NIS2 w polskim prawie

Test NIS2: sprawdź gotowość firmy, zanim zrobi to regulator

Nowelizacja ustawy o krajowym systemie cyberbezpieczeństwa obowiązuje od 3 kwietnia 2026. Pokazujemy, co, kiedy i w jakiej kolejności musi zrobić polska firma.

Zrób test gotowości, 8 minut Kalendarz obowiązków
3.10.2026
termin wniosku o wpis do wykazu podmiotów kluczowych i ważnych
24 / 72 h
wczesne ostrzeżenie i zgłoszenie incydentu poważnego
38 tys.
podmiotów objętych ustawą według szacunku Ministerstwa Cyfryzacji
3.04.2028
od tego dnia organ może nakładać kary pieniężne

Definicja

Podmiot kluczowy i podmiot ważny

Podmiot kluczowy to organizacja z załącznika I dyrektywy przekraczająca próg średniego przedsiębiorstwa, podmiot ważny to pozostałe podmioty z załączników I i II, które ten próg spełniają, ale go nie przekraczają.

Próg wejścia w zakres zaczyna się od 50 pracowników albo 10 mln euro rocznego obrotu. Różnica między kategoriami nie dotyczy obowiązków, bo te są niemal identyczne, tylko trybu nadzoru i wysokości kar. Podmioty kluczowe podlegają nadzorowi wyprzedzającemu, czyli kontrolom planowym, podmioty ważne dopiero przy podejrzeniu naruszenia. Część podmiotów, jak telekomy, rejestry TLD i kwalifikowani dostawcy usług zaufania, jest objęta bez względu na wielkość.

Spotykane także jako: essential entity, important entity

Podstawa: dyrektywa (UE) 2022/2555, art. 2 ust. 1 i art. 3 ust. 1-2

Kalendarz obowiązków, cztery kroki

Ustawa nie przewiduje, że ktoś przyjdzie i wskaże Cię palcem. Mechanizm opiera się na samoidentyfikacji.

  1. Sprawdź, czy jesteś w zakresie

    Zestaw swoją działalność z załącznikami 1 i 2 ustawy oraz z progiem wielkości. Jeżeli świadczysz usługę z listy i masz co najmniej 50 osób albo 10 mln euro obrotu, jesteś w zakresie.

  2. Złóż wniosek o wpis do wykazu, do 3 października 2026

    To pierwszy twardy termin. Część podmiotów minister ds. informatyzacji wpisał do wykazu z urzędu (m.in. przedsiębiorców telekomunikacyjnych, dostawców usług zaufania, podmioty publiczne i dotychczasowych operatorów usług kluczowych). Pozostali składają wniosek o wpis sami, do 3 października 2026.

  3. Wdróż system zarządzania bezpieczeństwem i podłącz się do S46, do 3 kwietnia 2027

    Zakres minimalny wyznacza art. 21 ust. 2 dyrektywy: analiza ryzyka, obsługa incydentów, ciągłość działania z kopiami zapasowymi, łańcuch dostaw, kryptografia, kontrola dostępu, cyberhigiena i szkolenia.

  4. Przeprowadź pierwszy audyt, do 3 kwietnia 2028

    Potem co najmniej raz na trzy lata. Ta sama data jest granicą karencji, po niej organ może nakładać kary pieniężne.

Podmiot kluczowy kontra podmiot ważny

Obowiązki merytoryczne są niemal takie same. Różnicę widać dopiero w nadzorze i w sankcji.

Kryterium Podmiot kluczowyPodmiot ważny
Kto to jest Załącznik I, powyżej progu średniego przedsiębiorstwa, czyli zwykle od 250 osób lub 50 mln euro obrotuPozostałe podmioty z załączników I i II mieszczące się w progu, zwykle od 50 do 249 osób
Tryb nadzoru Wyprzedzający, kontrole planowe i możliwość nakazania audytuNastępczy, wkracza dopiero przy podejrzeniu naruszenia
Górny próg kary w prawie UE 10 mln euro albo 2 procent światowego obrotu, kwota wyższa7 mln euro albo 1,4 procent światowego obrotu, kwota wyższa
Kara minimalna w ustawie polskiej 20 000 zł15 000 zł
Terminy zgłoszenia incydentu 24 h, 72 h, sprawozdanie końcowe w miesiąc24 h, 72 h, sprawozdanie końcowe w miesiąc

Kwoty kar w polskiej ustawie pochodzą z analiz nowelizacji Dz.U. 2026 poz. 252. Numeracja jednostek redakcyjnych bywa różnie podawana, dlatego przy sporze rozstrzyga tekst ustawy.

Co dokładnie mówią przepisy

Pięć rzeczy, które warto znać z pierwszej ręki, zanim kupi się jakiekolwiek wdrożenie.

