Test NIS2, Sprawdź gotowość firmy na NIS2

Jak raportować incydent zgodnie z NIS2: 24 h, 72 h, 1 miesiąc

Marek Porycki — Sat, 26 Sep 2026 00:38:35 +0200

Stan prawny: 25 września 2026. Podstawa: ustawa z 5 lipca 2018 o krajowym systemie cyberbezpieczeństwa (t.j. Dz.U. 2026 poz. 20) zmieniona ustawą z 23 stycznia 2026 (Dz.U. 2026 poz. 252), dyrektywa (UE) 2022/2555 (NIS2). Tekst ma charakter informacyjny i nie jest poradą prawną.

Terminy zgłoszenia incydentu poważnego w jednej tabeli

Terminy zgłoszenia incydentu poważnego w jednej tabeli. Zestawienie z tabeli w artykule, kliknij, aby przejść dalej.

Etap	Termin	Kto i komu	Przepis
Wczesne ostrzeżenie	niezwłocznie, nie później niż 24 h od wykrycia incydentu poważnego	podmiot kluczowy lub ważny do właściwego CSIRT	art. 11 ust. 1 pkt 4 i art. 12 ust. 1 ustawy o KSC; art. 23 ust. 4 lit. a dyrektywy
Odpowiedź CSIRT	do 24 h, jeżeli podmiot poprosił we wczesnym ostrzeżeniu o wytyczne lub wsparcie	CSIRT do podmiotu	art. 12 ust. 2 ustawy o KSC; art. 23 ust. 5 dyrektywy
Zgłoszenie incydentu poważnego	niezwłocznie, nie później niż 72 h od wykrycia	podmiot do właściwego CSIRT	art. 11 ust. 1 pkt 4a i art. 12 ust. 3 ustawy o KSC; art. 23 ust. 4 lit. b dyrektywy
Sprawozdanie okresowe	na wniosek CSIRT	podmiot do CSIRT	art. 11 ust. 1 pkt 4b ustawy o KSC; art. 23 ust. 4 lit. c dyrektywy
Sprawozdanie końcowe	nie później niż w ciągu miesiąca od dnia zgłoszenia 72-godzinnego	podmiot do CSIRT	art. 11 ust. 1 pkt 4c i art. 12a ustawy o KSC; art. 23 ust. 4 lit. d dyrektywy
Obsługa trwa dłużej niż miesiąc	sprawozdanie z postępu w terminie sprawozdania końcowego, sprawozdanie końcowe w ciągu miesiąca od zakończenia obsługi	podmiot do CSIRT	art. 12b ustawy o KSC; art. 23 ust. 4 lit. e dyrektywy

Dwa wyjątki warto znać od razu. Dostawca usług zaufania zgłasza incydent poważny w ciągu 24 godzin od wykrycia (art. 11 ust. 1a). Podmiot ważny, który jest podmiotem publicznym, nie przekazuje wczesnego ostrzeżenia, sprawozdania okresowego, sprawozdania z postępu ani sprawozdania końcowego (art. 12c).

Polska ustawa liczy terminy od wykrycia incydentu. Dyrektywa mówi o powzięciu wiedzy o incydencie. W procedurze wewnętrznej zapisz jedną godzinę zero: moment, w którym ktoś w firmie stwierdził incydent, i dokumentuj ją w dzienniku.

Od kiedy obowiązują nowe zasady zgłaszania

Nowelizacja weszła w życie 3 kwietnia 2026 (art. 49 ustawy nowelizującej).
Podmioty, które spełniały przesłanki podmiotu kluczowego lub ważnego 3 kwietnia 2026, realizują obowiązki z rozdziału 3 ustawy o KSC, w tym zgłaszanie incydentów z art. 11, w terminie 12 miesięcy, czyli do 3 kwietnia 2027 (art. 33 ust. 1 ustawy nowelizującej).
Dotychczasowi operatorzy usług kluczowych mają 6 miesięcy od wejścia w życie nowelizacji, czyli do 3 października 2026, na przejście na zgłaszanie incydentów poważnych według nowych art. 11-12b (art. 33 ust. 4 ustawy nowelizującej).
Z systemu S46 podmioty mają zacząć korzystać najpóźniej do 3 kwietnia 2027 (komunikat Ministra Cyfryzacji, Dz.Urz. MC 2026 poz. 7).

Kiedy incydent jest poważny

Obowiązek z art. 11 dotyczy incydentu poważnego. Ustawa definiuje go jako incydent, który powoduje lub może spowodować poważne obniżenie jakości lub przerwanie ciągłości świadczenia usługi, straty finansowe dla podmiotu albo wpływa na inne osoby przez wywołanie poważnej szkody materialnej lub niematerialnej (art. 2 pkt 7 ustawy o KSC). Dyrektywa formułuje to podobnie w art. 23 ust. 3.

Dla dostawców usług DNS, usług chmurowych, centrów przetwarzania danych, sieci dostarczania treści, usług zarządzanych, internetowych platform handlowych, wyszukiwarek i platform społecznościowych przypadki, w których incydent uznaje się za poważny, doprecyzowuje rozporządzenie wykonawcze Komisji (UE) 2024/2690. Do tego rozporządzenia odsyła art. 8b ust. 1 ustawy o KSC.

W praktyce ocena "poważny czy nie" jest pierwszą decyzją zespołu. Jeżeli nie ma pewności w ciągu pierwszych godzin, bezpieczniej wysłać wczesne ostrzeżenie. Dyrektywa wprost stanowi, że samo zgłoszenie nie nakłada na podmiot zgłaszający zwiększonej odpowiedzialności (art. 23 ust. 1).

Dokąd i czym zgłosić incydent

Kanał: system S46

Wczesne ostrzeżenie, zgłoszenie, sprawozdanie okresowe, końcowe i sprawozdanie z postępu przekazuje się przez system teleinformatyczny z art. 46 ust. 1 ustawy, czyli S46 (art. 11 ust. 2). Według komunikatu Ministra Cyfryzacji z 8 kwietnia 2026 podmioty, które przed 3 kwietnia 2026 zawarły porozumienia o korzystaniu z systemu, zaczynają z niego korzystać w okresie od 8 kwietnia 2026, pozostałe od 12 czerwca 2026, a wszyscy najpóźniej do 3 kwietnia 2027.

Adresat: właściwy CSIRT

Ustawa kieruje zgłoszenia do CSIRT sektorowego. Te zespoły dopiero powstają: organ właściwy dla sektora ma je ustanowić w 18 miesięcy od wejścia nowelizacji w życie (art. 42 ustawy nowelizującej). Do czasu komunikatu o osiągnięciu zdolności operacyjnej przez CSIRT sektorowy incydenty poważne zgłasza się do właściwego CSIRT MON, CSIRT NASK lub CSIRT GOV (art. 44 ust. 1 ustawy nowelizującej). Od dnia następującego po opublikowaniu komunikatu zgłoszenia idą do CSIRT sektorowego (art. 44 ust. 2).

Który z trzech zespołów jest właściwy, wynika z art. 26 ust. 5-7 ustawy o KSC. CSIRT MON koordynuje obsługę incydentów zgłaszanych m.in. przez podmioty podległe Ministrowi Obrony Narodowej lub przez niego nadzorowane i przedsiębiorców realizujących zadania na rzecz Sił Zbrojnych (art. 26 ust. 5). CSIRT GOV realizuje Szef Agencji Bezpieczeństwa Wewnętrznego i obsługuje podmioty wymienione w art. 26 ust. 7. CSIRT NASK koordynuje obsługę incydentów zgłaszanych m.in. przez podmioty kluczowe i ważne, z wyjątkiem tych, które ustawa przypisuje CSIRT MON i CSIRT GOV (art. 26 ust. 6 pkt 1 lit. j).

Czego nie mylić

CSIRT nie jest organem właściwym do spraw cyberbezpieczeństwa i nie nakłada kar. Kary nakłada w drodze decyzji organ właściwy do spraw cyberbezpieczeństwa dla danego sektora (art. 41, art. 41a i art. 74 ust. 1 ustawy o KSC), np. minister właściwy do spraw energii, transportu, zdrowia, informatyzacji, Komisja Nadzoru Finansowego albo Prezes UKE.
Zgłoszenie incydentu to co innego niż wniosek o wpis do wykazu podmiotów kluczowych i ważnych. Wykaz prowadzi minister właściwy do spraw informatyzacji, a wniosek trzeba złożyć do 3 października 2026: jak sprawdzić, czy firma podlega NIS2 i złożyć wniosek.

Co musi zawierać każde zgłoszenie

Wczesne ostrzeżenie (24 h), art. 12 ust. 1

dane podmiotu: firma, numer z właściwego rejestru, siedziba i adres,
imię, nazwisko, służbowy telefon i e-mail osoby zgłaszającej,
te same dane osoby uprawnionej do składania wyjaśnień,
moment wystąpienia i wykrycia incydentu oraz czas trwania,
czy incydent wywołało działanie bezprawne lub w złej wierze, jeżeli da się to ocenić,
czy incydent dotyczy innych państw członkowskich UE.

We wczesnym ostrzeżeniu można poprosić o wytyczne lub dodatkowe wsparcie techniczne. CSIRT przekazuje je w ciągu 24 godzin, a jeśli incydent wyczerpuje znamiona przestępstwa, przekazuje też informacje o sposobie zgłoszenia organom ścigania (art. 12 ust. 2).

Zgłoszenie incydentu poważnego (72 h), art. 12 ust. 3

wpływ na usługę: której usługi dotyczy, ilu użytkowników, jaki zasięg geograficzny, jaki wpływ na usługi innych podmiotów,
przyczyny, przebieg i prawdopodobne skutki dla systemów i usług,
podjęte działania zapobiegawcze i naprawcze,
aktualizacja danych z wczesnego ostrzeżenia, jeśli się zmieniły.

Przekazujesz to, co wiesz w chwili zgłoszenia, i uzupełniasz w trakcie obsługi (art. 12 ust. 5). Informacje stanowiące tajemnicę przedsiębiorstwa trzeba oznaczyć (art. 12 ust. 8).

Sprawozdanie końcowe (1 miesiąc), art. 12a

szczegółowy opis incydentu, w tym zakłócenia i szkody,
rodzaj zagrożenia lub przyczyna, która prawdopodobnie była źródłem incydentu,
zastosowane i wdrażane środki ograniczające ryzyko,
skutki transgraniczne, jeżeli wystąpiły.

Incydent a naruszenie ochrony danych: dwa odrębne zgłoszenia

Jeżeli incydent poważny obejmuje dane osobowe, zgłoszenie z ustawy o KSC nie zastępuje zgłoszenia naruszenia ochrony danych do organu nadzorczego z RODO (w Polsce Prezes UODO). RODO wymaga zgłoszenia bez zbędnej zwłoki, w miarę możliwości nie później niż w terminie 72 godzin po stwierdzeniu naruszenia, chyba że naruszenie prawdopodobnie nie skutkuje ryzykiem dla praw lub wolności osób (art. 33 ust. 1 RODO). To dwa tryby i dwa adresaty. Ustawa o KSC ogranicza natomiast podwójne karanie: jeżeli za ten sam czyn prawomocną karę nałożył już Prezes UODO, organ właściwy do spraw cyberbezpieczeństwa nie wszczyna postępowania i poprzestaje na pouczeniu (art. 76c ust. 1).

Checklista: pierwsze 72 godziny

Godzina zero zapisana w dzienniku incydentu (kto wykrył, kiedy, jak).
Wstępna ocena: czy incydent spełnia definicję incydentu poważnego z art. 2 pkt 7; decyzję i uzasadnienie zapisano.
Ustalony właściwy CSIRT (MON, NASK, GOV albo CSIRT sektorowy po komunikacie) i dostęp do konta w S46 sprawdzony przed incydentem.
Wczesne ostrzeżenie wysłane przed upływem 24 h, z sześcioma elementami z art. 12 ust. 1.
Decyzja, czy prosić CSIRT o wytyczne lub wsparcie techniczne.
Równolegle: ocena, czy doszło do naruszenia ochrony danych osobowych (osobny tryb RODO).
Użytkownicy usług poinformowani o możliwych środkach zapobiegawczych, jeżeli zachodzi poważne cyberzagrożenie (art. 11 ust. 2a).
Zgłoszenie 72 h: wpływ na usługę, przyczyny, działania zapobiegawcze i naprawcze; tajemnica przedsiębiorstwa oznaczona.
Termin sprawozdania końcowego wpisany do kalendarza: miesiąc od dnia zgłoszenia 72 h.
Kierownik podmiotu poinformowany: odpowiada za wykonanie obowiązków z art. 11 (art. 8c ust. 1).

Pytania o raportowanie incydentów NIS2

Jak wygląda raportowanie incydentów w NIS2?

Trzystopniowo: wczesne ostrzeżenie do 24 godzin od wykrycia, zgłoszenie incydentu poważnego do 72 godzin, sprawozdanie końcowe w ciągu miesiąca od zgłoszenia. Na wniosek CSIRT dochodzi sprawozdanie okresowe. Podstawa: art. 11 ust. 1 pkt 4-4c ustawy o KSC i art. 23 ust. 4 dyrektywy NIS2.

Czy zgłoszenie incydentu do CSIRT NASK wystarczy?

Tak, jeśli CSIRT NASK jest dla Twojego podmiotu właściwy (art. 26 ust. 6 ustawy o KSC), a CSIRT sektorowy nie ogłosił jeszcze zdolności operacyjnej (art. 44 ust. 1 ustawy nowelizującej). Zgłoszenie składa się przez system S46 (art. 11 ust. 2).

Co to jest incydent poważny według ustawy o KSC?

Incydent, który powoduje lub może spowodować poważne obniżenie jakości lub przerwanie ciągłości świadczenia usługi, straty finansowe dla podmiotu albo poważną szkodę materialną lub niematerialną dla innych osób (art. 2 pkt 7 ustawy o KSC).

Co to jest S46 i czy muszę mieć tam konto?

