowości, przez obowiązek wdrożenia dodatkowych środków bezpieczeństwa, aż po nakładanie kar pieniężnych. W sytuacjach krytycznych minister właściwy do spraw informatyzacji może wydawać polecenia zabezpieczające, obowiązujące wiele podmiotów jednocześnie, np. nakaz aktualizacji określonego oprogramowania lub wycofania produktu ICT wskazanego jako podatny.

W polskim modelu NIS2 centralną rolę pełni system S46 – to w nim prowadzony jest wykaz podmiotów, zgłaszane są incydenty i realizowana jest komunikacja z CSIRT oraz organami nadzorczymi.

Jak firmy powinny przygotować się do NIS2?

Organizacje, które wchodzą w zakres NIS2, nie mogą ograniczyć się do formalnego zgłoszenia do wykazu. Potrzebne są trwałe zmiany w sposobie zarządzania IT i bezpieczeństwem. W pierwszej kolejności warto przeprowadzić analizę, czy firma jest podmiotem kluczowym czy ważnym, korzystając z kryteriów sektorowych i progów wielkości. Dopiero potem można planować zakres działań wdrożeniowych i budżet.

W praktyce przygotowania obejmują kilka równoległych strumieni pracy: inwentaryzację systemów informacyjnych, ocenę istniejących polityk i procedur, przegląd umów z dostawcami ICT, zaprojektowanie procesu zarządzania incydentami oraz zdefiniowanie roli osób odpowiedzialnych – zarówno po stronie IT, jak i zarządu. Kluczowe będzie także regularne szkolenie pracowników – ludzki błąd wciąż pozostaje jednym z głównych źródeł poważnych incydentów.

Dla wielu przedsiębiorstw NIS2 jest pierwszym momentem, w którym cyberbezpieczeństwo staje się obowiązkiem prawnym na poziomie porównywalnym z podatkami czy RODO. Zignorowanie tej zmiany oznacza nie tylko ryzyko wysokich kar finansowych, ale też utratę zaufania klientów i partnerów w łańcuchu dostaw. W 2026 r. to realny element oceny wiarygodności każdej większej organizacji.