NIS2 i ustawa o KSC: najważniejsze terminy, obowiązki i lista kontrolna

Czym jest NIS2 i nowelizacja ustawy o KSC

NIS2 to unijna dyrektywa 2022/2555 o środkach na rzecz wysokiego wspólnego poziomu cyberbezpieczeństwa. Polska wdrożyła ją nowelizacją ustawy o krajowym systemie cyberbezpieczeństwa z 23 stycznia 2026 r. Ustawa została ogłoszona w Dzienniku Ustaw 2 marca 2026 r. (poz. 252) i weszła w życie 3 kwietnia 2026 r. W poradnikach i komunikatach rządowych często pojawia się skrót KSC 2.0.

Najważniejsza zmiana dotyczy zakresu. Dawna ustawa obejmowała głównie operatorów usług kluczowych wskazanych decyzją. Nowa obejmuje podmioty kluczowe i podmioty ważne z kilkunastu sektorów, od energii, transportu i ochrony zdrowia, przez wodociągi, gospodarkę odpadami i produkcję, po usługi ICT i podmioty publiczne. Organizacja sama sprawdza, czy podlega ustawie, czyli przeprowadza samoidentyfikację.

Obowiązki merytoryczne obu grup są takie same. Różnią się nadzorem: podmioty kluczowe podlegają szerszemu nadzorowi i obowiązkowym audytom, a podmioty ważne są kontrolowane głównie wtedy, gdy pojawią się sygnały o naruszeniach. Odpowiedzialność za cyberbezpieczeństwo ponosi kierownictwo i nie da się jej przenieść na dział IT ani na firmę zewnętrzną. Można przekazać zadania, ale nie odpowiedzialność.

Terminy: co już minęło, co przed nami

Terminy liczy się od wejścia ustawy w życie albo od dnia, w którym organizacja zaczęła spełniać kryteria. Dla podmiotów, które spełniały je już 3 kwietnia 2026 r., kalendarz wygląda tak:

Organizacje, które zaczną spełniać kryteria później, mają te same okresy liczone od dnia spełnienia przesłanek: 6 miesięcy na wpis, 12 na wdrożenie, 24 na pierwszy audyt.

Do tego dochodzą obowiązki stałe: zmianę danych w wykazie trzeba zgłosić w ciągu 14 dni, a kierownik podmiotu musi raz w roku kalendarzowym przejść szkolenie z cyberbezpieczeństwa.

Kogo dotyczy ustawa

Samoidentyfikacja ma dwa główne kroki. Najpierw sprawdzasz, czy organizacja działa w sektorze lub podsektorze wymienionym w załączniku nr 1 albo nr 2 do ustawy. Kod PKD jest tu wskazówką, ale liczy się to, czym organizacja zajmuje się naprawdę. Potem ustalasz wielkość według unijnej definicji MŚP:

• średnie przedsiębiorstwo: mniej niż 250 pracowników i obrót do 50 mln euro albo suma bilansowa do 43 mln euro,
• podmiot kluczowy: co do zasady sektor z załącznika nr 1 i wielkość powyżej średniego przedsiębiorstwa,
• podmiot ważny: sektor z załącznika nr 1 lub nr 2, co najmniej średnie przedsiębiorstwo, które nie jest podmiotem kluczowym.

Przy liczeniu wielkości uwzględnia się przedsiębiorstwa partnerskie i powiązane, więc spółka z grupy kapitałowej może być „większa”, niż wynika z jej własnych liczb. Niektóre podmioty są objęte ustawą niezależnie od wielkości, na przykład dostawcy usług DNS, kwalifikowani dostawcy usług zaufania, podmioty krytyczne i część podmiotów publicznych.

Urzędy i inne podmioty publiczne

Ustawa ma osobny sektor „Podmioty publiczne”, obecny w obu załącznikach. Nie każda jednostka publiczna jest jednak podmiotem publicznym w rozumieniu ustawy, dlatego trzeba to sprawdzić dla konkretnej jednostki. Podmioty publiczne nie składają wniosku o wpis: minister cyfryzacji albo organ właściwy wpisuje je do wykazu z urzędu na podstawie rejestrów publicznych, a następnie wzywa do uzupełnienia danych. W samorządzie warto przejrzeć nie tylko urząd, ale też jednostki organizacyjne i spółki komunalne, bo mogą podlegać ustawie z innego tytułu, na przykład jako dostawcy wody pitnej.

Firmy, które ustawie nie podlegają

Ustawa obejmuje też bezpieczeństwo łańcucha dostaw. Podmioty kluczowe i ważne muszą oceniać ryzyko związane z dostawcami usług i produktów ICT oraz ich nadzorować. W praktyce oznacza to ankiety, wymagania w umowach i audyty u dostawców, więc mała firma informatyczna albo producent oprogramowania odczuje ustawę przez swoich klientów, nawet jeśli sam nie jest na liście.

