NIS2 i nowa ustawa o KSC: czy dotyczy Twojej firmy?
NIS2 to unijna dyrektywa 2022/2555 o cyberbezpieczeństwie, którą Polska wdrożyła nowelizacją ustawy o krajowym systemie cyberbezpieczeństwa, obowiązującą od 3 kwietnia 2026 r. Dotyczy co do zasady średnich i dużych firm z sektorów wymienionych w załącznikach ustawy. Firmy spełniające kryteria tego dnia miały według gov.pl czas na wniosek o wpis do wykazu do 3 października 2026 r.
NIS2: co to jest i jak ma się do KSC?
NIS2 to dyrektywa (UE) 2022/2555, a KSC to polska ustawa z 5 lipca 2018 r. o krajowym systemie cyberbezpieczeństwa, która tę dyrektywę wdraża. Dyrektywa nie nakłada obowiązków bezpośrednio na firmy, więc wynikają one z ustawy po nowelizacji z 23 stycznia 2026 r. (Dz.U. 2026 poz. 252).
Państwa miały przyjąć przepisy wdrażające NIS2 do 17 października 2024 r. (art. 41 dyrektywy). Polska nowelizacja została ogłoszona 2 marca 2026 r. i weszła w życie 3 kwietnia 2026 r.
Kogo dotyczy NIS2 w Polsce?
Podmiotów kluczowych i ważnych z art. 5 ustawy o KSC. O kwalifikacji decydują dwa pytania: czy firma jest wskazana w załączniku nr 1 lub nr 2 do ustawy i jaka jest jej wielkość według załącznika I do rozporządzenia Komisji 651/2014.
| Podmiot kluczowy | Podmiot ważny | |
|---|---|---|
| Sektor | Załącznik nr 1 (sektory kluczowe) | Załącznik nr 1 albo nr 2 (sektory ważne) |
| Wielkość | Przewyższa wymogi dla średniego przedsiębiorstwa | Średnie przedsiębiorstwo z załącznika nr 1 albo średnie i większe z załącznika nr 2 |
| Przykładowe sektory | Energia, transport, bankowość, ochrona zdrowia, woda i ścieki, infrastruktura cyfrowa, zarządzanie usługami ICT, przestrzeń kosmiczna | Usługi pocztowe, gospodarowanie odpadami, chemikalia, żywność, produkcja, dostawcy usług cyfrowych, badania naukowe |
Część podmiotów podlega ustawie niezależnie od wielkości, na przykład dostawcy usług DNS, kwalifikowani dostawcy usług zaufania i podmioty świadczące usługi rejestracji nazw domen. Mała firma spoza tej listy co do zasady nie jest podmiotem kluczowym ani ważnym, ale może być dostawcą takiego podmiotu i dostać od niego wymagania w umowie.
Jak ustalić, czy firma jest średnim przedsiębiorstwem?
Ustawa odsyła do art. 2 załącznika I rozporządzenia 651/2014. Średnie przedsiębiorstwo zatrudnia mniej niż 250 osób i ma roczny obrót do 50 mln euro albo sumę bilansową do 43 mln euro, a nie mieści się w progach małego.
| Kategoria | Zatrudnienie | Obrót lub suma bilansowa |
|---|---|---|
| Mikro | mniej niż 10 | do 2 mln euro |
| Małe | mniej niż 50 | do 10 mln euro |
| Średnie | mniej niż 250 | obrót do 50 mln euro albo suma bilansowa do 43 mln euro |
Wielkość bada się według stanu na dzień sporządzenia sprawozdania finansowego (art. 5 ust. 5). Dane firm powiązanych i partnerskich mogą podnieść kategorię, ale ustawa przewiduje wyjątek, gdy system informacyjny firmy jest niezależny od systemów grupy (art. 5 ust. 6 i 7).
Kiedy NIS2 obowiązuje w Polsce: najważniejsze terminy?
Nowelizacja KSC obowiązuje od 3 kwietnia 2026 r. Firmy, które tego dnia spełniały kryteria, mają 12 miesięcy na wdrożenie obowiązków z rozdziału 3 ustawy, a podmioty kluczowe 24 miesiące na pierwszy audyt (art. 33 ustawy zmieniającej).
| Termin | Obowiązek |
|---|---|
| 3 kwietnia 2026 r. | Wejście w życie nowelizacji KSC |
| 3 października 2026 r. | Według gov.pl ostatni dzień na wniosek o wpis do wykazu w systemie S46 dla firm spełniających kryteria 3 kwietnia 2026 r. |
| 3 kwietnia 2027 r. | Wdrożenie obowiązków z rozdziału 3, w tym systemu zarządzania bezpieczeństwem informacji (SZBI) |
| 3 kwietnia 2028 r. | Pierwszy audyt podmiotu kluczowego, potem co najmniej raz na 3 lata |
Firma, która spełni kryteria później, składa wniosek w ciągu 6 miesięcy od spełnienia przesłanek (art. 7c ust. 1). Kary pieniężne z art. 73 ust. 1-4, 73a-73c i 76b mogą być nałożone po raz pierwszy po upływie 2 lat od wejścia ustawy w życie, czyli po 3 kwietnia 2028 r. (art. 35 ustawy zmieniającej).
Jak sprawdzić, czy firma podlega KSC?
Przez samoocenę: firma sama ustala, czy spełnia przesłanki, i sama składa wniosek o wpis. Wpisu dokonuje się z chwilą złożenia wniosku w systemie teleinformatycznym (art. 7d ust. 1).
