terminy i kary

Terminy, które nadchodzą, co się przesunęło i jak wysokie mogą być kary. Dzięki temu wpiszesz do kalendarza właściwe daty.

ostatnio sprawdzone 2 listopada 2026

co minęło, co przed nami

2025202620272028
NIS2
15
NIS2 w Polsce
10162227
DORA
3
AI Act
4713172428

today, at the last build. Hollow dates have passed.

  1. 117 października 2024 termin, do którego państwa członkowskie mają wprowadzić NIS2 do prawa krajowego
  2. 217 października 2024 termin na wdrożenie CER do prawa krajowego i powiadomienie Komisji o przepisach o sankcjach
  3. 317 stycznia 2025 DORA zaczyna obowiązywać
  4. 42 lutego 2025 zaczynają obowiązywać zakazy praktyk niedozwolonych i obowiązek AI literacy (kompetencje w zakresie AI)
  5. 517 kwietnia 2025 państwa członkowskie mają mieć pierwszy wykaz podmiotów kluczowych i ważnych
  6. 61 sierpnia 2025 zaczynają obowiązywać wymagania cyberbezpieczeństwa dla urządzeń radiowych
  7. 72 sierpnia 2025 zaczynają obowiązywać przepisy o modelach ogólnego przeznaczenia i rozdział o karach
  8. 812 września 2025 Data Act zaczyna być stosowany, w tym przepisy o zmianie dostawcy i o nieuczciwych postanowieniach w nowych umowach
  9. 917 stycznia 2026 termin na krajową strategię odporności i ocenę ryzyka państwa członkowskiego
  10. 103 kwietnia 2026 w życie wchodzi znowelizowana ustawa o krajowym systemie cyberbezpieczeństwa
  11. 1111 czerwca 2026 zaczynają obowiązywać przepisy o jednostkach notyfikowanych do oceny zgodności
  12. 1217 lipca 2026 termin na zidentyfikowanie podmiotów krytycznych; każdy dostaje powiadomienie w ciągu miesiąca, ocena ryzyka jest wymagana w ciągu 9 miesięcy, a obowiązki w zakresie odporności stosuje się 10 miesięcy po nim
  13. 132 sierpnia 2026 ogólne stosowanie, w tym obowiązki przejrzystości
  14. 1411 września 2026 zaczyna obowiązywać zgłaszanie aktywnie wykorzystywanych podatności i poważnych incydentów
  15. 1512 września 2026 obowiązek projektowania z dostępem dla użytkownika obejmuje produkty skomunikowane i usługi powiązane wprowadzone na rynek po tej dacie
  16. 163 października 2026 ostatni dzień na złożenie wniosku o wpis do wykazu podmiotów, dla podmiotów objętych ustawą na dzień 3 kwietnia 2026
  17. 172 grudnia 2026 zaczynają obowiązywać dwa dodatkowe zakazy; obowiązek oznaczenia w formacie nadającym się do odczytu maszynowego dla generatorów wprowadzonych do obrotu przed 2 sierpnia 2026
  18. 189 grudnia 2026 termin, do którego państwa członkowskie mają wprowadzić dyrektywę o produktach wadliwych do prawa krajowego
  19. 199 grudnia 2026 dyrektywa z 1985 r. traci moc; nowe przepisy obejmują produkty wprowadzone do obrotu lub oddane do użytku po tym dniu
  20. 209 grudnia 2026 ostatni dzień na zgłoszenie Komisji istniejących przepisów, które odbierają zarzut ryzyka rozwoju
  21. 2112 stycznia 2027 dostawcy nie mogą już pobierać opłat z tytułu zmiany dostawcy
  22. 223 kwietnia 2027 termin obowiązków z rozdziału 3, dla podmiotów objętych ustawą na dzień 3 kwietnia 2026
  23. 2312 września 2027 przepisy o nieuczciwych postanowieniach obejmują umowy zawarte do 12 września 2025 r. włącznie, jeśli są na czas nieokreślony albo wygasają co najmniej 10 lat po 11 stycznia 2024 r.
  24. 242 grudnia 2027 przepisy o wysokim ryzyku zaczynają obowiązywać dla systemów z załącznika III, takich jak narzędzia rekrutacyjne
  25. 2511 grudnia 2027 zaczyna obowiązywać reszta Cyber Resilience Act
  26. 2611 grudnia 2027 rozporządzenie delegowane zostaje uchylone, a Cyber Resilience Act obowiązuje w całości
  27. 273 kwietnia 2028 termin pierwszego audytu dla podmiotów kluczowych; po tej dacie można nakładać większość kar
  28. 282 sierpnia 2028 przepisy o wysokim ryzyku zaczynają obowiązywać dla AI w produktach regulowanych
RODO nie mieści się na tej osi: obowiązuje od 25 maja 2018 r.

