Sejm uchwalił nowelizację ustawy o krajowym systemie cyberbezpieczeństwa 23 stycznia 2026 roku. Senat przyjął ją bez poprawek tydzień później. Polska wreszcie wdraża dyrektywę NIS2 — z ponad rocznym opóźnieniem względem unijnego terminu, ale z wydłużonymi okresami przejściowymi dla firm.
Co to oznacza w praktyce? Dla około 42 tysięcy polskich organizacji — nowe obowiązki. Dla zarządów — osobistą odpowiedzialność. Dla wszystkich — okazję do uporządkowania tego, co i tak powinno funkcjonować.
Ten artykuł wyjaśnia, kogo dotyczy NIS2, jakie obowiązki nakłada i ile czasu masz na przygotowanie. Bez straszenia karami. Z perspektywą praktyka.
Czym jest NIS2 i dlaczego Polska wdraża ją przez UKSC
NIS2 to unijna dyrektywa w sprawie środków na rzecz wysokiego wspólnego poziomu cyberbezpieczeństwa. Weszła w życie w styczniu 2023 roku, a państwa członkowskie miały ją wdrożyć do października 2024. Polska, podobnie jak większość krajów UE, nie dotrzymała terminu.
Implementacja odbywa się przez nowelizację ustawy o krajowym systemie cyberbezpieczeństwa (UKSC). To nie jest nowa ustawa — to rozszerzenie regulacji funkcjonującej od 2018 roku, która wdrażała poprzednią dyrektywę NIS.
Różnica skali jest jednak fundamentalna. Dotychczasowa ustawa obejmowała około 400 operatorów usług kluczowych. Nowelizacja rozszerza ten zakres do ponad 42 tysięcy podmiotów. To zmiana nie tylko ilościowa — to zmiana podejścia do cyberbezpieczeństwa jako elementu funkcjonowania państwa i gospodarki.
Kogo dotyczy — podmioty kluczowe i ważne
Nowelizacja wprowadza nowy podział. Zamiast operatorów usług kluczowych i dostawców usług cyfrowych mamy teraz dwie kategorie: podmioty kluczowe i podmioty ważne.
Kryterium wielkości ma znaczenie. Co do zasady, NIS2 dotyczy średnich i dużych przedsiębiorstw — czyli zatrudniających powyżej 50 osób lub osiągających obrót przekraczający 10 milionów euro. Mikro i małe firmy są wyłączone, z istotnymi wyjątkami dotyczącymi dostawców usług zaufania, rejestrów nazw domen oraz podmiotów, które państwo uzna za krytyczne niezależnie od wielkości.
Jest jednak element, który wiele firm pomija: bezpieczeństwo łańcucha dostaw. Nawet jeśli Twoja firma nie podlega bezpośrednio pod NIS2, możesz zostać objęty wymaganiami pośrednio — jako dostawca dla podmiotu kluczowego lub ważnego. Duże organizacje będą zobowiązane do weryfikacji bezpieczeństwa swoich dostawców, co przełoży się na wymagania kontraktowe wobec mniejszych partnerów. Więcej o tym piszemy w artykule o zarządzaniu bezpieczeństwem łańcucha dostaw.
Mechanizm samoidentyfikacji — nikt Ci nie powie, że podlegasz
To jedna z najważniejszych zmian względem poprzedniej regulacji. Dawniej status operatora usług kluczowych był nadawany decyzją administracyjną — firma dowiadywała się oficjalnie, że podlega pod przepisy.
Nowelizacja wprowadza mechanizm samoidentyfikacji. Organizacje same muszą ocenić, czy spełniają kryteria zakwalifikowania jako podmiot kluczowy lub ważny. Jeśli tak — mają obowiązek zarejestrować się w wykazie prowadzonym przez właściwy organ.
To przenosi odpowiedzialność na firmy. Brak rejestracji przy jednoczesnym spełnianiu kryteriów nie zwalnia z obowiązków — naraża natomiast na sankcje za niedopełnienie procedury.
Dotychczasowi operatorzy usług kluczowych zostaną automatycznie wpisani do nowego wykazu. Pozostałe organizacje muszą przeprowadzić analizę samodzielnie.
Terminy — ile masz czasu
Sejm przyjął poprawki wydłużające pierwotnie planowane terminy. To dobra wiadomość dla firm, które jeszcze nie rozpoczęły przygotowań.
Po wejściu ustawy w życie (przewidywane w lutym-marcu 2026, po podpisie prezydenta i miesięcznym vacatio legis):
Obowiązki — co trzeba wdrożyć
NIS2 odchodzi od sztywnych wymagań na rzecz podejścia opartego na analizie ryzyka. Nie ma jednej listy kontrolnej do odhaczenia. Każda organizacja musi sama ocenić swoje ryzyko i wdrożyć środki adekwatne do tej oceny.
Dowiedz się więcej o bezpieczeństwie w Twojej organizacji
Sprawdź, czy Twoja organizacja podlega NIS2 i co dokładnie musisz wdrożyć.
