NIS2 to dyrektywa unijna. Sama w sobie nie nakłada na polską firmę żadnego obowiązku — dyrektywy wiążą państwa członkowskie, nie przedsiębiorców. Firmę w Polsce wiąże ustawa, która dyrektywę wdraża, i to w niej znajdują się konkretne terminy, kwoty kar i zakres obowiązków.
To rozróżnienie tłumaczy większość zamieszania wokół tego tematu. Materiały krążące w sieci opisują przepis unijny i podają daty z procesu unijnego — a przedsiębiorcę interesuje, co obowiązuje jego i od kiedy. Ta strona odpowiada na to pytanie.
Czym jest NIS2
Dyrektywa Parlamentu Europejskiego i Rady (UE) 2022/2555 z dnia 14 grudnia 2022 r. w sprawie środków na rzecz wysokiego wspólnego poziomu cyberbezpieczeństwa na terytorium Unii (Dz. Urz. UE L 333 z 27.12.2022, str. 80). W obiegu funkcjonuje pod nazwą NIS 2.
Zastąpiła poprzedniczkę — dyrektywę (UE) 2016/1148, czyli NIS 1, którą wprost uchyliła. Powód zmiany był prosty: pierwsza dyrektywa obejmowała wąskie grono operatorów usług kluczowych i zostawiała państwom zbyt dużą swobodę. NIS2 rozszerzyła katalog sektorów, ujednoliciła wymagania i — co dla przedsiębiorców najistotniejsze — wprowadziła osobistą odpowiedzialność kierownictwa.
Kiedy wchodzi NIS2 w Polsce
Już obowiązuje. Polska wdrożyła dyrektywę ustawą z dnia 23 stycznia 2026 r. o zmianie ustawy o krajowym systemie cyberbezpieczeństwa oraz niektórych innych ustaw. Ustawa została opublikowana w Dzienniku Ustaw pod pozycją Dz.U. 2026 poz. 252 i ogłoszona 2 marca 2026 r.
Zgodnie z jej art. 49 weszła w życie po upływie miesiąca od dnia ogłoszenia, czyli 3 kwietnia 2026 r.
⚠️ Uważajcie na daty krążące w opracowaniach. Sprawdziliśmy kilka popularnych materiałów branżowych — jeden podawał wejście w życie o rok później, niż wynika z ustawy. Data z art. 49 jest jedyną, która ma znaczenie, i podajemy ją tu wprost z tekstu opublikowanego w Dzienniku Ustaw.
Wejście ustawy w życie nie znaczy jednak, że wszystkie obowiązki trzeba mieć wdrożone od pierwszego dnia. Terminy liczą się od momentu spełnienia przesłanek przez konkretny podmiot:
- 6 miesięcy na złożenie wniosku o wpis do wykazu (art. 7c ust. 1)
- 12 miesięcy na wdrożenie obowiązków z rozdziału 3 ustawy (art. 16 pkt 1)
- 24 miesiące na pierwszy audyt bezpieczeństwa — podmiot kluczowy (art. 16 pkt 2)
Jakie firmy obejmuje NIS2
Objęcie ustawą rozstrzyga się na przecięciu sektora i wielkości podmiotu. Oba warunki muszą wystąpić razem — z jednym wyjątkiem, opisanym niżej.
Sektor
Ustawa dzieli podmioty na kluczowe i ważne, w zależności od załącznika, w którym wymieniony jest sektor.
| Załącznik nr 1 — sektory kluczowe | Załącznik nr 2 — sektory ważne |
|---|---|
| Energia: wydobycie, elektryczność, ciepło, ropa i paliwa, gaz, energetyka jądrowa, wodór | Usługi pocztowe i kurierskie |
| Transport: lotniczy, kolejowy, wodny, drogowy | Gospodarowanie odpadami |
| Bankowość i infrastruktura rynków finansowych | Produkcja i dystrybucja chemikaliów |
| Ochrona zdrowia | Produkcja i dystrybucja żywności |
| Woda pitna i ścieki | Produkcja: wyroby medyczne, elektronika, urządzenia elektryczne, maszyny, pojazdy, sprzęt transportowy |
| Infrastruktura cyfrowa | Dostawcy usług cyfrowych: platformy handlowe, wyszukiwarki, sieci społecznościowe |
| Zarządzanie usługami ICT | Badania naukowe |
| Podmioty publiczne, przestrzeń kosmiczna | Podmioty publiczne |
📌 „Zarządzanie usługami ICT” w załączniku nr 1 obejmuje firmy outsourcingu informatycznego. Dostawcy usług zarządzanych trafili do sektorów kluczowych, co bywa zaskoczeniem dla samej branży IT.
