Test NIS2 — sprawdź, czy Twoja firma podlega ustawie
Ustawa wdrażająca w Polsce dyrektywę NIS 2 obowiązuje od 3 kwietnia 2026 r. Nie obejmuje wszystkich firm — obejmuje podmioty z sektorów wymienionych w załącznikach do ustawy, które przekraczają określoną wielkość. Problem w tym, że firmy, które ustawie nie podlegają, i tak dostają wymagania bezpieczeństwa w umowach od swoich kontrahentów, bo ci odpowiadają za ryzyko w łańcuchu dostaw.
Ten test odpowiada na dwa pytania, które słyszymy od klientów najczęściej: czy moja firma podlega NIS2 i ile brakuje mi do spełnienia wymagań. Zajmuje około trzech minut. Nie prosi o dane firmy i niczego nie wysyła na serwer — całe wyliczenie dzieje się w Twojej przeglądarce.
Co sprawdza test
- Sektor działalności — czy mieści się w załączniku nr 1 (sektory kluczowe) albo nr 2 (sektory ważne) do ustawy.
- Wielkość firmy — zatrudnienie i roczny obrót, według kryteriów, do których odsyła art. 7 ust. 2 pkt 13 ustawy.
- Przypadki szczególne — sytuacje z art. 7l, w których organ może objąć podmiot mimo niespełnienia zwykłych przesłanek: jedyny dostawca usługi, ryzyko systemowe, znaczenie wojewódzkie lub krajowe.
- Gotowość organizacyjną i techniczną — dziesięć pytań o to, co ustawa wymaga mieć wdrożone: analizę ryzyka, obsługę incydentów, kopie zapasowe, kontrolę dostępu, uwierzytelnianie wieloskładnikowe, nadzór nad dostawcami.
Na końcu dostajesz procent gotowości i listę braków ułożoną według pilności — przy każdym z nich jest napisane, co robimy, żeby go zamknąć.
Czy Twoja firma podlega NIS2?
Dwa kroki. Najpierw sprawdzasz, czy przepisy w ogóle Cię obejmują. Jeśli tak — oceniasz, na ile jesteś na nie przygotowany. Bez rejestracji, wynik od razu na ekranie.
Krok 1 — sektor i wielkość firmy
Przepisy obejmują firmy na podstawie dwóch rzeczy naraz: branży, w której działają, i wielkości. Sama branża nie wystarcza, sama wielkość też nie.
Podstawa prawna: ustawa z dnia 23 stycznia 2026 r. o zmianie ustawy o krajowym systemie
cyberbezpieczeństwa oraz niektórych innych ustaw (Dz.U. 2026 poz. 252), wdrażająca dyrektywę
(UE) 2022/2555. Wykaz sektorów — załączniki nr 1 i 2 do ustawy. Kryterium wielkości przedsiębiorcy —
art. 2 ust. 1 załącznika I do rozporządzenia 651/2014/UE, do którego ustawa odsyła w art. 7 ust. 2 pkt 13.
Narzędzie ma charakter orientacyjny i nie stanowi opinii prawnej. Przy wielkości firmy bierze pod uwagę
liczbę pracowników i obrót, natomiast pełna definicja unijna uwzględnia dodatkowo sumę bilansową —
w granicznych przypadkach wynik może się różnić. Ostateczne ustalenie statusu wymaga analizy kodów PKD,
struktury właścicielskiej i faktycznie świadczonych usług. Jeśli wynik wskazuje, że firma jest objęta
obowiązkami, potwierdź to z prawnikiem, zanim podejmiesz decyzje.
Jak czytać wynik
- Podmiot kluczowy — najszerszy zakres obowiązków i nadzór bieżący. Obowiązkowy audyt bezpieczeństwa: pierwszy w ciągu 24 miesięcy, potem co najmniej raz na trzy lata, na własny koszt (art. 16 pkt 2, art. 15 ust. 1). Kara do 10 000 000 EUR albo 2% przychodu za poprzedni rok obrotowy — kwota wyższa, nie mniej niż 20 000 zł (art. 73 ust. 3).
- Podmiot ważny — te same wymagania techniczne, ale nadzór następczy, po zdarzeniu. Kara do 7 000 000 EUR albo 1,4% przychodu — kwota wyższa, nie mniej niż 15 000 zł (art. 73 ust. 4).
- Poza wykazem — ustawa Cię nie obejmuje. To nie znaczy, że temat Cię nie dotyczy: Twoi klienci z sektorów kluczowych i ważnych mają obowiązek zarządzania ryzykiem u dostawców, więc wymagania trafiają do umów. Jeżeli obsługujesz szpital, samorząd, bank, wodociągi albo producenta z załącznika — pytanie o Twoje zabezpieczenia jest kwestią czasu, a nie tego, czy w ogóle padnie.
Odpowiedzialność nie kończy się na firmie. Ustawa przewiduje karę dla kierownika podmiotu w wysokości do 300% jego wynagrodzenia, a w podmiocie publicznym do 100% (art. 73a ust. 4 i 5).
