NIS2 – co to jest i kogo dotyczy?

Dyrektywa NIS2 to nowe unijne przepisy, które od 2023 r. znacząco zaostrzają wymagania cyberbezpieczeństwa dla średnich i dużych firm z 18 sektorów – w tym energii, transportu, finansów, zdrowia, wody i usług cyfrowych. Jeśli Twoja organizacja działa w jednym z tych obszarów i spełnia progi wielkości, bardzo możliwe, że zostanie uznana za podmiot kluczowy lub ważny i obejmą ją wysokie kary za brak zgodności sięgające do 10 mln euro lub 2% obrotu. Więcej o tym, co dokładnie oznacza NIS2 i kogo w Polsce obejmie – przeczytasz w dalszej części artykułu.

NIS2 – co to jest?

Dyrektywa NIS2 (Dyrektywa 2022/2555) to aktualizacja pierwszej unijnej dyrektywy NIS z 2016 r., która miała ujednolicić poziom bezpieczeństwa sieci i systemów informatycznych w państwach UE. Nowe przepisy weszły w życie 16 stycznia 2023 r. i zastąpiły poprzednią dyrektywę (NIS1) w październiku 2024 r., rozszerzając zakres sektorowy, wymagania techniczne i odpowiedzialność kierownictwa.

NIS1 koncentrowała się na stosunkowo wąskiej grupie operatorów usług kluczowych, takich jak energetyka, bankowość czy telekomunikacja. NIS2 rozszerza ten katalog do 18 sektorów krytycznych, obejmując zarówno sektor publiczny, jak i prywatny. Wprowadza też jasno opisane wymogi w obszarze zarządzania ryzykiem, raportowania incydentów i nadzoru nad bezpieczeństwem łańcucha dostaw ICT.

Nowa dyrektywa zmienia podejście do identyfikacji podmiotów – ciężar samooceny przesuwa z organów państwowych na przedsiębiorstwa. To firma musi sprawdzić, czy spełnia kryteria i czy staje się podmiotem kluczowym albo podmiotem ważnym, a zaniedbanie tego obowiązku nie zwalnia z odpowiedzialności.

NIS2 wymaga, aby bezpieczeństwo sieci i systemów informatycznych było zarządzane jak ryzyko biznesowe – z udziałem zarządu, konkretnymi procesami i mierzalnymi efektami.

Kogo dotyczy NIS2?

Podstawowe pytanie brzmi: czy Twoja firma faktycznie podlega nowym przepisom? NIS2 nie obejmuje „wszystkich”, ale bardzo szeroką grupę organizacji z branż uznanych za krytyczne dla funkcjonowania gospodarki i państwa. Co do zasady regulacja dotyczy średnich i dużych podmiotów w sektorach wskazanych w dyrektywie i w polskiej ustawie o KSC.

Jakie sektory obejmuje NIS2?

NIS2 rozszerza listę branż z 7 do 18 sektorów. Podzielono je na dwie grupy – sektory kluczowe i sektory ważne, co znajduje odzwierciedlenie w poziomie nadzoru i potencjalnych sankcji:

Do sektorów kluczowych zalicza się między innymi:

• sektor energetyki – energia elektryczna, gaz, paliwa, ciepło,
• transport lotniczy, kolejowy, wodny i drogowy,
• bankowość i infrastruktura rynku finansowego,
• ochronę zdrowia, w tym szpitale i producentów wyrobów medycznych o krytycznym znaczeniu,
• wodę pitną i ścieki,
• infrastrukturę cyfrową (chmura, centra danych, sieci łączności publicznej),
• zarządzanie usługami ICT,
• administrację publiczną i przestrzeń kosmiczną.

Sektory ważne obejmują m.in. usługi pocztowe i kurierskie, gospodarkę odpadami, sektor chemiczny, produkcję żywności, zaawansowaną produkcję przemysłową oraz wybranych dostawców usług cyfrowych (platformy handlowe, wyszukiwarki, sieci społecznościowe).

Podmiot kluczowy a podmiot ważny – czym się różnią?

Dyrektywa i ustawa o KSC dzielą organizacje na dwie kategorie: podmiot kluczowy i podmiot ważny. Obie grupy mają bardzo podobne obowiązki w zakresie cyberbezpieczeństwa – różni się głównie model nadzoru i skala sankcji.

Za podmiot kluczowy uznaje się przede wszystkim duże przedsiębiorstwa z sektorów kluczowych (energia, transport, zdrowie itd.) oraz część wyspecjalizowanych podmiotów bez względu na wielkość – np. rejestry nazw domen, dostawców usług DNS, kwalifikowanych dostawców usług zaufania czy operatorów obiektów energetyki jądrowej. Takie podmioty podlegają stałemu, aktywnemu nadzorowi i mogą być regularnie kontrolowane.

