NIS2: kogo dotyczy i co musi zrobić firma do kwietnia 2027
NIS2 dotyczy firm, które działają w jednym z sektorów wymienionych w załącznikach do ustawy o krajowym systemie cyberbezpieczeństwa i są co najmniej średnie: zatrudniają 50 osób lub więcej albo mają obrót i sumę bilansową powyżej 10 mln euro. Część podmiotów, na przykład dostawcy usług DNS czy podmioty krytyczne, jest objęta niezależnie od wielkości. W Polsce dyrektywę wdraża nowelizacja ustawy o KSC (Dz.U. 2026 poz. 252), obowiązująca od 3 kwietnia 2026 roku, a większość firm ma czas na wdrożenie obowiązków do kwietnia 2027 roku.
W skrócie
- NIS2 w Polsce wdraża nowelizacja ustawy o krajowym systemie cyberbezpieczeństwa (Dz.U. 2026 poz. 252), która obowiązuje od 3 kwietnia 2026 roku.
- Ustawa obejmuje firmy z sektorów wymienionych w jej załącznikach nr 1 i 2, zwykle od średniej wielkości w górę: od 50 osób albo z obrotem i sumą bilansową powyżej 10 mln euro.
- Firmy, które spełniały warunki w dniu wejścia ustawy w życie, mają 12 miesięcy na wdrożenie obowiązków, czyli czas do początku kwietnia 2027 roku.
- Poważny incydent zgłaszasz do właściwego CSIRT sektorowego dwa razy: wczesne ostrzeżenie w ciągu 24 godzin i pełne zgłoszenie w ciągu 72 godzin od wykrycia.
- Za cyberbezpieczeństwo odpowiada osobiście kierownik firmy, który raz w roku przechodzi szkolenie, a większość kar z ustawy można nakładać dopiero po 2 latach od jej wejścia w życie.
Spis treści
- Co to jest NIS2 i jak działa w Polsce
- Kogo dotyczy NIS2: test w trzech pytaniach
- Podmiot kluczowy a podmiot ważny: różnice
- Terminy NIS2 w Polsce
- Co musi zrobić firma objęta NIS2
- Klient podlega NIS2, a Ty nie: łańcuch dostaw
- Plan dla firmy objętej NIS2: pięć kroków do kwietnia 2027
- Ograniczenia: kiedy NIS2 nie jest Twoim problemem
- Najczęstsze pytania
Stan prawny na 3 listopada 2026 roku. To nie jest porada prawna: status konkretnej firmy potwierdź z prawnikiem, zwłaszcza gdy należy do grupy kapitałowej.
Co to jest NIS2 i jak działa w Polsce
NIS2 to unijna dyrektywa 2022/2555 o cyberbezpieczeństwie. Dyrektywa sama nie nakłada obowiązków na firmę, robi to prawo krajowe. W Polsce jest to ustawa o krajowym systemie cyberbezpieczeństwa po nowelizacji z 23 stycznia 2026 roku, ogłoszonej 2 marca i obowiązującej od 3 kwietnia 2026 roku.
Ustawa dzieli firmy na dwie grupy: podmioty kluczowe i podmioty ważne. Obie grupy mają te same podstawowe obowiązki (system zarządzania bezpieczeństwem, zgłaszanie incydentów, wpis do wykazu), różnią się nadzorem, wysokością kar i obowiązkowym audytem.
Kogo dotyczy NIS2: test w trzech pytaniach
Odpowiedz po kolei na trzy pytania. Jeśli na pierwsze odpowiedź brzmi „nie”, ustawa Cię zwykle nie obejmuje, ale przeczytaj sekcję o łańcuchu dostaw.
1. Czy działasz w sektorze z załącznika nr 1 lub nr 2 do ustawy?
- Załącznik nr 1 (sektory kluczowe) obejmuje m.in.: energię (z wydobywaniem kopalin), transport, bankowość, infrastrukturę rynków finansowych, ochronę zdrowia, wodę pitną, ścieki, infrastrukturę cyfrową, zarządzanie usługami ICT (B2B), podmioty publiczne i przestrzeń kosmiczną.
- Załącznik nr 2 (sektory ważne) obejmuje m.in.: usługi pocztowe, gospodarowanie odpadami, chemię, żywność, produkcję wyrobów medycznych, komputerów i elektroniki, urządzeń elektrycznych, maszyn, pojazdów i innego sprzętu transportowego, dostawców usług cyfrowych (platformy handlowe, wyszukiwarki, serwisy społecznościowe) oraz badania naukowe.
