Dyrektywa NIS2 w Polsce – co się zmienia i dla kogo

Czym jest dyrektywa NIS2 i co zmienia w polskim prawie?

NIS2 zastąpiła poprzednią dyrektywę NIS z 2016 r., która okazała się zbyt wąska zakresowo i zbyt różnie interpretowana przez poszczególne państwa – co przekładało się na nierówny poziom ochrony na jednolitym rynku cyfrowym.

Nowa dyrektywa ujednolica minimalne standardy w całej Unii: obejmuje więcej sektorów, więcej podmiotów i wyraźnie przypisuje odpowiedzialność za cyberbezpieczeństwo organom zarządzającym, nie działom IT. Polska wdrożyła ją z opóźnieniem: unijny termin transpozycji upłynął w październiku 2024 r., ustawa wchodzi w życie 3 kwietnia 2026 r. Przy podpisaniu Prezydent RP skierował wybrane przepisy – dotyczące obowiązków nakładanych na przedsiębiorców w związku z procedurą uznawania dostawców wysokiego ryzyka – do kontroli następczej przez Trybunał Konstytucyjny, co nie wstrzymuje obowiązywania ustawy.

Dyrektywa NIS2 i jej implementacja do polskiego prawa – ważne dla firm

Kogo dotyczy dyrektywa NIS2 w Polsce?

Poprzednia ustawa o KSC z 2018 r. obejmowała w Polsce kilkuset operatorów usług kluczowych, skupionych głównie w sektorach energetyki, transportu i bankowości. Znowelizowana ustawa znacząco rozszerza ten zakres – szacunki wahają się od kilkunastu do kilkudziesięciu tysięcy podmiotów. Ostateczna liczba będzie znana dopiero po zakończeniu procesu samoidentyfikacji i rejestracji.

Przepisy stosuje się do podmiotów działających w 18 sektorach. Do sektorów wysokiej krytyczności zalicza się: energetykę, transport, bankowość i infrastrukturę rynków finansowych, ochronę zdrowia, wodociągi i kanalizację, infrastrukturę cyfrową, zarządzanie usługami ICT, administrację publiczną oraz przestrzeń kosmiczną. Do sektorów krytycznych – m.in. usługi pocztowe, gospodarka odpadami, produkcja i dystrybucja chemikaliów, wybrane działy przemysłu produkcyjnego, dostawcy usług cyfrowych oraz wybrane organizacje badawcze. Osobną uwagę należy zwrócić na sektor finansowy: banki, instytucje płatnicze i inne podmioty objęte rozporządzeniem DORA (Digital Operational Resilience Act) podlegają temu rozporządzeniu jako przepisowi szczegółowemu – lex specialis – wobec NIS2. W praktyce oznacza to, że DORA jako lex specialis ma pierwszeństwo w zakresie cyberbezpieczeństwa sektora finansowego. Ustawa o KSC może znajdować zastosowanie jedynie w obszarach wyraźnie nieregulowanych przez DORA, co w praktyce stanowi zakres minimalny lub dyskusyjny. Jest to obszar, który wciąż się kształtuje w praktyce – ostateczna granica między tymi dwoma aktami będzie wypracowywana przez organy nadzoru i orzecznictwo.

Administracja publiczna znalazła się w grupie sektorów wysokiej krytyczności. Jednostki administracji centralnej i regionalnej podlegają przepisom w zależności od charakteru i zakresu realizowanych zadań – zakres obowiązków zależy od tego, czy dana jednostka zostanie zakwalifikowana jako podmiot kluczowy czy ważny. Oznacza to wymagania obejmujące m.in.: politykę zarządzania ryzykiem, plany ciągłości działania, obowiązkowe szkolenia kadry kierowniczej i ścisłe terminy raportowania incydentów. Ustawa przewiduje wyłączenia dla jednostek wykonujących zadania w zakresie bezpieczeństwa narodowego, obronności lub egzekwowania prawa – podmioty z tych obszarów powinny zweryfikować swój status indywidualnie.

Kryterium wielkości różni się w zależności od kategorii. Podmiotami ważnymi są co do zasady średnie przedsiębiorstwa – zatrudniające co najmniej 50 pracowników oraz osiągające roczny obrót przekraczający 10 mln euro lub sumę bilansową przekraczającą 10 mln euro. Podmiotami kluczowymi są zazwyczaj duże przedsiębiorstwa – zatrudniające co najmniej 250 pracowników i osiągające obrót powyżej 50 mln euro lub sumę bilansową powyżej 43 mln euro.

