NIS2 przestało być w Polsce tematem dotyczącym przyszłych zmian prawnych. 3 kwietnia 2026 roku weszła w życie ustawa z 23 stycznia 2026 r. o zmianie ustawy o krajowym systemie cyberbezpieczeństwa oraz niektórych innych ustaw, opublikowana w Dzienniku Ustaw pod pozycją 252.
Nowelizacja wdraża do polskiego prawa wymagania dyrektywy NIS2 i znacząco rozszerza katalog organizacji podlegających krajowemu systemowi cyberbezpieczeństwa. Ministerstwo Cyfryzacji szacuje, że nowe przepisy mogą objąć około 38 tysięcy podmiotów, w tym około 27 tysięcy podmiotów publicznych.
Dla przedsiębiorstw oznacza to konieczność odpowiedzi na dwa podstawowe pytania: czy firma podlega nowemu KSC oraz — jeśli tak — co musi wdrożyć i w jakim terminie?
NIS2 w Polsce — co właściwie zmieniło się w 2026 roku?
Dyrektywa NIS2 została przyjęta na poziomie Unii Europejskiej w 2022 roku. Jej celem jest podniesienie poziomu cyberbezpieczeństwa organizacji świadczących usługi istotne dla gospodarki i społeczeństwa.
W Polsce wymagania dyrektywy zostały wdrożone przede wszystkim poprzez nowelizację ustawy o krajowym systemie cyberbezpieczeństwa.
Ustawa została:
- uchwalona 23 stycznia 2026 roku,
- ogłoszona 2 marca 2026 roku,
- wprowadzona w życie 3 kwietnia 2026 roku.
Jedną z najważniejszych zmian jest zastąpienie wcześniejszego podziału na operatorów usług kluczowych i dostawców usług cyfrowych nowymi kategoriami:
podmiotów kluczowych oraz podmiotów ważnych.
Samo prowadzenie działalności gospodarczej nie oznacza jednak automatycznie podlegania KSC. Firma musi przeanalizować przede wszystkim sektor działalności, rodzaj świadczonych usług, wielkość przedsiębiorstwa oraz szczególne kryteria wskazane w ustawie.
Jakie firmy mogą zostać objęte NIS2?
Zakres nowych regulacji jest zdecydowanie szerszy niż wcześniej.
Wśród sektorów kluczowych znajdują się między innymi:
- energetyka,
- transport,
- bankowość,
- infrastruktura rynków finansowych,
- ochrona zdrowia,
- woda pitna,
- ścieki,
- infrastruktura cyfrowa,
- zarządzanie usługami ICT,
- administracja publiczna,
- przestrzeń kosmiczna.
Druga grupa obejmuje sektory określone w ustawie jako ważne. Znajdują się w niej między innymi wybrane przedsiębiorstwa zajmujące się produkcją, usługami pocztowymi, gospodarowaniem odpadami, produkcją i dystrybucją chemikaliów, żywnością, badaniami oraz usługami cyfrowymi.
W praktyce oznacza to, że obowiązki mogą dotyczyć również przedsiębiorstw, które wcześniej nie kojarzyły swojej działalności z regulowanym sektorem cyberbezpieczeństwa.
Nie należy więc zakładać, że NIS2 dotyczy wyłącznie banków, energetyki, telekomunikacji czy administracji.
Wielkość firmy również ma znaczenie
Przy kwalifikacji przedsiębiorstwa istotne są także kryteria wielkościowe. W uproszczeniu przepisy NIS2 koncentrują się przede wszystkim na średnich i dużych organizacjach działających w sektorach objętych regulacją.
Nie jest to jednak reguła bez wyjątków.
W określonych przypadkach przepisy mogą obejmować organizację niezależnie od jej wielkości. Dlatego samo stwierdzenie „jesteśmy małą firmą” nie powinno kończyć analizy.
