NIS2 w Polsce
Kompletny przewodnik po dyrektywie NIS2 i nowelizacji ustawy o krajowym systemie cyberbezpieczeństwa. Dowiedz się, kogo dotyczy, jakie grożą kary i jak przygotować firmę — zanim będzie za późno.
Podstawy
Czym jest dyrektywa NIS2?
NIS2 (Network and Information Security Directive 2) to dyrektywa Unii Europejskiej, która ustanawia jednolite wymagania cyberbezpieczeństwa dla firm i instytucji w 18 sektorach kluczowych dla gospodarki. W Polsce jest wdrażana poprzez nowelizację ustawy o krajowym systemie cyberbezpieczeństwa (KSC), podpisaną przez Prezydenta 19 lutego 2026 roku.
- —7 sektorów objętych regulacją
- —Brak osobistej odpowiedzialności zarządu
- —Brak konkretnych terminów raportowania
- —Brak wymogów dla łańcucha dostaw
- —Brak obowiązkowych szkoleń zarządu
- 18 sektorów — ponad 2× więcej
- Osobista kara do 300% wynagrodzenia zarządu
- Raportowanie: 24h wstępne, 72h pełne, 30 dni końcowe
- Obowiązkowa ocena bezpieczeństwa dostawców
- Szkolenie zarządu z cyberbezpieczeństwa wymagane
Moratorium na kary to pułapka pozornego bezpieczeństwa
Sejm odroczył możliwość nakładania administracyjnych kar pieniężnych o 24 miesiące. Wielu menedżerów interpretuje to jako “mamy 2 lata czasu”. To błąd, który może kosztować zarząd fortunę.
Co jest odroczone (24 mies.)
- Kary finansowe dla organizacji (10M EUR / 2%)
- Kary dzienne za zwłokę (500-100K PLN/dzień)
Co obowiązuje OD RAZU
- Rejestracja w wykazie podmiotów (6 mies.)
- Raportowanie incydentów do CSIRT (24h/72h)
- Osobista odpowiedzialność zarządu (300%)
- Szkolenie zarządu z cyberbezpieczeństwa
- Samoidentyfikacja jako podmiot kluczowy/ważny
Harmonogram
Kluczowe terminy NIS2 w Polsce
Zegar tyka. Po podpisie Prezydenta 19 lutego 2026 rozpoczął się odliczanie do obowiązkowej rejestracji i pełnego wdrożenia.
Prezydent podpisał nowelizację KSC
Ustawa implementująca NIS2 w Polsce została podpisana. Rozpoczyna się vacatio legis.
Wejście w życie ustawy
Ustawa KSC wchodzi w życie. Od tego dnia biegną wszystkie terminy.
Deadline rejestracji
Każdy podmiot musi dokonać samoidentyfikacji i zarejestrować się w wykazie podmiotów kluczowych lub ważnych w systemie S46. Brak rejestracji = kara.
Pełna zgodność wymagana
Wszystkie wymagania NIS2 muszą być wdrożone: analiza ryzyka, procedury incydentów, BCP, bezpieczeństwo łańcucha dostaw, szkolenia, dokumentacja.
Koniec moratorium na kary
Od tej daty organy nadzorcze mogą nakładać pełne kary finansowe. UWAGA: moratorium NIE obejmuje obowiązku rejestracji i raportowania incydentów — te obowiązują od dnia wejścia w życie.
18 sektorów
Kogo dotyczy NIS2 w Polsce?
NIS2 obejmuje firmy z 18 sektorów, które zatrudniają 50+ pracowników lub mają obrót powyżej 10 mln EUR. Mniejsze firmy też mogą podlegać, jeśli są krytycznym dostawcą.
