NIS2 – co to jest i kogo dotyczy?
NIS2 to unijna dyrektywa o cyberbezpieczeństwie. W Polsce wdraża ją nowelizacja ustawy o KSC, obowiązująca od 3 kwietnia 2026. Sprawdź, kogo obejmuje.
NIS2 to unijna dyrektywa (UE) 2022/2555, która nakłada obowiązki w zakresie cyberbezpieczeństwa na średnie i duże organizacje z sektorów ważnych dla gospodarki i społeczeństwa. W Polsce wdraża ją nowelizacja ustawy o krajowym systemie cyberbezpieczeństwa, która weszła w życie 3 kwietnia 2026 roku. Dotyczy podmiotów kluczowych i ważnych, między innymi z energetyki, transportu, ochrony zdrowia, bankowości, infrastruktury cyfrowej i produkcji.
Czym jest dyrektywa NIS2?
Dyrektywa NIS2 to akt prawa Unii Europejskiej, który ma zapewnić wysoki wspólny poziom cyberbezpieczeństwa w państwach członkowskich. Jej pełna nazwa to dyrektywa Parlamentu Europejskiego i Rady (UE) 2022/2555 z 14 grudnia 2022 roku. Zastąpiła wcześniejszą dyrektywę NIS (UE) 2016/1148, rozszerzając listę sektorów i ujednolicając obowiązki firm.
Państwa członkowskie miały wdrożyć NIS2 do 17 października 2024 roku. Dyrektywa działa w każdym kraju przez przepisy krajowe, dlatego w Polsce kluczowa jest znowelizowana ustawa.
Jak NIS2 wdrożono w Polsce?
NIS2 wdrożono w Polsce ustawą z 23 stycznia 2026 roku o zmianie ustawy o krajowym systemie cyberbezpieczeństwa oraz niektórych innych ustaw, opublikowaną w Dzienniku Ustaw 2026 poz. 252. Według serwisu gov.pl nowelizacja weszła w życie 3 kwietnia 2026 roku. Wprowadziła podział na podmioty kluczowe i ważne oraz rozszerzyła krajowy system cyberbezpieczeństwa o nowe sektory.
Kogo dotyczy NIS2?
NIS2 dotyczy organizacji, które działają w sektorach wymienionych w dyrektywie i spełniają kryterium wielkości. Dyrektywa dzieli je na dwie grupy.
Jakie sektory obejmuje NIS2?
NIS2 obejmuje sektory o wysokim znaczeniu oraz inne sektory krytyczne:
- sektory o wysokim znaczeniu: energetyka, transport, bankowość, infrastruktura rynków finansowych, ochrona zdrowia, woda pitna i ścieki, infrastruktura cyfrowa, zarządzanie usługami ICT, administracja publiczna i przestrzeń kosmiczna,
- inne sektory krytyczne: usługi pocztowe i kurierskie, gospodarka odpadami, chemikalia, żywność, produkcja wybranych wyrobów, dostawcy usług cyfrowych i badania naukowe.
Polska nowelizacja rozszerzyła katalog podmiotów między innymi o zarządzanie usługami ICT, komunikację elektroniczną, przestrzeń kosmiczną, usługi pocztowe, produkcję, żywność i gospodarkę odpadami.
Czym różni się podmiot kluczowy od ważnego?
Podmiot kluczowy od ważnego różni się przede wszystkim wielkością i sektorem, a w efekcie intensywnością nadzoru:
| Cecha | Podmiot kluczowy | Podmiot ważny |
|---|---|---|
| Typowy profil | Duże przedsiębiorstwa z sektorów o wysokim znaczeniu | Średnie przedsiębiorstwa oraz podmioty z innych sektorów krytycznych |
| Kryterium wielkości | Co najmniej 250 pracowników lub obrót powyżej 50 mln euro i bilans powyżej 43 mln euro | Co najmniej 50 pracowników lub obrót i bilans powyżej 10 mln euro |
| Nadzór | Nadzór uprzedni, także przed wystąpieniem incydentu | Nadzór następczy, zwykle po sygnale o nieprawidłowościach |
Niektóre podmioty, na przykład dostawcy usług DNS, rejestry domen najwyższego poziomu i kwalifikowani dostawcy usług zaufania, są objęte przepisami niezależnie od wielkości. O ostatecznej kwalifikacji decydują przepisy polskiej ustawy, dlatego każda organizacja powinna przeprowadzić samoocenę.
Jakie obowiązki nakłada NIS2?
NIS2 nakłada trzy główne grupy obowiązków: zarządzanie ryzykiem, zgłaszanie incydentów i odpowiedzialność kierownictwa.
