3 kwietnia 2026 roku weszła w życie nowelizacja ustawy o krajowym systemie cyberbezpieczeństwa. Zmieniła zakres podmiotowy, obowiązki i wysokość kar. Firmy, które przez lata przyjmowały, że przepisy o cyberbezpieczeństwie dotyczą banków i elektrowni, znalazły się w nowym stanie prawnym — a część z nich jeszcze o tym nie wie.
Ten przewodnik opisuje, co ustawa mówi naprawdę. Każda liczba i każdy termin są podane z artykułem, a wszystkie odczytaliśmy wprost z tekstu opublikowanego w Dzienniku Ustaw — nie z opracowań branżowych, w których zdarzają się błędy. Sprawdziliśmy: jedno z popularnych opracowań podawało datę wejścia w życie o rok późniejszą niż prawdziwa.
Czym jest krajowy system cyberbezpieczeństwa
Krajowy system cyberbezpieczeństwa, w skrócie KSC, to ustawowa struktura, która ma zapewnić niezakłócone świadczenie usług kluczowych dla gospodarki i państwa. Nie jest instytucją ani urzędem — jest systemem powiązanych obowiązków, podmiotów i procedur, opisanym w ustawie z dnia 5 lipca 2018 r. o krajowym systemie cyberbezpieczeństwa.
Obecne brzmienie ustawa uzyskała na mocy ustawy z dnia 23 stycznia 2026 r. (Dz.U. 2026 poz. 252), ogłoszonej 2 marca 2026 r. Zgodnie z jej art. 49 weszła w życie po upływie miesiąca od dnia ogłoszenia, czyli 3 kwietnia 2026 r. Nowelizacja wdraża do prawa polskiego dyrektywę (UE) 2022/2555, znaną szerzej jako NIS 2.
To rozróżnienie jest ważniejsze, niż się wydaje. Dyrektywa NIS 2 nie obowiązuje polskiej firmy bezpośrednio. Obowiązuje ją ustawa, która dyrektywę wdraża — i to w ustawie, nie w dyrektywie, znajdują się konkretne terminy, kwoty kar i zakres obowiązków. Większość dostępnych w sieci opracowań opisuje przepis unijny.
Kto wchodzi w skład krajowego systemu cyberbezpieczeństwa
System obejmuje trzy grupy uczestników o różnych rolach:
- Podmioty kluczowe i podmioty ważne — przedsiębiorcy i instytucje z sektorów wymienionych w załącznikach do ustawy. To na nich spoczywają obowiązki opisane niżej.
- Zespoły CSIRT — CSIRT NASK, CSIRT GOV, CSIRT MON oraz CSIRT-y sektorowe. To do właściwego CSIRT sektorowego trafiają zgłoszenia incydentów, co bywa mylone z wysyłaniem ich do CSIRT NASK.
- Organy właściwe do spraw cyberbezpieczeństwa — nadzorują podmioty w swoich sektorach, prowadzą wykaz i nakładają kary.
Kto podlega pod KSC
Podleganie ustawie rozstrzyga się na przecięciu dwóch kryteriów: sektora i wielkości podmiotu. Samo działanie w branży IT niczego nie przesądza — tak jak nie przesądza sama wielkość firmy.
Sektor — załączniki nr 1 i nr 2
Załącznik nr 1 — sektory kluczowe. Energia (wydobycie, elektryczność, ciepło, ropa i paliwa, gaz, energetyka jądrowa, wodór), transport (lotniczy, kolejowy, wodny, drogowy), bankowość i infrastruktura rynków finansowych, ochrona zdrowia, woda pitna i ścieki, infrastruktura cyfrowa, zarządzanie usługami ICT, podmioty publiczne, przestrzeń kosmiczna.
Załącznik nr 2 — sektory ważne. Usługi pocztowe i kurierskie, gospodarowanie odpadami, produkcja i dystrybucja chemikaliów, produkcja i dystrybucja żywności, produkcja (wyroby medyczne, elektronika, urządzenia elektryczne, maszyny, pojazdy, sprzęt transportowy), dostawcy usług cyfrowych, badania naukowe, podmioty publiczne.