podstawa wiersz po wierszu w tabeli na stronie terminów i kar

01

co jest najbliżej

dataprzepisco się dziejekogo dotyczypodstawa
2 grudnia 2026AI Actzaczynają obowiązywać dwa dodatkowe zakazy; obowiązek oznaczenia w formacie nadającym się do odczytu maszynowego dla generatorów wprowadzonych do obrotu przed 2 sierpnia 2026dostawcy i użytkownicy tych systemówRozporządzenie 2026/1744 art. 1
9 grudnia 2026PLDtermin, do którego państwa członkowskie mają wprowadzić dyrektywę o produktach wadliwych do prawa krajowegopaństwa członkowskie; Twoja odpowiedzialność wynika z krajowej ustawyPLD art. 22(1)
9 grudnia 2026PLDdyrektywa z 1985 r. traci moc; nowe przepisy obejmują produkty wprowadzone do obrotu lub oddane do użytku po tym dniuproducenci, producenci części składowych, importerzy, upoważnieni przedstawiciele, dostawcy usług realizacji zamówień i dystrybutorzyPLD art. 2(1), 21
9 grudnia 2026PLDostatni dzień na zgłoszenie Komisji istniejących przepisów, które odbierają zarzut ryzyka rozwojupaństwa członkowskiePLD art. 18(1)
12 stycznia 2027Data Actdostawcy nie mogą już pobierać opłat z tytułu zmiany dostawcydostawcy chmury i innych usług przetwarzania danychData Act art. 29(1)
3 kwietnia 2027NIS2 w Polscetermin obowiązków z rozdziału 3, dla podmiotów objętych ustawą na dzień 3 kwietnia 2026polskie podmioty kluczowe i ważneKSC art. 33(1)
12 września 2027Data Actprzepisy o nieuczciwych postanowieniach obejmują umowy zawarte do 12 września 2025 r. włącznie, jeśli są na czas nieokreślony albo wygasają co najmniej 10 lat po 11 stycznia 2024 r.firmy z długimi umowami o daneData Act art. 50
2 grudnia 2027AI Actprzepisy o wysokim ryzyku zaczynają obowiązywać dla systemów z załącznika III, takich jak narzędzia rekrutacyjnedostawcy i podmioty stosująceRozporządzenie 2026/1744 art. 1
11 grudnia 2027CRAzaczyna obowiązywać reszta Cyber Resilience Actproducenci, importerzy i dystrybutorzyCRA art. 71(2)
11 grudnia 2027RED cyberrozporządzenie delegowane zostaje uchylone, a Cyber Resilience Act obowiązuje w całościci sami; urządzenia wprowadzone do obrotu przed tą datą pozostają pod nadzorem rynkuRozporządzenie 2026/339 art. 1
3 kwietnia 2028NIS2 w Polscetermin pierwszego audytu dla podmiotów kluczowych; po tej dacie można nakładać większość karpolskie podmioty kluczowe; wszystkie podmioty w zakresie karKSC art. 33(2) i 35
2 sierpnia 2028AI Actprzepisy o wysokim ryzyku zaczynają obowiązywać dla AI w produktach regulowanychdostawcy i podmioty stosująceRozporządzenie 2026/1744 art. 1
02

