NIS2 vs RODO, co się nakłada, co różni, jak zarządzać oboma

W polskich firmach, które wdrażają NIS2, prawie zawsze pojawia się to pytanie: “ale przecież już mamy RODO, czy NIS2 to nie jest to samo?” Pytanie świadczy o czymś istotnym, RODO jest pierwszym i często jedynym poważnym doświadczeniem polskich firm z compliance regulacyjnym w obszarze danych i bezpieczeństwa. Naturalne jest myślenie o NIS2 przez tę samą perspektywę.

Ale RODO i NIS2 to dwa różne reżimy regulacyjne, które mają częściowo zachodzące, częściowo rozłączne wymagania. Można je traktować jako dwa wymiary tego samego systemu zarządzania, ale każdy ma swoją logikę, swoje pojęcia, swoje organy nadzoru, swoje procedury i swoje sankcje. Zła integracja oznacza dwa równoległe systemy, które się powielają w 30 procentach i pozostawiają luki w pozostałych 70.

Ten artykuł porównuje oba reżimy w siedmiu wymiarach: cele, zakres podmiotowy, role personelu odpowiedzialnego, wymagania techniczne, raportowanie incydentów, sankcje, łańcuch dostaw. Pokazuje, gdzie się nakładają i gdzie różnią, a na końcu proponuje praktyczną architekturę zintegrowanego systemu compliance.

Cele regulacyjne, chronimy co innego

To centralna różnica, z której wynikają wszystkie pozostałe.

RODO chroni prawa i wolności osób fizycznych w odniesieniu do przetwarzania ich danych osobowych. Punkt ciężkości: prywatność, autonomia jednostki, kontrola jednostki nad swoimi danymi. Cel końcowy: dane osobowe są przetwarzane zgodnie z prawem, transparentnie, w określonym celu, z minimalnym zakresem, dokładnie, nie dłużej niż potrzeba, bezpiecznie. Naruszenie integralności bezpieczeństwa to ważny, ale nie główny problem RODO.

NIS2 chroni ciągłość świadczenia usług i odporność infrastruktury. Punkt ciężkości: dostępność, integralność i poufność systemów świadczących usługi krytyczne dla społeczeństwa i gospodarki. Cel końcowy: usługi krytyczne (energia, transport, ochrona zdrowia, żywność, łączność) działają nawet w warunkach ataków cybernetycznych. Dane osobowe są obiektem ochrony tylko o tyle, o ile ich naruszenie zakłóca usługi.

Dwie konsekwencje:

Konsekwencja pierwsza, anonimowy atak. DDoS na Twoją usługę chmurową, który blokuje ją na 8 godzin, ale nie obejmuje żadnych danych osobowych, to incydent NIS2, ale niekoniecznie RODO. Cały reżim RODO milczy w tej sytuacji. Dla NIS2, pełen protokół trójstopniowy.

Konsekwencja druga, wyciek danych osobowych bez zakłócenia usługi. Pracownik wynosi bazę 5 000 adresów email klientów na pendrivie do konkurencji. To naruszenie RODO (wymaga zgłoszenia do PUODO w 72h, prawdopodobnie powiadomienia osób). Dla NIS2, incydent może być istotny lub nie, zależy od wpływu operacyjnego. Często nie jest istotny w sensie NIS2.

Zatem incydent może być: tylko RODO, tylko NIS2, oba jednocześnie, lub żadne. Każda z tych czterech kategorii uruchamia inną procedurę.

Zakres podmiotowy, kto podlega

RODO obowiązuje wszystkich, którzy przetwarzają dane osobowe. W praktyce: każdą firmę, każdą instytucję publiczną, niemal każdą organizację. Wyjątki są nieliczne (przetwarzanie wyłącznie dla celów osobistych lub domowych). Zakres uniwersalny.

NIS2 obowiązuje wąsko zdefiniowany zbiór podmiotów, operatorów usług w 18 sektorach krytycznych spełniających progi wielkościowe. Większość polskiej gospodarki nie podlega NIS2. Zakres szczegółowo opisany w artykule Kogo dokładnie obowiązuje NIS2 w Polsce.

Konsekwencja: każda firma, która podlega NIS2, podlega też RODO. Odwrotność nie jest prawdą. NIS2 jest podzbiorem ogólnopopulacyjnego RODO.