Pierwszym etapem przygotowania do NIS2 powinna być więc formalna kwalifikacja organizacji na podstawie rzeczywistego profilu działalności oraz kryteriów określonych w KSC.
Obowiązek wpisu do Wykazu KSC
Jednym z pierwszych konkretnych obowiązków jest wpis do Wykazu podmiotów kluczowych i podmiotów ważnych.
Dla organizacji, które spełniały kryteria już w dniu wejścia nowych przepisów w życie, termin wynosi:
3 października 2026 roku.
Od 7 maja 2026 roku działa mechanizm samodzielnej rejestracji podmiotów, które nie zostały wpisane z urzędu.
Do przygotowania wniosku potrzebne mogą być między innymi dane identyfikacyjne organizacji, klasyfikacja sektorowa, dane osób odpowiedzialnych za kontakt w zakresie cyberbezpieczeństwa oraz informacje techniczne dotyczące wykorzystywanych adresów IP i domen.
Według informacji Ministerstwa Cyfryzacji wniosek może złożyć kierownik podmiotu lub osoba przez niego upoważniona.
Wpis nie jest przy tym wyłącznie formalnością. Stanowi również pierwszy krok do uzyskania dostępu do S46 Cyber Hub.
System S46 — kolejny obowiązek
Nowe podmioty objęte KSC muszą również korzystać z Systemu S46.
Platforma służy między innymi do:
- zgłaszania i obsługi incydentów,
- współpracy z właściwymi CSIRT,
- otrzymywania ostrzeżeń dotyczących cyberzagrożeń,
- wymiany informacji,
- komunikacji z organami właściwymi do spraw cyberbezpieczeństwa.
Dla podmiotów spełniających kryteria 3 kwietnia 2026 roku termin podłączenia do S46 upływa:
3 kwietnia 2027 roku.
Możliwość korzystania z systemu przez nowe podmioty została uruchomiona w czerwcu 2026 roku.
Firma musi wdrożyć System Zarządzania Bezpieczeństwem Informacji
Rejestracja jest dopiero początkiem.
Jednym z najważniejszych obowiązków wynikających z nowelizacji KSC jest wdrożenie Systemu Zarządzania Bezpieczeństwem Informacji — SZBI.
Nie powinien być on rozumiany jako pojedynczy program, firewall czy dokument przygotowany wyłącznie na potrzeby kontroli.
To zorganizowany system zarządzania ryzykiem cyberbezpieczeństwa obejmujący procesy, ludzi, technologie, odpowiedzialności i dokumentację.
W praktyce przedsiębiorstwo musi wiedzieć:
- jakie systemy i dane posiada,
- które zasoby są krytyczne dla działalności,
- jakie zagrożenia dotyczą tych zasobów,
- kto odpowiada za bezpieczeństwo,
- jakie zabezpieczenia zostały wdrożone,
- jak organizacja wykrywa incydenty,
- co dzieje się po wystąpieniu incydentu,
- jak firma odtwarza systemy po awarii lub cyberataku.
Dla podmiotów spełniających kryteria w dniu wejścia ustawy w życie termin wdrożenia obowiązków dotyczących SZBI przypada na 3 kwietnia 2027 roku.
Analiza ryzyka staje się podstawą bezpieczeństwa
Nowe wymagania nie polegają na wdrożeniu identycznego zestawu zabezpieczeń w każdej organizacji.
Punktem wyjścia powinno być ryzyko.
Firma powinna zidentyfikować systemy informacyjne wykorzystywane do świadczenia usług, określić występujące zagrożenia oraz zastosować środki organizacyjne i techniczne odpowiednie do skali ryzyka.
W praktyce analiza może obejmować między innymi:
- serwery fizyczne i wirtualne,
- stacje robocze,
- sieci LAN i Wi-Fi,
- urządzenia sieciowe,
- usługi chmurowe,
- Microsoft 365 lub Google Workspace,
- konta administracyjne,
- systemy ERP i CRM,
- backup,
- dostęp zdalny,
- urządzenia mobilne,
- dostawców zewnętrznych.