Liczy się rodzaj działalności opisany w załączniku, a nie sam kod PKD. Producent mebli i producent maszyn mogą mieć podobną fabrykę, a tylko drugi jest w załączniku nr 2.
2. Jaka jest wielkość firmy?
Ustawa korzysta z definicji MŚP z załącznika I do rozporządzenia Komisji 651/2014. Według poradnika Komisji Europejskiej o definicji MŚP próg zatrudnienia trzeba spełnić zawsze, a z dwóch progów finansowych wystarczy jeden.
| Wielkość | Status | Progi |
|---|---|---|
| Mikro i mała | zwykle poza ustawą | poniżej 50 osób i obrót lub bilans do 10 mln euro |
| Średnia | podmiot ważny (zał. 1 i 2) | 50–249 osób albo obrót i bilans powyżej 10 mln euro; obrót do 50 mln euro lub bilans do 43 mln euro |
| Duża | kluczowy w zał. 1, ważny w zał. 2 | 250 osób i więcej albo obrót powyżej 50 mln euro i bilans powyżej 43 mln euro |
Tabela nie obejmuje wyjątków z pytania 3.
Wielkość sprawdzasz według stanu na dzień sporządzenia sprawozdania finansowego (art. 5 ust. 5). Uwaga na grupy: przy ocenie wielkości dolicza się przedsiębiorstwa powiązane i partnerskie. Ustawa robi wyjątek, gdy Twój system informacyjny jest niezależny od systemów spółek z grupy albo nie świadczysz z nimi wspólnie usług (art. 5 ust. 6–7).
3. Czy jesteś w grupie „niezależnie od wielkości”?
Bez względu na liczbę pracowników kluczowe są m.in. dostawcy usług DNS, kwalifikowani dostawcy usług zaufania, podmioty krytyczne, rejestry domen TLD i firmy rejestrujące domeny. Dostawcy usług zarządzanych w zakresie cyberbezpieczeństwa są kluczowi już od wielkości małego przedsiębiorcy (art. 5 ust. 1 pkt 3). Przy każdej wielkości objęci są też przedsiębiorcy komunikacji elektronicznej, na przykład lokalni dostawcy internetu: mikro i mali jako podmioty ważne, średni i więksi jako kluczowi (art. 5 ust. 1 pkt 2, ust. 2 pkt 4). Podobnie niekwalifikowani dostawcy usług zaufania, którzy są mikro-, małymi lub średnimi przedsiębiorcami, są podmiotami ważnymi (art. 5 ust. 2 pkt 3). Organ może też uznać firmę za podmiot kluczowy lub ważny decyzją.
Przykład (zmyślona firma): drukarnia opakowań dla branży spożywczej, 120 osób. Druk opakowań to nie „żywność” z załącznika nr 2, więc drukarnia zwykle nie podlega ustawie. Jej klient, duży producent żywności, jest podmiotem ważnym i będzie pytał drukarnię o zabezpieczenia.
Podmiot kluczowy a podmiot ważny: różnice
Różnica sprowadza się do nadzoru, kar i audytu, a nie do listy codziennych obowiązków.
- Podmiot kluczowy: kara do 10 mln euro lub 2% przychodów (wyższa kwota), nie mniej niż 20 000 zł; pierwszy audyt bezpieczeństwa w ciągu 24 miesięcy od wejścia ustawy w życie (art. 33 ust. 2).
- Podmiot ważny: kara do 7 mln euro lub 1,4% przychodów, nie mniej niż 15 000 zł; przepis przejściowy nie nakłada na niego pierwszego audytu.
- Kierownik w obu grupach: kara do 300% wynagrodzenia (art. 73a ust. 4).
Większość kar (art. 73 ust. 1–4 i kary dla kierownika z art. 73a) można nałożyć po raz pierwszy dopiero po upływie 2 lat od wejścia ustawy w życie (art. 35 ustawy nowelizującej). Wyjątek: za naruszenie, które powoduje bezpośrednie i poważne cyberzagrożenie albo zagrożenie poważnej szkody majątkowej lub poważnych utrudnień w świadczeniu usług, organ może nałożyć karę do 100 mln zł (art. 73 ust. 5), a art. 35 jej nie wymienia. Obowiązki nie są więc do tego czasu dobrowolne: nadzór i kontrole działają od kwietnia 2026 roku.