S46 to system teleinformatyczny z art. 46 ust. 1 ustawy o KSC, przez który podmioty kluczowe i ważne zgłaszają incydenty (art. 11 ust. 2) i składają wnioski do wykazu (art. 7c ust. 6). Według komunikatu Ministra Cyfryzacji wszystkie podmioty mają zacząć z niego korzystać najpóźniej do 3 kwietnia 2027. Dostęp warto sprawdzić przed pierwszym incydentem.

Od kiedy muszę zgłaszać incydenty według nowych przepisów?

Podmioty istniejące 3 kwietnia 2026 wdrażają obowiązki z rozdziału 3 ustawy, w tym zgłaszanie incydentów, do 3 kwietnia 2027 (art. 33 ust. 1 ustawy nowelizującej). Dotychczasowi operatorzy usług kluczowych przechodzą na nowe zasady zgłoszeń w 6 miesięcy od wejścia nowelizacji w życie, czyli do 3 października 2026 (art. 33 ust. 4).

Co to jest CSIRT sektorowy?

Zespół reagowania na incydenty dla danego sektora, ustanawiany przez organ właściwy do spraw cyberbezpieczeństwa w ciągu 18 miesięcy od wejścia nowelizacji w życie (art. 42 ustawy nowelizującej). Od dnia następującego po opublikowaniu komunikatu o jego zdolności operacyjnej to on przyjmuje zgłoszenia z sektora (art. 44 ust. 2).

Czy incydent trzeba zgłosić też do UODO?

Jeśli incydent jest jednocześnie naruszeniem ochrony danych osobowych, co do zasady tak: to osobny obowiązek z art. 33 RODO, z własnym terminem i adresatem. Zgłoszenie do CSIRT go nie zastępuje.

Co grozi za niezgłoszenie incydentu?

Kara pieniężna dla podmiotu (art. 73 ust. 1 pkt 6-9 ustawy o KSC) i dla kierownika (art. 73a ust. 1 pkt 9). Kary te mogą być nałożone po raz pierwszy po upływie 2 lat od wejścia nowelizacji w życie (art. 35 ustawy nowelizującej); Ministerstwo Cyfryzacji wskazuje datę 3 kwietnia 2028. Termin kar nie przesuwa terminów wdrożenia obowiązków opisanych wyżej.

Podstawa prawna

Ustawa z 5 lipca 2018 o krajowym systemie cyberbezpieczeństwa, t.j. Dz.U. 2026 poz. 20: Dziennik Ustaw. Przepisy: art. 2 pkt 7, art. 8b ust. 1, art. 8c, art. 11, art. 12, art. 12a, art. 12b, art. 12c, art. 26 ust. 5-7, art. 41, art. 41a, art. 46 ust. 1, art. 73, art. 73a, art. 74, art. 76c.
Ustawa z 23 stycznia 2026 o zmianie ustawy o krajowym systemie cyberbezpieczeństwa oraz niektórych innych ustaw, Dz.U. 2026 poz. 252, w mocy od 3 kwietnia 2026: Dziennik Ustaw. Przepisy przejściowe: art. 33 ust. 1 i 4, art. 35, art. 42, art. 44, art. 49.
Dyrektywa Parlamentu Europejskiego i Rady (UE) 2022/2555 (NIS2), art. 23: EUR-Lex.
Rozporządzenie (UE) 2016/679 (RODO), art. 33: EUR-Lex.
Komunikat Ministra Cyfryzacji z 8 kwietnia 2026 w sprawie harmonogramu (Dz.Urz. MC 2026 poz. 7): gov.pl.
Ministerstwo Cyfryzacji, Nowelizacja ustawy o KSC: najważniejsze terminy: gov.pl.

Jak sprawdzić, czy firma spełnia NIS2 (i czy w ogóle jej dotyczy)

Marek Porycki — Sat, 26 Sep 2026 00:38:35 +0200

Stan prawny: 25 września 2026. Podstawa: ustawa o krajowym systemie cyberbezpieczeństwa (t.j. Dz.U. 2026 poz. 20) zmieniona ustawą z 23 stycznia 2026 (Dz.U. 2026 poz. 252), w mocy od 3 kwietnia 2026; dyrektywa (UE) 2022/2555 (NIS2). Tekst ma charakter informacyjny i nie jest poradą prawną.

Terminy, które wyznaczają kolejność

Terminy, które wyznaczają kolejność. Zestawienie z tabeli w artykule, kliknij, aby przejść dalej.

Data	Co się dzieje	Podstawa
3 kwietnia 2026	wejście w życie nowelizacji ustawy o KSC	art. 49 ustawy z 23.01.2026, ogłoszonej 2.03.2026
13 kwietnia do 6 maja 2026	wpisy z urzędu do wykazu realizowane przez Ministra Cyfryzacji	komunikat Ministerstwa Cyfryzacji o najważniejszych terminach
7 maja do 3 października 2026	wnioski o wpis do wykazu podmiotów kluczowych i ważnych (podmioty, których nie wpisano z urzędu)	komunikat Ministra Cyfryzacji, Dz.Urz. MC 2026 poz. 7; art. 33 ust. 3 i art. 34 ust. 3 ustawy nowelizującej
do 3 kwietnia 2027	realizacja obowiązków z rozdziału 3 ustawy o KSC przez podmioty, które spełniały przesłanki 3 kwietnia 2026; rozpoczęcie korzystania z systemu S46	art. 33 ust. 1 ustawy nowelizującej; komunikat MC
do 3 kwietnia 2028	pierwszy audyt bezpieczeństwa podmiotu kluczowego, który spełniał przesłanki 3 kwietnia 2026	art. 33 ust. 2 ustawy nowelizującej
po upływie 2 lat od 3 kwietnia 2026	możliwość nałożenia kar z art. 73 ust. 1-4, art. 73a-73c i art. 76b; Ministerstwo Cyfryzacji wskazuje 3 kwietnia 2028	art. 35 ustawy nowelizującej

Krok 1: sprawdź, czy NIS2 w ogóle dotyczy firmy

Co do zasady dotyczy, jeżeli jednocześnie:

Sektor. Firma prowadzi działalność wskazaną w załączniku nr 1 (sektory kluczowe) albo nr 2 (sektory ważne) do ustawy o KSC. Załączniki opisują sektor, podsektor i rodzaj podmiotu, często z odesłaniem do innej ustawy lub koncesji, więc porównuj rodzaj działalności, a nie tylko nazwę branży.
Wielkość. Firma co najmniej spełnia progi średniego przedsiębiorcy z art. 2 ust. 1 załącznika I do rozporządzenia Komisji (UE) nr 651/2014 (art. 5 ust. 1 i 2 ustawy o KSC).

Są wyjątki od progu wielkości. Niezależnie od rozmiaru podmiotem kluczowym jest m.in. dostawca usług DNS, kwalifikowany dostawca usług zaufania, podmiot krytyczny, podmiot publiczny z załącznika nr 1, rejestr nazw domen najwyższego poziomu i podmiot świadczący usługi rejestracji nazw domen (art. 5 ust. 1 pkt 4). Dostawca usług zarządzanych w zakresie cyberbezpieczeństwa jest kluczowy już od progu małego przedsiębiorcy (art. 5 ust. 1 pkt 3). Podmiotem ważnym może być też mikro- lub mała firma, np. niekwalifikowany dostawca usług zaufania albo przedsiębiorca komunikacji elektronicznej będący mikro- lub małym przedsiębiorcą (art. 5 ust. 2 pkt 3 i 4).

Status wynika z ustawy, a nie z decyzji urzędu. Organ właściwy może też w drodze decyzji uznać podmiot za kluczowy lub ważny (art. 7l ustawy o KSC) i zwrócić się do firmy o informacje potrzebne do wstępnej oceny (art. 43 ust. 1). Według szacunku Ministerstwa Cyfryzacji znowelizowana ustawa może objąć około 38 tys. podmiotów, w tym około 27 tys. podmiotów publicznych.

Jeśli wychodzi, że firma nie podlega, zapisz tę analizę: sektor, kod działalności, dane o wielkości, data. Ten dokument przyda się, gdy zapyta klient w przetargu albo organ.

Krok 2: ustal, czy firma jest podmiotem kluczowym czy ważnym

Kryterium	Podmiot kluczowy	Podmiot ważny
Typowa ścieżka	załącznik nr 1 i wielkość powyżej progów średniego przedsiębiorcy (art. 5 ust. 1 pkt 1)	załącznik nr 1 w progach średniego przedsiębiorcy albo załącznik nr 2 od progu średniego przedsiębiorcy (art. 5 ust. 2 pkt 1 i 2)
Audyt bezpieczeństwa	obowiązkowy co najmniej raz na 3 lata, kopia raportu do organu w 3 dni robocze (art. 15 ust. 1 i 1a)	na polecenie organu wydane w drodze decyzji po incydencie poważnym lub innym naruszeniu (art. 15 ust. 1b)
Górna granica kary	10 mln EUR lub 2 procent przychodów, kwota wyższa, nie mniej niż 20 tys. zł (art. 73 ust. 3)	7 mln EUR lub 1,4 procent przychodów, nie mniej niż 15 tys. zł (art. 73 ust. 4)
Zakaz funkcji zarządczych dla kierownika	możliwy jako środek nadzorczy (art. 53 ust. 9 pkt 6), nie wobec podmiotów publicznych (art. 53 ust. 10)	nie przewidziano

Krok 3: sprawdź wykaz i złóż wniosek o wpis

Wykaz podmiotów kluczowych i ważnych prowadzi minister właściwy do spraw informatyzacji (art. 34 ust. 1 ustawy nowelizującej). Część podmiotów wpisano z urzędu: przedsiębiorców telekomunikacyjnych, dostawców usług zaufania, podmioty publiczne, podmioty krytyczne (art. 7a ust. 2 ustawy o KSC) oraz dotychczasowych operatorów usług kluczowych (art. 34 ust. 2 ustawy nowelizującej). Według Ministerstwa Cyfryzacji wpisy z urzędu realizowano od 13 kwietnia do 6 maja 2026. Taki podmiot dostaje zawiadomienie o wpisie i wezwanie do uzupełnienia brakujących danych w terminie 6 miesięcy od doręczenia wezwania (art. 7b ust. 1 i 2).

Pozostali składają wniosek sami. Podmioty, które spełniały przesłanki 3 kwietnia 2026, mają na to czas od 7 maja do 3 października 2026 (komunikat Ministra Cyfryzacji, Dz.Urz. MC 2026 poz. 7). Firma, która spełni przesłanki później, ma 6 miesięcy od dnia ich spełnienia (art. 7c ust. 1). Zmianę danych zgłasza się w 14 dni (art. 7c ust. 3).

Gdzie: aplikacja Wykaz KSC, część systemu S46, wykaz-ksc.gov.pl. Według Ministerstwa Cyfryzacji logowanie odbywa się przez Węzeł Krajowy (m.in. profil zaufany, mObywatel, e-dowód, bankowość elektroniczna, kwalifikowany certyfikat).
Najpierw sprawdź, czy firmy nie wpisano z urzędu: według Ministerstwa Cyfryzacji próba wpisania podmiotu, który już jest w wykazie, kończy się błędem.
Podpis: kwalifikowany podpis elektroniczny, podpis zaufany lub osobisty kierownika albo osoby upoważnionej, ewentualnie kwalifikowana pieczęć elektroniczna (art. 7c ust. 6).
Wniosek zawiera oświadczenie kierownika, że dane są zgodne z prawdą, składane pod rygorem odpowiedzialności karnej za fałszywe oświadczenie z art. 233 § 6 Kodeksu karnego (art. 7c ust. 5).
Wpisu dokonuje się z chwilą złożenia wniosku w systemie, a sam wpis ma charakter deklaratoryjny (art. 7d ust. 1 i 5).

Krok 4: sprawdź, czy firma spełnia obowiązki

"Spełnia NIS2" oznacza w Polsce wykonanie obowiązków z rozdziału 3 ustawy o KSC. Podmioty istniejące 3 kwietnia 2026 mają na to czas do 3 kwietnia 2027 (art. 33 ust. 1 ustawy nowelizującej). Ocena luki to porównanie stanu faktycznego z poniższą listą, z dowodami, a nie z deklaracjami.

System zarządzania bezpieczeństwem informacji (art. 8)

Systematyczne szacowanie ryzyka i zarządzanie nim to podstawa. Minimalny zakres środków wyznacza art. 21 ust. 2 dyrektywy: m.in. analiza ryzyka, obsługa incydentów, ciągłość działania i kopie zapasowe, bezpieczeństwo łańcucha dostaw, kryptografia, kontrola dostępu, uwierzytelnianie wieloskładnikowe, cyberhigiena i szkolenia. Dostawcy usług DNS, usług chmurowych, usług zarządzanych i inni dostawcy wymienieni w art. 8b ust. 1 ustawy o KSC stosują środki z rozporządzenia wykonawczego Komisji (UE) 2024/2690.

Zgłaszanie incydentów (art. 11-12b)

Wczesne ostrzeżenie do 24 h, zgłoszenie do 72 h, sprawozdanie końcowe w miesiąc, przez system S46 do właściwego CSIRT. Szczegóły: jak raportować incydent zgodnie z NIS2.

Kierownik podmiotu (art. 8c-8f)

Kierownik odpowiada za wykonanie obowiązków, także gdy je powierzył innej osobie (art. 8c). Podejmuje decyzje o systemie zarządzania bezpieczeństwem informacji, planuje środki finansowe, przydziela i nadzoruje zadania, dba o świadomość personelu (art. 8d). Raz w roku kalendarzowym przechodzi udokumentowane szkolenie (art. 8e). Osoby realizujące zadania z art. 8 i 11 dopuszcza po otrzymaniu informacji z Krajowego Rejestru Karnego (art. 8f).

Struktura i kontakt (art. 14, art. 73a ust. 1 pkt 6-7)

Wewnętrzne struktury odpowiedzialne za cyberbezpieczeństwo albo umowa z dostawcą usług zarządzanych w zakresie cyberbezpieczeństwa (art. 14). Wyznaczone osoby do kontaktu (co najmniej dwie, w mikro i małej firmie co najmniej jedna) i kanał, którym użytkownik może zgłosić incydent, cyberzagrożenie lub podatność.

