FAQ – najczęściej zadawane pytania o dyrektywę NIS2

• Czy NIS2 dotyczy urzędów, szpitali i jednostek samorządu terytorialnego?
• Czy moja firma musi samodzielnie sprawdzić, czy podlega NIS2?
• Czy mała firma (poniżej 50 pracowników) może być objęta NIS2?
• Czym różni się podmiot kluczowy od ważnego?
• Ile czasu jest na wdrożenie wymagań NIS2?
• Kiedy mogą zostać nałożone kary finansowe?
• Czy prezes lub członek zarządu może ponieść osobistą odpowiedzialność za naruszenie NIS2?
• Czy NIS2 i RODO nakładają się na siebie w przypadku incydentu z danymi osobowymi?

Czy NIS2 dotyczy urzędów, szpitali i jednostek samorządu terytorialnego?

Tak. Administracja publiczna – w tym urzędy centralne, urzędy wojewódzkie, starostwa, urzędy gmin oraz podmioty lecznicze – znalazła się w sektorach objętych ustawą. Zakwalifikowanie konkretnej jednostki jako podmiotu kluczowego lub ważnego zależy od charakteru i zakresu realizowanych zadań, a nie wyłącznie od liczby pracowników. Zasady kwalifikacji podmiotów publicznych różnią się od reguł stosowanych wobec przedsiębiorców – szczegółowy katalog zawierają załączniki do ustawy o KSC. Wyłączone są jednostki wykonujące zadania w zakresie bezpieczeństwa narodowego, obronności i egzekwowania prawa.

Czy moja firma musi samodzielnie sprawdzić, czy podlega NIS2?

Tak. Ustawa opiera się na zasadzie samoidentyfikacji – żaden organ nie wyśle powiadomienia. Podmiot samodzielnie ocenia, czy spełnia kryteria sektorowe i wielkościowe, a następnie rejestruje się we właściwym organie nadzoru. Na dokonanie rejestracji ustawa przewiduje 6 miesięcy od dnia wejścia w życie, czyli do początku października 2026 r.

Czy mała firma (poniżej 50 pracowników) może być objęta NIS2?

Co do zasady nie – próg dla podmiotów ważnych to 50 pracowników oraz roczny obrót przekraczający 10 mln euro lub suma bilansowa przekraczająca 10 mln euro. Jednak mikro i małe przedsiębiorstwa mogą być objęte przepisami w dwóch sytuacjach: jeśli organ nadzoru uzna je za kluczowe ze względu na specyficzne znaczenie systemowe, albo jeśli ich kontrahent (podmiot kluczowy lub ważny) nałoży na nie wymogi bezpieczeństwa kontraktowo w ramach zarządzania łańcuchem dostaw.

Czym różni się podmiot kluczowy od ważnego?

Obowiązki merytoryczne są dla obu kategorii identyczne. Różnica leży w nadzorze: podmioty kluczowe podlegają kontroli aktywnej (organ może wszcząć postępowanie bez incydentu), podmioty ważne – reaktywnej (kontrola uruchamiana jest co do zasady po zgłoszeniu incydentu). Podmioty kluczowe mają też obowiązek przeprowadzania regularnych audytów bezpieczeństwa.

Ile czasu jest na wdrożenie wymagań NIS2?

Podmioty objęte ustawą w dniu jej wejścia w życie (3 kwietnia 2026 r.) mają 12 miesięcy na pełne wdrożenie wymaganych środków technicznych i organizacyjnych – czyli do kwietnia 2027 r. Podmioty, które nabędą status kluczowego lub ważnego później, liczą ten termin od dnia spełnienia kryteriów.

Kiedy mogą zostać nałożone kary finansowe?

Ustawa przewiduje 24-miesięczną karencję na egzekwowanie kar pieniężnych – oznacza to, że kary administracyjne mogą być nakładane najwcześniej od kwietnia 2028 r. Karencja nie zwalnia jednak z obowiązku wdrożenia środków bezpieczeństwa w terminie 12 miesięcy. Samo niedopełnienie obowiązku rejestracji lub raportowania incydentów może być traktowane jako naruszenie niezależnie od okresu karencji.

Czy prezes lub członek zarządu może ponieść osobistą odpowiedzialność za naruszenie NIS2?

Tak. Ustawa przewiduje możliwość nałożenia kary pieniężnej bezpośrednio na kierownika podmiotu – do wysokości 300% jego miesięcznego wynagrodzenia. W przypadkach rażącego lub powtarzającego się naruszenia organ nadzoru może również orzec czasowe zawieszenie w pełnieniu funkcji zarządczych. Wewnętrzna delegacja zadań na dyrektora IT lub CISO nie przenosi tej odpowiedzialności z organu zarządzającego.

Czy NIS2 i RODO nakładają się na siebie w przypadku incydentu z danymi osobowymi?

Tak – i jest to istotny praktyczny problem. Incydent cyberbezpieczeństwa, który jednocześnie obejmuje dane osobowe, może rodzić obowiązki raportowe zarówno z NIS2 (do CSIRT w ciągu 24/72 godzin), jak i z RODO (do UODO w ciągu 72 godzin od stwierdzenia naruszenia). Oba obowiązki biegną równolegle i niezależnie. Jeśli organ RODO nałożył już karę za to samo zachowanie, organ nadzoru NIS2 nie nakłada dodatkowej kary pieniężnej – może jednak nadal zastosować inne środki, takie jak wiążące polecenia lub nakazy naprawcze. Kary przewidziane w RODO za szczególnie poważne naruszenia są wyższe (do 20 mln euro lub 4% globalnego obrotu) niż kary z NIS2.

Dyrektywa NIS2 i jej implementacja do polskiego prawa – ważne dla firm