jak wysokie mogą być kary

stałe górne limity, w skali

  • AI Act, praktyki zakazane35 mln €
  • RODO, podstawowe zasady20 mln €
  • AI Act, obowiązki podmiotu stosującego i przejrzystości15 mln €
  • NIS2, podmiot kluczowy10 mln €
  • RODO, obowiązki dotyczące bezpieczeństwa i naruszeń10 mln €
  • NIS2, podmiot ważny7 mln €
Każdy ma też odsetek całkowitego rocznego obrotu na świecie, a duża firma płaci według kwoty wyższej. Dla MŚP AI Act przewiduje kwotę niższą. DORA nie ustala kwoty unijnej. Kwoty z NIS2 to minimalne górne limity i krajowa ustawa może je podnieść.

podstawa AI Act art. 99(3), 99(4), 99(6); RODO art. 83(4), 83(5); NIS2 art. 34(4), 34(5); DORA art. 50(3)

przepispułapuwagapodstawa
NIS2, podmiot kluczowymaksymalnie co najmniej 10 mln euro lub 2% całkowitego rocznego obrotu na świecie, zależnie od tego, która kwota jest wyższaJest to dolna granica górnego limitu: prawo krajowe może ustalić go wyżej.NIS2 art. 34(4)
NIS2, podmiot ważnymaksymalnie co najmniej 7 mln euro lub 1,4% całkowitego rocznego obrotu na świecie, zależnie od tego, która kwota jest wyższaTak samo.NIS2 art. 34(5)
NIS2 w Polsce, podmiot kluczowydo 10 mln euro lub 2% przychodu, zależnie od tego, która kwota jest wyższa; co najmniej 20 000 złUstęp 3 znowelizowanego artykułu.KSC art. 73
NIS2 w Polsce, podmiot ważnydo 7 mln euro lub 1,4% przychodu; co najmniej 15 000 złUstęp 4. Zasadę wyższej kwoty omów z prawnikiem: polski tekst podaje ją tylko dla podmiotów kluczowych.KSC art. 73
NIS2 w Polsce, kierownik podmiotu osobiściedo 300% wynagrodzeniaPodmioty prywatne. Dla kierowników podmiotów publicznych 100%.KSC art. 73a(4)
DORAbrak kwoty unijnej; kary ustalają państwa członkowskieSprawdź w krajowej ustawie i zapytaj swój organ nadzoru.DORA art. 50(3)
RODO, obowiązki dotyczące bezpieczeństwa i naruszeńdo 10 mln euro lub 2% całkowitego rocznego obrotu na świecie, zależnie od tego, która kwota jest wyższaObejmuje RODO art. 25 do 39, w tym bezpieczeństwo i zgłaszanie naruszeń.RODO art. 83(4)
RODO, podstawowe zasadydo 20 mln euro lub 4% całkowitego rocznego obrotu na świecie, zależnie od tego, która kwota jest wyższaZasady, podstawa prawna, prawa osób, których dane dotyczą, transfery.RODO art. 83(5)
CRA, wymagania bezpieczeństwa i podstawowe obowiązkido 15 mln euro lub 2,5% całkowitego rocznego obrotu na świecie, zależnie od tego, która kwota jest wyższaObejmuje wymagania bezpieczeństwa oraz podstawowe obowiązki producenta i obowiązki zgłoszeniowe.CRA art. 64(2)
CRA, pozostałe wymienione obowiązkido 10 mln euro lub 2% całkowitego rocznego obrotu na świecie, zależnie od tego, która kwota jest wyższaPozostałe obowiązki wymienione w artykule.CRA art. 64(3)
CRA, wprowadzające w błąd informacjedo 5 mln euro lub 1% całkowitego rocznego obrotu na świecie, zależnie od tego, która kwota jest wyższaZa wprowadzające w błąd informacje podane organom.CRA art. 64(4)
AI Act, praktyki zakazanedo 35 mln euro lub 7% całkowitego rocznego obrotu na świecie, zależnie od tego, która kwota jest wyższaDla MŚP obowiązuje kwota niższa: AI Act art. 99(6).AI Act art. 99(3)
AI Act, obowiązki podmiotu stosującego i przejrzystoścido 15 mln euro lub 3% całkowitego rocznego obrotu na świecie, zależnie od tego, która kwota jest wyższaDla MŚP obowiązuje kwota niższa: AI Act art. 99(6).AI Act art. 99(4)
CERbrak kwoty w prawie UE; sankcje ustalają państwa członkowskieSankcje muszą być skuteczne, proporcjonalne i odstraszające. Sprawdź je w ustawie krajowej.CER art. 22
Data Actbrak kwoty unijnej; kary ustalają państwa członkowskieZa naruszenia rozdziałów o dostępie użytkownika, obowiązkowym udostępnianiu i wyjątkowej potrzebie organy ochrony danych mogą nakładać kary do najwyższego pułapu z RODO: Data Act art. 40(4).Data Act art. 40(1)
RED cyber, sankcjebrak kwoty unijnej; sankcje ustalają państwa członkowskie, a za poważne naruszenia mogą to być sankcje karneSprawdź w prawie krajowym. Sankcje mają być skuteczne, proporcjonalne i odstraszające.RED art. 46
PLDbrak kar i brak górnej granicy w dyrektywie: sąd zasądza odszkodowanie dla osoby poszkodowanejOdpowiedzialności wobec osoby poszkodowanej nie można ograniczyć ani wyłączyć umową.PLD art. 5(1), 15