Terminy NIS2 w Polsce
Najważniejsze daty dla firmy, która spełniała warunki już 3 kwietnia 2026 roku:
| Data | Co się dzieje |
|---|---|
| 3 kwietnia 2026 | ustawa obowiązuje (art. 49) |
| 7 maja – 3 października 2026 | samorejestracja w wykazie podmiotów kluczowych i ważnych (komunikat Ministerstwa Cyfryzacji) |
| do kwietnia 2027 | wdrożenie obowiązków z rozdziału 3: system bezpieczeństwa, incydenty, kontakty (12 miesięcy, art. 33 ust. 1) |
| do kwietnia 2028 | pierwszy audyt podmiotów kluczowych (24 miesiące, art. 33 ust. 2) |
| po 2 latach od wejścia w życie | możliwe kary z art. 73 ust. 1–4 i art. 73a (art. 35) |
Przegapiłeś samorejestrację do 3 października? Złóż wniosek jak najszybciej przez wykaz-ksc.gov.pl. Logujesz się przez Węzeł Krajowy (profil zaufany, mObywatel, e-dowód, bankowość elektroniczna). Część podmiotów minister wpisał z urzędu, wtedy wniosek kończy się błędem i trzeba tylko uzupełnić dane. Firma, która dopiero teraz zaczyna spełniać warunki, na przykład przekroczyła 50 osób, ma 6 miesięcy od tego dnia na złożenie wniosku (art. 7c ust. 1).
Co musi zrobić firma objęta NIS2
Obowiązki są w rozdziale 3 ustawy. Dzielę je na pięć części.
System zarządzania bezpieczeństwem informacji (art. 8)
Regularne szacowanie ryzyka i środki proporcjonalne do tego ryzyka, w tym: polityki bezpieczeństwa, bezpieczeństwo łańcucha dostaw, plany ciągłości działania i odtworzenia po awarii, monitorowanie systemów, kontrola dostępu, zarządzanie zasobami, szyfrowanie tam, gdzie to zasadne, uwierzytelnianie wieloskładnikowe w stosownych przypadkach, aktualizacje oprogramowania i szkolenia z cyberhigieny dla zespołu. Ustawa nie wymaga certyfikatu ISO 27001 ani zakupu konkretnego produktu.
Incydenty (art. 11)
Wczesne ostrzeżenie o incydencie poważnym do właściwego CSIRT sektorowego w ciągu 24 godzin od wykrycia, pełne zgłoszenie w ciągu 72 godzin, sprawozdanie końcowe w ciągu miesiąca od zgłoszenia. Bez ustalonej z góry ścieżki „kto decyduje, że to poważny incydent i kto zgłasza” 24 godziny mijają szybko.
Ludzie do kontaktu (art. 9)
Co najmniej dwie osoby odpowiedzialne za kontakt z podmiotami krajowego systemu cyberbezpieczeństwa i kanał, którym klient może zgłosić zagrożenie lub podatność związaną z Twoją usługą.
Odpowiedzialność kierownika (art. 8c–8e)
Kierownik firmy odpowiada za wykonanie obowiązków, także gdy powierzy je komuś innemu. Planuje budżet, przydziela zadania i nadzoruje ich wykonanie. Raz w roku kalendarzowym przechodzi udokumentowane szkolenie. W zarządzie wieloosobowym bez wskazanej osoby odpowiadają wszyscy członkowie.
Wpis do wykazu i dane
Wpis, aktualizacja danych przy zmianach i korzystanie z systemu teleinformatycznego ministerstwa (S46) po wpisie.
Klient podlega NIS2, a Ty nie: łańcuch dostaw
Ustawa każe podmiotom kluczowym i ważnym zadbać o bezpieczeństwo łańcucha dostaw ICT (art. 8 ust. 1 pkt 2 lit. e) i oceniać dostawców sprzętu i oprogramowania (art. 8 ust. 2). W praktyce dostawca, który ma dostęp do systemów albo danych klienta, dostaje ankietę lub aneks do umowy. Tak rozumiem ten obowiązek i tak bym się do tej rozmowy przygotował.
Pytania, których się spodziewam w takiej ankiecie, i co warto mieć gotowe:
- Czy konta z dostępem do danych klienta mają uwierzytelnianie dwuskładnikowe?