Audyt (art. 15)

Podmiot kluczowy przeprowadza na własny koszt audyt bezpieczeństwa systemu informacyjnego co najmniej raz na 3 lata; podmiot kluczowy istniejący 3 kwietnia 2026 przeprowadza pierwszy audyt w 24 miesiące, czyli do 3 kwietnia 2028 (art. 33 ust. 2 ustawy nowelizującej).

Checklista: czy firma spełnia NIS2

Analiza zakresu na piśmie: sektor z załącznika nr 1 lub 2, rodzaj podmiotu, dane o wielkości, data analizy.
Kategoria ustalona: podmiot kluczowy albo ważny, z przepisem art. 5.
Wykaz sprawdzony: wpis z urzędu albo wniosek złożony w aplikacji Wykaz KSC do 3.10.2026, podpisany przez kierownika.
Dostęp do systemu S46 i osoby do kontaktu wyznaczone.
Szacowanie ryzyka udokumentowane i aktualne (art. 8).
Polityki i środki z art. 21 ust. 2 dyrektywy (lub rozporządzenia 2024/2690) wdrożone i udowodnione.
Procedura incydentów 24 h / 72 h / 1 miesiąc przećwiczona.
Kierownik przeszedł szkolenie w tym roku kalendarzowym, jest dowód (art. 8e).
Informacje z KRK dla osób realizujących zadania z art. 8 i 11 (art. 8f).
Umowy z dostawcami ICT przejrzane pod kątem bezpieczeństwa łańcucha dostaw.
Podmiot kluczowy: termin pierwszego audytu w kalendarzu (do 3.04.2028).

Pytania

Czy moja firma podlega NIS2?

Jeżeli działa w sektorze z załącznika nr 1 lub 2 do ustawy o KSC i co najmniej spełnia progi średniego przedsiębiorcy, najpewniej tak (art. 5). Niektóre podmioty, np. dostawcy usług DNS czy kwalifikowani dostawcy usług zaufania, podlegają niezależnie od wielkości.

Jakie firmy podlegają pod NIS2?

Według zestawienia Ministerstwa Cyfryzacji sektory kluczowe (załącznik nr 1) to: energia, transport, bankowość i infrastruktura rynków finansowych, ochrona zdrowia, zaopatrzenie w wodę pitną, zbiorowe odprowadzanie ścieków, infrastruktura cyfrowa, zarządzanie usługami ICT, przestrzeń kosmiczna i podmioty publiczne. Sektory ważne (załącznik nr 2) to: usługi pocztowe, inwestycje energetyki jądrowej, gospodarowanie odpadami, chemikalia, żywność, produkcja (m.in. wyrobów medycznych, komputerów i elektroniki, urządzeń elektrycznych, maszyn, pojazdów), dostawcy usług cyfrowych, badania naukowe i pozostałe podmioty publiczne.

Kogo NIS2 nie dotyczy?

Co do zasady firm spoza sektorów z załączników oraz mikro i małych firm z tych sektorów, chyba że ustawa obejmuje je niezależnie od wielkości lub od niższego progu (np. art. 5 ust. 1 pkt 3 i 4, art. 5 ust. 2 pkt 3 i 4) albo organ uzna je za podmiot kluczowy lub ważny decyzją (art. 7l).

Co to jest wykaz KSC?

Wykaz podmiotów kluczowych i podmiotów ważnych prowadzony przez ministra właściwego do spraw informatyzacji. Prowadzi się go w aplikacji Wykaz KSC, będącej częścią systemu S46; wnioski składa się na wykaz-ksc.gov.pl.

Do kiedy trzeba złożyć wniosek o wpis do wykazu?

Podmioty, które spełniały przesłanki 3 kwietnia 2026 i nie zostały wpisane z urzędu: od 7 maja do 3 października 2026 (komunikat Ministra Cyfryzacji z 8 kwietnia 2026, Dz.Urz. MC 2026 poz. 7). Pozostali: w 6 miesięcy od spełnienia przesłanek (art. 7c ust. 1).

Czy NIS2 już obowiązuje w Polsce?

Tak. Nowelizacja ustawy o KSC wdrażająca NIS2 weszła w życie 3 kwietnia 2026 (Dz.U. 2026 poz. 252). Obowiązki z rozdziału 3 podmioty istniejące w tym dniu realizują do 3 kwietnia 2027.

Podmiot kluczowy a podmiot ważny: czym się różnią?

Kategorią z art. 5, górną granicą kary (10 mln EUR lub 2 procent wobec 7 mln EUR lub 1,4 procent) i nadzorem: podmiot kluczowy ma obowiązkowy audyt co najmniej raz na 3 lata, a jego kierownikowi grozi czasowy zakaz pełnienia funkcji zarządczych jako środek nadzorczy (poza podmiotami publicznymi).

Czy test online wystarczy, żeby wykazać zgodność?

Nie. Test pokazuje luki i kolejność działań. Zgodność wykazuje się dokumentacją systemu zarządzania bezpieczeństwem informacji, dowodami wdrożenia środków, zapisami ze szkoleń i obsługi incydentów, a w podmiocie kluczowym raportem z audytu z art. 15.

Podstawa prawna

Ustawa z 5 lipca 2018 o krajowym systemie cyberbezpieczeństwa, t.j. Dz.U. 2026 poz. 20: Dziennik Ustaw. Przepisy: art. 5, art. 7a-7d, art. 7l, art. 8-8f, art. 11-12b, art. 14, art. 15, art. 43, art. 53 ust. 9 i 10, art. 73, art. 73a.
Ustawa z 23 stycznia 2026 o zmianie ustawy o krajowym systemie cyberbezpieczeństwa oraz niektórych innych ustaw, Dz.U. 2026 poz. 252: Dziennik Ustaw. Przepisy przejściowe: art. 33, art. 34, art. 35, art. 49.
Komunikat Ministra Cyfryzacji z 8 kwietnia 2026 w sprawie harmonogramu złożenia wniosków o wpis do wykazu (Dz.Urz. MC 2026 poz. 7): gov.pl.
Ministerstwo Cyfryzacji, Nowelizacja ustawy o KSC: najważniejsze terminy: gov.pl.
Ministerstwo Cyfryzacji, samorejestracja w Wykazie KSC, jak dokonać wpisu: gov.pl.
Ministerstwo Cyfryzacji, Nowelizacja ustawy o KSC: kogo obejmuje (sektory, szacunek liczby podmiotów): gov.pl.
Dyrektywa (UE) 2022/2555 (NIS2), art. 20, 21, 23: EUR-Lex.

Test gotowości NIS2 online, 25 pytań sprawdzających compliance

Marek Porycki — Fri, 04 Sep 2026 09:52:00 +0000

Większość firm, które rozważają wdrożenie NIS2, zaczyna od pytania nieoczywistego: jak ocenić, ile pracy faktycznie nas czeka. Konsultanci oferują audyty wstępne za 15 000-40 000 zł i obietnicę “indywidualnej oceny”, która często sprowadza się do wypełnienia standardowego kwestionariusza. Można to zrobić samemu, w 30 minut, bezpłatnie, jeśli masz wiarygodne pytania i ramy interpretacyjne.

Ten tekst zawiera 25 pytań self-audit pokrywających dziesięć obszarów artykułu 21 NIS2 plus odpowiedzialność zarządu (artykuł 20) i raportowanie incydentów (artykuł 23). Pytania są celowo binarne (TAK/NIE) lub trójstopniowe (TAK/CZĘŚCIOWO/NIE), żeby uniknąć “udawania”, które jest częste w samoocenie. Każde pytanie ma punktację i interpretację. Na końcu, macierz wyników z konkretnymi rekomendacjami działań.

Ten test nie zastępuje pełnego audytu zewnętrznego, ale pozwala oszacować skalę luki między obecnym stanem a wymaganiami NIS2. Wynik powinien stanowić podstawę decyzji zarządu o budżecie i timeline wdrożenia.

Sekcja 1: Kwalifikacja podmiotu (3 pytania, 6 punktów)

Pytanie 1. Czy Twoja firma jest podmiotem kluczowym lub ważnym w sensie NIS2 (sektor z Załącznika I lub II + próg wielkościowy)?

TAK, jesteśmy świadomi i zarejestrowani w CSIRT NASK: 2 pkt
TAK, jesteśmy świadomi, ale jeszcze niezarejestrowani: 1 pkt
NIE WIEMY: 0 pkt
NIE, jesteśmy poza zakresem (zweryfikowane): nie wypełniaj testu

Pytanie 2. Czy w ostatnich 12 miesiącach przeprowadziłeś formalną analizę kwalifikacji (sektor, wielkość, klasyfikacja kluczowy/ważny) z dokumentacją wniosków?

TAK: 2 pkt
CZĘŚCIOWO (ad hoc, bez dokumentacji): 1 pkt
NIE: 0 pkt

Pytanie 3. Czy znasz organ właściwy do spraw cyberbezpieczeństwa dla Twojego sektora (art. 41 ustawy o KSC) i właściwy CSIRT, do którego zgłaszasz incydenty?

TAK, z konkretnymi kontaktami: 2 pkt
TAK, z poziomu ogólnej wiedzy: 1 pkt
NIE: 0 pkt

Sekcja 2: Governance i odpowiedzialność zarządu (4 pytania, 8 punktów)

Pytanie 4. Czy zarząd przyjął formalną uchwałę zatwierdzającą system zarządzania ryzykiem cybernetycznym?

TAK, w ostatnich 12 miesiącach: 2 pkt
TAK, starsza niż 12 miesięcy lub niepełna: 1 pkt
NIE: 0 pkt

Pytanie 5. Czy w firmie istnieje formalnie wyznaczona osoba odpowiedzialna za cyberbezpieczeństwo (Cybersecurity Officer / CISO) z udokumentowanym zakresem obowiązków i podporządkowaniem do zarządu?

TAK, pełen etat lub minimum 50% etatu, raportowanie bezpośrednie do zarządu: 2 pkt
TAK, rola łączona, raportowanie pośrednie: 1 pkt
NIE: 0 pkt

Pytanie 6. Czy każdy członek zarządu odbył w ostatnich 12 miesiącach formalne szkolenie z cyberbezpieczeństwa (minimum 4 godziny, z dokumentacją uczestnictwa)?

TAK, wszyscy: 2 pkt
CZĘŚCIOWO, niektórzy lub mniej niż 4 godziny: 1 pkt
NIE: 0 pkt

Pytanie 7. Czy zarząd otrzymuje regularne (minimum kwartalne) raporty o stanie cyberbezpieczeństwa od osoby odpowiedzialnej?

TAK, z udokumentowaniem: 2 pkt
CZĘŚCIOWO, nieformalnie lub rzadziej: 1 pkt
NIE: 0 pkt

Sekcja 3: Polityki i dokumentacja (4 pytania, 8 punktów)

Pytanie 8. Czy posiadasz pisemną politykę analizy ryzyka i bezpieczeństwa systemów informatycznych z aktualnym (do 12 miesięcy) rejestrem zidentyfikowanych ryzyk?

TAK: 2 pkt
CZĘŚCIOWO (polityka istnieje, brak aktualnego rejestru ryzyk): 1 pkt
NIE: 0 pkt

Pytanie 9. Czy posiadasz pisemną procedurę obsługi incydentów cyberbezpieczeństwa z konkretnymi etapami, terminami i osobami odpowiedzialnymi?

TAK, z trójstopniowym protokołem 24h/72h/30 dni: 2 pkt
CZĘŚCIOWO (ogólna procedura bez konkretnych terminów lub bez trójstopniowego protokołu): 1 pkt
NIE: 0 pkt

Pytanie 10. Czy posiadasz aktualny (testowany w ostatnich 12 miesiącach) plan ciągłości działania i odzyskiwania po awarii?

TAK, z udokumentowanym testem: 2 pkt
CZĘŚCIOWO (plan istnieje, brak udokumentowanego testu): 1 pkt
NIE: 0 pkt

Pytanie 11. Czy posiadasz pisemną politykę bezpieczeństwa łańcucha dostaw z aktualną mapą dostawców i klasyfikacją ryzyka?

TAK: 2 pkt
CZĘŚCIOWO (mapa istnieje, brak klasyfikacji): 1 pkt
NIE: 0 pkt

Sekcja 4: Kontrole techniczne (5 pytań, 10 punktów)

Pytanie 12. Czy uwierzytelnianie wieloskładnikowe (MFA) jest wdrożone dla wszystkich kont administracyjnych, kont z dostępem do systemów krytycznych i dostępu zdalnego?

TAK, wszystkie wymienione kategorie: 2 pkt
CZĘŚCIOWO, niektóre kategorie: 1 pkt
NIE: 0 pkt

Pytanie 13. Czy posiadasz politykę kryptografii określającą wymagane standardy szyfrowania w tranzycie i w spoczynku, oraz czy jest faktycznie wdrożona dla danych krytycznych?

TAK: 2 pkt
CZĘŚCIOWO (polityka istnieje, częściowe wdrożenie): 1 pkt
NIE: 0 pkt

Pytanie 14. Czy posiadasz formalną procedurę zarządzania patchami (patch management) z określonymi terminami reakcji na podatności krytyczne i wysokie?

TAK, z dokumentacją realnych terminów reakcji: 2 pkt
CZĘŚCIOWO (procedura istnieje, brak konsekwentnego stosowania): 1 pkt
NIE: 0 pkt

Pytanie 15. Czy w ostatnich 12 miesiącach został przeprowadzony zewnętrzny test penetracyjny lub równoważny audyt techniczny?

TAK, z udokumentowanym raportem i planem napraw: 2 pkt
CZĘŚCIOWO (skanowanie automatyczne lub starsze niż 12 miesięcy): 1 pkt
NIE: 0 pkt

Pytanie 16. Czy regularne kopie zapasowe wszystkich krytycznych systemów są wykonywane, przechowywane offline/immutable, i czy ich odtwarzalność została udokumentowana w ostatnich 12 miesiącach?

TAK, wszystkie trzy warunki spełnione: 2 pkt
CZĘŚCIOWO, kopie wykonywane, ale offline lub test odtwarzania nieudokumentowane: 1 pkt
NIE: 0 pkt

Sekcja 5: Personel i szkolenia (3 pytania, 6 punktów)

Pytanie 17. Czy w ostatnich 12 miesiącach cały personel ze stałym dostępem do systemów IT przeszedł szkolenie cyberhigieny (phishing, hasła, social engineering)?

