Kalkulator kar NIS2: ile realnie zapłaci Twoja firma
Wpisz przychód i typ podmiotu, a zobaczysz górną granicę kary z ustawy o krajowym systemie cyberbezpieczeństwa, karę osobistą kierownika i datę, od której organ może ją nałożyć.
Kalkulator pokazuje maksimum ustawowe, nie prognozę decyzji organu. Realna kara zależy od wagi naruszenia, czasu trwania, umyślności i współpracy z organem. Materiał informacyjny, nie porada prawna.
Maksymalna kara dla podmiotu
0 zł
Progi kar w ustawie o KSC
| Podmiot | Kwota stała | Procent przychodu | Kara minimalna |
|---|---|---|---|
| Podmiot kluczowy | 10 000 000 EUR | 2,0 % | 20 000 zł |
| Podmiot ważny | 7 000 000 EUR | 1,4 % | 15 000 zł |
| Kara nadzwyczajna | 100 000 000 zł | nie dotyczy | nie dotyczy |
| Kierownik podmiotu | 300 % wynagrodzenia | publiczny: 100 % | nie dotyczy |
Przy karze dla podmiotu obowiązuje zasada kwoty wyższej: organ bierze większą z dwóch wartości, kwoty stałej albo procentu przychodu. Podmioty, które nie osiągają przychodu z działalności, mają kwoty stałe: 500 000 EUR dla podmiotu kluczowego, 250 000 EUR dla podmiotu ważnego. Wobec kierownika podmiotu kluczowego organ może dodatkowo zakazać pełnienia funkcji zarządczych do czasu usunięcia uchybień, art. 53 ust. 9 ustawy o KSC.
Kiedy kary zaczynają obowiązywać
- Nowelizacja weszła w życie
Dz.U. 2026 poz. 252. Od tego dnia biegną wszystkie terminy przejściowe.
- Rejestracja w wykazie
Podmioty istniejące 3 kwietnia 2026 mają sześć miesięcy na złożenie wniosku o wpis do wykazu podmiotów kluczowych i ważnych. Nowe podmioty: sześć miesięcy od spełnienia przesłanek.
- System zarządzania bezpieczeństwem informacji
Dwanaście miesięcy na wdrożenie SZBI: analiza ryzyka, polityki, obsługa incydentów, ciągłość działania, łańcuch dostaw, szkolenia.
- Pierwszy audyt i pierwsze kary pieniężne
Podmioty kluczowe mają do tego dnia przeprowadzić pierwszy audyt bezpieczeństwa. Od tego dnia organ może po raz pierwszy nałożyć karę pieniężną. Kara nadzwyczajna nie ma tej karencji.
Kto nakłada karę
Karę nakłada organ właściwy do spraw cyberbezpieczeństwa dla danego sektora, w drodze decyzji administracyjnej.
- Prezes UKE, infrastruktura cyfrowa i komunikacja elektroniczna
- Komisja Nadzoru Finansowego, bankowość i infrastruktura rynków finansowych
- Minister właściwy do spraw zdrowia, ochrona zdrowia
- Minister właściwy do spraw energii, sektor energii
- Minister właściwy do spraw transportu, sektor transportu
- Minister właściwy do spraw informatyzacji, pozostałe sektory i administracja
Pierwsze kroki, jeśli nie masz jeszcze zgodności
- Sprawdź, czy jesteś w wykazie podmiotów kluczowych i ważnych. Wniosek o wpis składasz do 3 października 2026.
- Wyznacz osobę odpowiedzialną za cyberbezpieczeństwo i zgłoś ją organowi.
- Zrób analizę ryzyka i spisz polityki: incydenty, ciągłość działania, łańcuch dostaw, kontrola dostępu.
- Uruchom obsługę incydentów z zegarem 24 i 72 godzin, bo terminy zgłoszenia liczy się od wykrycia.
- Zaplanuj pierwszy audyt bezpieczeństwa tak, aby zamknął się przed 3 kwietnia 2028.
Najczęstsze pytania o kary NIS2
Ile wynosi maksymalna kara NIS2 w Polsce?
Dla podmiotu kluczowego do 10 000 000 EUR albo 2 procent przychodu z roku poprzedzającego wymierzenie kary, w zależności od tego, która kwota jest wyższa. Dla podmiotu ważnego do 7 000 000 EUR albo 1,4 procent przychodu. Osobno przewidziana jest kara nadzwyczajna do 100 000 000 zł za naruszenie zagrażające bezpieczeństwu państwa.
Czy jest kara minimalna?
Tak. Dla podmiotu kluczowego 20 000 zł, dla podmiotu ważnego 15 000 zł. Poniżej tych kwot organ nie schodzi, nawet przy niewielkim przychodzie.
Od kiedy można nałożyć karę za brak zgodności z NIS2?
Kary pieniężne można nakładać po raz pierwszy po upływie dwóch lat od wejścia w życie nowelizacji, czyli od 3 kwietnia 2028 roku. Wyjątkiem jest kara nadzwyczajna do 100 mln zł, która nie ma karencji.
Czy członek zarządu odpowiada własnym majątkiem?
Kierownik podmiotu prywatnego może dostać karę do 300 procent otrzymywanego wynagrodzenia, liczonego jak ekwiwalent za urlop. W podmiocie publicznym limit wynosi 100 procent. Dodatkowo wobec kierownika podmiotu kluczowego organ może orzec zakaz pełnienia funkcji zarządczych do czasu usunięcia uchybień.
Jak liczony jest przychód do kary procentowej?
Podstawą jest przychód z roku obrotowego poprzedzającego rok wymierzenia kary. Dla podmiotów, które nie osiągają przychodu z działalności, ustawa przewiduje kwoty stałe: równowartość 500 000 EUR dla podmiotu kluczowego i 250 000 EUR dla ważnego.
Czy kara NIS2 wyklucza karę z RODO?
Nie. To dwa odrębne reżimy. Ten sam incydent może skończyć się karą organu sektorowego za naruszenie obowiązków z ustawy o KSC i osobno karą Prezesa UODO za naruszenie ochrony danych osobowych.
Nie wiesz, czy jesteś podmiotem kluczowym czy ważnym
Test gotowości NIS2 przechodzi przez siedem obszarów dyrektywy i pokazuje, gdzie masz lukę. Bez rejestracji, wynik od razu.
Zrób test gotowości NIS2 Przewodnik po karach NIS2Podstawa prawna: Ustawa z dnia 5 lipca 2018 r. o krajowym systemie cyberbezpieczeństwa, t.j. Dz.U. 2026 poz. 20. Nowelizacja wdrażająca dyrektywę NIS2 (UE) 2022/2555, Dz.U. 2026 poz. 252, w życiu od 3 kwietnia 2026. Kurs przeliczeniowy: tabela A NBP nr 172/A/NBP/2026, 4 września 2026, 1 EUR = 4,3179 zł. Redakcja: Test NIS2. Aktualizacja: 6 września 2026.