NIS2

Rozstrzygają dwa pytania i na oba odpowiesz w dziesięć minut. Czy Twoja działalność jest na liście? Czy jesteś wystarczająco duży?

Przeczytaj rodzaje podmiotów w załącznikach, bo nazwy sektorów brzmią szerzej, niż wynika z tego, co obejmują. Transport wymienia zarządców dróg i operatorów inteligentnych systemów transportowych, więc firma przewozowa działająca w transporcie drogowym nie jest na tej liście. Produkcja obejmuje tylko wyroby medyczne, elektronikę, urządzenia elektryczne, maszyny, pojazdy i inne środki transportu.

Najczęstszą niespodzianką są dane grupy. Do Twojej wielkości wlicza się personel i środki finansowe z przedsiębiorstw powiązanych i partnerskich, więc 40 osób w większej grupie często przekracza próg.

Etykieta zmienia sposób nadzoru i wysokość możliwej kary. Praca pozostaje ta sama. Podmioty kluczowe mogą być nadzorowane, zanim cokolwiek się stanie. Podmioty ważne podlegają nadzorowi po fakcie, gdy pojawi się wskazanie, że coś jest nie tak.

Wyobraź sobie prywatną grupę szpitali zatrudniającą 300 osób i producenta żywności zatrudniającego 300 osób. Ochrona zdrowia jest w załączniku I, więc grupa szpitali to prawdopodobnie podmiot kluczowy. Żywność jest w załączniku II, więc producent jest podmiotem ważnym. Oba mają do zrobienia tę samą pracę.

Dyrektywa wylicza dziesięć rodzajów środków bezpieczeństwa, każdy w jednej linijce: analizę ryzyka, obsługę incydentów, kopie zapasowe i zarządzanie kryzysowe, łańcuch dostaw, bezpieczne tworzenie oprogramowania i podatności, sprawdzanie własnej skuteczności, higienę i szkolenia, kryptografię, kadry, dostęp i zasoby oraz MFA (uwierzytelnianie wieloskładnikowe). Każdy z nich ma stronę w serwisie w części prace do wykonania.

Środki muszą być proporcjonalne do Twojej ekspozycji, wielkości oraz prawdopodobieństwa i dotkliwości incydentów. Słowo „proporcjonalne” daje Ci swobodę decyzji i zobowiązuje do zapisania, dlaczego zdecydowałeś tak, a nie inaczej.

Jeśli należysz do rodzajów cyfrowych, takich jak chmura, centrum danych czy usługi zarządzane, szczegółowo opisuje środki rozporządzenie Komisji, które wiąże Cię bezpośrednio. Pozostali mogą z niego korzystać jako z najbardziej konkretnego sformułowania w prawie UE i powinni to zaznaczyć w swoich dokumentach.

Państwa członkowskie miały wdrożyć NIS2 do 17 października 2024, a wiele z nich nie zdążyło. 8 lipca 2026 Komisja ogłosiła skierowanie do Trybunału Sprawiedliwości spraw przeciwko Irlandii, Hiszpanii, Francji i Holandii, jak podał Brussels Times. Zestawienia różnią się co do liczby obowiązujących ustaw, więc sprawdź dziennik urzędowy własnego kraju.

Niemcy. BSI pisze na swojej stronie o NIS2, że ustawowy termin rejestracji minął, a podmioty jeszcze niezarejestrowane powinny to zrobić niezwłocznie.

W Polsce NIS2 wdraża ustawa o krajowym systemie cyberbezpieczeństwa (KSC) w brzmieniu nadanym ustawą z 23 stycznia 2026, Dz.U. 2026 poz. 252. Zmieniona ustawa obowiązuje od 3 kwietnia 2026.

Podmioty objęte ustawą w tym dniu miały czas do 3 października 2026 na złożenie wniosku o wpis do wykazu. Na wykonanie samych obowiązków mają czas do 3 kwietnia 2027. Pierwsze audyty podmiotów kluczowych i większość kar są możliwe dopiero po 3 kwietnia 2028.

Kierownik podmiotu pozostaje odpowiedzialny także po delegowaniu zadań. Szkolenia kadry zarządzającej odbywają się co roku i są dokumentowane.

Kary pieniężne ustawa określa osobno dla podmiotów kluczowych i ważnych, z dolnymi progami w złotych, oraz osobno dla samego kierownika podmiotu. Dokładne kwoty i zasadę wyższej z dwóch wartości sprawdź w tekście ustawy razem z prawnikiem, bo polski tekst formułuje ją wprost tylko dla podmiotów kluczowych.

Wniosek o zmianę NIS2 opublikowano w styczniu 2026 i znajduje się on na etapie prac w komisji Parlamentu, a pierwsze czytanie wskazano na marzec 2027. Dodałby niewielką kategorię spółek o średniej kapitalizacji, tak że etykieta podmiotu kluczowego w załączniku I zaczynałaby się od większej wielkości. To dopiero wniosek, więc planuj na podstawie obowiązującego prawa.