To upraszcza kwestię: nie ma sensu pytać “czy ten obowiązek jest z RODO czy NIS2”. Pytanie brzmi: “który z reżimów stawia wyższy wymóg w tym konkretnym obszarze i czy jego spełnienie zaspokaja drugi reżim”.

Role personelu odpowiedzialnego, IOD vs CISO/Cybersecurity Officer

RODO wymaga wyznaczenia Inspektora Ochrony Danych (IOD/DPO) w trzech sytuacjach: organy publiczne, podmioty których główna działalność wymaga regularnego i systematycznego monitorowania osób na dużą skalę, podmioty których główna działalność polega na przetwarzaniu szczególnych kategorii danych na dużą skalę. Pozostałe podmioty mogą wyznaczyć IOD dobrowolnie lub nie.

NIS2 nie wymaga formalnego stanowiska CISO, ale wymaga zdefiniowanej odpowiedzialności za zarządzanie ryzykiem cybernetycznym. W praktyce większość podmiotów wyznacza Cybersecurity Officera lub utrzymuje funkcję CISO/CIO z rozszerzonym zakresem.

Czy IOD i Cybersecurity Officer to jedno stanowisko? W mniejszych firmach często łączone, szczególnie w MŚP, gdzie ta sama osoba odpowiada za RODO i cyber. W większych firmach, rozdzielone, bo:

Po pierwsze, IOD ma silne wymogi niezależności (artykuł 38 RODO). Nie powinien podlegać kierownictwu w sprawach związanych z RODO. Łączenie z funkcją wykonawczą tworzy konflikt, Cybersecurity Officer często jest częścią zespołu IT, podlega CIO, a CIO podlega zarządowi w pełnej hierarchii. IOD musi mieć linie raportowania do najwyższego szczebla zarządczego z dala od operacji IT.

Po drugie, kompetencje są częściowo różne. IOD musi rozumieć prawo ochrony danych, RODO, prawa podmiotów danych, transfery międzynarodowe. Cybersecurity Officer musi rozumieć architektury bezpieczeństwa, krajobraz zagrożeń, techniki ataków, oceny ryzyka technicznego, normy ISO 27001/NIST.

Po trzecie, perspektywa konfliktu interesów. W przypadku incydentu naruszenia bezpieczeństwa, IOD ocenia ryzyko dla osób (czy informować PUODO, czy informować osoby), a Cybersecurity Officer prowadzi techniczne dochodzenie. Łączenie tych ról może upośledzić każdą z nich.

Praktyczne rozwiązanie dla średniej firmy: IOD jako odrębna funkcja (zewnętrzny doradca lub outsourcing, koszty 20 000-60 000 zł rocznie), Cybersecurity Officer jako rola wewnętrzna w dziale IT lub bezpieczeństwa. Współpraca między nimi sformalizowana procedurą.

Wymagania techniczne, gdzie się nakładają

RODO wymaga “odpowiednich środków technicznych i organizacyjnych” zapewniających poziom bezpieczeństwa odpowiedni do ryzyka. Artykuł 32 RODO wymienia przykłady: pseudonimizacja i szyfrowanie danych osobowych, zdolność do zapewnienia poufności, integralności, dostępności i odporności systemów, zdolność do szybkiego przywrócenia dostępności w razie incydentu fizycznego lub technicznego, regularne testowanie skuteczności środków.

NIS2 wymaga dziesięciu konkretnych obszarów (artykuł 21): polityki analizy ryzyka, obsługa incydentów, ciągłość działania i kopie zapasowe, bezpieczeństwo łańcucha dostaw, bezpieczeństwo w pozyskiwaniu i utrzymaniu systemów, ocena skuteczności środków, cyberhigiena i szkolenia, kryptografia, kontrola dostępu i zarządzanie aktywami, MFA.