TAK, z dokumentacją uczestnictwa: 2 pkt
CZĘŚCIOWO (część personelu lub bez dokumentacji): 1 pkt
NIE: 0 pkt

Pytanie 18. Czy posiadasz formalną procedurę nadawania i odbierania dostępów (onboarding/offboarding) z udokumentowanymi przeglądami uprawnień?

TAK, z kwartalnymi przeglądami: 2 pkt
CZĘŚCIOWO (procedura istnieje, przeglądy rzadsze lub niepełne): 1 pkt
NIE: 0 pkt

Pytanie 19. Czy w ostatnim audycie kont aktywnych w głównych systemach (ERP, CRM, AD) udział kont nieaktywnych użytkowników (osoby już niezatrudnione) był poniżej 5%?

TAK, sprawdzone w ostatnich 6 miesiącach: 2 pkt
NIE WIADOMO, nigdy nie sprawdzone: 0 pkt
NIE, sprawdzone, wynik powyżej 5%: 0 pkt

Sekcja 6: Łańcuch dostaw (3 pytania, 6 punktów)

Pytanie 20. Czy posiadasz aktualną mapę wszystkich dostawców IT i usług dotykających systemów krytycznych?

TAK, z aktualizacją w ostatnich 12 miesiącach: 2 pkt
CZĘŚCIOWO (mapa starsza lub niepełna): 1 pkt
NIE: 0 pkt

Pytanie 21. Czy wszystkie umowy z dostawcami poziomu krytycznego zawierają klauzule cyberbezpieczeństwa (powiadomienie o incydencie, prawo do audytu, standardy bezpieczeństwa)?

TAK, wszystkie: 2 pkt
CZĘŚCIOWO, niektóre lub niepełne klauzule: 1 pkt
NIE: 0 pkt

Pytanie 22. Czy każdy dostawca poziomu krytycznego wypełnił w ostatnich 18 miesiącach kwestionariusz cyberbezpieczeństwa lub przedstawił aktualny raport audytowy (SOC 2, ISO 27001)?

TAK, wszyscy: 2 pkt
CZĘŚCIOWO, niektórzy: 1 pkt
NIE: 0 pkt

Sekcja 7: Compliance integration (3 pytania, 6 punktów)

Pytanie 23. Czy posiadasz wspólny rejestr incydentów obsługujący wymogi raportowania zarówno NIS2, jak i RODO?

TAK: 2 pkt
CZĘŚCIOWO (oddzielne rejestry): 1 pkt
NIE (brak rejestru lub tylko nieformalny): 0 pkt

Pytanie 24. Czy w razie incydentu wiesz, do kogo zadzwonić w ciągu pierwszych 2 godzin (zewnętrzny incident response, ubezpieczyciel cyber, kancelaria prawna, organy nadzoru)?

TAK, lista kontaktów aktualna i przetestowana: 2 pkt
CZĘŚCIOWO (lista istnieje, nieprzetestowana): 1 pkt
NIE: 0 pkt

Pytanie 25. Czy roczny budżet cyberbezpieczeństwa Twojej firmy stanowi minimum 5% rocznych nakładów na IT (lub minimum 0,3% rocznych przychodów dla firm o IT-stosunku poniżej średniej sektorowej)?

TAK: 2 pkt
CZĘŚCIOWO (3-5%): 1 pkt
NIE (poniżej 3%): 0 pkt

Punktacja i interpretacja

Maksimum: 50 punktów. Sekcje: kwalifikacja (6), governance (8), polityki (8), kontrole techniczne (10), personel (6), łańcuch dostaw (6), compliance integration (6).

45-50 punktów: gotowość wysoka. Twoja firma ma fundamenty zgodności z NIS2. Nieliczne luki można zamknąć w 1-3 miesiące. Kontrola NIS2 prawdopodobnie przebiegnie pozytywnie. Rekomendacja: profesjonalny audyt zewnętrzny (potwierdzający stan, wyceniony 15 000-30 000 zł) i utrzymanie.

35-44 punkty: gotowość umiarkowana. Masz duży postęp, ale są obszary wymagające pracy. Wdrożenie do pełnej gotowości: 4-8 miesięcy. Nakład: 80 000-200 000 zł na korekty plus utrzymanie. Rekomendacja: gap analysis z konsultantem, plan naprawczy z konkretnymi terminami, wdrożenie sekcjami od najmniej punktowanych obszarów.

25-34 punkty: gotowość niska. Istotna luka między obecnym stanem a wymaganiami NIS2. Pierwsza kontrola prawdopodobnie ujawni poważne nieprawidłowości. Wdrożenie: 6-12 miesięcy. Nakład: 150 000-400 000 zł. Rekomendacja: pilna decyzja zarządu o priorytetowym programie zgodności, zewnętrzny konsultant na fazę wdrożenia, ewentualnie outsourcing części obsługi (MSSP).

Poniżej 25 punktów: gotowość minimalna lub brak. Krytyczne ryzyko. Każdy poważny incydent prawdopodobnie ujawni systemowe braki, które dla regulatora są podstawą do maksymalnej kary. Wdrożenie pełnego systemu: 9-18 miesięcy. Nakład: 200 000-600 000 zł. Rekomendacja: natychmiastowa decyzja zarządu o priorytetowym programie, zewnętrzny program prowadzony przez wyspecjalizowaną firmę, zatrudnienie lub outsourcing dedykowanej osoby odpowiedzialnej.

Mapowanie wyników na priorytety działań

Niezależnie od ogólnego wyniku, sprawdź sekcje z najniższą punktacją, to obszary priorytetowe.

Niski wynik w sekcji 1 (kwalifikacja): rozpocznij od formalnej analizy kwalifikacji. Złóż wniosek o wpis do wykazu podmiotów kluczowych i ważnych w aplikacji Wykaz KSC (wykaz-ksc.gov.pl), do 3 października 2026. To pierwszy krok niezależnie od pozostałych obszarów.

Niski wynik w sekcji 2 (governance): problem zarządczy, nie techniczny. Zacznij od posiedzenia zarządu z punktem cyberbezpieczeństwa, formalnej uchwały, programu szkoleniowego dla zarządu. Bez tego pozostałe inwestycje są zagrożone systemowo.

Niski wynik w sekcji 3 (polityki): opracuj brakujące polityki. Zacznij od analizy ryzyka i procedury obsługi incydentów, to fundamenty. Pozostałe można rozłożyć w czasie.

Niski wynik w sekcji 4 (kontrole techniczne): prawdopodobnie wymagają inwestycji finansowych i czasu zespołu IT. Priorytety: MFA (najszybszy efekt, niski koszt), patch management (procesowy), pen-test (ujawnia konkretne luki). Kryptografia i kopie, często już wdrożone technicznie, wymagają formalizacji.

Niski wynik w sekcji 5 (personel): szkolenia i przegląd kont. Najszybsze quick wins. Audyt kont aktywnych zwykle ujawnia 10-25% kont nieaktywnych do likwidacji.

Niski wynik w sekcji 6 (łańcuch dostaw): największa praca często ignorowana. Zacznij od mapy dostawców, klasyfikacji, renegocjacji umów z najważniejszymi.

Niski wynik w sekcji 7 (compliance integration): wymaga dojrzałości organizacyjnej. Często ostatni etap, po wdrożeniu obu reżimów osobno.

Co dalej po teście

Test daje ramy decyzji. Konkretny plan działań wymaga:

Przeglądu wyników z osobą odpowiedzialną za cyberbezpieczeństwo i zarządem. Test przeprowadzany solo to test marketingowy. Test omówiony w gronie decyzyjnym to początek strategii.
Walidacji wyniku przez próbę dokumentacji. Każde pytanie z odpowiedzią TAK powinno mieć konkretny dokument lub dowód. Jeśli nie masz, odpowiedź była CZĘŚCIOWO lub NIE.
Decyzji o ścieżce: wewnętrzne wdrożenie, zewnętrzny konsultant, outsourcing. Każda ma swoje koszty i ograniczenia.
Określenia timeline i budżetu. Realistycznie 6-12 miesięcy dla typowej firmy z wynikiem 25-40 punktów.
Rozpoczęcia od najszybszych i najniżej kosztowych quick wins. MFA, audyt kont aktywnych, podstawowe szkolenia, mapa dostawców. To pierwsze 30 dni, koszt 5 000-20 000 zł, znacząca poprawa wyniku przy następnym teście.

Pełen przegląd 10 obszarów z konkretnymi krokami wdrożenia, NIS2: kompletna checklista gotowości w 10 obszarach.

Bibliografia

Komisja Europejska. (2022). Dyrektywa Parlamentu Europejskiego i Rady (UE) 2022/2555 z dnia 14 grudnia 2022 r. (NIS2), art. 20-24. https://eur-lex.europa.eu/legal-content/PL/TXT/?uri=CELEX:32022L2555
NIST. (2024). Cybersecurity Framework 2.0. National Institute of Standards and Technology. https://doi.org/10.6028/NIST.CSWP.29
ISO. (2022). ISO/IEC 27001:2022, Załącznik A: Wykaz kontroli bezpieczeństwa informacji. International Organization for Standardization. https://www.iso.org/standard/27001
Verizon. (2024). 2024 Data Breach Investigations Report. Verizon Business. https://www.verizon.com/business/resources/reports/dbir/

Test daje ramy decyzji, ale konkretny plan wymaga rozmowy. W cotygodniowym newsletterze TestNIS2.pl publikujemy interpretacje wyników podobnych testów dla różnych typów firm, plus konkretne plany 90-dniowe i wzory dokumentów. Zapisz się, bezpłatnie i wykorzystaj ten test jako pierwszy krok rocznej strategii compliance.

Certyfikacje pod NIS2, wymagane, rekomendowane, najczęściej pytane

Marek Porycki — Sat, 22 Aug 2026 16:29:00 +0000

W rozmowach z firmami przygotowującymi się do NIS2 prawie zawsze pojawia się pytanie: “czy musimy mieć ISO 27001?”. Odpowiedź jest niejednoznaczna, i to celowo. NIS2 nie wymaga formalnie żadnej konkretnej certyfikacji, ale tworzy mocną presję rynkową na ich posiadanie. Artykuł 24 dyrektywy mówi o “europejskich systemach certyfikacji cyberbezpieczeństwa” jako narzędziu ułatwiającym wykazanie zgodności. W praktyce, kontrola NIS2 firmy z aktualnym ISO 27001 trwa krócej i przebiega łagodniej niż firmy bez certyfikacji, nawet jeśli obie spełniają te same wymagania techniczne.

Ten tekst rozkłada krajobraz certyfikacji w kontekście NIS2: które są realnie wymagane (sektorowo), które rekomendowane, które tylko marketingowo użyteczne. Pokazuje koszty, timeline, wybór jednostki certyfikującej i najczęstsze pułapki.

Co NIS2 dosłownie mówi o certyfikacjach

Dyrektywa nie wymaga konkretnej certyfikacji jako warunku compliance. Artykuł 24 wprowadza pojęcie “europejskich systemów certyfikacji cyberbezpieczeństwa” zgodnie z rozporządzeniem 2019/881 (EU Cybersecurity Act). Państwa członkowskie mogą wymagać konkretnych certyfikacji od podmiotów określonych sektorów, jeśli uzasadnione krytycznością.

W polskiej transpozycji (nowelizacja KSC 2024): brak ogólnego wymogu certyfikacji. Sektor finansowy ma własne wymogi przez DORA i wytyczne KNF. Sektor energetyczny, przez wytyczne URE. Pozostałe sektory, bez formalnego wymogu, ale z silnymi rekomendacjami.

Praktyczny stan rzeczy: certyfikacja nie jest wymogiem prawnym, ale jest:

ułatwieniem dla audytów NIS2 (krótszy proces, mniej pytań);
wymogiem rynkowym dla wielu kontraktów B2B (klienci pytają w przetargach);
mocnym sygnałem dla organu nadzorczego, że firma traktuje cyber poważnie;
elementem oceny ryzyka łańcucha dostaw przez Twoich kontrahentów.

ISO/IEC 27001, standard, który najczęściej ma sens

To najszerzej rozpowszechniona międzynarodowa certyfikacja systemu zarządzania bezpieczeństwem informacji (ISMS). Wersja aktualna: ISO/IEC 27001:2022.

Co obejmuje: kompleksowy system zarządzania bezpieczeństwem informacji, kontekst organizacji, przywództwo, planowanie, wsparcie, działania operacyjne, ocena działania, doskonalenie. Obowiązkowe Aneks A z 93 kontrolami bezpieczeństwa (zaktualizowane w wersji 2022).

Mapowanie do NIS2: ISO 27001 pokrywa większość 10 obszarów artykułu 21 NIS2, analiza ryzyka, obsługa incydentów, ciągłość działania, łańcuch dostaw, kontrola dostępu, kryptografia, bezpieczeństwo personelu, MFA. Niedopokryte przez ISO 27001 (wymagają osobnego wzmocnienia w kontekście NIS2): konkretne wymagania trójstopniowego raportowania incydentów, specyficzna odpowiedzialność zarządu z artykułu 20.

Ścieżka certyfikacji: 1. Decyzja zarządu (1 tydzień). 2. Wybór doradcy/konsultanta (opcjonalnie ale zalecane dla pierwszej certyfikacji): 2-4 tygodnie. 3. Gap analysis, porównanie obecnego stanu z wymogami: 4-6 tygodni. 4. Implementacja brakujących elementów, polityki, procedury, ewidencje: 3-6 miesięcy. 5. Audyt wewnętrzny, pierwszy: 4 tygodnie. 6. Działania korygujące: 4-6 tygodni. 7. Wybór jednostki certyfikującej: 2-4 tygodnie. 8. Audyt certyfikacyjny etap 1 (audyt dokumentacji): 1 tydzień. 9. Audyt certyfikacyjny etap 2 (audyt operacji): 1 tydzień. 10. Działania korygujące pomiędzy etapami: 2-4 tygodnie. 11. Wydanie certyfikatu: 2-4 tygodnie po pozytywnym etapie 2.

