Dyrektywa NIS2 dotarła do polskich firm – czy Twoja też musi się dostosować?

NIS2 przestała być dla polskich przedsiębiorców odległym unijnym projektem. Po wejściu w życie nowelizacji ustawy o krajowym systemie cyberbezpieczeństwa część firm musi już zweryfikować swój status, a następnie przygotować organizację do nowych obowiązków związanych z ochroną systemów, zarządzaniem ryzykiem i reagowaniem na incydenty.

Czym jest NIS2 i kogo obejmują nowe przepisy?

Dyrektywa NIS2 ma podnieść poziom cyberbezpieczeństwa w Unii Europejskiej. W Polsce jej wymagania zostały wdrożone przede wszystkim poprzez nowelizację ustawy o krajowym systemie cyberbezpieczeństwa, która weszła w życie 3 kwietnia 2026 roku.

Przepisy wprowadzają podział na podmioty kluczowe i podmioty ważne. Obejmują między innymi przedsiębiorstwa działające w energetyce, transporcie, ochronie zdrowia, gospodarce wodnej, bankowości, infrastrukturze cyfrowej, usługach IT, gospodarce odpadami, branży chemicznej, spożywczej oraz wybranych obszarach produkcji.

Nie oznacza to jednak, że każda firma współpracująca z takim przedsiębiorstwem automatycznie podlega KSC. Znaczenie mają faktyczny zakres działalności, sektor, wielkość przedsiębiorstwa, a w niektórych przypadkach również powiązania z innymi podmiotami.

Jednocześnie NIS2 mocno akcentuje bezpieczeństwo łańcucha dostaw. Dlatego mniejsze przedsiębiorstwo, nawet jeśli samo nie zostanie uznane za podmiot kluczowy lub ważny, może spotkać się z dodatkowymi wymaganiami cyberbezpieczeństwa ze strony większego klienta objętego regulacją.

Jak sprawdzić, czy firma podlega regulacji?

Pierwszym krokiem powinna być samoidentyfikacja. Nie warto opierać się wyłącznie na kodzie PKD ani założeniu, że „NIS2 dotyczy tylko dużych firm”.

Należy sprawdzić:

• faktycznie prowadzoną działalność,
• sektor i podsektor wskazany w ustawie,
• wielkość przedsiębiorstwa,
• przedsiębiorstwa partnerskie i powiązane,
• szczególne przypadki, w których kryterium wielkości nie jest jedynym czynnikiem.

Firmy spełniające ustawowe warunki powinny dokonać odpowiedniego wpisu do Wykazu KSC. Dla podmiotów, które spełniały kryteria w dniu wejścia nowych przepisów w życie i podlegają samorejestracji, termin przypada na 3 października 2026 roku.

Jakie obowiązki nakłada NIS2?

Sama rejestracja nie wystarczy. Przedsiębiorstwo musi zbudować system zarządzania cyberbezpieczeństwem dostosowany do swoich zagrożeń i skali działalności.

W praktyce oznacza to między innymi analizę ryzyka, przygotowanie procedur bezpieczeństwa, zarządzanie incydentami, kontrolę dostępu, zabezpieczenie ciągłości działania, tworzenie kopii zapasowych, zarządzanie podatnościami oraz uwzględnianie ryzyka wynikającego ze współpracy z dostawcami.

Istotną zmianą jest także formalizacja raportowania poważnych incydentów. Przepisy przewidują wczesne ostrzeżenie w ciągu maksymalnie 24 godzin od wykrycia poważnego incydentu, właściwe zgłoszenie do 72 godzin, a następnie sprawozdanie końcowe – co do zasady w ciągu miesiąca.

Cyberbezpieczeństwo nie może więc działać wyłącznie według zasady „zadzwonimy do informatyka, jeśli coś się stanie”. Organizacja musi wiedzieć wcześniej, kto podejmuje decyzje, jak klasyfikuje zdarzenie i w jaki sposób reaguje.

Jak przygotować firmę na nowe wymagania?

Dobrym punktem wyjścia jest audyt obecnego środowiska IT i sposobu zarządzania bezpieczeństwem. Powinien wskazać nie tylko luki techniczne, ale również braki proceduralne.

Kolejne działania mogą obejmować stworzenie lub aktualizację polityk bezpieczeństwa, procedur reagowania na incydenty, planów ciągłości działania i zasad zarządzania dostępem. Ważne są również szkolenia pracowników, ponieważ phishing, słabe hasła czy niewłaściwe obchodzenie się z danymi nadal należą do częstych źródeł incydentów.

Firma korzystająca z zewnętrznych usług IT we Wrocławiu może włączyć dostawcę w ten proces, powierzając mu między innymi przegląd infrastruktury, monitoring, zarządzanie aktualizacjami, kopie zapasowe, dokumentowanie środowiska czy wsparcie w obsłudze incydentów. Nie przenosi to jednak całej odpowiedzialności za zgodność na firmę IT – odpowiedzialność organizacyjna pozostaje po stronie podmiotu objętego przepisami.

Jakie kary mogą grozić za brak zgodności?

Nowelizacja KSC przewiduje poważne sankcje finansowe. W przypadku podmiotów kluczowych maksymalna kara może sięgać 10 mln euro lub 2% przychodów z działalności gospodarczej, a dla podmiotów ważnych 7 mln euro lub 1,4% przychodów – zgodnie z zasadami określonymi w ustawie. W szczególnie poważnych przypadkach związanych z zagrożeniem bezpieczeństwa, zdrowia ludzi lub ryzykiem dużych szkód możliwe są jeszcze inne sankcje przewidziane przepisami.

Odpowiedzialność nie ogranicza się przy tym wyłącznie do samej spółki. Regulacje przewidują również mechanizmy odpowiedzialności kierownictwa za niewykonywanie określonych obowiązków.

Dlaczego nie warto czekać na kontrolę?

Największym błędem byłoby potraktowanie NIS2 jako projektu dokumentacyjnego realizowanego tuż przed kontrolą. Wdrożenie odpowiednich procedur, uporządkowanie infrastruktury, przygotowanie dokumentacji i przeszkolenie pracowników wymaga czasu.

Co ważniejsze, działania wymagane przez nowe przepisy mają znaczenie również bez względu na formalną zgodność. Dobrze przygotowana organizacja szybciej wykrywa ataki, sprawniej reaguje na awarie i zmniejsza ryzyko utraty danych oraz kosztownych przestojów.

Dlatego pierwszym pytaniem nie powinno być już „czy kiedyś będziemy musieli zająć się NIS2?”, lecz „czy sprawdziliśmy, jakie obowiązki dotyczą naszej firmy i czego jeszcze brakuje do ich spełnienia?”.

Podane terminy raportowania oraz wysokości maksymalnych kar wynikają z obowiązującej nowelizacji KSC. (ELI)