- 1
Sprawdź sektor
Porównaj swoją działalność z rodzajami podmiotów w załącznikach nr 1 i 2. Liczy się opis rodzaju podmiotu, nie sama nazwa sektora: w transporcie drogowym załącznik nr 1 wymienia zarządców dróg i podmioty świadczące usługę ITS.
- 2
Sprawdź wielkość
Zatrudnienie, obrót i suma bilansowa według rozporządzenia 651/2014, z uwzględnieniem firm powiązanych i partnerskich.
- 3
Sprawdź wyjątki
Czy firma nie należy do kategorii objętych ustawą bez względu na wielkość.
- 4
Złóż wniosek
W postaci elektronicznej, z podpisem kwalifikowanym, zaufanym lub osobistym kierownika albo osoby upoważnionej, z oświadczeniem o prawdziwości danych (art. 7c ust. 5 i 6).
- 5
Pilnuj zmian
Zmianę danych zgłasza się w ciągu 14 dni (art. 7c ust. 3).
Czy NIS2 wymaga audytu?
Tak, od podmiotu kluczowego. Przeprowadza on na własny koszt audyt bezpieczeństwa systemu informacyjnego co najmniej raz na 3 lata (art. 15 ust. 1), a pierwszy w ciągu 24 miesięcy od spełnienia przesłanek. Podmiot ważny wdraża SZBI, ale cyklicznego audytu ustawa od niego nie wymaga.
Kierownik podmiotu podejmuje decyzje o SZBI i planuje na niego środki finansowe (art. 8d), a raz w roku kalendarzowym przechodzi udokumentowane szkolenie (art. 8e). Za niewykonanie obowiązków kierownikowi grozi kara do 300% wynagrodzenia (art. 73a ust. 4).
Jak przygotować się do KSC w EXCORE?
EXCORE nie ma dziś osobnego modułu NIS2. Części pracy prowadzi się w istniejących modułach: Ryzyka, Audyty i kontrole, Systemy i narzędzia, Polityki firmowe, Szkolenia i Procedury.
- Ryzyka: ocena przed i po zabezpieczeniach, próg, powyżej którego firma działa, właściciel ryzyka i termin ponownej oceny.
- Audyty i kontrole: audyt z normą (na liście jest ISO 27001), audytorem, oceną i liczbą niezgodności.
- Systemy i narzędzia: spis systemów z właścicielem, dostawcą i miejscem przechowywania danych.
- Polityki firmowe z kategorią „Polityka bezpieczeństwa IT” i potwierdzeniem zapoznania z datą i wersją.
- Weryfikacja dwuetapowa (2FA), której administrator może wymagać od wszystkich w firmie.
Tekst ma charakter informacyjny i nie zastępuje porady. Kwalifikację firmy jako podmiotu kluczowego lub ważnego, zwłaszcza po terminie na wpis do wykazu, warto skonsultować z prawnikiem.
Pytania
Czy NIS2 dotyczy małej firmy?
Co do zasady nie, bo progi zaczynają się od średniego przedsiębiorstwa. Wyjątkiem są kategorie objęte ustawą bez względu na wielkość. Mała firma może jednak dostać wymagania od klienta, który jest podmiotem kluczowym lub ważnym.
Do kiedy trzeba się zarejestrować jako podmiot kluczowy lub ważny?
Firmy, które spełniały przesłanki 3 kwietnia 2026 r., miały według gov.pl złożyć wniosek o wpis do wykazu do 3 października 2026 r. przez system S46. Pozostałe składają go w ciągu 6 miesięcy od spełnienia przesłanek.
Jakie kary przewiduje nowa ustawa o KSC?
Dla podmiotu kluczowego do 10 mln euro albo 2% przychodów (stosuje się kwotę wyższą), nie mniej niż 20 000 zł. Dla ważnego do 7 mln euro albo 1,4% przychodów, nie mniej niż 15 000 zł. Dla kierownika do 300% wynagrodzenia.
Czy NIS2 obowiązuje w Polsce?
Tak, przez nowelizację ustawy o krajowym systemie cyberbezpieczeństwa (Dz.U. 2026 poz. 252), obowiązującą od 3 kwietnia 2026 r.
Czy firma transportowa podlega ustawie o KSC?
To zależy od rodzaju działalności, nie od samej branży. Załącznik nr 1 wymienia konkretne rodzaje podmiotów w transporcie lotniczym, kolejowym, wodnym i drogowym. Przewoźnik drogowy powinien porównać swoją działalność z tym wykazem i potwierdzić wynik z prawnikiem.
Źródła
- Dyrektywa (UE) 2022/2555 (NIS2), tekst polski (EUR-Lex)
- Ustawa z 23 stycznia 2026 r. o zmianie ustawy o KSC, Dz.U. 2026 poz. 252 (ISAP)
- gov.pl: nowelizacja ustawy o krajowym systemie cyberbezpieczeństwa (terminy)
- Rozporządzenie Komisji (UE) 651/2014, załącznik I: definicja MŚP (EUR-Lex)
- Ministerstwo Cyfryzacji: obowiązki podmiotów kluczowych i ważnych (terminy)
- Ministerstwo Cyfryzacji: samorejestracja w Wykazie KSC, termin 3 października 2026 r.
- biznes.gov.pl: NIS2 w Polsce
EXCORE jest otwierany dla pierwszych firm.
Zobaczmy, czy pasuje do Twojej organizacji. Zostaw kontakt, a umówimy prezentację.
Umów prezentację