Terminy, które wynikają z ustawy
| Obowiązek | Termin | Podstawa |
|---|---|---|
| Wniosek o wpis do wykazu podmiotów | 6 miesięcy od dnia spełnienia przesłanek | art. 7c ust. 1 |
| Zgłoszenie zmiany danych w wykazie | 14 dni | art. 7c ust. 3 |
| Wdrożenie obowiązków z rozdziału 3 | 12 miesięcy od spełnienia przesłanek | art. 16 pkt 1 |
| Pierwszy audyt bezpieczeństwa (podmiot kluczowy) | 24 miesiące | art. 16 pkt 2 |
| Kolejne audyty | co najmniej raz na 3 lata, na koszt podmiotu | art. 15 ust. 1 |
| Wczesne ostrzeżenie do CSIRT po incydencie | niezwłocznie, nie później niż 24 godziny od wykrycia | art. 11 ust. 1 pkt 4 |
| Zgłoszenie incydentu poważnego | nie później niż 72 godziny od wykrycia | art. 11 ust. 1 pkt 4a |
| Sprawozdanie końcowe | nie później niż miesiąc od dnia zgłoszenia | art. 11 ust. 1 pkt 4c |
Termin 24 godzin jest tym, który w praktyce sprawia najwięcej kłopotu. Żeby go dotrzymać, ktoś musi wiedzieć o incydencie w nocy i w weekend, mieć komu go zgłosić i mieć przygotowaną treść zgłoszenia. To nie jest zadanie na moment, w którym incydent już trwa.
Od czego zaczynamy u klientów
- Ustalenie statusu — czy podmiot kluczowy, ważny, czy poza wykazem, i od kiedy biegną terminy.
- Audyt bezpieczeństwa IT — stan faktyczny zamiast deklaracji: co jest wdrożone, co tylko opisane, a czego nie ma.
- Analiza ryzyka i polityki — dokumenty, których organ może zażądać, napisane pod tę firmę, a nie pobrane ze wzoru.
- Wdrożenie techniczne — kopie zapasowe z odtwarzaniem sprawdzanym w praktyce, uwierzytelnianie wieloskładnikowe, segmentacja sieci, monitoring.
- Procedura zgłoszenia incydentu — kto, do kogo, w jakim czasie i na jakim formularzu. Przećwiczona, nie tylko zapisana.
- Testy penetracyjne — weryfikacja, czy wdrożone zabezpieczenia rzeczywiście działają.
- Bieżąca obsługa — bo zgodność to stan utrzymywany, a nie projekt z datą zakończenia.
Szerzej o zakresie prac piszemy na stronie NIS2 i RODO.
Najczęściej zadawane pytania
Od kiedy obowiązują przepisy?
Od 3 kwietnia 2026 r. Ustawa została ogłoszona 2 marca 2026 r., a art. 49 przewiduje wejście w życie po upływie miesiąca od ogłoszenia. Część opracowań w internecie podaje datę o rok późniejszą — jest błędna.
Czy mały przedsiębiorca podlega NIS2?
Co do zasady nie — ustawa sięga po podmioty średnie i większe. Są jednak wyjątki z art. 7l, w których wielkość nie ma znaczenia, między innymi gdy podmiot jako jedyny świadczy daną usługę albo gdy jej zakłócenie może wywołać ryzyko systemowe.
Nie podlegam ustawie. Czy muszę cokolwiek robić?
Z ustawy — nie. Z umów — bardzo często tak. Podmioty kluczowe i ważne odpowiadają za ryzyko w łańcuchu dostaw, więc przenoszą wymagania na dostawców. W praktyce oznacza to ankiety bezpieczeństwa, zapisy w umowach i pytania o czas reakcji na incydent.
Ile czasu zajmuje przygotowanie firmy?
Zależy od punktu wyjścia. Ustawa daje 12 miesięcy od spełnienia przesłanek na wdrożenie obowiązków z rozdziału 3 (art. 16 pkt 1). Przy firmie, która ma już uporządkowaną infrastrukturę, praca liczy się w tygodniach. Przy firmie bez inwentaryzacji sprzętu i bez sprawdzonych kopii zapasowych — w miesiącach.
Czy wynik testu jest wiążący?
Nie. To narzędzie orientacyjne. Kryterium wielkości w ustawie odsyła do rozporządzenia 651/2014/UE, które bierze pod uwagę także sumę bilansową i powiązania kapitałowe — tego test nie liczy. W przypadkach granicznych wynik może się różnić od pełnej analizy. Klasyfikację potwierdza się na podstawie tekstu ustawy i stanu faktycznego firmy.
Masz wątpliwość, której test nie rozstrzyga?
Napisz do nas albo zadzwoń — sprawdzimy klasyfikację Twojej firmy na podstawie kodów PKD i faktycznie świadczonych usług, a potem powiemy, co realnie trzeba wdrożyć i w jakiej kolejności.
Podstawa prawna: ustawa z dnia 23 stycznia 2026 r. o zmianie ustawy o krajowym systemie cyberbezpieczeństwa oraz niektórych innych ustaw (Dz.U. 2026 poz. 252), ogłoszona 2 marca 2026 r., wdrażająca dyrektywę (UE) 2022/2555. Wykaz sektorów — załączniki nr 1 i 2 do ustawy. Kryterium wielkości przedsiębiorcy — art. 2 ust. 1 załącznika I do rozporządzenia 651/2014/UE, do którego ustawa odsyła w art. 7 ust. 2 pkt 13.