Część podmiotów kwalifikuje się do kategorii kluczowej niezależnie od wielkości – dotyczy to m.in. kwalifikowanych dostawców usług zaufania, rejestrów domen TLD i dostawców usług DNS. Podmioty poniżej progu średniego przedsiębiorstwa są co do zasady wyłączone – z wyjątkiem przypadków, gdy organ właściwy uzna dany podmiot za kluczowy ze względu na jego specyficzne znaczenie systemowe.

Podmioty spełniające kryteria dzielą się na dwie kategorie. Podmioty kluczowe podlegają nadzorowi aktywnemu – organ może prowadzić kontrolę bez uprzedniego incydentu. Podmioty ważne podlegają nadzorowi reaktywnemu – kontrola uruchamiana jest co do zasady po zgłoszeniu incydentu lub sygnale zewnętrznym. Katalog obowiązków merytorycznych jest dla obu kategorii identyczny, jednak różnią się one zasadniczo w kwestii audytów bezpieczeństwa. Podmioty kluczowe mają ustawowy obowiązek przeprowadzania regularnych audytów bezpieczeństwa na własny koszt – pierwszy audyt do 24 miesięcy od wejścia ustawy w życie, kolejne nie rzadziej niż co 3 lata. Podmioty ważne nie mają żadnego automatycznego, cyklicznego obowiązku audytowego; audyt bezpieczeństwa odbywa się u nich wyłącznie wtedy, gdy organ nadzorczy nakaże go odrębną decyzją administracyjną.

Jak NIS2 wpływa na firmy nieobjęte ustawą – łańcuch dostaw i pośrednie obowiązki dla MŚP?

NIS2 wprowadza mechanizm, który de facto rozszerza standardy bezpieczeństwa na firmy formalnie nieobjęte ustawą. Każdy podmiot kluczowy i ważny ma ustawowy obowiązek zarządzania ryzykiem w swoim łańcuchu dostaw – co oznacza konieczność oceny praktyk bezpieczeństwa istotnych dostawców technologii, oprogramowania i usług, stosownie do znaczenia danego dostawcy dla ciągłości i bezpieczeństwa świadczonej usługi.

W praktyce oznacza to, że duże organizacje – szpitale, banki, operatorzy energetyczni – będą zobligowane do weryfikacji standardów cyberbezpieczeństwa u swoich kontrahentów, niezależnie od ich wielkości. Mała firma dostarczająca oprogramowanie lub usługi serwisowe musi liczyć się z tym, że jej zleceniodawca przeniesie wymogi NIS2 na nią drogą kontraktową: przez klauzule bezpieczeństwa, wymogi posiadania określonych certyfikatów (np. ISO 27001) lub wdrożenia konkretnych zabezpieczeń technicznych.

Brak dostosowania się do tych oczekiwań może skutkować nie tyle karą od organu nadzoru, co utratą możliwości współpracy z kluczowymi partnerami biznesowymi – dla których współpraca z dostawcą niespełniającym ich wymogów bezpieczeństwa stanie się ryzykiem prawnym i finansowym, którego woleliby uniknąć.

Jakie obowiązki nakłada NIS2 na podmioty kluczowe i ważne?

Ustawa wprowadza obowiązek wdrożenia systemu zarządzania bezpieczeństwem informacji opartego na analizie ryzyka – nie jako jednorazowy projekt, lecz ciągły proces identyfikacji zagrożeń, wdrażania proporcjonalnych środków i ich regularnego przeglądu. Główne obowiązki obejmują:

• Polityka zarządzania ryzykiem cyberbezpieczeństwa – udokumentowana, zatwierdzona przez organ zarządzający i cyklicznie aktualizowana.
• Zarządzanie bezpieczeństwem w łańcuchu dostaw – ocena ryzyk wynikających z relacji z zewnętrznymi dostawcami oprogramowania, sprzętu i usług chmurowych.
• Plan ciągłości działania i odtwarzania po awarii – procedury utrzymania lub przywrócenia działalności po incydencie, obejmujące zarządzanie kopiami zapasowymi i testowanie scenariuszy odtworzeniowych.
• Bezpieczeństwo zasobów ludzkich – procedury kontroli dostępu, zarządzania uprawnieniami oraz postępowania przy zatrudnianiu i rozwiązywaniu współpracy.
• Stosowanie kryptografii i szyfrowania – tam gdzie jest to uzasadnione charakterem przetwarzanych danych lub świadczonych usług.
• Szkolenia dla organów zarządzających – obowiązek regularnego podnoszenia kompetencji w zakresie cyberbezpieczeństwa przez członków zarządów i rad nadzorczych.