Podmiot ważny to najczęściej średni przedsiębiorca z sektora kluczowego lub średni/duży z sektora ważnego. Tu stosuje się nadzór następczy – organy wchodzą do gry, gdy doszło do poważnego incydentu albo pojawiła się informacja o naruszeniach obowiązków.

Jakie kryteria musi spełnić firma?

Poza sektorem decyduje wielkość. Przepisy odwołują się do definicji MŚP z rozporządzenia 651/2014/UE. W uproszczeniu:

W wielu przypadkach duży podmiot z sektora kluczowego będzie klasyfikowany jako podmiot kluczowy, a średni – jako podmiot ważny. Ustawa przewiduje jednak liczne wyjątki – niektóre organizacje zostają objęte regulacją niezależnie od wielkości (np. wybrane podmioty publiczne czy operatorzy krytycznych usług cyfrowych).

Czy MŚP też mogą podlegać NIS2?

Tak. Mikro, małe i średnie przedsiębiorstwa mogą zostać uznane za podmioty kluczowe lub ważne, jeśli świadczą usługę o szczególnym znaczeniu dla społeczeństwa lub gospodarki albo pracują w newralgicznym fragmencie łańcucha dostaw. Organ właściwy może wydać specjalną decyzję, która nada im status podmiotu kluczowego lub ważnego, a wtedy zakres obowiązków staje się identyczny jak dla dużych firm.

Jak NIS2 działa w Polsce – rola ustawy o KSC?

Na poziomie krajowym NIS2 jest wdrażana przez nowelizację ustawy o KSC (ustawy o krajowym systemie cyberbezpieczeństwa). To ten akt określa precyzyjnie, jakie obowiązki ma przedsiębiorca, jakie są terminy wdrożenia oraz jak działa nadzór i system kar.

Nowe przepisy w Polsce zaczną obowiązywać od 3 kwietnia 2026 r., a przedsiębiorcy będą realizować obowiązki w kilku krokach – od samooceny, przez wpis do wykazu, po audyty. Krajowy system obejmuje nie tylko firmy, ale także organy nadzorcze oraz wyspecjalizowane zespoły reagowania na incydenty, takie jak CSIRT GOV, CSIRT NASK czy CSIRT MON, którym trzeba raportować poważne incydenty.

Ustawa o KSC przenosi wymagania NIS2 na grunt polski – to ona decyduje, które konkretne przedsiębiorstwa stają się podmiotami kluczowymi lub ważnymi, w jakich terminach muszą wdrożyć środki bezpieczeństwa i kiedy grożą im kary.

Jakie są główne terminy dla firm w Polsce?

Dla organizacji, które spełniają kryteria podmiotu kluczowego lub ważnego, harmonogram wygląda w uproszczeniu tak:

• od 3 kwietnia 2026 r. – obowiązują nowe przepisy ustawy o KSC,
• w ciągu 6 miesięcy – zgłoszenie do wykazu podmiotów kluczowych i ważnych (System S46),
• w ciągu 12 miesięcy – pełne wdrożenie systemu zarządzania bezpieczeństwem informacji, środków zarządzania ryzykiem i rozpoczęcie raportowania incydentów,
• w ciągu 24 miesięcy – pierwszy audyt zgodności (dla podmiotów kluczowych).

Przekroczenie tych terminów oznacza nie tylko ryzyko kontroli, ale i realne ryzyko finansowe, bo NIS2 przewiduje dotkliwe sankcje dla podmiotów, które zwlekają z wdrożeniem lub ignorują obowiązki.

Jakie obowiązki nakłada NIS2 na firmy?

NIS2 nie ogranicza się do ogólnych haseł. Wskazuje konkretne obszary, w których organizacja musi podnieść poziom cyberbezpieczeństwa – od zarządzania ryzykiem, przez obsługę incydentów, po bezpieczeństwo łańcucha dostaw. Ustawa o KSC doprecyzowuje te wymagania na gruncie polskim.

Zarządzanie ryzykiem i podatnościami

Trzonem wymagań jest zarządzanie podatnościami i ryzykiem. Przedsiębiorstwo musi regularnie analizować zagrożenia, oceniać wpływ na kluczowe procesy i dobierać środki ochrony proporcjonalne do ryzyka. Dotyczy to zarówno systemów IT, jak i elementów OT, sieci telekomunikacyjnych czy rozwiązań chmurowych.

W takim podejściu istotne jest podejście „all-hazard” – uwzględnia się nie tylko klasyczne zagrożenia jak malware czy ransomware, ale też awarie infrastruktury, błędy konfiguracji czy braki organizacyjne. W sektorach szczególnie wrażliwych – jak sektor energetyki – zarządzanie podatnościami staje się obowiązkiem wynikającym wprost z przepisów.