Energia
Elektroenergetyka, ciepłownictwo, gaz, ropa, wodór
Transport
Lotniczy, kolejowy, wodny, drogowy
Bankowość i finanse
Instytucje kredytowe, infrastruktura rynku
Ochrona zdrowia
Szpitale, laboratoria, producenci wyrobów medycznych
Telekomunikacja
Operatorzy sieci, dostawcy usług komunikacji elektronicznej
Infrastruktura cyfrowa
DNS, TLD, chmura, centra danych, CDN
Usługi ICT B2B
Dostawcy usług zarządzanych (MSP/MSSP)
Administracja publiczna
Rząd centralny, samorządy, jednostki publiczne
Przestrzeń kosmiczna
Operatorzy infrastruktury naziemnej
Usługi pocztowe
Poczta, usługi kurierskie
Gospodarka odpadami
Zbieranie, przetwarzanie, recykling
Produkcja chemiczna
Produkcja i dystrybucja chemikaliów
Produkcja
Wyroby medyczne, elektronika, maszyny, pojazdy
Dostawcy usług cyfrowych
Platformy online, wyszukiwarki, social media
Woda pitna i ścieki
Zaopatrzenie w wodę, odprowadzanie ścieków
Badania naukowe
Organizacje badawcze, uczelnie
Żywność
Produkcja, przetwórstwo, dystrybucja żywności
Sprawdź, czy NIS2 dotyczy Twojej firmy
Odpowiedz na 4 pytania i poznaj swoją klasyfikację. Bezpłatnie, bez rejestracji.
W jakim sektorze działa Twoja firma?
Krok 1 z 4 · Wg załączników nr 1 i 2 do ustawy o KSC
Samoidentyfikacja jest obowiązkowa — to Ty musisz określić, czy Twoja firma jest podmiotem kluczowym czy ważnym. 36% polskich firm nie wie, czy podlega pod NIS2 (PIT.pl, 2025). Test powyżej to punkt wyjścia — umów się na bezpłatną konsultację po formalną analizę.
Art. 21 NIS2
6 kluczowych wymagań NIS2
Art. 21 dyrektywy NIS2 definiuje środki zarządzania ryzykiem w cyberbezpieczeństwie, które każdy podmiot musi wdrożyć. Oto najważniejsze z nich.
Analiza ryzyka
Systematyczna ocena ryzyk cyberbezpieczeństwa z uwzględnieniem aktywów, zagrożeń i podatności. Matryca ryzyka 5×5 z planem postępowania.
Obsługa incydentów
Procedura wykrywania, analizy, containment i odtwarzania. Raportowanie do CSIRT: wstępne w 24h, pełne w 72h, końcowe w 30 dni.
Ciągłość działania (BCP)
Plan ciągłości z RTO/RPO dla krytycznych procesów. Backup wg zasady 3-2-1-1-0. Testy BCP minimum raz w roku.
Bezpieczeństwo łańcucha dostaw
Ocena ryzyka dostawców, klasyfikacja Tier 1/2/3, kwestionariusz bezpieczeństwa, klauzule umowne, ciągły monitoring.
Szkolenia i świadomość
Obowiązkowe szkolenie zarządu z cyberbezpieczeństwa. Program awareness dla pracowników. Regularne ćwiczenia tabletop.
Kryptografia i kontrola dostępu
MFA dla dostępu administracyjnego i zdalnego. Szyfrowanie danych w tranzycie i spoczynku. Zarządzanie tożsamością.
Sankcje
Kary za nieprzestrzeganie NIS2
NIS2 wprowadza trzypoziomowy system kar: organizacyjne, osobiste dla zarządu i dzienne za zwłokę.
Kary organizacyjne
lub 2% rocznego obrotu — wyższa kwota. Podmioty ważne: 7 mln € / 1,4% obrotu.
Kary osobiste zarządu
miesięcznego wynagrodzenia członka zarządu. Możliwe zawieszenie w pełnieniu funkcji.
Kary dzienne
PLN dziennie za zwłokę. Minimalnie 500 PLN/dzień. W przypadku zagrożenia bezpieczeństwa państwa — do 100 mln PLN.
