prawo

NIS2

Dyrektywa UE o cyberbezpieczeństwie dla 18 sektorów. Dociera do Ciebie przez prawo krajowe i niesie ze sobą podpis zarządu, ostrzeżenia w 24 godziny i dziesięć rodzajów pracy nad bezpieczeństwem.

wiążące prawoostatnio sprawdzone 2 listopada 2026
zobacz całą pracę po koleizacznij od przewodnika

w skrócie

czym jest
Dyrektywą unijną. Wiąże Cię ustawa krajowa.
kogo obejmuje
Średnie i większe podmioty wymienionych rodzajów w 18 sektorach. Niektóre rodzaje bez względu na wielkość.
próg wielkości
50 pracowników albo jednocześnie obrót i suma bilansowa powyżej 10 mln euro.
górne granice kar
Podmioty kluczowe: co najmniej 10 mln euro lub 2% obrotu. Podmioty ważne: co najmniej 7 mln euro lub 1,4%.
kto odpowiada
Kierownictwo zatwierdza środki, nadzoruje je i może ponieść odpowiedzialność.
stan prawny
Ustawy krajowe powstają kraj po kraju. W Polsce zmieniona ustawa obowiązuje od 3 kwietnia 2026.

podstawa NIS2 art. 2(1), 2(2), 20(1), 34(4), 34(5), 41(1); Zalecenie 2003/361 art. 2(2); KSC art. 49

czy Cię dotyczy?

Kilka pytań, z odpowiedziami w przeglądarce, wskazuje, które przepisy są Twoje. Nic nie jest nigdzie wysyłane.

znajdź moje przepisy

czy firma podlega NIS2?

  1. Czy Twoja działalność należy do rodzajów podmiotów z załącznika I lub II?
    tak
    niePoza wykazem. Umowa klienta albo Twoje państwo nadal mogą Cię objąć.
  2. Czy jesteś dostawcą usług zaufania, DNS, rejestrem domen najwyższego poziomu albo dostawcą publicznych sieci lub usług łączności?
    nie
    takObjęty niezależnie od wielkości.
  3. Czy zatrudniasz co najmniej 50 osób, licząc razem z grupą?
    nie
    takObjęty.
  4. Czy obrót i suma bilansowa są obie powyżej 10 mln euro, licząc razem z grupą?
    tak
    niePoniżej progu wielkości, chyba że Twoje państwo wskaże Cię imiennie.
  5. Objęty. Sprawdź w krajowej ustawie, jak nazywa Twój podmiot i jakie są terminy.

podstawa NIS2 art. 2(1), 2(2), załącznik I, załącznik II; Zalecenie 2003/361 art. 2(2), 6(2)

test wielkości na jednej stronie

zatrudnienie, licząc razem z grupą
poniżej 50od 50 do 249250 lub więcej
obrót lub suma bilansowa do 10 mln europozaważnykluczowy lub ważny
obie wielkości powyżej 10 mln euroważnyważnykluczowy lub ważny
obrót powyżej 50 mln euro i suma bilansowa powyżej 43 mln eurokluczowy lub ważnykluczowy lub ważnykluczowy lub ważny
test finansowy, również razem z grupą
  • poza zakresem, chyba że wskazany imiennie lub należący do rodzaju objętego bez względu na wielkość
  • podmiot ważny
  • kluczowy w załączniku I, ważny w załączniku II
Zakładamy, że Twoja działalność jest na liście. Pięćdziesiąt osób wystarcza samo. Poniżej tego obie kwoty muszą przekraczać próg.

podstawa NIS2 art. 2(1), 3(1), 3(2); Zalecenie 2003/361 art. 2(1), 2(2)

cała praca, po kolei

Fazy, z właścicielem każdego kroku i dowodem, który zostaje. Otwórz fazę, żeby zobaczyć jej kroki.

otwórz plan wdrożenia

terminy

Co od kiedy obowiązuje. Odwołanie stoi pod każdą datą.