Ten ostatni punkt odzwierciedla jedno z kluczowych założeń dyrektywy: decyzje o poziomie inwestycji w bezpieczeństwo, o akceptowalnym ryzyku i o priorytetyzacji działań są decyzjami zarządczymi, nie technicznymi. Ustawa wprost przypisuje odpowiedzialność za wdrożenie i nadzór nad systemem cyberbezpieczeństwa organowi zarządzającemu – niezależnie od wewnętrznej struktury delegacji zadań. Wszystkie wymienione obowiązki muszą być wdrożone w ciągu 12 miesięcy od dnia wejścia ustawy w życie, czyli do kwietnia 2027 r.

Warto odnotować, że dla wybranych kategorii podmiotów cyfrowych – dostawców usług DNS, rejestrów TLD, dostawców usług chmurowych, centrów danych, dostawców CDN oraz zarządzanych usług bezpieczeństwa – szczegółowe wymogi techniczne i metodyczne określa bezpośrednio obowiązujące Rozporządzenie Wykonawcze Komisji (UE) 2024/2690 z dnia 17 października 2024 r. Jako rozporządzenie unijne stosuje się ono bezpośrednio, bez potrzeby transpozycji, i obowiązuje te podmioty równolegle z polską ustawą o KSC.

Jak wygląda raportowanie incydentów cyberbezpieczeństwa zgodnie z NIS2?

Ustawa wprowadza ścisłe ramy czasowe dla zgłaszania poważnych incydentów cyberbezpieczeństwa. Incydent poważny to taki, który powoduje lub może spowodować istotne zakłócenie świadczonych usług lub znaczące straty finansowe – szczegółowe progi liczbowe (m.in. liczba dotkniętych użytkowników, czas trwania zakłócenia, zasięg geograficzny) precyzuje Rozporządzenie Wykonawcze Komisji (UE) 2024/2690. Zgłoszenia trafiają do właściwych CSIRT (sektorowych lub CSIRT GOV) za pośrednictwem systemu teleinformatycznego S46. Do czasu osiągnięcia zdolności operacyjnej przez CSIRT sektorowe – które mają 18 miesięcy od wejścia ustawy w życie na ich powołanie – incydenty są zgłaszane do właściwego CSIRT MON, CSIRT NASK lub CSIRT GOV.

Procedura raportowania przebiega trzyetapowo:

• Do 24 godzin od powzięcia wiadomości o incydencie – wstępne ostrzeżenie. Wymagana jest podstawowa informacja o fakcie zaistnienia incydentu; pełna analiza nie jest na tym etapie wymagana.
• Do 72 godzin – zgłoszenie incydentu zawierające wstępną ocenę jego charakteru, zasięgu, prawdopodobnych przyczyn oraz podjętych środków zaradczych.
• Do 30 dni od zgłoszenia 72-godzinnego – sprawozdanie końcowe z pełną dokumentacją przebiegu incydentu, jego przyczyn, skutków i działań naprawczych.

Terminy biegną od chwili, gdy podmiot uzyskał wiedzę o incydencie, nie od momentu jego zakończenia ani potwierdzenia pełnego zakresu. Opóźnienie lub zaniechanie zgłoszenia stanowi odrębne naruszenie przepisów, niezależne od oceny samego incydentu.

Jakie kary grożą za naruszenie przepisów NIS2?

Maksymalne kary administracyjne wynoszą dla podmiotów kluczowych 10 mln euro lub 2% globalnego rocznego obrotu (stosuje się wyższą wartość). Dla podmiotów ważnych górna granica to 7 mln euro lub 1,4% obrotu. Ustawa przewiduje też możliwość nakładania kar okresowych za każdy dzień utrzymywania się naruszenia. Odrębny, szczególny próg dotyczy naruszeń, które powodują bezpośrednie i poważne zagrożenie dla obronności lub bezpieczeństwa państwa, bezpieczeństwa i porządku publicznego albo życia i zdrowia ludzi – w takich przypadkach kara administracyjna nałożona na organizację może sięgnąć 100 000 000 zł.