Uwaga: Standardowe ubezpieczenie D&O zazwyczaj nie pokrywa kar administracyjnych NIS2. Stosunek kosztów wdrożenia do potencjalnej kary wynosi 1:5 do 1:7. Compliance jest wielokrotnie tańszy niż sankcje.
Art. 20 NIS2
Odpowiedzialność osobista zarządu
NIS2 to pierwsza europejska dyrektywa, która przenosi odpowiedzialność za cyberbezpieczeństwo bezpośrednio na zarząd firmy. To nie jest problem “działu IT” — to kwestia nadzoru korporacyjnego.
Obowiązki zarządu wg Art. 20
- Zatwierdzanie środków zarządzania ryzykiem cyberbezpieczeństwa
- Nadzór nad wdrożeniem tych środków w organizacji
- Odbycie szkolenia z cyberbezpieczeństwa (obowiązkowe!)
- Osobista odpowiedzialność za naruszenia przepisów
- Zapewnienie, że pracownicy przechodzą regularne szkolenia
Konsekwencje dla zarządu
- Kara osobista do 300% miesięcznego wynagrodzenia
- Zawieszenie w pełnieniu funkcji członka zarządu
- Odpowiedzialność cywilna za szkody wynikłe z zaniedbań
- Standardowe D&O zazwyczaj NIE pokrywa kar NIS2
- Kary osobiste obowiązują BEZ moratorium — od dnia wejścia ustawy
Rekomendacja dla zarządu: (1) Formalnie protokołuj każdą decyzję budżetową dotyczącą cyberbezpieczeństwa — to Twój dowód należytej staranności. (2) Przeanalizuj z brokerem warunki polisy D&O — wynegocjuj pokrycie kosztów obrony prawnej. (3) Odbądź szkolenie z cyberbezpieczeństwa i udokumentuj je certyfikatem — Art. 20 NIS2 tego wymaga.
Procedura
Raportowanie incydentów — 24h / 72h / 30 dni
NIS2 wprowadza ścisłe terminy zgłaszania incydentów poważnych do właściwego CSIRT (zespołu reagowania na incydenty). Niedotrzymanie terminów samo w sobie stanowi naruszenie i podlega karze.
Wczesne ostrzeżenie
Od wykrycia incydentu poważnego. Informacja o tym, że incydent wystąpił i czy jest podejrzenie naruszenia prawa.
Pełne powiadomienie
Wstępna ocena incydentu, jego waga, wpływ, wskaźniki kompromitacji (IoC). Informacja o wpływie transgranicznym (jeśli dotyczy).
Raport końcowy
Analiza przyczyn źródłowych (root cause analysis), podjęte działania naprawcze, wpływ transgraniczny, wnioski i rekomendacje.
W Polsce zgłoszenia kierujesz do: CSIRT NASK (sektor cywilny — większość firm) przez portal incydent.cert.pl, CSIRT GOV (administracja, infrastruktura krytyczna) lub CSIRT MON (sektor wojskowy). SOC SecIQ monitoruje 24/7 i przygotowuje zgłoszenia do CSIRT w ramach pakietu. Poznaj SOC SecIQ →
Art. 21(2)(d)
Łańcuch dostaw i dostawcy wysokiego ryzyka
NIS2 wymaga od podmiotów regulowanych weryfikacji cyberbezpieczeństwa w całym łańcuchu dostaw. To powoduje efekt domina — dziesiątki tysięcy mniejszych firm muszą udowodnić swoją odporność cybernetyczną, aby nie stracić kontraktów.
Tier 1 — Krytyczni
- Pełny audyt bezpieczeństwa
- Klauzule umowne NIS2
- Kwartalny przegląd
- Certyfikat ISO 27001 wymagany
Tier 2 — Istotni
- Kwestionariusz bezpieczeństwa
- Klauzule incydentowe
- Roczny przegląd
- Dowód ubezpieczenia cyber
Tier 3 — Standardowi
- Samoocena ryzyka
- Podstawowe klauzule
- Monitoring pasywny
- Ocena przy onboardingu
Dostawca Wysokiego Ryzyka (DWR): Polska nowelizacja KSC wprowadza instytucję DWR — Kolegium ds. Cyberbezpieczeństwa może uznać dostawcę sprzętu lub oprogramowania ICT za “wysokiego ryzyka”, co wymusza wymianę produktów w ciągu 4-7 lat. Przepis budzi kontrowersje — jest jednym z elementów wniosku Prezydenta do Trybunału Konstytucyjnego. Niezależnie od wyroku TK, firmy powinny mapować zależności od dostawców ICT i przygotować plany alternatywne.