Najważniejsze obowiązki

Serce ustawy to art. 8: podmiot kluczowy i ważny wdraża system zarządzania bezpieczeństwem informacji, oparty na systematycznym szacowaniu ryzyka. W praktyce SZBI obejmuje:

• zarządzanie ryzykiem i aktywami: wiesz, jakie masz systemy i dane, co im zagraża i jak to ograniczasz,
• polityki i odpowiedzialności: polityka bezpieczeństwa, zakresy obowiązków, uprawnienia personelu,
• ciągłość działania: kopie zapasowe, plany odtworzenia po awarii i zarządzanie kryzysowe,
• środki techniczne: kontrola dostępu, uwierzytelnianie wieloskładnikowe (MFA), kryptografia i szyfrowanie, zarządzanie aktualizacjami, ochrona i integralność systemów, bezpieczeństwo fizyczne,
• bezpieczeństwo przy zakupie i rozwoju systemów, łącznie z testowaniem,
• łańcuch dostaw: ocena ryzyka dostawców ICT, ich monitorowanie i uwzględnienie dostawców wysokiego ryzyka,
• szkolenia i cyberhigienę dla pracowników, a dla kierownika obowiązkowe szkolenie raz w roku kalendarzowym (art. 8e).

Poza SZBI ustawa wymaga obsługi i zgłaszania incydentów, wyznaczenia osób kontaktowych do spraw cyberbezpieczeństwa (co do zasady co najmniej dwóch, art. 9) i dokumentowania działań (art. 10). Podmioty kluczowe dodatkowo przeprowadzają audyt bezpieczeństwa co najmniej raz na 3 lata (art. 15) i przekazują kopię raportu organowi właściwemu do spraw cyberbezpieczeństwa.

Nadzór będzie sprawdzał, czy zasady działają w praktyce, a nie tylko czy istnieją dokumenty. Polityka haseł, której nikt nie egzekwuje, albo kopia zapasowa, której nikt nigdy nie odtworzył, nie wystarczą.

Zgłaszanie incydentów: 24 godziny, 72 godziny, miesiąc

Incydent poważny zgłasza się przez System S46. Zgłoszenie trafia dziś do właściwego CSIRT poziomu krajowego (CSIRT NASK, CSIRT GOV albo CSIRT MON), a docelowo do CSIRT sektorowego. Zgłaszanie ma trzy etapy:

1. Wczesne ostrzeżenie, do 24 godzin od wykrycia: kto zgłasza, kiedy incydent wystąpił i kiedy go wykryto, czy mógł być skutkiem działania bezprawnego i czy może dotyczyć innych państw UE. Można od razu poprosić o wsparcie techniczne.
2. Zgłoszenie incydentu, do 72 godzin od wykrycia: wpływ na usługi, przyczyny i przebieg, przewidywane skutki, podjęte działania i aktualizacja informacji z wczesnego ostrzeżenia.
3. Sprawozdanie końcowe, do miesiąca od wykrycia: szczegółowy opis incydentu i szkód, źródło lub prawdopodobna przyczyna, zastosowane i planowane środki oraz ewentualne skutki transgraniczne.

Jeśli incydent dotyczy danych osobowych, osobno obowiązuje RODO: naruszenie zgłasza się do Prezesa UODO w ciągu 72 godzin od jego stwierdzenia.

24 godziny to mało, zwłaszcza gdy incydent zaczyna się w piątek wieczorem. Dlatego procedurę trzeba mieć gotową wcześniej: kto ocenia, czy incydent jest poważny, kto podejmuje decyzję o zgłoszeniu, kto ma dostęp do S46 i jak się z tymi osobami skontaktować poza godzinami pracy. Warto ją przećwiczyć na sucho, zanim przyda się naprawdę.

Kary i odpowiedzialność kierownika

Źródło: poradnik NASK „Od wymagań do działania” (wrzesień 2026 r.), art. 73 i 73a ustawy.

Kary pieniężne z nowych przepisów można nakładać po raz pierwszy po dwóch latach od wejścia ustawy w życie, czyli od 3 kwietnia 2028 r. Wyjątkiem są szczególne naruszenia, które powodują poważne zagrożenie dla bezpieczeństwa, życia lub zdrowia ludzi albo ryzyko poważnych szkód lub zakłóceń w świadczeniu usług: wtedy kara może sięgnąć 100 mln zł.

Kara nie jest jedynym narzędziem. Organ może nakazać usunięcie uchybień, wdrożenie zaleceń z audytu, poinformowanie o naruszeniu podmiotów, na które ma ono wpływ, albo ustanowić urzędnika monitorującego. Wobec podmiotów kluczowych, które nie są podmiotami publicznymi, możliwy jest nawet czasowy zakaz pełnienia funkcji kierowniczych.

Okres przejściowy na kary nie oznacza, że można poczekać do 2028 r. Termin wdrożenia obowiązków to 3 kwietnia 2027 r., a incydent, który wydarzy się wcześniej, i tak trzeba będzie obsłużyć i zgłosić.