Mapowanie nakładania się:

Obszar	RODO	NIS2
Szyfrowanie danych	Wymagane (art. 32)	Wymagane (obszar 8)
Kopie zapasowe i odzyskiwanie	Pośrednie (art. 32)	Bezpośrednie (obszar 3)
Kontrola dostępu	Wymagane (art. 32)	Wymagane (obszar 9)
Ocena ryzyka	DPIA (art. 35)	Polityka analizy ryzyka (obszar 1)
Ocena skuteczności	Pośrednie (art. 32)	Bezpośrednie (obszar 6)
Łańcuch dostaw	Tylko procesory danych (art. 28)	Pełen łańcuch IT (obszar 4)
Szkolenia	Pośrednie	Bezpośrednie (obszar 7)
MFA	Pośrednie	Bezpośrednie (obszar 10)
Cyberhigiena	Brak	Bezpośrednie (obszar 7)
Procedura incydentu	Wymagane (art. 33)	Wymagane (obszar 2)

Wniosek: NIS2 jest bardziej szczegółowe i obejmuje obszary, które RODO traktuje pośrednio lub wcale. Firma, która spełnia NIS2, zwykle spełnia też wymagania techniczne RODO. Odwrotność nie jest prawdą.

Praktyczna implikacja: jeśli firma już ma system pod RODO, można go rozbudować do NIS2, fundament istnieje. Jeśli zaczynamy od zera, wdrażanie NIS2 (które jest bardziej szczegółowe) automatycznie pokrywa większość wymagań technicznych RODO.

Raportowanie incydentów, dwa różne timeline’y

RODO (artykuł 33): w przypadku naruszenia ochrony danych osobowych, administrator zgłasza naruszenie organowi nadzorczemu (PUODO) bez zbędnej zwłoki, w miarę możliwości, nie później niż w terminie 72 godzin po stwierdzeniu naruszenia. Jeśli naruszenie skutkuje wysokim ryzykiem dla praw i wolności osób fizycznych, administrator informuje też podmiot danych (artykuł 34).

NIS2 (artykuł 23): trójstopniowy protokół, wczesne ostrzeżenie w 24h, powiadomienie w 72h, sprawozdanie końcowe w miesiąc.

Co się dzieje, gdy incydent jest jednocześnie RODO i NIS2 (np. ransomware, który zaszyfrował bazę z danymi osobowymi i wstrzymał świadczenie usługi)? Trzeba zgłosić w dwóch trybach: naruszenie ochrony danych do Prezesa UODO (RODO) oraz incydent poważny przez system S46 do właściwego CSIRT (MON, NASK lub GOV, a po komunikacie o zdolności operacyjnej do CSIRT sektorowego). Z różnymi timeline’ami:

• godzina 0, wykrycie incydentu;
• do godziny 24, wczesne ostrzeżenie do CSIRT NASK (NIS2);
• do godziny 72, zgłoszenie do PUODO (RODO) ORAZ powiadomienie do CSIRT NASK (NIS2);
• do dnia 30, sprawozdanie końcowe do CSIRT NASK (NIS2);
• powiadomienie osób fizycznych (RODO), bez zbędnej zwłoki, jeśli wysokie ryzyko.

To dwa różne formularze, dwie różne treści, dwa różne organy. Procedura wewnętrzna firmy musi obsłużyć oba ścieżki równolegle.

Zaleca się: jedna procedura wewnętrzna obsługi incydentu z dwoma wyjściami. Wczesna decyzja w godzinach pierwszych (godziny 0-6): czy incydent jest RODO, NIS2, oba, żadne. Następnie aktywacja odpowiednich ścieżek raportowania.

Pełen protokół NIS2 w artykule Raportowanie incydentów 24/72h.

Sankcje, porównanie kar

RODO: do 20 mln EUR lub 4% globalnego rocznego obrotu, wartość wyższa.

NIS2 dla podmiotów kluczowych: do 10 mln EUR lub 2% globalnego rocznego obrotu, wartość wyższa.

NIS2 dla podmiotów ważnych: do 7 mln EUR lub 1,4% obrotu, wartość wyższa.

Cyfra maksymalna RODO jest formalnie wyższa, ale praktyka pokazuje, że organy stosują kary proporcjonalnie do skali naruszenia, a nie do maksimum.

Kluczowa różnica nie w wysokości, lecz w mechanice:

RODO, kary tylko na firmę (osoba prawna). Członek zarządu może odpowiadać cywilnie wobec firmy lub akcjonariuszy, ale nie regulacyjnie wobec organu.

NIS2, kary mogą być nakładane też na osoby fizyczne (członków zarządu) plus możliwość czasowego odsunięcia od pełnienia funkcji. Pełniejsze omówienie w artykule Odpowiedzialność osobista zarządu w NIS2.