Mapa drogowa
Wdrożenie NIS2 krok po kroku
Praktyczna ścieżka wdrożenia w 6 krokach — od samoidentyfikacji po pełną zgodność z wymogami ustawy KSC.
Samoidentyfikacja i klasyfikacja
NatychmiastOkreśl, czy Twoja firma jest podmiotem kluczowym czy ważnym. Sprawdź sektor (PKD), liczbę pracowników (≥50) i obrót (≥10 mln EUR). Uwzględnij, czy jesteś częścią łańcucha dostaw podmiotu regulowanego.
Gap analysis — analiza luk
Miesiąc 1-2Porównaj obecny stan zabezpieczeń z 10 wymaganiami Art. 21 NIS2. Zidentyfikuj braki w: analizie ryzyka, procedurach IR, BCP, bezpieczeństwie łańcucha dostaw, szkoleniach, MFA i kryptografii.
Rejestracja w wykazie podmiotów
Do 6 mies. od wejścia ustawyZarejestruj firmę w systemie S46 jako podmiot kluczowy lub ważny. Podaj dane kontaktowe SPOC (Single Point of Contact), zakresy IP, domeny i informacje o infrastrukturze.
Dokumentacja i polityki bezpieczeństwa
Miesiąc 2-4Przygotuj wymagane dokumenty: Polityka Bezpieczeństwa Informacji, Procedura Obsługi Incydentów, Plan Ciągłości Działania (BCP/DRP), Analiza Ryzyka, Polityka Kryptograficzna, Polityka Kontroli Dostępu. SecIQ dostarcza 12+ dokumentów w ramach Smart Start.
Wdrożenie techniczne
Miesiąc 3-8MFA dla wszystkich dostępów administracyjnych i zdalnych. SIEM/SOC do monitoringu 24/7. Backup wg zasady 3-2-1-1-0. Segmentacja sieci. Szyfrowanie danych w tranzycie i spoczynku. Zarządzanie podatnościami.
Szkolenia i ciągłe doskonalenie
CiągleObowiązkowe szkolenie zarządu z cyberbezpieczeństwa (z certyfikatem). Program awareness dla pracowników. Ćwiczenia tabletop (symulacje incydentów). Regularne audyty i przeglądy — minimum raz w roku.
Potrzebujesz pomocy z wdrożeniem? SecIQ oferuje pełne wsparcie: od gap analysis, przez dokumentację Smart Start, po SOC 24/7 i szkolenia zarządu. Umów bezpłatną konsultację →
Mapowanie
NIS2 a ISO 27001 — co pokrywa, a czego nie?
ISO 27001 pokrywa 60-70% wymagań NIS2, ale kilka kluczowych obszarów wymaga dodatkowych działań.
| Wymaganie NIS2 | ISO 27001 | Luka do zamknięcia |
|---|---|---|
| Analiza ryzyka | — | |
| Procedury obsługi incydentów | Terminy 24h/72h/30d do CSIRT | |
| Ciągłość działania (BCP/DRP) | — | |
| Bezpieczeństwo łańcucha dostaw | Wielopoziomowa ocena Tier 1/2/3 | |
| Szkolenie zarządu | Obowiązkowe z certyfikatem | |
| Odpowiedzialność osobista zarządu | Deklaracja + protokołowanie decyzji | |
| MFA / uwierzytelnianie ciągłe | Wdrożenie MFA dla dostępu admin/remote | |
| Raportowanie do CSIRT | 24h/72h/30d + SPOC w S46 | |
| Rejestracja w wykazie podmiotów | System S46 — nowy obowiązek | |
| Ciągłe zbieranie dowodów audytowych | Automatyzacja i dashboard KPI |
Wniosek: Jeśli masz ISO 27001, masz solidny fundament — zamknięcie luk NIS2 zajmie 4-8 miesięcy. Bez certyfikatu ISO, pełne wdrożenie wymaga 12-18 miesięcy. W obu przypadkach kluczowe jest dodanie: raportowania do CSIRT, szkolenia zarządu, MFA i oceny łańcucha dostaw.