Dobrym punktem wyjścia jest więc techniczny audyt obecnej infrastruktury. Pozwala ustalić stan faktyczny przed przygotowaniem planu zmian.
Zarządzanie incydentami nie może być improwizowane
Firma objęta KSC musi posiadać procedury umożliwiające wykrywanie, analizowanie i obsługę incydentów cyberbezpieczeństwa.
W praktyce powinno być wcześniej ustalone między innymi:
kto otrzymuje alarm, kto podejmuje decyzję o izolacji urządzenia, kto kontaktuje się z CSIRT, gdzie znajdują się logi, kto posiada dostęp administracyjny oraz jak odtwarzane są usługi.
Procedura przygotowana dopiero po zaszyfrowaniu serwera przez ransomware jest procedurą przygotowaną za późno.
Nowelizacja wskazuje zgłaszanie incydentów do zespołów CSIRT oraz zarządzanie incydentami jako jeden z podstawowych obowiązków podmiotów kluczowych i ważnych.
Backup i ciągłość działania nabierają jeszcze większego znaczenia
Cyberbezpieczeństwo nie kończy się na zapobieganiu atakom.
Organizacja musi być przygotowana również na sytuację, w której zabezpieczenia nie powstrzymają incydentu.
Dlatego istotnym elementem systemu bezpieczeństwa jest ciągłość działania i możliwość odtworzenia danych.
Firma powinna wiedzieć:
- jakie dane są objęte backupem,
- jak często wykonywane są kopie,
- gdzie są przechowywane,
- kto może je usunąć,
- czy jedna infekcja może zaszyfrować również backup,
- ile trwa odtworzenie systemu,
- kiedy ostatnio wykonano rzeczywisty test odtworzenia.
Posiadanie kopii zapasowej nie jest równoznaczne z posiadaniem skutecznego procesu disaster recovery. Dopiero test odtworzenia pozwala zweryfikować, czy kopia rzeczywiście umożliwia powrót do działania.
Dostęp do systemów powinien być kontrolowany
Kolejnym obszarem wymagającym uporządkowania jest zarządzanie tożsamością i dostępem.
W wielu organizacjach problemem nadal pozostają współdzielone konta, nieużywane konta byłych pracowników, nadmierne uprawnienia administracyjne czy brak dodatkowego zabezpieczenia logowania.
W praktyce warto uporządkować:
- konta użytkowników,
- konta administratorów,
- uprawnienia do danych,
- proces nadawania i odbierania dostępów,
- uwierzytelnianie wieloskładnikowe,
- dostęp zdalny,
- okresowy przegląd uprawnień.
Szczególnie konta uprzywilejowane powinny podlegać ścisłej kontroli, ponieważ przejęcie jednego konta administratora może umożliwić atakującemu dostęp do znacznej części infrastruktury.
Łańcuch dostaw również jest częścią cyberbezpieczeństwa
NIS2 zwraca uwagę nie tylko na zabezpieczenia wewnątrz przedsiębiorstwa.
Znaczenie ma również bezpieczeństwo dostawców.
Firma może posiadać dobrze zabezpieczoną sieć, ale jednocześnie korzystać z usług zewnętrznego administratora, producenta oprogramowania lub dostawcy systemu posiadającego uprzywilejowany dostęp do infrastruktury.
Dlatego analizie powinny podlegać również:
- zewnętrzne firmy IT,
- dostawcy oprogramowania,
- dostawcy usług chmurowych,
- operatorzy centrów danych,
- firmy posiadające zdalny dostęp do systemów,
- podwykonawcy obsługujący krytyczne procesy.
W umowach warto jasno określić odpowiedzialność za bezpieczeństwo, obsługę incydentów, aktualizacje, dostęp administracyjny i ciągłość działania.
