NIS2 i nowa ustawa o KSC: terminy, kogo dotyczy i co trzeba zrobić.

Czym jest NIS2

NIS2 to unijna dyrektywa w sprawie środków na rzecz wysokiego wspólnego poziomu cyberbezpieczeństwa. Zastąpiła pierwszą dyrektywę NIS i znacząco rozszerzyła listę sektorów oraz obowiązków. W Polsce wdraża ją nowelizacja ustawy z 5 lipca 2018 r. o krajowym systemie cyberbezpieczeństwa (KSC), która weszła w życie 3 kwietnia 2026 r.

Najważniejsza zmiana: zamiast wskazywania operatorów usług kluczowych w drodze decyzji, organizacje same ustalają, czy są podmiotem kluczowym lub ważnym, i zgłaszają się do wykazu.

Kogo dotyczy nowa ustawa o KSC

Ustawa obejmuje podmioty z sektorów wymienionych w jej załącznikach – m.in. energetykę, transport, ochronę zdrowia, wodociągi, infrastrukturę cyfrową, administrację publiczną, produkcję i usługi cyfrowe. Dla większości firm progiem jest wielkość: co najmniej średnie przedsiębiorstwo, czyli zwykle od 50 pracowników lub ponad 10 mln euro obrotu albo sumy bilansowej.

W przypadku administracji publicznej ustawa może obejmować podmioty niezależnie od ich wielkości. Jednostki samorządowe i ich jednostki organizacyjne powinny przeanalizować przepisy i sprawdzić, czy podlegają obowiązkom podmiotu kluczowego lub ważnego. Niezależnie od tego podmioty publiczne nadal muszą spełniać wymagania Krajowych Ram Interoperacyjności.

Najważniejsze terminy

• 3 kwietnia 2026 r. – wejście w życie nowelizacji.
• 3 października 2026 r. – termin na złożenie wniosku o wpis do wykazu podmiotów kluczowych i ważnych (samoidentyfikacja). Jeśli Twój podmiot podlega ustawie, a wniosku nie złożył, należy zrobić to niezwłocznie.
• 3 kwietnia 2027 r. – termin wdrożenia obowiązków, m.in. zarządzania ryzykiem, zabezpieczeń i ciągłości działania.
• 3 kwietnia 2028 r. – termin pierwszego audytu cyberbezpieczeństwa podmiotów kluczowych; kolejne audyty przeprowadza się cyklicznie.
• Od kwietnia 2028 r. – w większości przypadków możliwość nakładania administracyjnych kar pieniężnych.

Jakie obowiązki nakłada ustawa

• Systematyczne szacowanie ryzyka i zarządzanie nim.
• Wdrożenie adekwatnych środków technicznych i organizacyjnych: kontrola dostępu, uwierzytelnianie wieloskładnikowe, szyfrowanie, bezpieczeństwo łańcucha dostaw.
• Zapewnienie ciągłości działania, w tym kopii zapasowych i odtwarzania po awarii.
• Obsługa i zgłaszanie poważnych incydentów: wczesne ostrzeżenie w ciągu 24 godzin, zgłoszenie w ciągu 72 godzin i raport końcowy.
• Regularne szkolenia z cyberbezpieczeństwa.
• Audyty bezpieczeństwa – obowiązkowe dla podmiotów kluczowych.

Odpowiedzialność kierownika

Nowe przepisy wyraźnie zwiększają odpowiedzialność kadry zarządzającej. To kierownik podmiotu odpowiada za wykonanie obowiązków z zakresu cyberbezpieczeństwa. Wyznaczenie pełnomocnika lub koordynatora ds. cyberbezpieczeństwa ułatwia ich realizację, ale nie przenosi odpowiedzialności.

Od czego zacząć

• Sprawdź, czy Twoja organizacja jest podmiotem kluczowym lub ważnym, i upewnij się, że jest w wykazie.
• Zrób audyt zerowy – ocenę, ile brakuje do wymagań ustawy i normy ISO/IEC 27001.
• Wyznacz osobę odpowiedzialną za cyberbezpieczeństwo i ustal procedurę zgłaszania incydentów.
• Przygotuj ewidencję aktywów, analizę ryzyka i analizę BIA.
• Zaplanuj wdrożenie SZBI i ciągłości działania tak, żeby zdążyć przed 3 kwietnia 2027 r.
• Przeszkol kierownictwo i pracowników.

Ważne zastrzeżenie

Artykuł przedstawia stan na listopad 2026 r. i ma charakter informacyjny. Przed podjęciem decyzji sprawdź aktualny tekst ustawy w Dzienniku Ustaw oraz komunikaty ministra właściwego do spraw informatyzacji.