  1. 17 października 2024termin, do którego państwa członkowskie mają wprowadzić NIS2 do prawa krajowegoNIS2 art. 41(1)obowiązuje
  2. 17 kwietnia 2025państwa członkowskie mają mieć pierwszy wykaz podmiotów kluczowych i ważnychNIS2 art. 3(3)obowiązuje
  3. 3 kwietnia 2026w życie wchodzi znowelizowana ustawa o krajowym systemie cyberbezpieczeństwaKSC art. 49obowiązuje
  4. 3 października 2026ostatni dzień na złożenie wniosku o wpis do wykazu podmiotów, dla podmiotów objętych ustawą na dzień 3 kwietnia 2026KSC art. 33(3)obowiązuje
  5. 3 kwietnia 2027termin obowiązków z rozdziału 3, dla podmiotów objętych ustawą na dzień 3 kwietnia 2026KSC art. 33(1)wchodzi
  6. 3 kwietnia 2028termin pierwszego audytu dla podmiotów kluczowych; po tej dacie można nakładać większość karKSC art. 33(2) i 35wchodzi

górne granice kar

Górne granice, które ustala każdy tekst. Odwołanie stoi pod każdą.

czego wymaga i czym to spełnić

Przepis opisuje, co ma być prawdą w firmie. Nie wskazuje narzędzi ani metod: wybierasz je Ty, a za wybór odpowiadają wdrażający i zarząd. Pod każdym wymaganiem stoją zabezpieczenia, którymi najczęściej się je spełnia. To nasze odczytanie przepisu, nie lista z aktu.

  1. NIS2 art. 20(2)

    Członkowie organów zarządzających muszą odbywać szkolenia. Do podobnych szkoleń dla pracowników zachęca się, na regularnych zasadach.

  2. NIS2 art. 21(1)

    Środki odpowiednie i proporcjonalne do ryzyka, narażenia, wielkości, prawdopodobieństwa i dotkliwości.

  3. NIS2 art. 21(2)(a)

    Polityki analizy ryzyka i bezpieczeństwa systemów informatycznych.

  4. NIS2 art. 21(2)(b)

    Obsługa incydentów jako jeden ze środków zarządzania ryzykiem w cyberbezpieczeństwie.

  5. NIS2 art. 21(2)(c)

    Ciągłość działania, taka jak zarządzanie kopiami zapasowymi i odtwarzanie po awarii, oraz zarządzanie kryzysowe.

  6. NIS2 art. 21(2)(d)

    Bezpieczeństwo łańcucha dostaw, w tym relacje z bezpośrednimi dostawcami i usługodawcami.

  7. NIS2 art. 21(2)(e)

    Bezpieczeństwo przy nabywaniu, rozwoju i utrzymaniu systemów sieci i informacyjnych, w tym obsługa i ujawnianie podatności.

  8. NIS2 art. 21(2)(g)

    Podstawowe praktyki cyberhigieny i szkolenia z cyberbezpieczeństwa.

  9. NIS2 art. 21(2)(h)

    Polityki i procedury dotyczące stosowania kryptografii i, w stosownych przypadkach, szyfrowania.

  10. NIS2 art. 21(2)(i)

    Bezpieczeństwo zasobów ludzkich, polityki kontroli dostępu i zarządzanie aktywami.

  11. NIS2 art. 21(2)(j)

    MFA lub uwierzytelnianie ciągłe, tam gdzie jest to właściwe.

  12. NIS2 art. 21(3)

    Uwzględnić podatności każdego bezpośredniego dostawcy oraz jakość jego produktów i praktyk.

  13. NIS2 art. 23(4)

    Wczesne ostrzeżenie w ciągu 24 godzin od stwierdzenia poważnego incydentu, zgłoszenie incydentu w ciągu 72 godzin i sprawozdanie końcowe w ciągu miesiąca od zgłoszenia.

praca w ramach tego przepisu

pełny przewodnik

Pełne wyjaśnienie, sekcja po sekcji, ze źródłami.

zacznij od przewodnika

twój następny krok

Nie wiesz, które z nich Cię obejmują? Kilka pytań to rozstrzygnie.

znajdź moje przepisy