Firmy nie wiedzą, że obowiązuje je NIS2. Termin mija już dziś - 3 października 2026 r. Kolejna ważna data to 3 kwietnia 2027 r.

• Firmy nie wiedzą, że obowiązuje je NIS2
• NIS2 - nie decyduje wyłącznie branża
• Do 3 października 2026 r. firmy powinny zarejestrować się w systemie
• Kolejna ważna data - 3 kwietnia 2027 r.
• Wysokie kary
• Analiza umów z dostawcami

Firmy nie wiedzą, że obowiązuje je NIS2

Już 3 października 2026 r. mija ważny termin dla części firm objętych nowymi przepisami wdrażającymi wymogi dyrektywy NIS2. W największym skrócie: NIS2 ma sprawić, że firmy z kluczowych dla gospodarki sektorów będą lepiej przygotowane na cyberataki i poważne incydenty informatyczne. Problem w tym, że część przedsiębiorców może nawet nie zdawać sobie sprawy, że nowe obowiązki dotyczą właśnie ich. Skala zagrożeń rośnie - tylko w 2025 roku krajowe zespoły CSIRT obsłużyły blisko 273 tys. incydentów, o ponad 144 proc. więcej niż rok wcześniej. Za niedostosowanie się do nowych wymogów największym firmom mogą grozić kary liczone w milionach euro.

NIS2 - nie decyduje wyłącznie branża

O tym, czy przedsiębiorstwo podlega nowym regulacjom, nie decyduje wyłącznie branża. Znaczenie mają m.in. rodzaj prowadzonej działalności i świadczonych usług oraz wielkość przedsiębiorstwa. Katalog podmiotów objętych nowymi przepisami jest szeroki. Oprócz energetyki, transportu, bankowości, ochrony zdrowia czy infrastruktury cyfrowej znalazły się w nim również m.in. określone przedsiębiorstwa z branży produkcyjnej, chemicznej, spożywczej, gospodarki odpadami czy usług ICT. Według szacunków Ministerstwa Cyfryzacji nowe regulacje mogą objąć około 38 tys. podmiotów, w tym około 27 tys. podmiotów publicznych.

- Największym problemem może być dziś nie samo wdrożenie nowych obowiązków, ale ustalenie czy firma w ogóle im podlega. Przedsiębiorcy często szukają swojej branży na liście sektorów objętych przepisami i na tej podstawie wyciągają wnioski. Tymczasem podobnie działające firmy mogą mieć różny status, jeśli różni je skala działalności, zakres usług czy rola, jaką pełnią w łańcuchu dostaw. Dlatego warto przeanalizować konkretny model biznesowy, a nie opierać się wyłącznie na branży - mówi mec. Przemysław Jaworski z kancelarii LEGALLY.SMART, ekspert ds. elektromobilności i nowych technologii.

Do 3 października 2026 r. firmy powinny zarejestrować się w systemie

3 października mija termin na samorejestrację dla podmiotów, które już w dniu wejścia w życie nowych przepisów spełniały kryteria podmiotu kluczowego lub ważnego i nie zostały wpisane do Wykazu KSC z urzędu. Automatyczny wpis dotyczy m.in. podmiotów publicznych, przedsiębiorców telekomunikacyjnych, dostawców usług zaufania oraz dotychczasowych operatorów usług kluczowych.

Kolejna ważna data - 3 kwietnia 2027 r.

Sam wpis do Wykazu KSC to dopiero początek. Firmy objęte regulacjami muszą przygotować się m.in. do systematycznego zarządzania ryzykiem, wdrożenia odpowiednich środków technicznych i organizacyjnych, reagowania na incydenty oraz zadbania o bezpieczeństwo łańcucha dostaw. Dla podmiotów, które spełniały kryteria już w momencie wejścia w życie nowych przepisów, kolejną ważną datą będzie 3 kwietnia 2027 roku. Do tego czasu powinny m.in. wdrożyć wymagane rozwiązania w zakresie cyberbezpieczeństwa i podłączyć się do systemu S46.

Wysokie kary

Stawka jest wysoka. Nowe przepisy przewidują wielomilionowe sankcje, przy czym najwyższe pułapy dotyczą największych przedsiębiorstw. W przypadku podmiotów kluczowych maksymalna kara może sięgać 10 mln euro lub 2 proc. przychodów, a podmiotów ważnych - 7 mln euro lub 1,4 proc. przychodów. Przepisy przewidują również odpowiedzialność osób kierujących organizacją. - NIS2 zmienia przede wszystkim sposób myślenia o odpowiedzialności za cyberbezpieczeństwo. To nie jest już temat, który zarząd może po prostu przekazać działowi IT. Kierownictwo powinno wiedzieć, jakie są najważniejsze ryzyka organizacji, kto odpowiada za ich ograniczanie i czy firma jest przygotowana na sytuację, w której rzeczywiście dochodzi do poważnego incydentu - wskazuje mec. Przemysław Jaworski.

Analiza umów z dostawcami

Jednym z obszarów, które firmy powinny przeanalizować, są relacje z zewnętrznymi dostawcami technologii i usług. Outsourcing części procesów nie oznacza bowiem, że przedsiębiorstwo może przestać interesować się związanym z nimi ryzykiem. - Dobrym przykładem są stacje ładowania samochodów elektrycznych. Właściciel infrastruktury i podmiot, który faktycznie nią zarządza, nie zawsze są tym samym przedsiębiorstwem. Jeżeli obsługę powierzono zewnętrznemu operatorowi, warto precyzyjnie określić zakres odpowiedzialności, zasady reagowania na incydenty i dostęp do informacji, zanim pojawi się realny problem - podkreśla mec. Przemysław Jaworski.

3 października nie powinien być więc traktowany wyłącznie jako termin na dokonanie wpisu w kolejnym rejestrze. Dla firm objętych nowymi regulacjami to moment, w którym powinny już wiedzieć, jakie obowiązki na nich spoczywają, kto w organizacji za nie odpowiada i czego jeszcze brakuje do ich pełnego wdrożenia.

Źródło: LEGALLY.SMART