Łącznie: 6-12 miesięcy od decyzji do certyfikatu (typowo 8-10).

Koszty:

doradca (wsparcie wdrożenia): 60 000-250 000 zł w zależności od skali firmy i zakresu;
jednostka certyfikująca (audyt i certyfikat): 25 000-80 000 zł na pierwszą certyfikację, plus audyty roczne nadzorcze 12 000-30 000 zł rocznie;
czas wewnętrzny: 200-600 godzin pracy wewnętrznej (głównie Cybersecurity Officer i kierownictwo);
narzędzia (jeśli wymagane): 10 000-80 000 zł rocznie.

Łącznie pierwsza certyfikacja: koszt zależy od skali organizacji i zakresu certyfikacji. Utrzymanie: 30 000-80 000 zł rocznie. Recertyfikacja co 3 lata.

Wybór jednostki certyfikującej: kluczowa decyzja. Jednostka musi być akredytowana, w Polsce przez PCA (Polskie Centrum Akredytacji), za granicą przez krajowe organy akredytujące podpisujące porozumienia IAF. Lista jednostek akredytowanych dla ISO 27001 w Polsce: BSI Group, DEKRA, TÜV Nord, TÜV SÜD, TÜV Rheinland, Bureau Veritas, DNV, SGS, Lloyd’s Register, plus mniejsze polskie jednostki (Quality Austria, IMQ, kilka innych). Cena rynkowa porównywalna; różnice w jakości audytorów, w branżowej specjalizacji i w czasie oczekiwania.

Najczęstszy błąd: zakup certyfikatu od jednostki nieakredytowanej. Takie certyfikaty są warte tyle co papier. Sprawdzaj zawsze akredytację, strona PCA: https://www.pca.gov.pl.

SOC 2, gdy klienci to wymagają

System and Organization Controls 2 (SOC 2) to amerykański standard kontroli wewnętrznych dla firm usługowych, opracowany przez AICPA. Bardzo popularny w sektorze technologicznym i wśród dostawców SaaS.

Co obejmuje: raport audytu kontroli organizacji w pięciu obszarach (Trust Services Criteria): bezpieczeństwo, dostępność, integralność przetwarzania, poufność, prywatność. Można certyfikować w wybranym podzbiorze (zwykle minimum bezpieczeństwo).

Dwa typy raportu:

SOC 2 Type I, opis kontroli na konkretny moment (snapshot);
SOC 2 Type II, opis kontroli plus ich operacyjna skuteczność w okresie 6-12 miesięcy.

Type II ma znacznie większą wartość rynkową.

Mapowanie do NIS2: SOC 2 pokrywa wiele obszarów artykułu 21, ale jest mniej kompleksowe niż ISO 27001. Skupia się na kontrolach operacyjnych, mniej na systemie zarządzania.

Kiedy ma sens:

firma świadczy usługi (SaaS, hosting, BPO) klientom z USA lub międzynarodowym, którzy wymagają SOC 2 w przetargach;
firma sprzedaje do enterprise customerów, którzy formalnie wymagają SOC 2 jako warunek due diligence;
firma chce uzupełnić ISO 27001 dla rynków, gdzie SOC 2 jest preferowany.

Koszty: SOC 2 Type I, 50 000-150 000 zł. SOC 2 Type II, 100 000-300 000 zł na pierwszy raport. Raporty następne, 60 000-180 000 zł rocznie.

Najczęstsza praktyka polskich firm tech: ISO 27001 jako baza zarządzania, SOC 2 Type II jako narzędzie sprzedażowe dla klientów anglojęzycznych.

ISO 22301, ciągłość działania

Standard zarządzania ciągłością działania (Business Continuity Management System, BCMS). Dotyka bezpośrednio obszaru 3 NIS2 (ciągłość działania i zarządzanie kryzysowe).

Co obejmuje: identyfikacja krytycznych procesów biznesowych, analiza wpływu (Business Impact Analysis), plany ciągłości działania (BCP), plany odzyskiwania po awarii (DRP), zarządzanie kryzysowe, regularne testy.

Kiedy ma sens dla NIS2:

podmioty kluczowe w sektorach o wysokiej krytyczności (energia, ochrona zdrowia, transport, finanse), często rekomendowane;
firmy, dla których utrata ciągłości operacyjnej oznacza katastrofalne konsekwencje;
firmy budujące pełen ekosystem zarządzania ryzykiem (zwykle łączone z ISO 27001).

Koszty: podobne do ISO 27001-70 000-200 000 zł na pierwszą certyfikację, 25 000-60 000 zł rocznie na utrzymanie.

W praktyce wiele firm certyfikuje jednocześnie ISO 27001 i ISO 22301 w pakiecie, koszty audytu rocznego można połączyć i część kontroli się pokrywa.

ISO 27701, rozszerzenie o RODO

Rozszerzenie ISO 27001 o system zarządzania prywatnością informacji. Stanowi most między cyberbezpieczeństwem (ISO 27001) a ochroną danych osobowych (RODO).

Kiedy ma sens: dla firm, które już mają ISO 27001 i chcą wzmocnić compliance RODO przez formalną certyfikację. Polska praktyka: ISO 27701 nie jest popularny, większość firm uznaje, że audyty RODO przez prawników wystarczają. Jednak dla podmiotów świadczących usługi międzynarodowe certyfikacja ISO 27701 ma rosnące znaczenie sprzedażowe.

Koszty: dodatkowo 30 000-100 000 zł nad bazą ISO 27001.

Sektorowe certyfikacje krytyczne

W niektórych sektorach NIS2 nakłada się na inne reżimy regulacyjne wymagające specyficznych certyfikacji.

Sektor finansowy, DORA: Digital Operational Resilience Act wymaga formalnych testów odporności (TLPT, Threat-Led Penetration Testing) dla instytucji systemowo ważnych. Certyfikacje wymagane sektorowo przez KNF.

Sektor energetyczny: standardy NIS-D (sektorowo ENISA dla energy), wytyczne URE.

Sektor ochrony zdrowia: w niektórych krajach UE wymagane sektorowe certyfikacje. W Polsce, wciąż w fazie kształtowania, ale szpitale i NFZ-zależne podmioty są pod silną presją wdrożenia ISO 27001.

Operatorzy infrastruktury krytycznej: krajowe wymogi dotyczące zarządzania ryzykiem, pełniejsze niż NIS2.

Każdy podmiot z sektora regulowanego sektorowo powinien sprawdzić, czy jego organ nadzorczy wprowadził specyficzne wymogi certyfikacyjne.

Krajowy System Cyberbezpieczeństwa, KSC

W Polsce funkcjonuje też Krajowy System Cyberbezpieczeństwa, który nie jest “certyfikacją” w sensie międzynarodowym, ale formalną rejestracją w systemie CSIRT NASK z określonymi zobowiązaniami sprawozdawczymi. Każdy podmiot kluczowy i ważny musi się zarejestrować, to nie certyfikacja, lecz obowiązek.

Dodatkowo polskie organy rozwijają sektorowe schematy cyberbezpieczeństwa zgodnie z rozporządzeniem EU Cybersecurity Act 2019/881. Pierwsze schematy europejskie (EUCC dla produktów, EUCS dla usług chmurowych) są w fazie wdrażania.

Wybór strategii certyfikacyjnej dla MŚP

Średnia firma 60-150-osobowa, podlegająca NIS2 jako podmiot ważny. Praktyczne rekomendacje:

Wariant minimalny (compliance bez certyfikacji formalnej): wdrożenie wszystkich 10 obszarów NIS2 zgodnie z wytycznymi, dokumentacja na poziomie umożliwiającym kontrolę, bez zewnętrznej certyfikacji. Koszty: 80 000-200 000 zł na wdrożenie, 25 000-50 000 zł rocznie. Ryzyko: dłuższe i głębsze audyty NIS2, brak narzędzia rynkowego dla klientów.

Wariant balansowy (ISO 27001 jako baza): pełne wdrożenie systemu zgodnego z ISO 27001 plus certyfikacja. Koszt: 150 000-400 000 zł na pierwszą certyfikację, 50 000-80 000 zł rocznie na utrzymanie. Korzyści: krótsze audyty NIS2, narzędzie sprzedażowe, formalny system zarządzania.

Wariant kompleksowy (ISO 27001 + ISO 22301 + sektorowe): pełen ekosystem zarządzania ryzykiem. Koszt: 250 000-600 000 zł na pierwszą fazę, 80 000-150 000 zł rocznie. Korzyści: maksymalna wiarygodność, pełne pokrycie NIS2 i pokrewnych regulacji.

Wariant tech (ISO 27001 + SOC 2): dla firm tech sprzedających enterprise. Koszt: 300 000-700 000 zł na pierwszą fazę, 100 000-250 000 zł rocznie. Korzyści: wymagane sprzedażowo dla wielu kontraktów.

Realistyczna rekomendacja dla większości polskich MŚP podlegających NIS2: wariant balansowy. Inwestycja w ISO 27001 zwykle zwraca się przez ułatwione audyty, narzędzie sprzedażowe i mocniejszą pozycję w przetargach.

Najczęstsze pułapki certyfikacji

Pułapka 1: kupowanie certyfikatu zamiast budowania systemu. Niektóre jednostki “konsultingowe” oferują “certyfikat ISO 27001 w 30 dni za 50 000 zł”. Z reguły wystawiają certyfikaty nieakredytowane lub akredytowane przez jednostki o wątpliwej reputacji. Wartość rynkowa: zerowa. Wartość regulacyjna: ujemna (jeśli organ nadzoru wykryje fikcyjny system).

Pułapka 2: certyfikacja jako jednorazowy projekt. Po wydaniu certyfikatu firma “zamyka temat”. Po dwóch latach system jest nieaktualny, dokumenty się rozjechały, audyt nadzorczy ujawnia problemy. Recertyfikacja wymaga prawie ponownego wdrożenia.

Pułapka 3: zbyt wąski zakres certyfikacji. Firma certyfikuje tylko jeden dział (np. IT) lub jedną lokalizację, żeby obniżyć koszty. Klienci pytają w przetargach o certyfikat obejmujący usługi, które kupują, okazuje się że zakres certyfikacji ich nie obejmuje. Wartość sprzedażowa praktycznie zerowa.

Pułapka 4: ignorowanie aktualizacji norm. ISO 27001 zaktualizowane w 2022 roku, firmy z certyfikatem na podstawie wersji 2013 muszą przejść na nową wersję do października 2025. Brak aktualizacji = utrata certyfikatu.

Pułapka 5: konsultant prowadzący wdrożenie i audyt jednocześnie. Konflikt interesów, auditor nie może być stroną wdrażającą. Niezależność jednostki certyfikującej jest fundamentem akredytacji.

Lista decyzji zarządu w sprawie certyfikacji

Sześć pytań do podjęcia:

Czy nasz sektor wymaga sektorowo certyfikacji (KNF, URE, inne)?
Czy nasi kluczowi klienci wymagają konkretnej certyfikacji w przetargach?
Jaki budżet jesteśmy w stanie przeznaczyć na pierwszą certyfikację (100 tys.? 300 tys.? więcej?)
Jaki budżet na utrzymanie roczne (50 tys.? 100 tys.?)
Mamy wewnętrzne kompetencje do utrzymania systemu, czy potrzebujemy outsourcingu?
Jaki timeline, czy potrzebujemy certyfikatu do konkretnego terminu (np. przetarg), czy mamy elastyczność?

Odpowiedzi na te pytania wyznaczają strategię.

Bibliografia

Komisja Europejska. (2022). Dyrektywa Parlamentu Europejskiego i Rady (UE) 2022/2555 z dnia 14 grudnia 2022 r. (NIS2), art. 24 (certyfikacje). https://eur-lex.europa.eu/legal-content/PL/TXT/?uri=CELEX:32022L2555
Parlament Europejski i Rada UE. (2019). Rozporządzenie (UE) 2019/881 z dnia 17 kwietnia 2019 r. (Cybersecurity Act). https://eur-lex.europa.eu/eli/reg/2019/881/oj
ISO. (2022). ISO/IEC 27001:2022, Information security, cybersecurity and privacy protection, Information security management systems, Requirements. International Organization for Standardization. https://www.iso.org/standard/27001
ISO. (2019). ISO 22301:2019, Security and resilience, Business continuity management systems. International Organization for Standardization. https://www.iso.org/standard/75106.html
ISO. (2019). ISO/IEC 27701:2019, Security techniques, Extension to ISO/IEC 27001 and ISO/IEC 27002 for privacy information management. https://www.iso.org/standard/71670.html
AICPA. (2017). SOC 2 Reports, Trust Services Criteria. American Institute of CPAs. https://www.aicpa-cima.com/topic/audit-assurance/audit-and-assurance-greater-than-soc-2
Polskie Centrum Akredytacji. (2024). Wykaz akredytowanych jednostek certyfikujących systemy zarządzania. PCA. https://www.pca.gov.pl/

Decyzja o certyfikacji to inwestycja kilkuset tysięcy złotych. W cotygodniowym newsletterze TestNIS2.pl publikujemy analizy konkretnych przypadków certyfikacji, porównania jednostek certyfikujących, szablony wymagań przetargowych. Zapisz się, bezpłatnie.

NIS2 vs RODO, co się nakłada, co różni, jak zarządzać oboma

Marek Porycki — Sun, 26 Jul 2026 10:43:00 +0000

W polskich firmach, które wdrażają NIS2, prawie zawsze pojawia się to pytanie: “ale przecież już mamy RODO, czy NIS2 to nie jest to samo?” Pytanie świadczy o czymś istotnym, RODO jest pierwszym i często jedynym poważnym doświadczeniem polskich firm z compliance regulacyjnym w obszarze danych i bezpieczeństwa. Naturalne jest myślenie o NIS2 przez tę samą perspektywę.