System zarządzania bezpieczeństwem informacji (SZBI)

Każdy podmiot kluczowy i ważny musi wdrożyć wewnętrzny system zarządzania bezpieczeństwem informacji, który obejmie cały cykl życia systemów IT. Praktycznie oznacza to konieczność przygotowania i stosowania polityk, procedur i planów w takich obszarach jak:

• szacowanie ryzyka i polityka bezpieczeństwa systemu informacyjnego,
• bezpieczeństwo fizyczne, bezpieczeństwo personelu i łańcucha dostaw,
• kontrola dostępu i zarządzanie tożsamością,
• zapewnienie ciągłości działania (plany awaryjne, odtworzeniowe),
• monitoring, testowanie zabezpieczeń i aktualizacje,
• kryptografia i szyfrowanie danych w spoczynku i w transmisji.

Taki system musi być stale utrzymywany, aktualizowany i potwierdzany audytami. Nie jest to jednorazowy projekt, ale stały proces zarządczy.

Łańcuch dostaw i dostawcy wysokiego ryzyka

NIS2 podkreśla znaczenie bezpieczeństwa łańcucha dostaw ICT. Podmiot kluczowy lub ważny nie może ograniczyć się do ochrony własnego serwera – musi ocenić, na ile jego dostawcy i partnerzy są odporni na ataki i czy nie wprowadzają do środowiska organizacji dodatkowego ryzyka.

Polska ustawa przewiduje też szczególny mechanizm uznawania dostawców sprzętu lub oprogramowania za dostawców wysokiego ryzyka. Jeśli minister właściwy ds. informatyzacji wyda taką decyzję, organizacje korzystające z produktów tego dostawcy będą musiały stopniowo wycofać określone rozwiązania w ciągu kilku lat i nie będą mogły wprowadzać nowych wdrożeń w zakazanym zakresie.

Raportowanie incydentów do CSIRT

Ważny element systemu to zgłaszanie incydentów do właściwego CSIRT – w Polsce są to CSIRT NASK, CSIRT GOV lub CSIRT MON, a w niektórych sektorach także CSIRT sektorowe. Każdy poważny incydent cyberbezpieczeństwa musi być raportowany etapowo:

• wczesne ostrzeżenie – do 24 godzin od wykrycia,
• sprawozdanie końcowe – do miesiąca po zgłoszeniu lub po zakończeniu obsługi incydentu.

W zgłoszeniu trzeba opisać wpływ incydentu na usługę, możliwe przyczyny, przebieg zdarzenia oraz zastosowane działania naprawcze. W wielu przypadkach konieczne będzie także poinformowanie odbiorców usług o zagrożeniach i możliwych krokach ochronnych.

Odpowiedzialność zarządu i kary finansowe

Nowością w NIS2 jest wyraźne wskazanie odpowiedzialności organów zarządzających. To zarząd lub inny kierownik podmiotu ma zatwierdzać środki bezpieczeństwa, zapewniać odpowiednie zasoby i nadzorować ich wdrożenie. Brak działań może skutkować nie tylko karami dla firmy, lecz także sankcjami dla osób zarządzających.

Kara finansowa dla podmiotu kluczowego może sięgnąć do 10 mln euro lub 2% całkowitego rocznego obrotu, w zależności od tego, która wartość jest wyższa. Dla podmiotów ważnych górny pułap jest niższy, ale nadal bardzo dotkliwy – do 7 mln euro lub 1,4% obrotu. W polskim systemie krajowym maksymalna administracyjna kara może wynieść nawet 100 mln zł.

Naruszenie NIS2 to nie tylko ryzyko techniczne – to realne ryzyko biznesowe, z karami liczonymi w milionach euro i osobistą odpowiedzialnością zarządzających.

Co NIS2 oznacza w praktyce dla Twojej organizacji?

Dyrektywa i ustawa nie narzucają jednej technologii ani jednego modelu organizacyjnego. Wymuszają jednak konkretne działania, które w 2026 r. staną się w wielu branżach standardem, a nie „dobrą praktyką”.

Dla większości organizacji kluczowe będzie uporządkowanie kilku obszarów naraz: identyfikacji systemów i usług krytycznych, stałego zarządzania podatnościami, wdrożenia procesów raportowania do właściwych CSIRT, zbudowania dokumentacji bezpieczeństwa i przeszkolenia kadry – zarówno technicznej, jak i kadry zarządzającej.

Przy obecnej skali zagrożeń – od kampanii phishingowych, przez ataki z użyciem ransomware, po wyspecjalizowane ataki na infrastrukturę krytyczną – brak przygotowania do wymogów NIS2 jest dziś nie tylko problemem regulacyjnym, lecz także poważnym ryzykiem operacyjnym.