Wielkość
Ustawa nie definiuje wielkości samodzielnie. W art. 7 ust. 2 pkt 13 odsyła do art. 2 ust. 1 załącznika I do rozporządzenia 651/2014/UE — unijnej definicji mikro-, małego i średniego przedsiębiorcy. Podmiot deklaruje, czy kryteria spełnia, czy je przekracza.
Wyjątek: decyzja organu
Art. 7l pozwala organowi objąć ustawą także podmiot, który zwykłych przesłanek nie spełnia — jeżeli m.in. jako jedyny świadczy usługę o kluczowym znaczeniu, zakłócenie spowodowałoby poważne zagrożenie dla bezpieczeństwa państwa albo ryzyko systemowe, albo usługa ma istotne znaczenie wojewódzkie lub krajowe.
Mała firma może więc zostać objęta ustawą decyzją, mimo że nie przekracza progów wielkości.
Jak sprawdzić, czy podlegam pod NIS2
Najprościej odpowiedzieć na dwa pytania: w którym sektorze działa firma i czy przekracza kryteria wielkości. Przygotowaliśmy do tego bezpłatny test NIS2 — dwa kroki, wynik od razu na ekranie, bez rejestracji i bez podawania adresu e-mail.
Test poza samym rozstrzygnięciem pokazuje, czy firma byłaby podmiotem kluczowym czy ważnym — od tego zależą terminy, obowiązek audytu i wysokość kar.
Kto nie podlega dyrektywie NIS2
Poza zakresem ustawy zostaje podmiot, który nie działa w żadnym z sektorów wymienionych w załącznikach, albo działa w takim sektorze, ale nie przekracza kryteriów wielkości — i nie został objęty decyzją z art. 7l.
W praktyce oznacza to, że większość małych i średnich firm spoza sektorów z załączników formalnie ustawie nie podlega. I tu zaczyna się część, którą większość opracowań pomija.
Nie podlegam, ale mój klient podlega
To najczęstsza sytuacja wśród firm, z którymi rozmawiamy — i najbardziej niedoceniana.
Art. 8 ust. 1 pkt 2 lit. e nakazuje podmiotowi objętemu ustawą zapewnić bezpieczeństwo i ciągłość łańcucha dostaw produktów, usług i procesów ICT, od których zależy świadczenie jego usługi. A art. 8 ust. 2 mówi konkretnie, co ma przy tym uwzględnić:
- podatności związane z dostawcą sprzętu lub oprogramowania,
- ogólną jakość produktów, usług i procesów ICT pochodzących od tego dostawcy,
- wyniki skoordynowanej oceny bezpieczeństwa przeprowadzonej przez Grupę Współpracy na poziomie unijnym,
- wyniki postępowania w sprawie uznania dostawcy za dostawcę wysokiego ryzyka (art. 67b).
Podmiot objęty ustawą nie może po prostu założyć, że jego dostawcy są bezpieczni. Musi to ocenić i umieć wykazać, że ocenił. Stąd biorą się ankiety bezpieczeństwa rozsyłane dostawcom, wymagania wpisywane do umów i pytania o czas reakcji, uwierzytelnianie wieloskładnikowe czy testy odtworzenia kopii zapasowych.
Firma, która sama ustawie nie podlega, dostaje więc jej wymagania umową. Różnica jest taka, że nie grozi jej kara administracyjna — grozi jej utrata kontraktu. Jeśli taka ankieta już do Was trafiła, przygotowaliśmy narzędzie, które przeprowadza przez odpowiedź na nią.
Co konkretnie trzeba mieć wdrożone
Zakres obowiązków, terminy, tryb zgłaszania incydentów i wysokość kar opisaliśmy szczegółowo w osobnym przewodniku: krajowy system cyberbezpieczeństwa — ustawa, obowiązki, terminy i kary. Znajdziecie tam katalog czternastu obszarów z art. 8, tabelę terminów i tabelę kar, każdą pozycję z artykułem.
W skrócie: trzeba wdrożyć system zarządzania bezpieczeństwem informacji, zgłaszać incydenty poważne w ciągu 24 i 72 godzin od wykrycia, poddawać się audytom i mieć to wszystko udokumentowane. Dokumenty, od których zwykle się zaczyna, przygotujecie bezpłatnie naszymi generatorami:
- polityka bezpieczeństwa informacji — osiemnaście rozdziałów ułożonych według katalogu z art. 8,
- procedura zgłoszenia incydentu — z terminami liczonymi od wykrycia,
- procedura kopii zapasowych — wymagana literą f katalogu,
- rejestr czynności przetwarzania — jeśli obok ustawy dotyczy Was także RODO.