Wielkość — odesłanie do przepisów unijnych
Ustawa nie definiuje wielkości samodzielnie. W art. 7 ust. 2 pkt 13 odsyła do art. 2 ust. 1 załącznika I do rozporządzenia 651/2014/UE, czyli do unijnej definicji mikro-, małego i średniego przedsiębiorcy. Podmiot deklaruje, czy spełnia te kryteria, czy je przekracza.
Wyjątek, o którym łatwo zapomnieć
Art. 7l pozwala organowi uznać za podmiot kluczowy lub ważny także podmiot, który zwykłych przesłanek nie spełnia — jeżeli m.in. jako jedyny świadczy usługę o kluczowym znaczeniu, zakłócenie spowodowałoby poważne zagrożenie dla bezpieczeństwa państwa albo ryzyko systemowe, albo usługa ma istotne znaczenie wojewódzkie lub krajowe. Mała firma może więc zostać objęta ustawą decyzją organu.
Jeżeli chcecie sprawdzić swoją sytuację bez czytania załączników, przygotowaliśmy test NIS2 — dwa kroki, wynik od razu na ekranie, bez rejestracji.
Kto musi się zarejestrować i w jakim terminie
Podmiot, który spełnia przesłanki, sam zgłasza się do wykazu. Nikt go nie wpisze z urzędu i nie przypomni o terminie.
| Obowiązek | Termin | Podstawa |
|---|---|---|
| Wniosek o wpis do wykazu | 6 miesięcy od dnia spełnienia przesłanek | art. 7c ust. 1 |
| Zgłoszenie zmiany danych w wykazie | 14 dni od dnia zmiany | art. 7c ust. 3 |
| Uzupełnienie brakujących danych po wezwaniu | 6 miesięcy, pod rygorem kary | art. 7b ust. 2 |
| Wdrożenie obowiązków z rozdziału 3 | 12 miesięcy od spełnienia przesłanek | art. 16 pkt 1 |
| Pierwszy audyt bezpieczeństwa (podmiot kluczowy) | 24 miesiące | art. 16 pkt 2 |
| Kolejne audyty | co najmniej raz na 3 lata, na własny koszt | art. 15 ust. 1 |
| Przekazanie kopii raportu z audytu organowi | 3 dni robocze od otrzymania | art. 15 ust. 1a |
Obowiązki: system zarządzania bezpieczeństwem informacji
Sercem ustawy jest art. 8. Nakazuje wdrożyć system zarządzania bezpieczeństwem informacji w systemie informacyjnym wykorzystywanym w procesach wpływających na świadczenie usługi. Ustęp 1 pkt 2 wymienia czternaście obszarów, oznaczonych literami od a do n, które ten system ma obejmować.
| Litera | Obszar |
|---|---|
| a | polityki szacowania ryzyka oraz bezpieczeństwa systemu informacyjnego, w tym polityki tematyczne |
| b | bezpieczeństwo w procesie nabywania, rozwoju, utrzymania i eksploatacji systemu, w tym testowanie |
| c | bezpieczeństwo fizyczne i środowiskowe uwzględniające kontrole dostępu |
| d | bezpieczeństwo zasobów ludzkich |
| e | bezpieczeństwo i ciągłość łańcucha dostaw produktów, usług i procesów ICT |
| f | plany ciągłości działania, plany awaryjne i plany odtworzenia działalności |
| g | objęcie systemu monitorowaniem w trybie ciągłym |
| h | polityki i procedury oceny skuteczności środków technicznych i organizacyjnych |
| i | edukacja z zakresu cyberbezpieczeństwa dla personelu |
| j | podstawowe zasady cyberhigieny |
| k | polityki i procedury stosowania kryptografii, w tym szyfrowania |
| l | bezpieczne środki komunikacji uwzględniające uwierzytelnianie wieloskładnikowe |
| m | zarządzanie aktywami |
| n | polityki kontroli dostępu |
Poza katalogiem liter art. 8 ust. 1 wymaga jeszcze systematycznego szacowania ryzyka (pkt 1), zbierania informacji o cyberzagrożeniach i podatnościach (pkt 3), zarządzania incydentami (pkt 4) oraz środków ograniczających wpływ incydentów (pkt 5) — w tym regularnych aktualizacji oprogramowania stosownie do zaleceń producenta i ochrony przed nieuprawnioną modyfikacją.
