Blog / Prawo i NIS2
Ustawa o krajowym systemie cyberbezpieczeństwa po nowelizacji, co musi zrobić firma
Nowelizacja ustawy o krajowym systemie cyberbezpieczeństwa wdrożyła do polskiego prawa dyrektywę NIS2 i objęła obowiązkami znacznie więcej firm niż dotąd. Poniżej zebraliśmy terminy i praktyczne konsekwencje dla dyrektora IT i właściciela firmy.
Co zmieniła nowelizacja
Nowelizacja ustawy o krajowym systemie cyberbezpieczeństwa (w skrócie KSC) weszła w życie 3 kwietnia 2026 roku. Przenosi do polskiego porządku prawnego dyrektywę NIS2 (2022/2555), która rozszerza krąg podmiotów objętych obowiązkami o wiele branż i średnie przedsiębiorstwa.
Zmiana ma charakter systemowy. Firma przestaje być oceniana wyłącznie przez pryzmat tego, czy świadczy usługę kluczową, a zaczyna być oceniana przez rodzaj działalności i wielkość. Szczegółowy przegląd wymagań znajdziesz na stronie o NIS2.
Podmiot kluczowy i podmiot ważny
Ustawa rozróżnia dwie kategorie: podmioty kluczowe i podmioty ważne. Różnią się one intensywnością nadzoru i wysokością możliwych kar, ale zakres obowiązków zarządzania ryzykiem jest w dużej mierze podobny.
Najważniejsza zasada brzmi tak: status podmiotu wynika ze spełnienia przesłanek, a nie z decyzji o wpisie do wykazu. Jeśli firma spełnia kryteria, ma obowiązki, nawet gdyby nikt jej jeszcze nie wpisał. Brak wpisu nie jest więc argumentem w razie kontroli.
Terminy, które trzeba znać
Samorejestracja w wykazie podmiotów kluczowych i ważnych ruszyła 7 maja 2026 roku, a termin złożenia wniosku upłynął 3 października 2026 roku. Firmy, które go nie dopilnowały, powinny niezwłocznie sprawdzić swoją sytuację i nadrobić zaległość.
- 3 kwietnia 2026: wejście w życie nowelizacji.
- 7 maja 2026: start samorejestracji w wykazie.
- 3 października 2026: termin wniosku o wpis.
- 3 kwietnia 2027: termin wdrożenia obowiązków dla podmiotów, które spełniały kryteria w dniu wejścia ustawy w życie.
- 3 kwietnia 2028: pierwszy obowiązkowy audyt cyberbezpieczeństwa podmiotów kluczowych.
Odpowiedzialność zarządu
Dyrektywa NIS2 w art. 20 nakłada na kierownictwo obowiązek zatwierdzania środków zarządzania ryzykiem i nadzorowania ich wdrożenia. Członkowie zarządu mogą odpowiadać za zaniedbania, więc cyberbezpieczeństwo przestaje być tematem wyłącznie działu IT.
Dla zarządu przygotowaliśmy osobne omówienie na stronie dla zarządu. Zwracamy w nim uwagę na to, jakie dowody działania warto mieć w segregatorze na wypadek kontroli.
Środki zarządzania ryzykiem w praktyce
Art. 21 dyrektywy wymienia środki techniczne, operacyjne i organizacyjne, które podmiot ma wdrożyć. Obejmują one między innymi analizę ryzyka, obsługę incydentów, bezpieczeństwo łańcucha dostaw oraz regularną ocenę skuteczności zabezpieczeń.
Ocena skuteczności oznacza w praktyce testy. Pełną listę oczekiwań omawiamy na stronie wymagania NIS2. Zewnętrzna ekspozycja firmy, czyli to, co widać z internetu, jest najłatwiejszym obszarem do regularnego sprawdzania.
Kary i ryzyko finansowe
Art. 34 dyrektywy przewiduje dla podmiotów kluczowych kary do 10 mln EUR albo 2 proc. całkowitego rocznego obrotu, a dla podmiotów ważnych do 7 mln EUR albo 1,4 proc. obrotu. Krajowe przepisy określają szczegóły, dlatego zawsze należy sprawdzić aktualny tekst ustawy w Dzienniku Ustaw.
Poza karami realne ryzyko to utrata kontraktów z klientami, którzy wymagają od dostawców potwierdzenia zgodności. Dowody regularnych testów są dla nich zwykle pierwszym dokumentem, o który proszą.
Od czego zacząć w firmie
Pierwszy krok to ustalenie, czy firma spełnia przesłanki podmiotu kluczowego lub ważnego. Drugi to inwentaryzacja domen, systemów dostępnych z internetu i poczty firmowej. Trzeci to regularny test zewnętrzny, który pokaże luki i zbuduje ścieżkę dowodową.
Hakowanie to automatyczny pentest zewnętrzny z raportem pod NIS2 i KSC, od 590 zł netto miesięcznie, zgodnie z cennikiem. Możesz zacząć od bezpłatnego sprawdzenia strony. Test automatyczny nie zastępuje audytu organizacyjnego ani ręcznej oceny, ale daje stały, udokumentowany obraz ekspozycji.
Pytania i odpowiedzi
Sprawdź swoją domenę teraz
Wpisz domenę i zobacz w kilkanaście sekund, co widzi atakujący.