Ale RODO i NIS2 to dwa różne reżimy regulacyjne, które mają częściowo zachodzące, częściowo rozłączne wymagania. Można je traktować jako dwa wymiary tego samego systemu zarządzania, ale każdy ma swoją logikę, swoje pojęcia, swoje organy nadzoru, swoje procedury i swoje sankcje. Zła integracja oznacza dwa równoległe systemy, które się powielają w 30 procentach i pozostawiają luki w pozostałych 70.

Ten artykuł porównuje oba reżimy w siedmiu wymiarach: cele, zakres podmiotowy, role personelu odpowiedzialnego, wymagania techniczne, raportowanie incydentów, sankcje, łańcuch dostaw. Pokazuje, gdzie się nakładają i gdzie różnią, a na końcu proponuje praktyczną architekturę zintegrowanego systemu compliance.

Cele regulacyjne, chronimy co innego

To centralna różnica, z której wynikają wszystkie pozostałe.

RODO chroni prawa i wolności osób fizycznych w odniesieniu do przetwarzania ich danych osobowych. Punkt ciężkości: prywatność, autonomia jednostki, kontrola jednostki nad swoimi danymi. Cel końcowy: dane osobowe są przetwarzane zgodnie z prawem, transparentnie, w określonym celu, z minimalnym zakresem, dokładnie, nie dłużej niż potrzeba, bezpiecznie. Naruszenie integralności bezpieczeństwa to ważny, ale nie główny problem RODO.

NIS2 chroni ciągłość świadczenia usług i odporność infrastruktury. Punkt ciężkości: dostępność, integralność i poufność systemów świadczących usługi krytyczne dla społeczeństwa i gospodarki. Cel końcowy: usługi krytyczne (energia, transport, ochrona zdrowia, żywność, łączność) działają nawet w warunkach ataków cybernetycznych. Dane osobowe są obiektem ochrony tylko o tyle, o ile ich naruszenie zakłóca usługi.

Dwie konsekwencje:

Konsekwencja pierwsza, anonimowy atak. DDoS na Twoją usługę chmurową, który blokuje ją na 8 godzin, ale nie obejmuje żadnych danych osobowych, to incydent NIS2, ale niekoniecznie RODO. Cały reżim RODO milczy w tej sytuacji. Dla NIS2, pełen protokół trójstopniowy.

Konsekwencja druga, wyciek danych osobowych bez zakłócenia usługi. Pracownik wynosi bazę 5 000 adresów email klientów na pendrivie do konkurencji. To naruszenie RODO (wymaga zgłoszenia do PUODO w 72h, prawdopodobnie powiadomienia osób). Dla NIS2, incydent może być istotny lub nie, zależy od wpływu operacyjnego. Często nie jest istotny w sensie NIS2.

Zatem incydent może być: tylko RODO, tylko NIS2, oba jednocześnie, lub żadne. Każda z tych czterech kategorii uruchamia inną procedurę.

Zakres podmiotowy, kto podlega

RODO obowiązuje wszystkich, którzy przetwarzają dane osobowe. W praktyce: każdą firmę, każdą instytucję publiczną, niemal każdą organizację. Wyjątki są nieliczne (przetwarzanie wyłącznie dla celów osobistych lub domowych). Zakres uniwersalny.

NIS2 obowiązuje wąsko zdefiniowany zbiór podmiotów, operatorów usług w 18 sektorach krytycznych spełniających progi wielkościowe. Większość polskiej gospodarki nie podlega NIS2. Zakres szczegółowo opisany w artykule Kogo dokładnie obowiązuje NIS2 w Polsce.

Konsekwencja: każda firma, która podlega NIS2, podlega też RODO. Odwrotność nie jest prawdą. NIS2 jest podzbiorem ogólnopopulacyjnego RODO.

To upraszcza kwestię: nie ma sensu pytać “czy ten obowiązek jest z RODO czy NIS2”. Pytanie brzmi: “który z reżimów stawia wyższy wymóg w tym konkretnym obszarze i czy jego spełnienie zaspokaja drugi reżim”.

Role personelu odpowiedzialnego, IOD vs CISO/Cybersecurity Officer

RODO wymaga wyznaczenia Inspektora Ochrony Danych (IOD/DPO) w trzech sytuacjach: organy publiczne, podmioty których główna działalność wymaga regularnego i systematycznego monitorowania osób na dużą skalę, podmioty których główna działalność polega na przetwarzaniu szczególnych kategorii danych na dużą skalę. Pozostałe podmioty mogą wyznaczyć IOD dobrowolnie lub nie.

NIS2 nie wymaga formalnego stanowiska CISO, ale wymaga zdefiniowanej odpowiedzialności za zarządzanie ryzykiem cybernetycznym. W praktyce większość podmiotów wyznacza Cybersecurity Officera lub utrzymuje funkcję CISO/CIO z rozszerzonym zakresem.

Czy IOD i Cybersecurity Officer to jedno stanowisko? W mniejszych firmach często łączone, szczególnie w MŚP, gdzie ta sama osoba odpowiada za RODO i cyber. W większych firmach, rozdzielone, bo:

Po pierwsze, IOD ma silne wymogi niezależności (artykuł 38 RODO). Nie powinien podlegać kierownictwu w sprawach związanych z RODO. Łączenie z funkcją wykonawczą tworzy konflikt, Cybersecurity Officer często jest częścią zespołu IT, podlega CIO, a CIO podlega zarządowi w pełnej hierarchii. IOD musi mieć linie raportowania do najwyższego szczebla zarządczego z dala od operacji IT.

Po drugie, kompetencje są częściowo różne. IOD musi rozumieć prawo ochrony danych, RODO, prawa podmiotów danych, transfery międzynarodowe. Cybersecurity Officer musi rozumieć architektury bezpieczeństwa, krajobraz zagrożeń, techniki ataków, oceny ryzyka technicznego, normy ISO 27001/NIST.

Po trzecie, perspektywa konfliktu interesów. W przypadku incydentu naruszenia bezpieczeństwa, IOD ocenia ryzyko dla osób (czy informować PUODO, czy informować osoby), a Cybersecurity Officer prowadzi techniczne dochodzenie. Łączenie tych ról może upośledzić każdą z nich.

Praktyczne rozwiązanie dla średniej firmy: IOD jako odrębna funkcja (zewnętrzny doradca lub outsourcing, koszty 20 000-60 000 zł rocznie), Cybersecurity Officer jako rola wewnętrzna w dziale IT lub bezpieczeństwa. Współpraca między nimi sformalizowana procedurą.

Wymagania techniczne, gdzie się nakładają

RODO wymaga “odpowiednich środków technicznych i organizacyjnych” zapewniających poziom bezpieczeństwa odpowiedni do ryzyka. Artykuł 32 RODO wymienia przykłady: pseudonimizacja i szyfrowanie danych osobowych, zdolność do zapewnienia poufności, integralności, dostępności i odporności systemów, zdolność do szybkiego przywrócenia dostępności w razie incydentu fizycznego lub technicznego, regularne testowanie skuteczności środków.

NIS2 wymaga dziesięciu konkretnych obszarów (artykuł 21): polityki analizy ryzyka, obsługa incydentów, ciągłość działania i kopie zapasowe, bezpieczeństwo łańcucha dostaw, bezpieczeństwo w pozyskiwaniu i utrzymaniu systemów, ocena skuteczności środków, cyberhigiena i szkolenia, kryptografia, kontrola dostępu i zarządzanie aktywami, MFA.

Mapowanie nakładania się:

Obszar	RODO	NIS2
Szyfrowanie danych	Wymagane (art. 32)	Wymagane (obszar 8)
Kopie zapasowe i odzyskiwanie	Pośrednie (art. 32)	Bezpośrednie (obszar 3)
Kontrola dostępu	Wymagane (art. 32)	Wymagane (obszar 9)
Ocena ryzyka	DPIA (art. 35)	Polityka analizy ryzyka (obszar 1)
Ocena skuteczności	Pośrednie (art. 32)	Bezpośrednie (obszar 6)
Łańcuch dostaw	Tylko procesory danych (art. 28)	Pełen łańcuch IT (obszar 4)
Szkolenia	Pośrednie	Bezpośrednie (obszar 7)
MFA	Pośrednie	Bezpośrednie (obszar 10)
Cyberhigiena	Brak	Bezpośrednie (obszar 7)
Procedura incydentu	Wymagane (art. 33)	Wymagane (obszar 2)

Wniosek: NIS2 jest bardziej szczegółowe i obejmuje obszary, które RODO traktuje pośrednio lub wcale. Firma, która spełnia NIS2, zwykle spełnia też wymagania techniczne RODO. Odwrotność nie jest prawdą.

Praktyczna implikacja: jeśli firma już ma system pod RODO, można go rozbudować do NIS2, fundament istnieje. Jeśli zaczynamy od zera, wdrażanie NIS2 (które jest bardziej szczegółowe) automatycznie pokrywa większość wymagań technicznych RODO.

Raportowanie incydentów, dwa różne timeline’y

RODO (artykuł 33): w przypadku naruszenia ochrony danych osobowych, administrator zgłasza naruszenie organowi nadzorczemu (PUODO) bez zbędnej zwłoki, w miarę możliwości, nie później niż w terminie 72 godzin po stwierdzeniu naruszenia. Jeśli naruszenie skutkuje wysokim ryzykiem dla praw i wolności osób fizycznych, administrator informuje też podmiot danych (artykuł 34).

NIS2 (artykuł 23): trójstopniowy protokół, wczesne ostrzeżenie w 24h, powiadomienie w 72h, sprawozdanie końcowe w miesiąc.

Co się dzieje, gdy incydent jest jednocześnie RODO i NIS2 (np. ransomware, który zaszyfrował bazę z danymi osobowymi i wstrzymał świadczenie usługi)? Trzeba zgłosić w dwóch trybach: naruszenie ochrony danych do Prezesa UODO (RODO) oraz incydent poważny przez system S46 do właściwego CSIRT (MON, NASK lub GOV, a po komunikacie o zdolności operacyjnej do CSIRT sektorowego). Z różnymi timeline’ami:

godzina 0, wykrycie incydentu;
do godziny 24, wczesne ostrzeżenie do CSIRT NASK (NIS2);
do godziny 72, zgłoszenie do PUODO (RODO) ORAZ powiadomienie do CSIRT NASK (NIS2);
do dnia 30, sprawozdanie końcowe do CSIRT NASK (NIS2);
powiadomienie osób fizycznych (RODO), bez zbędnej zwłoki, jeśli wysokie ryzyko.

To dwa różne formularze, dwie różne treści, dwa różne organy. Procedura wewnętrzna firmy musi obsłużyć oba ścieżki równolegle.

Zaleca się: jedna procedura wewnętrzna obsługi incydentu z dwoma wyjściami. Wczesna decyzja w godzinach pierwszych (godziny 0-6): czy incydent jest RODO, NIS2, oba, żadne. Następnie aktywacja odpowiednich ścieżek raportowania.

Pełen protokół NIS2 w artykule Raportowanie incydentów 24/72h.

Sankcje, porównanie kar

RODO: do 20 mln EUR lub 4% globalnego rocznego obrotu, wartość wyższa.

NIS2 dla podmiotów kluczowych: do 10 mln EUR lub 2% globalnego rocznego obrotu, wartość wyższa.

NIS2 dla podmiotów ważnych: do 7 mln EUR lub 1,4% obrotu, wartość wyższa.

Cyfra maksymalna RODO jest formalnie wyższa, ale praktyka pokazuje, że organy stosują kary proporcjonalnie do skali naruszenia, a nie do maksimum.

Kluczowa różnica nie w wysokości, lecz w mechanice:

RODO, kary tylko na firmę (osoba prawna). Członek zarządu może odpowiadać cywilnie wobec firmy lub akcjonariuszy, ale nie regulacyjnie wobec organu.

NIS2, kary mogą być nakładane też na osoby fizyczne (członków zarządu) plus możliwość czasowego odsunięcia od pełnienia funkcji. Pełniejsze omówienie w artykule Odpowiedzialność osobista zarządu w NIS2.

Praktyczna konsekwencja: członek zarządu firmy podlegającej NIS2 ma osobiste ryzyko regulacyjne, którego nie ma członek zarządu firmy podlegającej tylko RODO.

Łańcuch dostaw, różne podejścia

RODO reguluje relację administrator-procesor (artykuł 28). Procesor (przetwarzający) musi działać na podstawie umowy powierzenia, przetwarzać dane wyłącznie zgodnie z udokumentowanymi instrukcjami administratora, gwarantować bezpieczeństwo, pomagać w obsłudze praw podmiotów danych. Administrator pozostaje odpowiedzialny za działania procesora.

NIS2 (obszar 4) wymaga oceny ryzyka łańcucha dostaw, nie tylko procesorów danych osobowych, ale wszystkich kluczowych dostawców IT i usług. Hosting, SaaS, outsourcing IT, dostawcy oprogramowania, dostawcy sprzętu, dostawcy usług profesjonalnych dotykających systemów krytycznych.

To znacznie szerszy zakres. Typowa firma 100-osobowa ma 5-15 procesorów danych w sensie RODO (jeśli korzysta z usług hostingowych dla strony, dostawców SaaS dla CRM, biura księgowego, itp.). Pod NIS2 zakres może być 30-50 dostawców (wszyscy, którzy mają wpływ na systemy krytyczne, niezależnie od tego, czy przetwarzają dane osobowe).

Dla każdego kluczowego dostawcy NIS2 wymaga: oceny ryzyka, klauzul bezpieczeństwa w umowie, planu reakcji na incydent po stronie dostawcy, możliwości audytu (jeśli proporcjonalne).

Praktycznie: firma, która ma podpisane umowy powierzenia z procesorami pod RODO, ma fundament. Trzeba rozszerzyć: na dostawców niebędących procesorami, ale dotykających systemów krytycznych; na klauzule szersze niż minimalne wymagania artykułu 28 RODO; na ocenę ryzyka, której RODO nie wymaga formalnie.

Macierz integracji, jak zarządzać dwoma reżimami

Praktyczna architektura zintegrowanego systemu compliance opiera się na czterech filarach:

Filar 1: jeden zespół, dwie funkcje. IOD i Cybersecurity Officer jako odrębne role z formalną procedurą współpracy. Wspólne przeglądy ryzyka, wspólne raporty kwartalne dla zarządu, wspólny rejestr incydentów z oznaczeniem reżimu (RODO / NIS2 / oba).