Katalog liter a–n jest jednocześnie najlepszym dostępnym spisem treści dokumentacji bezpieczeństwa. Nasz generator polityki bezpieczeństwa informacji układa rozdziały dokładnie według niego, z przypisem do przepisu przy każdym.
Łańcuch dostaw — przepis, z którego biorą się ankiety dla dostawców
Art. 8 ust. 2 mówi, co podmiot ma uwzględnić, wdrażając literę e: podatności związane z dostawcą, ogólną jakość jego produktów, usług i procesów ICT, wyniki skoordynowanej oceny bezpieczeństwa Grupy Współpracy oraz wyniki postępowania z art. 67b.
Stąd biorą się ankiety bezpieczeństwa rozsyłane dostawcom. Podmiot objęty ustawą nie pyta z ciekawości — ma ustawowy obowiązek ocenić dostawcę i wykazać, że to zrobił. Jeśli taka ankieta trafiła do Was, przygotowaliśmy narzędzie do odpowiedzi na nią.
Podmiot publiczny stosuje inny przepis
Art. 8 ust. 3: podmiot ważny będący podmiotem publicznym nie stosuje art. 8 ust. 1. Wdraża system zarządzania bezpieczeństwem informacji spełniający wymogi załącznika nr 4 do ustawy. Katalog liter a–n nie jest dla niego podstawą prawną — to częsty błąd w opracowaniach i we wzorach dokumentów.
Zgłaszanie incydentów — terminy liczone od wykrycia
Terminy zgłoszeń biegną od momentu wykrycia incydentu, a nie od chwili, w której ktoś uznał, że sprawa jest poważna. To rozróżnienie decyduje o tym, czy termin zostanie dotrzymany.
| Etap | Termin | Podstawa |
|---|---|---|
| Wczesne ostrzeżenie do CSIRT sektorowego | niezwłocznie, nie później niż 24 godziny | art. 11 ust. 1 pkt 4 |
| Zgłoszenie incydentu poważnego | niezwłocznie, nie później niż 72 godziny | art. 11 ust. 1 pkt 4a |
| Sprawozdanie okresowe | na wniosek CSIRT | art. 11 ust. 1 pkt 4b |
| Sprawozdanie końcowe | nie później niż miesiąc od zgłoszenia | art. 11 ust. 1 pkt 4c |
| Dostawca usług zaufania — samo zgłoszenie | 24 godziny | art. 11 ust. 1a |
⚠️ Adresatem zgłoszenia jest właściwy CSIRT sektorowy, nie CSIRT NASK. Zgłoszenia przekazuje się przez system teleinformatyczny, o którym mowa w art. 46 ust. 1 (art. 11 ust. 2).
⚠️ Art. 12c: do podmiotu ważnego będącego podmiotem publicznym nie stosuje się przepisów o wczesnym ostrzeżeniu, sprawozdaniu okresowym, sprawozdaniu z postępu ani sprawozdaniu końcowym. Zostaje samo zgłoszenie w 72 godziny.
Kolejność działań, treść zgłoszenia i wyliczenie terminów przygotujecie generatorem procedury zgłoszenia incydentu.
Kary — i dlaczego dotyczą także kierownika osobiście
| Kogo dotyczy | Wysokość | Podstawa |
|---|---|---|
| Podmiot kluczowy | do 10 000 000 EUR albo 2% przychodu za poprzedni rok obrotowy — kwota wyższa; nie mniej niż 20 000 zł | art. 73 ust. 3 |
| Podmiot ważny | do 7 000 000 EUR albo 1,4% przychodu — kwota wyższa; nie mniej niż 15 000 zł | art. 73 ust. 4 |
| Kara podwyższona | do 100 000 000 zł — gdy naruszenie powoduje bezpośrednie i poważne cyberzagrożenie dla obronności, bezpieczeństwa państwa, porządku publicznego albo życia i zdrowia ludzi | art. 73 ust. 5 |
| Kierownik podmiotu | do 300% wynagrodzenia (w podmiocie publicznym do 100%) | art. 73a ust. 4 i 5 |
| Działalność krócej niż 12 miesięcy lub brak przychodu | podstawa: równowartość 500 000 EUR (kluczowy) albo 250 000 EUR (ważny) | art. 73 ust. 3a i ust. 5 |
Kurs euro przelicza się według średniego kursu NBP z 31 grudnia roku poprzedzającego rok wydania decyzji.