Odpowiedzialność kierownika — to nie jest delegowalne
Nowelizacja wprowadza bezpośrednią odpowiedzialność kierownika podmiotu za realizację zadań z zakresu cyberbezpieczeństwa. To fundamentalna zmiana względem dotychczasowej praktyki, gdzie bezpieczeństwo było często traktowane jako domena działu IT.
Kierownik podmiotu — w praktyce członek zarządu lub dyrektor generalny — jest zobowiązany do zatwierdzania i nadzorowania środków zarządzania ryzykiem, zapewnienia odpowiednich zasobów, odbycia szkolenia z zakresu cyberbezpieczeństwa.
W przypadku rażących zaniedbań kierownik może ponieść osobistą odpowiedzialność finansową. Kara może wynieść do 600% miesięcznego wynagrodzenia. To nie jest odpowiedzialność teoretyczna — ustawa tworzy mechanizm jej egzekwowania.
Nie można tego zdelegować. Zarząd może powierzyć operacyjną realizację zadań CISO lub zespołowi bezpieczeństwa, ale odpowiedzialność za nadzór pozostaje na poziomie kierownictwa. O tym, jak prowadzić rozmowy o bezpieczeństwie na poziomie zarządu, piszemy w osobnym artykule.
Kary — kontekst, nie straszenie
Nowelizacja przewiduje sankcje finansowe zbieżne z dyrektywą NIS2.
Dwuletnie moratorium na kary daje czas na przygotowanie. Ale samo moratorium nie zwalnia z obowiązków — organizacje powinny wdrażać wymagania od momentu wejścia ustawy w życie.
Warto spojrzeć na kary w szerszym kontekście. Sankcja finansowa to konsekwencja administracyjna. Rzeczywisty koszt zaniedbań w cyberbezpieczeństwie to przestoje operacyjne, utrata danych, uszczerbek reputacyjny, odpowiedzialność wobec klientów. Te koszty mogą wielokrotnie przewyższyć potencjalne kary.
System S46 i CSIRT-y sektorowe
Nowelizacja usprawnia mechanizmy zgłaszania incydentów i współpracy z organami państwa.
System S46 to platforma teleinformatyczna służąca do komunikacji między podmiotami a zespołami CSIRT. Przez ten system będą zgłaszane incydenty, przekazywane ostrzeżenia o zagrożeniach, wymieniane informacje o podatnościach.
Powstają CSIRT-y sektorowe — zespoły reagowania na incydenty dedykowane poszczególnym branżom. Mają budować wiedzę o specyficznych zagrożeniach w danym sektorze i wspierać podmioty w reagowaniu na incydenty.
Dla firm to oznacza konkretnego partnera po stronie państwa. CSIRT sektorowy będzie znał kontekst branży, rozumiał specyfikę systemów i procesów, mógł dostarczyć informacje o zagrożeniach istotnych dla danego sektora.
Co NIS2 zmienia, a czego nie wymyśla
NIS2 nie wprowadza rewolucyjnie nowych koncepcji bezpieczeństwa. Analiza ryzyka, zarządzanie incydentami, ciągłość działania, bezpieczeństwo łańcucha dostaw — to wszystko jest znane od lat. Standardy takie jak ISO 27001 czy NIST CSF pokrywają te obszary od dawna.
NIS2 czyni te praktyki obowiązkowymi dla szerszego grona organizacji. Dodaje mechanizmy nadzoru i sankcji. Wprowadza terminy i procedury raportowania.
Dla firm, które już prowadzą dojrzałe programy bezpieczeństwa, NIS2 to w dużej mierze formalizacja istniejących praktyk. Certyfikat ISO 27001 lub TISAX nie gwarantuje automatycznej zgodności, ale stanowi solidny fundament. Luki będą dotyczyć prawdopodobnie specyficznych wymagań raportowania, bezpieczeństwa łańcucha dostaw i odpowiedzialności kierownictwa. O tym, jak utrzymać system po certyfikacji, piszemy w osobnym artykule.
Dla firm, które dotąd traktowały cyberbezpieczeństwo marginalnie, NIS2 wymusza zmianę podejścia. To nie jest kwestia dokumentacji do przygotowania na audyt. To konieczność zbudowania systemu, który rzeczywiście działa.
Od czego zacząć — praktyczne kroki
Perspektywa — regulacja jako impuls
NIS2 można traktować jako kolejne obciążenie regulacyjne. Można też spojrzeć na nią jako zewnętrzny impuls do zrobienia tego, co ma sens biznesowy.
Systematyczne zarządzanie ryzykiem, sprawne reagowanie na incydenty, kontrola nad łańcuchem dostaw — to nie są wymysły regulatora. To praktyki, które chronią wartość organizacji, budują zaufanie klientów, zapewniają ciągłość działania.
Firmy, które już to robią, przejdą przez NIS2 bez rewolucji. Dla pozostałych regulacja wyznacza termin i dostarcza argument dla budżetu.
Dobra praktyka wymuszona prawem to nadal dobra praktyka.
Bądźmy w kontakcie
Chcesz porozmawiać o cyberbezpieczeństwie w Twojej organizacji i wspólnych możliwościach? Wypełnij formularz poniżej lub skontaktuj się z nami bezpośrednio.