Praktyczna konsekwencja: członek zarządu firmy podlegającej NIS2 ma osobiste ryzyko regulacyjne, którego nie ma członek zarządu firmy podlegającej tylko RODO.

Łańcuch dostaw, różne podejścia

RODO reguluje relację administrator-procesor (artykuł 28). Procesor (przetwarzający) musi działać na podstawie umowy powierzenia, przetwarzać dane wyłącznie zgodnie z udokumentowanymi instrukcjami administratora, gwarantować bezpieczeństwo, pomagać w obsłudze praw podmiotów danych. Administrator pozostaje odpowiedzialny za działania procesora.

NIS2 (obszar 4) wymaga oceny ryzyka łańcucha dostaw, nie tylko procesorów danych osobowych, ale wszystkich kluczowych dostawców IT i usług. Hosting, SaaS, outsourcing IT, dostawcy oprogramowania, dostawcy sprzętu, dostawcy usług profesjonalnych dotykających systemów krytycznych.

To znacznie szerszy zakres. Typowa firma 100-osobowa ma 5-15 procesorów danych w sensie RODO (jeśli korzysta z usług hostingowych dla strony, dostawców SaaS dla CRM, biura księgowego, itp.). Pod NIS2 zakres może być 30-50 dostawców (wszyscy, którzy mają wpływ na systemy krytyczne, niezależnie od tego, czy przetwarzają dane osobowe).

Dla każdego kluczowego dostawcy NIS2 wymaga: oceny ryzyka, klauzul bezpieczeństwa w umowie, planu reakcji na incydent po stronie dostawcy, możliwości audytu (jeśli proporcjonalne).

Praktycznie: firma, która ma podpisane umowy powierzenia z procesorami pod RODO, ma fundament. Trzeba rozszerzyć: na dostawców niebędących procesorami, ale dotykających systemów krytycznych; na klauzule szersze niż minimalne wymagania artykułu 28 RODO; na ocenę ryzyka, której RODO nie wymaga formalnie.

Macierz integracji, jak zarządzać dwoma reżimami

Praktyczna architektura zintegrowanego systemu compliance opiera się na czterech filarach:

Filar 1: jeden zespół, dwie funkcje. IOD i Cybersecurity Officer jako odrębne role z formalną procedurą współpracy. Wspólne przeglądy ryzyka, wspólne raporty kwartalne dla zarządu, wspólny rejestr incydentów z oznaczeniem reżimu (RODO / NIS2 / oba).

Filar 2: zintegrowana ocena ryzyka. Jedna metodologia oceny ryzyka, która identyfikuje zagrożenia w obu wymiarach: dla danych osobowych (RODO) i dla ciągłości usług (NIS2). Każde zidentyfikowane ryzyko opisane w obu kategoriach. Plan postępowania uwzględnia oba reżimy.

Filar 3: wspólne polityki, gdzie to możliwe. Polityka kontroli dostępu, wspólna. Polityka kryptografii, wspólna. Polityka ciągłości działania, wspólna z dwoma sekcjami specyficznymi (sekcja RODO o przywracaniu dostępu do danych osobowych, sekcja NIS2 o przywracaniu usług). Procedury raportowania, odrębne, bo organy różne i timeline’y różne.

Filar 4: jeden rejestr aktywów. Dane osobowe (RODO) i wszystkie zasoby IT (NIS2) w jednym rejestrze, z oznaczeniem kategorii. Pozwala na wspólny przegląd i unikanie duplikacji.

Czas wdrożenia zintegrowanej architektury (firma 100-osobowa, mająca już RODO): 4-6 miesięcy. Koszt: 80 000-180 000 zł na wdrożenie, 30 000-60 000 zł rocznie na utrzymanie (w tym IOD outsourcowany i pen-test).

Najczęstsze błędy integracji

Błąd 1: traktowanie NIS2 jako rozbudowy RODO. Konsekwencja: pomijanie obszarów NIS2, których RODO nie reguluje (cyberhigiena, łańcuch dostaw poza procesorami, MFA jako wymóg formalny). Pierwsza kontrola NIS2 ujawnia luki.