Filar 2: zintegrowana ocena ryzyka. Jedna metodologia oceny ryzyka, która identyfikuje zagrożenia w obu wymiarach: dla danych osobowych (RODO) i dla ciągłości usług (NIS2). Każde zidentyfikowane ryzyko opisane w obu kategoriach. Plan postępowania uwzględnia oba reżimy.

Filar 3: wspólne polityki, gdzie to możliwe. Polityka kontroli dostępu, wspólna. Polityka kryptografii, wspólna. Polityka ciągłości działania, wspólna z dwoma sekcjami specyficznymi (sekcja RODO o przywracaniu dostępu do danych osobowych, sekcja NIS2 o przywracaniu usług). Procedury raportowania, odrębne, bo organy różne i timeline’y różne.

Filar 4: jeden rejestr aktywów. Dane osobowe (RODO) i wszystkie zasoby IT (NIS2) w jednym rejestrze, z oznaczeniem kategorii. Pozwala na wspólny przegląd i unikanie duplikacji.

Czas wdrożenia zintegrowanej architektury (firma 100-osobowa, mająca już RODO): 4-6 miesięcy. Koszt: 80 000-180 000 zł na wdrożenie, 30 000-60 000 zł rocznie na utrzymanie (w tym IOD outsourcowany i pen-test).

Najczęstsze błędy integracji

Błąd 1: traktowanie NIS2 jako rozbudowy RODO. Konsekwencja: pomijanie obszarów NIS2, których RODO nie reguluje (cyberhigiena, łańcuch dostaw poza procesorami, MFA jako wymóg formalny). Pierwsza kontrola NIS2 ujawnia luki.

Błąd 2: jedna procedura raportowania dla obu reżimów. Próba stworzenia “uniwersalnego” formularza zgłoszenia powoduje, że ani PUODO ani CSIRT NASK nie otrzymują informacji w wymaganej formie. Lepiej: wspólne dane wejściowe, dwa odrębne formaty wyjściowe.

Błąd 3: ten sam IOD jako Cybersecurity Officer. W mniejszych firmach często konieczne, ale tworzy konflikt interesów i obciąża jedną osobę dwoma odrębnymi obszarami kompetencji. Jeśli budżet pozwala, rozdzielić.

Błąd 4: ignorowanie RODO przy wdrożeniu NIS2 lub odwrotnie. Przy wdrażaniu nowego rozwiązania technicznego (np. nowy system monitoringu) firma sprawdza wpływ tylko jednego reżimu, drugi staje się problemem postfaktum. Lepiej: każda zmiana oceniana w obu wymiarach.

Błąd 5: brak wspólnego rejestru incydentów. Incydenty raportowane do PUODO i CSIRT NASK trzymane w różnych miejscach. W razie kontroli, chaos. Lepiej: jeden rejestr wewnętrzny ze znacznikami.

Podsumowanie, siedem praktycznych zasad

RODO i NIS2 to dwa różne reżimy z częściowo zachodzącymi wymaganiami. Nie mylić ich.
Każda firma podlegająca NIS2 podlega też RODO. Dwa systemy, jedna firma.
NIS2 jest bardziej szczegółowe technicznie. Spełnienie NIS2 zwykle pokrywa wymagania techniczne RODO.
Raportowanie incydentów, dwa różne timeline’y i dwa różne organy. Procedura wewnętrzna musi obsłużyć oba.
Łańcuch dostaw, NIS2 ma szerszy zakres niż artykuł 28 RODO.
Sankcje NIS2 mogą obejmować osobistą odpowiedzialność członków zarządu. RODO, nie bezpośrednio.
Najlepsze podejście: zintegrowana architektura z wspólnymi politykami tam, gdzie możliwe, i odrębnymi procedurami tam, gdzie wymagane.

Pełna procedura wdrożenia NIS2 w 10 obszarach, NIS2: kompletna checklista gotowości.

Bibliografia

Parlament Europejski i Rada UE. (2016). Rozporządzenie (UE) 2016/679 z dnia 27 kwietnia 2016 r. (RODO). https://eur-lex.europa.eu/eli/reg/2016/679/oj
Komisja Europejska. (2022). Dyrektywa Parlamentu Europejskiego i Rady (UE) 2022/2555 z dnia 14 grudnia 2022 r. (NIS2). https://eur-lex.europa.eu/legal-content/PL/TXT/?uri=CELEX:32022L2555
Europejska Rada Ochrony Danych. (2023). Wytyczne 9/2022 dotyczące zgłaszania naruszenia ochrony danych osobowych na podstawie RODO (wersja 2.0, przyjęta 28 marca 2023). EROD. edpb.europa.eu
ENISA. (2025). Technical Implementation Guidance on Cybersecurity Risk Management Measures (wersja 1.0, czerwiec 2025). Agencja Unii Europejskiej do spraw Cyberbezpieczeństwa. enisa.europa.eu
Urząd Ochrony Danych Osobowych. (2024). Sprawozdanie roczne UODO za 2023 rok. PUODO. https://uodo.gov.pl/
Komisja Europejska. (2020). Impact Assessment Report accompanying the proposal for a Directive on measures for a high common level of cybersecurity across the Union, SWD(2020) 345 final. eur-lex.europa.eu
NIST. (2023). Special Publication 800-66 Rev. 2, An Introductory Resource Guide for Implementing the HIPAA Security Rule. National Institute of Standards and Technology. [pomocniczo dla mapowania compliance] https://doi.org/10.6028/NIST.SP.800-66r2
Grupa Robocza Artykułu 29. (2017). Wytyczne dotyczące oceny skutków dla ochrony danych (DPIA), WP 248 rev.01. ec.europa.eu

Zarządzasz firmą, która podlega obu reżimom? W cotygodniowym newsletterze TestNIS2.pl analizujemy konkretne pułapki integracji RODO i NIS2, publikujemy zintegrowane wzory polityk i scenariusze incydentów dwureżimowych. Zapisz się, bezpłatnie.

NIS1 vs NIS2, co się zmieniło i dlaczego ma to znaczenie

Marek Porycki — Wed, 10 Jun 2026 08:11:00 +0000

Dyrektywa NIS z 2016 roku była pierwszą próbą uregulowania cyberbezpieczeństwa na poziomie unijnym. Po sześciu latach jej działania Komisja Europejska przyznała otwarcie: zawiodła. Zbyt wąski zakres, zbyt duża swoboda państw członkowskich w transpozycji, brak skutecznych sankcji. NIS2, dyrektywa 2022/2555, to odpowiedź na te niedociągnięcia. Nie jest to kosmetyczna nowelizacja; to przebudowa fundamentów.

W Polsce obie dyrektywy zostały transponowane przez ustawę o krajowym systemie cyberbezpieczeństwa. NIS przez ustawę o KSC z 2018 roku, NIS2 przez nowelizację z 23 stycznia 2026 (Dz.U. 2026 poz. 252), która weszła w życie 3 kwietnia 2026, z opóźnieniem wobec terminu transpozycji 17 października 2024. Większość polskich firm dopiero teraz orientuje się, że nie tylko mają nowe obowiązki, ale że stare procedury zbudowane pod NIS1 przestały być wystarczające.

W tym tekście porównuję obie dyrektywy w siedmiu kluczowych obszarach: zakres podmiotowy, klasyfikacja podmiotów, wymogi techniczne, raportowanie incydentów, sankcje, odpowiedzialność zarządu i nadzór.

Zakres podmiotowy, z 7 sektorów do 18

Pierwotna dyrektywa NIS dotyczyła wąskiej grupy. Operatorzy usług kluczowych (OUK) z siedmiu sektorów: energia, transport, bankowość, infrastruktura rynków finansowych, służba zdrowia, dostawa wody pitnej, infrastruktura cyfrowa. Plus dostawcy usług cyfrowych (DSP): platformy handlu online, wyszukiwarki, usługi chmurowe.

W Polsce obowiązki NIS objęły około 400 podmiotów. Były to głównie duże firmy, operatorzy energetyczni, banki, szpitale wojewódzkie, lotniska, dostawcy wody w aglomeracjach. Reszta gospodarki, przemysł, przetwórstwo żywności, kurierzy, firmy chemiczne, pozostała poza zakresem regulacji.

NIS2 rozszerza zakres dramatycznie. Sektory wysokiej krytyczności (Załącznik I): energia, transport, bankowość, infrastruktura rynków finansowych, ochrona zdrowia, woda pitna i ścieki, infrastruktura cyfrowa, zarządzanie usługami ICT (B2B), administracja publiczna, przestrzeń kosmiczna. Sektory pozostałe krytyczne (Załącznik II): poczta i kurierzy, gospodarka odpadami, produkcja, dystrybucja i handel substancjami chemicznymi, produkcja, przetwarzanie i dystrybucja żywności, produkcja (urządzenia medyczne, komputerowe, elektroniczne, optyczne, elektryczne, maszynowe, pojazdy mechaniczne, inne środki transportu), dostawcy usług cyfrowych (platformy handlowe, wyszukiwarki, sieci społecznościowe), badania.

Razem 18 sektorów. Ministerstwo Cyfryzacji szacuje, że znowelizowana ustawa o KSC może objąć około 38 tys. podmiotów, w tym około 27 tys. podmiotów publicznych. Skala jest taka, że administracja nie jest w stanie wszystkich aktywnie nadzorować; zakłada się model samorejestracji i kontroli następczych po incydencie.

Co to znaczy praktycznie? Średniej wielkości producent kosmetyków, który zatrudnia 60 osób i ma 12 mln euro obrotu, pod NIS1 nie miał żadnych obowiązków. Pod NIS2, pełne wymagania zarządzania ryzykiem cybernetycznym, raportowanie incydentów, odpowiedzialność zarządu. Średnia firma kurierska z 80 pracownikami i 15 mln euro obrotu, to samo.

Klasyfikacja, operatorzy usług kluczowych vs podmioty kluczowe i ważne

NIS1 wprowadzała dwie kategorie. Operatorzy usług kluczowych (OUK), wyznaczani indywidualnie przez państwo członkowskie po analizie krytyczności konkretnej firmy. Dostawcy usług cyfrowych (DSP), automatycznie, jeśli świadczyli określone usługi.

Mechanizm wyznaczania OUK był pracochłonny i nieefektywny. Państwa członkowskie miały dyskrecjonalność i interpretowały kryteria różnie. Polska wyznaczyła stosunkowo wąsko, Niemcy szeroko. Powstała nierówna sytuacja konkurencyjna i regulacyjna.

NIS2 wprowadza dwie nowe kategorie:

Podmioty kluczowe (essential entities), duże podmioty z sektorów wysokiej krytyczności (Załącznik I). Próg: ≥250 pracowników LUB ≥50 mln EUR obrotu LUB ≥43 mln EUR sumy bilansowej. Ponadto wszystkie podmioty z administracji publicznej szczebla centralnego, świadczące usługi DNS na poziomie głównym, rejestratorzy nazw TLD, dostawcy publicznych sieci łączności.

Podmioty ważne (important entities), wszystkie pozostałe podmioty z Załącznika I oraz wszystkie podmioty z Załącznika II spełniające próg średniego przedsiębiorstwa (≥50 pracowników LUB ≥10 mln EUR obrotu).

Klasyfikacja jest automatyczna, wynika z sektora i wielkości firmy. Nie ma już procesu wyznaczania, w którym państwo dyskretnie ocenia. Firma sama ustala, czy jest podmiotem kluczowym lub ważnym, i jeśli nie została wpisana z urzędu, składa wniosek o wpis do wykazu prowadzonego przez ministra ds. informatyzacji (aplikacja Wykaz KSC w systemie S46, termin dla podmiotów istniejących 3.04.2026: do 3.10.2026).

Różnica między klasyfikacją kluczową i ważną dotyczy głównie nadzoru. Podmioty kluczowe podlegają nadzorowi proaktywnemu, administracja może kontrolować bez powodu. Podmioty ważne, nadzorowi reaktywnemu, czyli kontrole po incydencie lub po zgłoszeniu nieprawidłowości.

Wymogi techniczne, kary i odpowiedzialność zarządu, w przeważającej mierze identyczne dla obu kategorii.

Wymogi techniczne, z ogólników do dziesięciu konkretnych obszarów

NIS1 stawiała wymóg ogólny: podmioty mają wdrożyć “odpowiednie i proporcjonalne środki techniczne i organizacyjne” do zarządzania ryzykiem. Co to znaczy w praktyce, pozostawiono interpretacji. Wytyczne CSIRT GOV i CSIRT NASK starały się to konkretyzować, ale każdy podmiot mógł argumentować, że jego rozwiązania są “odpowiednie”.

NIS2 (artykuł 21) wprowadza dziesięć konkretnych obszarów minimum. Każdy podmiot, kluczowy i ważny, musi wdrożyć środki w każdym z tych obszarów. Lista nie jest “best practices”, to wymóg prawny.

Te dziesięć obszarów to: polityki analizy ryzyka i bezpieczeństwa systemów informatycznych; obsługa incydentów; ciągłość działania (zarządzanie kopiami zapasowymi, odzyskiwanie po awarii, zarządzanie kryzysowe); bezpieczeństwo łańcucha dostaw; bezpieczeństwo w pozyskiwaniu, rozwoju i utrzymaniu sieci i systemów informatycznych; polityki i procedury oceny skuteczności środków zarządzania ryzykiem; podstawowe praktyki cyberhigieny i szkolenia; polityki i procedury kryptografii; bezpieczeństwo zasobów ludzkich, polityki kontroli dostępu i zarządzania aktywami; korzystanie z uwierzytelniania wieloskładnikowego.

Dla firmy, która pod NIS1 miała ogólny dokument “Polityka Bezpieczeństwa”, to oznacza konieczność dekompozycji na dziesięć osobnych polityk i procedur, każdą operacyjną i mierzalną.

Raportowanie incydentów, z 24 godzin do trójstopniowego protokołu

NIS1 wymagała zgłoszenia incydentu “bez zbędnej zwłoki”. Konkretne ramy czasowe pozostawiała państwom członkowskim. Polska transpozycja mówiła o 24 godzinach od wykrycia.