Nie znasz pojęć? Sprawdź NIS2 IQ
MFA, EDR, SIEM, SOC, XDR — słownik cyberbezpieczeństwa dla menedżerów. Każde pojęcie wyjaśnione przystępnie, z analogiami i kontekstem NIS2.
Otwórz NIS2 IQ — SłownikRozwiązanie
Jak SECIQ pomaga w zgodności z NIS2?
Łączymy dokumentację compliance z operacyjnym cyberbezpieczeństwem. Nie dostaniesz tylko papierów — dostaniesz realną ochronę.
Dokumentacja NIS2 — Smart Start
12+ wymaganych dokumentów NIS2 przygotowanych i zweryfikowanych przez ekspertów. Polityka bezpieczeństwa, procedury IR, BCP, analiza ryzyka.
SOC 24/7 — monitoring w pakiecie
Microsoft Sentinel + Defender XDR, zespół analityków L1-L3, reakcja < 15 minut. Spełniasz wymóg ciągłego monitoringu od pierwszego dnia.
Szkolenia zarządu i pracowników
Obowiązkowe szkolenie zarządu z certyfikatem. Program awareness dla zespołu. Ćwiczenia tabletop z realnymi scenariuszami ataków.
Raporty i KPI dla zarządu
Comiesięczne raporty compliance z KPI w języku biznesowym. Dowody wdrożenia gotowe na audyt.
Dlaczego SecIQ?
Jedyni na rynku łączymy compliance (dokumentacja) z operacyjnym bezpieczeństwem (SOC 24/7). Inni dają Ci papier lub monitoring — my dajemy jedno i drugie.
Umów konsultację NIS2Baza wiedzy
Pogłęb wiedzę o NIS2
Artykuły, poradniki i narzędzia, które pomogą Ci przygotować firmę do NIS2.
NIS2 w 2026 — kluczowe terminy i obowiązki
Harmonogram, wymagania i kary. Czy Twoja firma jest gotowa?
CzytajSOC SecIQ — monitoring 24/7
Centrum Operacji Bezpieczeństwa spełniające wymogi NIS2 od pierwszego dnia.
Poznaj SOCKsiążka: NIS2 Start
Praktyczny przewodnik NIS2 dla menedżerów — z szablonami dokumentów i case studies.
Dowiedz się więcejWkrótce: poradniki wdrożeniowe, checklista NIS2, kalkulator kar, artykuły branżowe (szpitale, samorządy, energetyka, transport, IT/MSP). Śledź naszego bloga i wydarzenia.
Pytania i odpowiedzi
Najczęściej zadawane pytania o NIS2
Źródła
- Dyrektywa NIS2 (2022/2555) — EUR-Lex
- Nowelizacja ustawy o KSC — Dziennik Ustaw 2026 poz. 252
- ENISA — European Union Agency for Cybersecurity
- CERT Polska / CSIRT NASK
- IBM Security — Cost of a Data Breach Report 2024
- Gartner — Supply Chain Risk Management Survey 2024
- Ponemon Institute — Third-Party Risk Management Report 2024
Nie czekaj na karę. Zacznij wdrożenie NIS2 dziś.
Umów się na bezpłatną konsultację. Sprawdzimy, czy NIS2 dotyczy Twojej firmy, ocenimy stan gotowości i zaproponujemy plan wdrożenia.