Kierownictwo firmy nie może całkowicie przenieść problemu na dział IT
Jedną z istotnych zmian podejścia wynikającego z NIS2 jest silniejsze powiązanie cyberbezpieczeństwa z zarządzaniem organizacją.
Cyberbezpieczeństwo nie jest wyłącznie problemem administratora.
Zarząd lub kierownictwo musi mieć wiedzę pozwalającą oceniać ryzyko oraz nadzorować wdrażanie wymaganych środków bezpieczeństwa.
Oznacza to konieczność przygotowania czytelnego podziału odpowiedzialności.
Powinno być wiadomo, kto odpowiada za systemy, kto podejmuje decyzje podczas incydentu, kto zatwierdza ryzyko oraz kto nadzoruje realizację działań naprawczych.
Audyty cyberbezpieczeństwa
Dodatkowy obowiązek dotyczy podmiotów kluczowych.
Podmioty kluczowe objęte odpowiednimi przepisami muszą przeprowadzać audyty cyberbezpieczeństwa. Dla nowych podmiotów kluczowych spełniających przesłanki w momencie wejścia nowelizacji w życie pierwszy obowiązkowy audyt powinien zostać wykonany do:
3 kwietnia 2028 roku.
Kolejne audyty mają być wykonywane co najmniej raz na trzy lata.
Nie oznacza to jednak, że firma powinna czekać do 2028 roku z oceną infrastruktury. Wcześniejsza analiza techniczna jest potrzebna już do przygotowania SZBI i określenia ryzyka.
Najważniejsze terminy NIS2 i KSC
Dla podmiotów, które spełniały kryteria w momencie wejścia nowelizacji w życie, harmonogram wygląda następująco:
3 kwietnia 2026 r.
Wejście w życie nowelizacji KSC.
7 maja 2026 r.
Uruchomienie samodzielnej rejestracji w Wykazie KSC.
3 października 2026 r.
Termin wpisu do Wykazu KSC dla podmiotów objętych obowiązkiem samorejestracji.
3 kwietnia 2027 r.
Termin podłączenia do Systemu S46 oraz wdrożenia obowiązków dotyczących SZBI dla podmiotów spełniających kryteria 3 kwietnia 2026 r.
3 kwietnia 2028 r.
Termin pierwszego obowiązkowego audytu dla nowych podmiotów kluczowych objętych tym obowiązkiem.
Jeżeli firma zacznie spełniać kryteria później, terminy należy liczyć zgodnie z zasadami określonymi w ustawie, a nie automatycznie według powyższych dat.
Jak przygotować firmę do NIS2?
Najgorszym rozwiązaniem jest rozpoczęcie od kupowania kolejnych produktów bezpieczeństwa bez wcześniejszej analizy.
Firewall nowej generacji, EDR czy dodatkowy backup mogą być potrzebne, ale same w sobie nie zapewniają zgodności.
Rozsądna kolejność działań wygląda następująco:
- Sprawdzenie, czy firma podlega KSC.
- Określenie, czy jest podmiotem kluczowym czy ważnym.
- Przeprowadzenie inwentaryzacji infrastruktury i systemów.
- Wykonanie analizy ryzyka oraz oceny istniejących zabezpieczeń.
- Przygotowanie planu usunięcia zidentyfikowanych braków.
- Uporządkowanie dokumentacji, odpowiedzialności i procedur.
- Wdrożenie wymaganych zabezpieczeń technicznych i organizacyjnych.
- Przygotowanie procedury obsługi incydentów i ciągłości działania.
- Przetestowanie backupu i procesu odtwarzania.
- Monitorowanie infrastruktury i okresowa weryfikacja skuteczności zabezpieczeń.
W tym procesie pomocny może być audyt IT, obejmujący między innymi serwery, komputery, sieć LAN i Wi-Fi, konta użytkowników, uprawnienia, backup, aktualizacje oraz podstawowe zabezpieczenia.
NIS2 nie oznacza jednorazowego projektu
To jedna z najważniejszych rzeczy, które przedsiębiorstwa powinny zrozumieć.