Jakie środki zarządzania ryzykiem wymaga NIS2?
Art. 21 dyrektywy wymaga wdrożenia odpowiednich środków technicznych, operacyjnych i organizacyjnych. Obejmują one między innymi:
- analizę ryzyka i politykę bezpieczeństwa systemów informacyjnych,
- obsługę incydentów oraz ciągłość działania, kopie zapasowe i zarządzanie kryzysowe,
- bezpieczeństwo łańcucha dostaw,
- szkolenia z cyberhigieny,
- stosowanie kryptografii i szyfrowania,
- kontrolę dostępu i zarządzanie aktywami,
- uwierzytelnianie wieloskładnikowe tam, gdzie jest to właściwe.
W polskiej ustawie środki te realizuje system zarządzania bezpieczeństwem informacji. Organizacje często opierają go na normie ISO/IEC 27001, którą opisujemy w artykule ISO 27001: co to jest. O szyfrowaniu i MFA przeczytasz w poradnikach szyfrowanie danych oraz MFA i 2FA.
Jak szybko trzeba zgłosić incydent?
Poważny incydent zgłasza się etapami. Zgodnie z art. 23 dyrektywy podmiot przekazuje:
- wczesne ostrzeżenie w ciągu 24 godzin od wykrycia incydentu,
- zgłoszenie incydentu z pierwszą oceną w ciągu 72 godzin,
- sprawozdanie końcowe w ciągu miesiąca od zgłoszenia.
Jaka jest odpowiedzialność kierownictwa?
Kierownictwo odpowiada za cyberbezpieczeństwo osobiście. Art. 20 dyrektywy wymaga, aby organy zarządzające zatwierdzały środki zarządzania ryzykiem, nadzorowały ich wdrożenie i odbywały szkolenia. Członkowie kierownictwa mogą ponosić odpowiedzialność za naruszenie tych obowiązków.
Jakie kary grożą za nieprzestrzeganie NIS2?
Za nieprzestrzeganie NIS2 grożą kary pieniężne. Art. 34 dyrektywy wymaga, aby maksymalna kara wynosiła co najmniej:
- dla podmiotu kluczowego 10 mln euro lub 2% całkowitego rocznego światowego obrotu, zależnie od tego, która kwota jest wyższa,
- dla podmiotu ważnego 7 mln euro lub 1,4% całkowitego rocznego światowego obrotu.
Wysokość kar w złotych i zasady ich nakładania określa polska ustawa.
Jakie są terminy wdrożenia NIS2 w Polsce?
Według serwisu gov.pl po wejściu nowelizacji w życie obowiązują następujące terminy:
| Termin | Obowiązek |
|---|---|
| 3 kwietnia 2026 | Wejście w życie nowelizacji ustawy o KSC |
| 3 października 2026 | Złożenie wniosku o wpis do wykazu podmiotów kluczowych i ważnych |
| 3 kwietnia 2027 | Wdrożenie systemu zarządzania bezpieczeństwem informacji (12 miesięcy) |
| 3 kwietnia 2028 | Pierwszy audyt podmiotów kluczowych (24 miesiące) |
Najczęstsze pytania o NIS2
Czy NIS2 dotyczy małych firm?
Co do zasady nie. Mikro i małe przedsiębiorstwa są wyłączone, chyba że świadczą usługi objęte przepisami niezależnie od wielkości, na przykład usługi DNS. Mała firma może jednak odczuć NIS2 pośrednio, jako dostawca podmiotu kluczowego, który sprawdza bezpieczeństwo łańcucha dostaw.
Czy certyfikat ISO 27001 wystarczy do spełnienia wymagań NIS2?
Nie automatycznie. ISO/IEC 27001 pomaga zbudować system zarządzania bezpieczeństwem informacji, ale NIS2 i polska ustawa mają własne wymagania, na przykład terminy zgłaszania incydentów i obowiązki kierownictwa.
Co zrobić, jeśli firma może podlegać NIS2?
Przeprowadź samoocenę według sektora i wielkości, sprawdź przepisy ustawy o KSC i w razie potrzeby złóż wniosek o wpis do wykazu do 3 października 2026 roku. Następnie zaplanuj wdrożenie systemu zarządzania bezpieczeństwem informacji.
Czym NIS2 różni się od DORA?
DORA to unijne rozporządzenie o operacyjnej odporności cyfrowej sektora finansowego. Dla banków i innych instytucji finansowych jest przepisem szczególnym, a NIS2 obejmuje wiele sektorów gospodarki.