Błąd 2: jedna procedura raportowania dla obu reżimów. Próba stworzenia “uniwersalnego” formularza zgłoszenia powoduje, że ani PUODO ani CSIRT NASK nie otrzymują informacji w wymaganej formie. Lepiej: wspólne dane wejściowe, dwa odrębne formaty wyjściowe.

Błąd 3: ten sam IOD jako Cybersecurity Officer. W mniejszych firmach często konieczne, ale tworzy konflikt interesów i obciąża jedną osobę dwoma odrębnymi obszarami kompetencji. Jeśli budżet pozwala, rozdzielić.

Błąd 4: ignorowanie RODO przy wdrożeniu NIS2 lub odwrotnie. Przy wdrażaniu nowego rozwiązania technicznego (np. nowy system monitoringu) firma sprawdza wpływ tylko jednego reżimu, drugi staje się problemem postfaktum. Lepiej: każda zmiana oceniana w obu wymiarach.

Błąd 5: brak wspólnego rejestru incydentów. Incydenty raportowane do PUODO i CSIRT NASK trzymane w różnych miejscach. W razie kontroli, chaos. Lepiej: jeden rejestr wewnętrzny ze znacznikami.

Podsumowanie, siedem praktycznych zasad

1. RODO i NIS2 to dwa różne reżimy z częściowo zachodzącymi wymaganiami. Nie mylić ich.
2. Każda firma podlegająca NIS2 podlega też RODO. Dwa systemy, jedna firma.
3. NIS2 jest bardziej szczegółowe technicznie. Spełnienie NIS2 zwykle pokrywa wymagania techniczne RODO.
4. Raportowanie incydentów, dwa różne timeline’y i dwa różne organy. Procedura wewnętrzna musi obsłużyć oba.
5. Łańcuch dostaw, NIS2 ma szerszy zakres niż artykuł 28 RODO.
6. Sankcje NIS2 mogą obejmować osobistą odpowiedzialność członków zarządu. RODO, nie bezpośrednio.
7. Najlepsze podejście: zintegrowana architektura z wspólnymi politykami tam, gdzie możliwe, i odrębnymi procedurami tam, gdzie wymagane.

Pełna procedura wdrożenia NIS2 w 10 obszarach, NIS2: kompletna checklista gotowości.

Bibliografia

• Parlament Europejski i Rada UE. (2016). Rozporządzenie (UE) 2016/679 z dnia 27 kwietnia 2016 r. (RODO). https://eur-lex.europa.eu/eli/reg/2016/679/oj
• Komisja Europejska. (2022). Dyrektywa Parlamentu Europejskiego i Rady (UE) 2022/2555 z dnia 14 grudnia 2022 r. (NIS2). https://eur-lex.europa.eu/legal-content/PL/TXT/?uri=CELEX:32022L2555
• Europejska Rada Ochrony Danych. (2023). Wytyczne 9/2022 dotyczące zgłaszania naruszenia ochrony danych osobowych na podstawie RODO (wersja 2.0, przyjęta 28 marca 2023). EROD. edpb.europa.eu
• ENISA. (2025). Technical Implementation Guidance on Cybersecurity Risk Management Measures (wersja 1.0, czerwiec 2025). Agencja Unii Europejskiej do spraw Cyberbezpieczeństwa. enisa.europa.eu
• Urząd Ochrony Danych Osobowych. (2024). Sprawozdanie roczne UODO za 2023 rok. PUODO. https://uodo.gov.pl/
• Komisja Europejska. (2020). Impact Assessment Report accompanying the proposal for a Directive on measures for a high common level of cybersecurity across the Union, SWD(2020) 345 final. eur-lex.europa.eu
• NIST. (2023). Special Publication 800-66 Rev. 2, An Introductory Resource Guide for Implementing the HIPAA Security Rule. National Institute of Standards and Technology. [pomocniczo dla mapowania compliance] https://doi.org/10.6028/NIST.SP.800-66r2
• Grupa Robocza Artykułu 29. (2017). Wytyczne dotyczące oceny skutków dla ochrony danych (DPIA), WP 248 rev.01. ec.europa.eu

---

Zarządzasz firmą, która podlega obu reżimom? W cotygodniowym newsletterze TestNIS2.pl analizujemy konkretne pułapki integracji RODO i NIS2, publikujemy zintegrowane wzory polityk i scenariusze incydentów dwureżimowych. Zapisz się, bezpłatnie.