- Kto u Ciebie ma dostęp do systemów klienta i jak odbierasz go osobie, która odchodzi?
- Jak robisz kopie zapasowe i kiedy ostatnio sprawdziłeś odtworzenie?
- Jak szybko powiadomisz klienta o incydencie po swojej stronie? Klient ma 24 godziny na wczesne ostrzeżenie, więc zapyta o godziny, nie dni.
- Czy aktualizujesz systemy i komputery, i kto tego pilnuje?
- Czy masz spisane zasady bezpieczeństwa, nawet krótkie?
Większość tych punktów sprawdzisz w jeden dzień według listy z artykułu audyt IT w małej firmie. Jeśli korzystasz z narzędzi SaaS, zobacz też, o co pytać dostawcę oprogramowania, w artykule system dedykowany czy gotowe narzędzie.
Plan dla firmy objętej NIS2: pięć kroków do kwietnia 2027
Jeśli z testu wyszło, że ustawa Cię obejmuje, a nie masz jeszcze nic, ten porządek daje najwięcej w najkrótszym czasie:
- Status i wpis. Potwierdź sektor i wielkość z prawnikiem, sprawdź wpis w wykazie, złóż wniosek, jeśli go nie ma.
- Odpowiedzialność. Kierownik wyznacza osobę do spraw cyberbezpieczeństwa i dwie osoby do kontaktu, planuje budżet i termin pierwszego szkolenia.
- Inwentaryzacja i ryzyko. Spis systemów, kont, dostawców i danych, potem szacowanie ryzyka: co zatrzyma firmę na dzień, a co na tydzień.
- Szybkie środki. Uwierzytelnianie dwuskładnikowe na kontach administratorów i poczcie, odbieranie dostępów przy odejściu, kopie zapasowe z testem odtworzenia, aktualizacje.
- Procedury na papierze i w praktyce. Procedura incydentu z zegarem 24 i 72 godzin, plan ciągłości działania, polityki dostępu, ankieta dla kluczowych dostawców, krótkie szkolenie zespołu. Na koniec ćwiczenie: udawany incydent i sprawdzenie, czy zdążycie.
Kroki 1–2 to tygodnie, 3–4 to zwykle jeden do dwóch miesięcy, krok 5 zajmuje resztę czasu. Kolejność ma znaczenie: dokumenty bez inwentaryzacji opisują firmę, której nie ma.
Jak to wygląda u mnie
W systemie, który zbudowałem dla Reefy, minimum bezpieczeństwa wymuszają technika i baza danych, nie dobre chęci. Superadministratorzy logują się z obowiązkowym drugim składnikiem (TOTP). Pliki klientów leżą w prywatnych zasobach, a portal klienta dostaje je tylko przez funkcję po stronie serwera, która sprawdza, czyj to plik. Uprawnienia są egzekwowane w bazie danych, a zmiany w nich sprawdzam symulacją ról. Więcej opisuję w realizacji system operacyjny firmy usługowej.
Tę samą zasadę stosuję przy AI: nowe narzędzie dostaje tylko te dostępy, których potrzebuje. Opisuję to w artykule AI w małej i średniej firmie.
Ograniczenia: kiedy NIS2 nie jest Twoim problemem
- Mała firma spoza grup objętych niezależnie od wielkości (w tym spoza telekomunikacji). Ustawa Cię nie obejmuje. Nadal warto mieć minimum, bo klienci objęci ustawą zapytają.
- Branża spoza załączników. Jeśli Twojej działalności nie ma w załączniku nr 1 ani nr 2, liczba pracowników nie ma znaczenia.
- Oferty „certyfikatu NIS2”. Ustawa o KSC nie wymaga od firmy żadnego takiego dokumentu. Płać za konkretną pracę: inwentaryzację, procedury, wdrożone zabezpieczenia.
- Grupa kapitałowa. Tu wielkość liczy się inaczej, a wyjątek z art. 5 ust. 6–7 wymaga oceny Waszych systemów. Bez prawnika łatwo o błąd w obie strony.
Jeśli chcesz przejść przez test i plan na swoim przypadku, to typowa praca w ramach wdrożeń IT i opieki (od 12 000 zł/mies. netto). Umów 30-minutową rozmowę: powiem wprost, co z tej listy masz już zrobione, a czego brakuje. A jeśli przy okazji chcesz sprawdzić, które procesy w firmie są gotowe na AI, zrób diagnozę gotowości na AI.