Nie można „wdrożyć NIS2”, przygotować dokumentacji i uznać procesu za zakończony.
Infrastruktura zmienia się cały czas. Pojawiają się nowe komputery, użytkownicy, aplikacje, serwery, dostawcy i podatności. Zmieniają się również metody działania cyberprzestępców.
Dlatego bezpieczeństwo musi być procesem ciągłym obejmującym między innymi:
- aktualizacje,
- monitoring,
- zarządzanie podatnościami,
- backup,
- kontrolę uprawnień,
- analizę logów,
- obsługę incydentów,
- testowanie procedur,
- szkolenia użytkowników.
W organizacji bez własnego rozbudowanego działu informatycznego część tych zadań może realizować zewnętrzny zespół w ramach obsługi informatycznej firmy.
Czy każda firma musi spełniać NIS2?
Nie.
Nowelizacja KSC nie obejmuje automatycznie każdego przedsiębiorstwa działającego w Polsce.
Jednocześnie błędem byłoby przyjęcie założenia, że regulacja dotyczy wyłącznie największych korporacji i infrastruktury krytycznej.
Zakres sektorów został istotnie rozszerzony. Dlatego przedsiębiorstwa działające w obszarach wskazanych w ustawie powinny przeprowadzić formalną analizę swojej sytuacji.
Dodatkowo firma nieobjęta bezpośrednio KSC może spotkać się z wymaganiami dotyczącymi cyberbezpieczeństwa ze strony kontrahenta podlegającego regulacji. Wynika to między innymi z konieczności zarządzania ryzykiem związanym z łańcuchem dostaw.
Co zrobić w pierwszej kolejności?
Jeżeli firma nie rozpoczęła jeszcze przygotowań, pierwszym działaniem nie powinien być zakup oprogramowania.
Najpierw trzeba ustalić stan faktyczny.
Należy określić, jakie systemy są używane, gdzie znajdują się dane, kto posiada dostęp administracyjny, jak wykonywany jest backup, jakie zabezpieczenia działają na urządzeniach oraz jak organizacja zachowa się po wystąpieniu incydentu.
Dopiero na tej podstawie można przygotować listę braków oraz plan działań.
Exabytes może pomóc w technicznej ocenie infrastruktury poprzez audyt IT, a następnie we wdrażaniu rekomendowanych zmian dotyczących sieci, serwerów, backupu, dostępów oraz bieżącego utrzymania środowiska.
Podsumowanie
NIS2 w Polsce obowiązuje od 3 kwietnia 2026 roku poprzez znowelizowaną ustawę o krajowym systemie cyberbezpieczeństwa.
Dla firm objętych regulacją oznacza to konkretne obowiązki, a nie wyłącznie rekomendacje dotyczące dobrych praktyk.
Najważniejsze działania obejmują kwalifikację organizacji, wpis do Wykazu KSC, podłączenie do S46, wdrożenie SZBI, zarządzanie ryzykiem, zabezpieczenie infrastruktury, przygotowanie procedur obsługi incydentów oraz zapewnienie ciągłości działania.
W przypadku podmiotów kluczowych dochodzi również obowiązek okresowych audytów.
Dla wielu organizacji najbliższym istotnym terminem jest 3 października 2026 roku, czyli termin dokonania wpisu do Wykazu KSC dla podmiotów spełniających kryteria w dniu wejścia nowelizacji w życie i podlegających samorejestracji.
Delikatne CTA
Jeżeli nie wiesz, czy obecna infrastruktura firmy jest przygotowana na wymagania wynikające z KSC, warto rozpocząć od oceny technicznej środowiska.
Exabytes może przeanalizować serwery, sieć, komputery, konta użytkowników, backup oraz stosowane zabezpieczenia i wskazać obszary wymagające poprawy.
Sprawdź audyt IT Exabytes lub skontaktuj się z nami.
Najnowsze komentarze