NIS2 a RODO — dwa różne przepisy o częściowo wspólnych wymaganiach
Oba przepisy każą zabezpieczyć systemy, ale chronią co innego. RODO chroni dane osobowe i osoby, których dotyczą. Ustawa o KSC chroni ciągłość świadczenia usługi istotnej dla gospodarki i państwa. Firma może podlegać jednemu, drugiemu albo obu naraz.
| RODO | Ustawa o KSC (NIS2) | |
|---|---|---|
| Co chroni | dane osobowe | ciągłość usługi |
| Kogo dotyczy | każdego, kto przetwarza dane osobowe | podmiotów z załączników 1 i 2 spełniających kryteria |
| Zgłoszenie naruszenia | 72 godziny do organu nadzorczego | 24 godziny wczesne ostrzeżenie, 72 godziny zgłoszenie do CSIRT sektorowego |
| Odpowiedzialność osobista kierownictwa | nie wprost | tak — do 300% wynagrodzenia (art. 73a ust. 4) |
W praktyce wdrożenia się zazębiają. Kopie zapasowe, kontrola dostępu, szyfrowanie i rejestr incydentów zaspokajają wymagania obu przepisów — dlatego rozsądnie jest robić to raz, a nie dwa razy osobno.
Najczęstsze nieporozumienia
„NIS2 jeszcze nie obowiązuje w Polsce.” Obowiązuje od 3 kwietnia 2026 r., przez ustawę Dz.U. 2026 poz. 252. Nieporozumienie bierze się z mylenia terminów unijnych z datą wejścia w życie polskiej ustawy.
„To dotyczy tylko infrastruktury krytycznej.” Załączniki obejmują m.in. produkcję żywności, gospodarowanie odpadami, badania naukowe, usługi pocztowe i produkcję maszyn. Katalog jest znacznie szerszy niż przy poprzedniej dyrektywie.
„Firmy IT to nie dotyczy, my tylko obsługujemy klientów.” Zarządzanie usługami ICT jest wymienione w załączniku nr 1, czyli wśród sektorów kluczowych.
„Nie podlegam, więc mnie to nie interesuje.” Jeśli obsługujecie kogoś, kto podlega, dostaniecie te wymagania w umowie i w ankiecie bezpieczeństwa. Kontrahent nie ma wyboru — art. 8 ust. 2 każe mu ocenić dostawcę.
„Wdrożymy, jak przyjdzie kontrola.” Karany jest nie tylko incydent. Karany jest brak wpisu do wykazu w terminie, brak zgłoszenia i brak audytu — niezależnie od tego, czy cokolwiek się wydarzyło.
Od czego zacząć
Sprawdźcie najpierw, czy w ogóle podlegacie — testem NIS2. Jeśli tak, przeczytajcie przewodnik po ustawie i zacznijcie od dokumentów. Jeśli nie podlegacie, a klient przysłał ankietę — tu jest odpowiedź.
Jeśli wolicie, żeby przeprowadził Was przez to ktoś, kto robi to na co dzień, zajmujemy się wdrożeniem wymagań ustawy w firmach, a sprawdzenie stanu faktycznego to audyt bezpieczeństwa IT. Napiszcie do nas — odpowiadamy tego samego dnia roboczego.
Podstawa prawna
Dyrektywa Parlamentu Europejskiego i Rady (UE) 2022/2555 z dnia 14 grudnia 2022 r. w sprawie środków na rzecz wysokiego wspólnego poziomu cyberbezpieczeństwa na terytorium Unii, zmieniająca rozporządzenie (UE) nr 910/2014 i dyrektywę (UE) 2018/1972 oraz uchylająca dyrektywę (UE) 2016/1148 (Dz. Urz. UE L 333 z 27.12.2022, str. 80).
Ustawa z dnia 5 lipca 2018 r. o krajowym systemie cyberbezpieczeństwa, w brzmieniu nadanym ustawą z dnia 23 stycznia 2026 r. (Dz.U. 2026 poz. 252), obowiązującym od 3 kwietnia 2026 r. Przywołane przepisy: art. 7 ust. 2 pkt 13, art. 7c ust. 1, art. 7l, art. 8 ust. 1 pkt 2 lit. e, art. 8 ust. 2, art. 16 pkt 1 i 2, art. 67b, art. 73a ust. 4, art. 49, załączniki nr 1 i 2.
Materiał ma charakter informacyjny i nie stanowi porady prawnej. Stan prawny na wrzesień 2026 r.