Twierdzenie Co pokazują dane Źródło
Zarząd zatwierdza i odpowiada Organ zarządzający zatwierdza środki zarządzania ryzykiem, nadzoruje ich wdrożenie i może ponosić odpowiedzialność za naruszenia, a jego członkowie mają obowiązek odbyć szkolenie. Dyrektywa (UE) 2022/2555, art. 20
Minimum techniczne to dziesięć obszarów Art. 21 ust. 2 wymienia od analizy ryzyka i obsługi incydentów, przez ciągłość działania i łańcuch dostaw, po kryptografię, kontrolę dostępu i uwierzytelnianie wieloskładnikowe. Dyrektywa (UE) 2022/2555, art. 21 ust. 2 lit. a-j
Zegar rusza od powzięcia wiadomości Wczesne ostrzeżenie w 24 godziny, zgłoszenie w 72 godziny, sprawozdanie końcowe w miesiąc od zgłoszenia, a nie od wykrycia incydentu. Dyrektywa (UE) 2022/2555, art. 23 ust. 4
W Polsce obowiązuje od kwietnia 2026 Nowelizacja ustawy o krajowym systemie cyberbezpieczeństwa weszła w życie 3 kwietnia 2026, z wpisem do wykazu do 3 października 2026 i pierwszym audytem do 3 kwietnia 2028. Ministerstwo Cyfryzacji, komunikat o wejściu w życie nowelizacji
Kar jeszcze nie ma Kary pieniężne z ustawy mogą być nakładane dopiero po 3 kwietnia 2028, więc materiały straszące karami od zaraz mijają się ze stanem prawnym. Ministerstwo Cyfryzacji, komunikat o wejściu w życie nowelizacji

Stan na sierpień 2026. Przy zmianie przepisów aktualizujemy wpis i odnotowujemy datę.

Czytaj teraz

Wszystkie artykuły →
Grafika tytułowa: jak raportować incydenty zgodnie z nis2. Hasło „Jak raportować incydent NIS2” na ciemnym tle w barwach testnis2.pl, z konturem tarczy
Wdrożenia NIS2

Jak raportować incydent zgodnie z NIS2: 24 h, 72 h, 1 miesiąc

Podmiot kluczowy lub ważny zgłasza incydent poważny w trzech krokach: wczesne ostrzeżenie do 24 godzin od wykrycia, zgłoszenie do 72 godzin, sprawozdanie końcowe w ciągu miesiąca od zgłoszenia. W Polsce robi się to pr...
Jak sprawdzić, czy firma spełnia NIS2 (i czy w ogóle jej dotyczy)
Gotowość NIS2 10 min czytania

Jak sprawdzić, czy firma spełnia NIS2 (i czy w ogóle jej dotyczy)

Najpierw ustal, czy firma w ogóle podlega ustawie o krajowym systemie cyberbezpieczeństwa: sektor z załącznika do ustawy plus wielkość. Potem sprawdź wykaz podmiotów kluczowych i ważnych i złóż wniosek o wpis, jeśli nie wpisano Cię z urzędu. Termin dla firm, które spełniały przesłanki 3 kwietnia 2026, mija 3 października 2026 . Na końcu oceń lukę między tym, co masz, a obowiązkami z rozdziału 3 ustawy. Cztery kroki, każdy z przepisem.

Czytaj więcej →

Pytania o NIS2, które wracają najczęściej

Czy NIS2 obowiązuje od października 2024?
Nie w Polsce. Dyrektywa wyznaczyła państwom termin transpozycji na 17 października 2024, ale obowiązki firm wynikają z prawa krajowego. W Polsce istnieją od 3 kwietnia 2026, czyli od wejścia w życie nowelizacji ustawy o krajowym systemie cyberbezpieczeństwa.
Czy ISO 27001 załatwia sprawę?
Częściowo. Norma pokrywa dużą część wymagań z art. 21 ust. 2, ale nie zastępuje wpisu do wykazu, obowiązku zgłaszania incydentów w trybie 24, 72 godzin i miesiąca, obowiązkowego audytu ani szkolenia kierownictwa z art. 20 ust. 2.
Kto jest organem nadzoru?
Nie ma jednego regulatora. Właściwość jest sektorowa: ministrowie sektorowi, Komisja Nadzoru Finansowego dla bankowości i rynków finansowych, minister do spraw informatyzacji dla infrastruktury cyfrowej. UODO pozostaje przy RODO i nie nadzoruje NIS2.
Czy 72 godziny to to samo co w RODO?
Nie. To dwa równoległe reżimy. NIS2 ma tryb trójstopniowy do CSIRT, RODO ma 72 godziny do UODO przy naruszeniu ochrony danych osobowych. Jeden incydent może uruchomić oba obowiązki naraz i żaden nie zastępuje drugiego.
Mamy 40 osób, czy to nas dotyczy?
Zwykle nie, bo próg zaczyna się od 50 pracowników albo 10 mln euro obrotu. Wyjątkiem są podmioty objęte bez względu na wielkość, między innymi dostawcy publicznych sieci i usług łączności elektronicznej, rejestry nazw domen i kwalifikowani dostawcy usług zaufania.

Nie zgaduj, czy jesteś w zakresie

Zapisz się na przegląd zmian w NIS2 i ustawie o KSC. Raz w tygodniu, konkretnie, z terminami.

Zapisz się na przegląd

Po co ta strona

Kompleksowy audyt gotowości Twojej organizacji na dyrektywę NIS2. Testy zgodności, checklista wymagań, plan wdrożenia.

Zobacz wszystkie artykuły