To są maksima. Faktyczne kary zależą od okoliczności. ISO 27001 i SOC 2 nie mają kar ustawowych: kosztem jest tam utracony certyfikat, raport lub klient.

03

proponowane, jeszcze nie prawo

aktco by zmieniłna jakim etapie
Digital Omnibus, 2025/0360(COD)Zmieniłby RODO, NIS2 i DORA, w tym sposób zgłaszania incydentów. Media piszą o 96-godzinnym terminie w RODO.Parlament: oczekuje na decyzję komisji. Pracuj nadal na 72 godziny.
zmiana NIS2, 2026/0012(COD)Mała kategoria spółek o średniej kapitalizacji i inne punktowe zmiany zakresu.Parlament: etap prac w komisji, pierwsze czytanie wskazano na 8 marca 2027.
kryteria SOC 2, projekty z 2027 rokuProponowana zmiana Trust Services Criteria.Wpisane przez AICPA 26 października 2026. Tekstu nie czytano na potrzeby tej strony.

podstawa akta procedur w Legislative Observatory; AICPA i CIMA, strona zestawu SOC

04

co już się wydarzyło

dataprzepisco się stałokogo dotyczyłopodstawa
3 października 2026NIS2 w Polsceostatni dzień na złożenie wniosku o wpis do wykazu podmiotów, dla podmiotów objętych ustawą na dzień 3 kwietnia 2026polskie podmioty kluczowe i ważneKSC art. 33(3)
12 września 2026Data Actobowiązek projektowania z dostępem dla użytkownika obejmuje produkty skomunikowane i usługi powiązane wprowadzone na rynek po tej dacieproducenci produktów skomunikowanych i dostawcy usług powiązanychData Act art. 50
11 września 2026CRAzaczyna obowiązywać zgłaszanie aktywnie wykorzystywanych podatności i poważnych incydentówproducenci produktów z elementami cyfrowymiCRA art. 71(2)
2 sierpnia 2026AI Actogólne stosowanie, w tym obowiązki przejrzystościdostawcy i podmioty stosujące wymienione w nim systemyAI Act art. 113
27 lipca 2026AI Actw życie wchodzi Digital Omnibus w sprawie AI, który przesuwa terminy dla systemów wysokiego ryzykawszyscy objęci AI ActRozporządzenie 2026/1744 art. 4
17 lipca 2026CERtermin na zidentyfikowanie podmiotów krytycznych; każdy dostaje powiadomienie w ciągu miesiąca, ocena ryzyka jest wymagana w ciągu 9 miesięcy, a obowiązki w zakresie odporności stosuje się 10 miesięcy po nimpaństwa członkowskie; powiadomienie trafia do CiebieCER art. 6(1), 6(3), 12(1)
11 czerwca 2026CRAzaczynają obowiązywać przepisy o jednostkach notyfikowanych do oceny zgodnościpaństwa członkowskie i jednostki oceniające zgodnośćCRA art. 71(2)