Lista kontrolna na najbliższe miesiące

Lista nie zastępuje analizy luk, ale pozwala szybko sprawdzić, gdzie jest organizacja. Każdy punkt, przy którym nie możesz z czystym sumieniem postawić znaku, to zadanie na plan.

Formalności

• Samoidentyfikacja jest udokumentowana: sektor, wielkość, status (kluczowy, ważny albo poza ustawą) i uzasadnienie.
• Organizacja jest w Wykazie KSC, a dane są aktualne. Podmiot publiczny uzupełnił dane po wezwaniu.
• Wyznaczone są co najmniej dwie osoby kontaktowe do spraw cyberbezpieczeństwa i mają dostęp do Systemu S46.
• Kierownik odbył w tym roku szkolenie z cyberbezpieczeństwa i jest na to dokument.

Organizacja i dokumenty

• Jest aktualny spis systemów, usług i danych (inwentaryzacja aktywów) z właścicielami.
• Jest analiza ryzyka, a z niej wynika plan postępowania z ryzykiem z terminami i odpowiedzialnymi.
• Polityka bezpieczeństwa i procedury są przyjęte przez kierownictwo i znane pracownikom.
• Jest plan ciągłości działania i plan odtworzenia najważniejszych systemów po awarii lub ataku.

Technika

• Dostęp zdalny, poczta i konta administratorów są chronione uwierzytelnianiem wieloskładnikowym (MFA).
• Kopie zapasowe są robione automatycznie, co najmniej jedna kopia jest odizolowana (offline albo niezmienna), a odtwarzanie jest regularnie testowane.
• Aktualizacje systemów i oprogramowania są instalowane według ustalonego harmonogramu. Nie ma serwerów bez wsparcia producenta.
• Sieć jest podzielona na strefy, a ruch między nimi jest kontrolowany przez zaporę.
• Logi z zapór, serwerów i Active Directory są zbierane w jednym miejscu i ktoś na nie patrzy.

Ludzie i dostawcy

• Pracownicy przechodzą szkolenia z cyberhigieny, a nowe osoby szkolenie na start.
• Jest lista dostawców ICT z oceną ryzyka, a w umowach są wymagania bezpieczeństwa i obowiązek informowania o incydentach.

Incydenty

• Jest procedura obsługi incydentów z kryteriami „incydentu poważnego” i terminami 24 h, 72 h i miesiąc.
• Wiadomo, kto decyduje o zgłoszeniu i jak się z nim skontaktować poza godzinami pracy. Procedura była przećwiczona.

Od czego zacząć, gdy czasu jest mało

Do 3 kwietnia 2027 r. zostało kilka miesięcy. W takiej sytuacji najlepiej sprawdza się kolejność, w której najpierw usuwa się największe ryzyka, a dokumentacja powstaje równolegle:

1. Analiza luk (audyt zerowy). Porównanie stanu obecnego z wymaganiami ustawy, KRI i ISO/IEC 27001. Wynik to lista braków z priorytetami. Taki audyt trwa zwykle od 3 do 6 tygodni.
2. Szybkie wygrane techniczne. MFA, odizolowana kopia zapasowa z testem odtworzenia, aktualizacje, wyłączenie nieużywanych kont i usług. To realnie zmniejsza ryzyko ataku, zanim powstanie pierwsza polityka.
3. Procedura incydentów i osoby kontaktowe. Mało pracy, a bez tego nie da się dotrzymać terminów zgłoszeń.
4. Analiza ryzyka i dokumenty SZBI. Polityka bezpieczeństwa, procedury, plan ciągłości działania. Najlepiej oprzeć je na tym, co już działa, zamiast pisać od zera wzory z internetu.
5. Szkolenia i dostawcy. Szkolenie kierownictwa i pracowników, przegląd umów z dostawcami ICT.
6. Monitorowanie. Zbieranie logów i reagowanie na alerty, własnymi siłami albo przez zewnętrzny SOC.

Jeśli organizacja przechodziła audyt KRI albo ma wdrożony system zgodny z ISO/IEC 27001, część pracy jest już zrobiona. Wystarczy uzupełnić to, czego wymaga ustawa ponad te standardy, na przykład zgłaszanie incydentów przez S46 i ocenę dostawców.

Najczęstsze pytania

Źródła

• Ustawa z 23 stycznia 2026 r. nowelizująca ustawę o krajowym systemie cyberbezpieczeństwa, Dz.U. 2026 poz. 252 (ISAP)
• NASK, „Od wymagań do działania. Praktyczny przewodnik po nowelizacji”, wrzesień 2026 r. (PDF)
• Ministerstwo Cyfryzacji: samorejestracja w Wykazie podmiotów kluczowych i podmiotów ważnych
• Wykaz KSC (wykaz-ksc.gov.pl)
• Dyrektywa (UE) 2022/2555 (NIS2) (EUR-Lex)

Artykuł ma charakter informacyjny i nie jest poradą prawną. Stan prawny na 6 listopada 2026 r. Status konkretnej organizacji warto potwierdzić z prawnikiem albo w Ministerstwie Cyfryzacji.