Kara dla kierownika podmiotu liczona jest od jego własnego wynagrodzenia. To zapis, który zmienia charakter tych przepisów — odpowiedzialności nie da się przenieść na dostawcę usług informatycznych ani na dział IT.
Karane jest nie tylko dopuszczenie do incydentu. Karany jest brak wpisu do wykazu, brak zgłoszenia w terminie i brak audytu.
Od czego zacząć
Przygotowaliśmy komplet bezpłatnych narzędzi, które prowadzą przez tę ścieżkę od początku do końca. Wszystkie działają w przeglądarce, żadne nie wymaga rejestracji ani podania adresu e-mail.
- Sprawdź, czy podlegasz — test NIS2. Sektor i wielkość, dwa kroki.
- Opisz zasady — generator polityki bezpieczeństwa informacji, osiemnaście rozdziałów ułożonych według liter a–n, z osobną ścieżką dla podmiotów publicznych.
- Przygotuj procedurę incydentu — generator procedury zgłoszenia z terminami 24 i 72 godzin liczonymi od wykrycia.
- Uporządkuj kopie zapasowe — kreator procedury kopii zapasowych, wymagany literą f.
- Odpowiedz kontrahentom — ankieta bezpieczeństwa dla dostawcy, osiemnaście pytań wynikających z art. 8 ust. 1 pkt 2 lit. e i ust. 2.
- Sprawdź, czy stan faktyczny zgadza się z dokumentami — to już audyt bezpieczeństwa IT.
Jeśli wolicie, żeby przeprowadził Was przez to ktoś, kto robi to na co dzień — zajmujemy się wdrożeniem wymagań ustawy w firmach. Napiszcie do nas, odpowiemy tego samego dnia roboczego.
Najczęstsze nieporozumienia
„To dotyczy tylko dużych firm.” Kryterium wielkości jest jednym z dwóch, nie jedynym. Do tego art. 7l pozwala objąć ustawą podmiot, który zwykłych przesłanek nie spełnia. A niezależnie od podlegania — kontrahent objęty ustawą przeniesie wymagania na Was umową, bo musi.
„Mamy czas, przepisy dopiero wchodzą.” Ustawa obowiązuje od 3 kwietnia 2026 r. Termin na wpis do wykazu to sześć miesięcy od spełnienia przesłanek, a na wdrożenie obowiązków dwanaście. Oba biegną od spełnienia przesłanek, nie od momentu, w którym firma się zorientowała.
„Kara wynosi 10 milionów euro.” To górna granica dla podmiotu kluczowego, nie stawka. Realna wysokość zależy od przychodu i wagi naruszenia, a dolny próg to 20 000 zł dla podmiotu kluczowego i 15 000 zł dla ważnego.
„Zgłoszenie idzie do CSIRT NASK.” Adresatem jest właściwy CSIRT sektorowy. CSIRT NASK, GOV i MON pojawiają się przy współdziałaniu i przy wykazie, ale nie jako domyślny adresat zgłoszenia.
Podstawa prawna
Ustawa z dnia 5 lipca 2018 r. o krajowym systemie cyberbezpieczeństwa, w brzmieniu nadanym ustawą z dnia 23 stycznia 2026 r. o zmianie ustawy o krajowym systemie cyberbezpieczeństwa oraz niektórych innych ustaw (Dz.U. 2026 poz. 252), obowiązującym od 3 kwietnia 2026 r. Wdraża dyrektywę Parlamentu Europejskiego i Rady (UE) 2022/2555 z dnia 14 grudnia 2022 r.
Przywołane przepisy: art. 7 ust. 2 pkt 13, art. 7b ust. 2, art. 7c ust. 1 i 3, art. 7l, art. 8 ust. 1–3, art. 8b, art. 11 ust. 1 pkt 4, 4a, 4b i 4c, art. 11 ust. 1a i ust. 2, art. 12c, art. 15 ust. 1 i 1a, art. 16 pkt 1 i 2, art. 46 ust. 1, art. 49, art. 67b, art. 73 ust. 3, 3a, 4 i 5, art. 73a ust. 4 i 5, załączniki nr 1, 2 i 4.
Materiał ma charakter informacyjny i nie stanowi porady prawnej. Stan prawny na wrzesień 2026 r.