3 kwietnia 2026NIS2 w Polscew życie wchodzi znowelizowana ustawa o krajowym systemie cyberbezpieczeństwapolskie podmioty kluczowe i ważneKSC art. 49
17 stycznia 2026CERtermin na krajową strategię odporności i ocenę ryzyka państwa członkowskiegopaństwa członkowskieCER art. 4(1), 5(1)
12 września 2025Data ActData Act zaczyna być stosowany, w tym przepisy o zmianie dostawcy i o nieuczciwych postanowieniach w nowych umowachproducenci, posiadacze danych, dostawcy chmury i usług przetwarzania danych, firmy podpisujące klauzule o danychData Act art. 50
2 sierpnia 2025AI Actzaczynają obowiązywać przepisy o modelach ogólnego przeznaczenia i rozdział o karachdostawcy modeli; państwa członkowskieAI Act art. 113
1 sierpnia 2025RED cyberzaczynają obowiązywać wymagania cyberbezpieczeństwa dla urządzeń radiowychproducenci, importerzy i dystrybutorzy urządzeń radiowych wymienionych w rozporządzeniu delegowanymRozporządzenie 2023/2444 art. 1
17 kwietnia 2025NIS2państwa członkowskie mają mieć pierwszy wykaz podmiotów kluczowych i ważnychpaństwa członkowskie; rejestracja należy do CiebieNIS2 art. 3(3)
2 lutego 2025AI Actzaczynają obowiązywać zakazy praktyk niedozwolonych i obowiązek AI literacy (kompetencje w zakresie AI)dostawcy i podmioty stosujące systemy AIAI Act art. 113
17 stycznia 2025DORADORA zaczyna obowiązywaćinstytucje finansowe i ich dostawcy usług ICTDORA art. 64
17 października 2024CERtermin na wdrożenie CER do prawa krajowego i powiadomienie Komisji o przepisach o sankcjachpaństwa członkowskie; Twoje obowiązki zaczynają się od ustawy krajowejCER art. 22, 26(1)
17 października 2024NIS2termin, do którego państwa członkowskie mają wprowadzić NIS2 do prawa krajowegopaństwa członkowskie; Twój obowiązek zaczyna się od krajowej ustawyNIS2 art. 41(1)
16 stycznia 2023CERdyrektywa CER wchodzi w życiepaństwa członkowskieCER art. 28
25 maja 2018RODORODO zaczyna obowiązywaćkażda organizacja przetwarzająca dane osoboweRODO art. 99(2)

Wiersze krajowe pochodzą z ustawy zmieniającej i komunikatu Ministerstwa Cyfryzacji. Terminów z innych krajów nie ma jeszcze w tej tabeli, więc sprawdź własną ustawę.

05

sprawdź sam

twój następny krok

Wpisz do kalendarza najbliższy termin, który Cię dotyczy, z nazwiskiem osoby obok.

uruchom wyszukiwarkę