Przepisy wprowadzają też odpowiedzialność osobistą kierownictwa. W przypadku naruszenia obowiązków przez podmiot kluczowy lub ważny organ nadzoru może nałożyć na kierownika tego podmiotu karę pieniężną do wysokości 300% jego miesięcznego wynagrodzenia. W przypadkach powtarzającego się lub rażącego naruszenia możliwe jest również czasowe zawieszenie w pełnieniu funkcji zarządczych.

Kiedy trzeba wdrożyć NIS2 – harmonogram i terminy?

Ustawa wchodzi w życie 3 kwietnia 2026 r. Od tej daty biegną następujące terminy dla podmiotów, które już w dniu wejścia ustawy spełniają kryteria kwalifikacji:

• 6 miesięcy na samoidentyfikację i złożenie wniosku o wpis do wykazu podmiotów kluczowych i ważnych – do początku października 2026 r.
• 12 miesięcy na wdrożenie wymaganych środków technicznych i organizacyjnych – do kwietnia 2027 r.
• 24 miesiące – od tego momentu możliwe jest nakładanie kar pieniężnych za naruszenia – od kwietnia 2028 r.

Dla podmiotów, które nabędą status kluczowego lub ważnego po dacie wejścia ustawy w życie, terminy na samoidentyfikację i wdrożenie biegną odpowiednio od dnia spełnienia kryteriów kwalifikacji.

Na co zwrócić uwagę przed terminem rejestracji?

Polisa cybernetyczna a kary NIS2. Standardowe polisy obejmują koszty reagowania na incydenty, obsługę prawną i odszkodowania dla stron trzecich. Kary administracyjne i sankcje regulacyjne są jednak w wielu produktach wyłączone z ochrony lub schowane za osobną klauzulą. Firmy, które liczą na to, że ubezpieczyciel pokryje ewentualną karę z NIS2, powinny zweryfikować OWU przed zaistnieniem potrzeby.

Dokumentacja odpowiedzialności wewnętrznej. Ustawa wskazuje organ zarządzający jako podmiot odpowiedzialny za nadzór nad systemem bezpieczeństwa. Wewnętrzna delegacja zadań na dyrektora IT czy zewnętrznego dostawcę jest dopuszczalna, nie przenosi jednak odpowiedzialności prawnej. Praktycznie rzecz biorąc: jeśli w razie kontroli nie ma dokumentu potwierdzającego, że zarząd zatwierdził politykę bezpieczeństwa i nadzoruje jej realizację, delegacja niewiele pomaga.

Progi w grupach kapitałowych. Progi wielkości – zarówno dla podmiotów ważnych (50 pracowników i obrót lub suma bilansowa powyżej 10 mln euro), jak i kluczowych (250 pracowników i obrót powyżej 50 mln euro lub suma bilansowa powyżej 43 mln euro) – są oceniane na bieżąco. Spółka, która przekroczy właściwy próg w trakcie roku, staje się objęta przepisami od tego momentu. W dynamicznie rosnących grupach warto wprowadzić systematyczny monitoring zamiast sprawdzać stan raz w roku przy zamknięciu bilansu.

Podsumowanie

NIS2 rozszerza zakres obowiązków w obszarze cyberbezpieczeństwa na znacznie szersze grono podmiotów niż dotychczasowe przepisy krajowe. Kluczowe zmiany to: rozszerzenie listy sektorów objętych regulacją, obniżenie progu wielkości, przypisanie odpowiedzialności za cyberbezpieczeństwo organom zarządzającym, ujednolicenie i zaostrzenie zasad raportowania incydentów oraz wprowadzenie osobistej odpowiedzialności kierownictwa.

Dla organizacji, które dotychczas nie były objęte podobnymi przepisami, punktem wyjścia jest ustalenie, czy nowe regulacje ich dotyczą, a jeśli tak – ocena, które z wymaganych elementów są już wdrożone, a które wymagają uzupełnienia. Ustawa przewiduje 12-miesięczny okres na pełne dostosowanie, liczony od daty wejścia przepisów w życie.