NIS2 (artykuł 23) wprowadza precyzyjny trójstopniowy protokół. Wczesne ostrzeżenie, w ciągu 24 godzin od stwierdzenia istotności incydentu. Powiadomienie właściwe, w ciągu 72 godzin, z oceną wstępną i znaną już naturą zdarzenia. Sprawozdanie końcowe, w ciągu jednego miesiąca od powiadomienia, z pełną analizą przyczyn źródłowych i wpływem.

Definicja incydentu istotnego również się zmieniła. NIS1 mówiła o incydentach “mających istotny wpływ na dostępność, autentyczność, integralność lub poufność”. NIS2 dodaje kryteria: powodujące lub mogące powodować poważne zakłócenia operacyjne lub straty finansowe; wpływające lub mogące wpływać na inne osoby fizyczne lub prawne, powodując znaczne szkody materialne lub niematerialne. Próg “istotności” jest niższy, więcej incydentów wymaga raportowania.

Praktyczna konsekwencja: zespół IT, który pod NIS1 raportował dwa-trzy incydenty rocznie, pod NIS2 może raportować dziesięć-piętnaście. Wymaga to procesu, nie ad hoc decyzji.

Sankcje, z symbolicznych grzywien do 10 milionów euro

NIS1 zobowiązywała państwa członkowskie do wprowadzenia “skutecznych, proporcjonalnych i odstraszających” kar. Polska transpozycja przewidywała kary do 200 000 zł, symbolicznie dla dużej korporacji, dla SME już dotkliwie, ale nie wymuszała compliance.

NIS2 standaryzuje sankcje na poziomie unijnym. Dla podmiotów kluczowych: do 10 milionów euro lub 2% globalnego rocznego obrotu, wartość wyższa. Dla podmiotów ważnych: do 7 milionów euro lub 1,4% obrotu, wartość wyższa.

Wzór jest analogiczny do RODO i nie jest przypadkowy. Komisja Europejska przyznała otwarcie, że NIS1 nie wymuszała compliance, bo kary były nieadekwatne. RODO pokazało, że sankcje proporcjonalne do obrotu globalnego firmy działają, koncerny technologiczne zaczęły traktować ochronę danych poważnie dopiero, gdy kara mogła sięgnąć kilku procent ich rocznego obrotu.

Pierwsze kary NIS2 są spodziewane od 2026 roku, kiedy administracja zakończy fazę “miękkiego” wdrożenia i przejdzie do egzekucji.

Odpowiedzialność zarządu, od reputacji do osobistej odpowiedzialności

To zmiana, którą zarządy często ignorowały podczas wdrożeń pierwotnej NIS1, traktując cyberbezpieczeństwo jako problem działu IT. NIS2 zamyka tę furtkę.

Artykuł 20 NIS2 stanowi wprost: organy zarządzające podmiotów kluczowych i ważnych zatwierdzają środki zarządzania ryzykiem cybernetycznym, nadzorują ich wdrożenie, mogą ponosić odpowiedzialność za naruszenia. Państwa członkowskie zapewniają, że osoby pełniące funkcje zarządzające mogą być ukarane lub czasowo odsunięte od pełnienia funkcji.

W polskiej transpozycji oznacza to: członek zarządu, który zatwierdził budżet 50 000 zł na cyberbezpieczeństwo dla firmy o obrotach 200 mln zł i nie kwestionował ewidentnie nieadekwatnego poziomu inwestycji, może zostać uznany za współodpowiedzialnego za incydent. Ubezpieczenie D&O nie pokryje kar administracyjnych nakładanych personalnie.

Dodatkowo: szkolenie zarządu z cyberbezpieczeństwa jest wymogiem prawnym, nie rekomendacją. Zarząd musi wykazać, że rozumie ryzyka, którymi kieruje. Brak szkoleń, naruszenie obowiązków członka zarządu, które może być podstawą roszczeń odszkodowawczych ze strony spółki.

Nadzór, kto, jak i kiedy

NIS1 powierzała nadzór państwom członkowskim z dużą swobodą organizacyjną. W Polsce odpowiedzialne były sektorowe zespoły CSIRT (CSIRT GOV dla administracji, CSIRT NASK dla podmiotów cywilnych, CSIRT MON dla obronności) plus ministerstwa właściwe dla sektorów. Mechanizm był rozdrobniony.

NIS2 utrzymuje strukturę zespołów CSIRT, ale wzmacnia uprawnienia nadzorcze. Dla podmiotów kluczowych przewidziano nadzór proaktywny: kontrole na miejscu, audyty bezpieczeństwa, żądania dostępu do dokumentacji i systemów, badania ad hoc. Dla podmiotów ważnych, nadzór reaktywny, ale ze zwiększonymi uprawnieniami w przypadku stwierdzenia naruszeń.

Na poziomie unijnym powstała sieć krajów członkowskich (Cooperation Group) i ENISA otrzymała wzmocnione kompetencje koordynacyjne. To ważne dla firm działających w wielu krajach UE, naruszenie wykryte w jednym państwie może być przedmiotem koordynowanego dochodzenia w innych.

Tabela porównawcza, NIS1 kontra NIS2

Obszar	NIS1 (2016)	NIS2 (2022/2024)
Liczba sektorów	7 + DSP	11 + 7 (Załącznik I + II)
Polskie podmioty objęte	~400	~8 000-12 000
Klasyfikacja	OUK (wyznaczani) + DSP	Kluczowe + ważne (automatycznie)
Wymogi techniczne	Ogólne (“odpowiednie środki”)	10 konkretnych obszarów
Termin raportowania	“Bez zbędnej zwłoki” (PL: 24h)	Trzy etapy: 24h / 72h / 30 dni
Maksymalne kary (PL)	200 000 zł	10 mln EUR lub 2% obrotu
Odpowiedzialność zarządu	Brak osobistej	Osobista, możliwe odsunięcie
Nadzór	Reaktywny, sektorowy	Proaktywny (kluczowe), reaktywny (ważne)
Łańcuch dostaw	Nie regulowany	Wymóg oceny ryzyka dostawców
Szkolenia	Nie wymagane	Obowiązkowe (zarząd + personel)

Co to znaczy dla firm, które już były pod NIS1

Podmioty, które wdrożyły NIS1 i teraz przechodzą na NIS2, mają punkt startowy lepszy niż firmy zaczynające od zera. Mają jakąś dokumentację, jakieś procesy, świadomość organizacyjną. Ale błąd polega na założeniu, że “skoro mieliśmy NIS1, to NIS2 to drobna modyfikacja”.

Rzeczywistość: dla typowego operatora usług kluczowych pod NIS1, dostosowanie do NIS2 wymaga: rozbudowy polityk z jednej ogólnej do dziesięciu szczegółowych, dodania procedury raportowania trójetapowego (większość miała tylko procedurę 24h), wdrożenia oceny ryzyka łańcucha dostaw (NIS1 tego nie wymagała), uruchomienia programu szkoleń dla zarządu, wprowadzenia uwierzytelniania wieloskładnikowego dla wszystkich krytycznych dostępów, formalnej oceny ryzyka kryptograficznego.

Średni nakład czasowy: trzy do sześciu miesięcy pracy zespołu compliance/IT. Średni nakład finansowy dla firmy, która już była pod NIS1: 80 000-250 000 zł na konsultacje, narzędzia, szkolenia. Dla firmy zaczynającej od zera (typowy nowy podmiot ważny): 150 000-500 000 zł.

Co to znaczy dla firm, które dopiero teraz wchodzą w zakres regulacji

Większość polskich średnich i większych firm produkcyjnych, kurierskich, chemicznych, spożywczych, dostawców usług IT B2B, to firmy, które pod NIS1 nie miały żadnych obowiązków cyberbezpieczeństwa wynikających z prawa. RODO regulowało dane osobowe. Sektorowe regulacje (np. KNF dla finansowych, URE dla energetycznych) pokrywały wąskie obszary. Cyberbezpieczeństwo jako takie, pozostawało dobrowolnym wyborem.

Pod NIS2 to się zmienia. Firma, która rozumie, że NIS2 jej dotyczy, ma 12-18 miesięcy realnego okna na wdrożenie pełnego systemu. Nie warto czekać na pierwszy audyt, administracja będzie ekstremalnie wymagająca wobec podmiotów, które się “nie spodziewały”.

Pierwszy krok: kwalifikacja. Sprawdź, czy Twoja firma jest podmiotem kluczowym, ważnym, czy nie podlega NIS2 wcale. Drugi krok: wniosek o wpis do wykazu podmiotów kluczowych i ważnych w aplikacji Wykaz KSC (wykaz-ksc.gov.pl), do 3 października 2026. Trzeci krok: gap analysis, porównanie obecnego stanu z dziesięcioma obszarami artykułu 21. Czwarty krok: plan wdrożenia z konkretnymi terminami i odpowiedzialnościami.

Szczegółowa procedura kwalifikacyjna w artykule Kogo dokładnie obowiązuje NIS2 w Polsce. Pełna lista obszarów do audytu, NIS2: kompletna checklista gotowości.

Czy NIS3 jest już planowana?

Komisja Europejska konsekwentnie pracuje nad spójnym ekosystemem regulacji cyfrowych. Po NIS2 weszły w życie: DORA (Digital Operational Resilience Act, 2025), sektor finansowy. CRA (Cyber Resilience Act, 2024), produkty z elementami cyfrowymi. AI Act (2024), sztuczna inteligencja. CER (Critical Entities Resilience Directive, 2024), odporność fizyczna podmiotów krytycznych.

Wszystkie te regulacje wzajemnie się przeplatają. Firma podlega często kilku jednocześnie. NIS3 nie jest ogłoszona, ale ENISA już mówi o “NIS2.5”, doprecyzowaniach implementacyjnych spodziewanych w 2027 roku po pierwszej fali kar.

Inwestycja w solidny system zarządzania ryzykiem cybernetycznym pod NIS2 to nie wydatek na “jedną dyrektywę”. To budowa fundamentu pod cały ekosystem regulacyjny, który będzie się rozwijał.

Bibliografia

Komisja Europejska. (2022). Dyrektywa Parlamentu Europejskiego i Rady (UE) 2022/2555 z dnia 14 grudnia 2022 r. (NIS2). Dziennik Urzędowy UE L 333/80. https://eur-lex.europa.eu/legal-content/PL/TXT/?uri=CELEX:32022L2555
Parlament Europejski i Rada UE. (2016). Dyrektywa (UE) 2016/1148 z dnia 6 lipca 2016 r. (NIS). Dziennik Urzędowy UE L 194/1. https://eur-lex.europa.eu/eli/dir/2016/1148/oj
ENISA. (2025). Technical Implementation Guidance on Cybersecurity Risk Management Measures (wersja 1.0, czerwiec 2025). Agencja Unii Europejskiej do spraw Cyberbezpieczeństwa. enisa.europa.eu
Sejm RP. (2018). Ustawa z dnia 5 lipca 2018 r. o krajowym systemie cyberbezpieczeństwa. Dz.U. 2018 poz. 1560. https://isap.sejm.gov.pl/isap.nsf/DocDetails.xsp?id=WDU20180001560
Komisja Europejska. (2020). Impact Assessment Report accompanying the proposal for a Directive on measures for a high common level of cybersecurity across the Union, SWD(2020) 345 final. eur-lex.europa.eu

Jeśli zarządzasz średnią lub dużą firmą i masz wątpliwość, czy NIS2 Cię dotyczy, co tydzień analizujemy w newsletterze konkretne przypadki polskich podmiotów, decyzje organów nadzoru i praktyczne pytania compliance. Zapisz się na cotygodniowy biuletyn TestNIS2.pl. Zero spamu, możesz wypisać się jednym kliknięciem.

NIS2 kogo dotyczy w Polsce: podmioty kluczowe i ważne według ustawy o KSC

Marek Porycki — Sat, 30 May 2026 15:48:00 +0000

W październiku 2024 roku ENISA, Agencja Unii Europejskiej ds. Według szacunku Ministerstwa Cyfryzacji nowelizacja może objąć około 38 tys. podmiotów, w tym około 27 tys. podmiotów publicznych. Wzrost ponad czterdziestokrotny. Większość polskich firm, które do 2024 roku nie miały obowiązków cyberbezpieczeństwa wynikających z UE, od 2025-2026 roku ma.

Najczęstsze pytanie polskich CIO i prezesów w pierwszych tygodniach 2025 roku: “czy nas to dotyczy?”. Odpowiedź zależy od dwóch kryteriów spełnionych jednocześnie: sektor + rozmiar. Plus dziesiątki wyjątków, niejasności interpretacyjnych i polskich specyfik. Ten artykuł jest przewodnikiem przez te zasady.

Dwa kryteria łączne, fundament kwalifikacji

NIS2 stosuje się do podmiotu, jeśli spełnia oba poniższe warunki:

Kryterium 1: sektor

Dyrektywa wymienia sektory w dwóch załącznikach:

Załącznik I, sektory wysokiego znaczenia:

Energetyka (elektroenergetyka, ciepło, gaz, ropa naftowa, wodór)
Transport (lotniczy, kolejowy, wodny, drogowy)
Bankowość i infrastruktura rynków finansowych
Sektor zdrowia (włącznie z producentami leków, wyrobów medycznych)
Woda pitna i ścieki
Infrastruktura cyfrowa (operatorzy DNS, rejestry domen TLD, dostawcy chmury, IXP, CDN, content delivery, dostawcy zaufania, dostawcy łączności elektronicznej)
Zarządzanie usługami ICT (B2B managed services)
Administracja publiczna (rządowa, niektóre samorządowa)
Przestrzeń kosmiczna (operatorzy infrastruktury kosmicznej)

Załącznik II, sektory pozostałe krytyczne:

Poczta i kurierzy
Gospodarka odpadami
Produkcja, dystrybucja chemikaliów
Produkcja, dystrybucja żywności
Produkcja (urządzenia medyczne, komputery, optyka, sprzęt elektryczny, maszyny, pojazdy mechaniczne)
Dostawcy usług cyfrowych (online marketplace, online search engines, social networks)
Badania (organizacje prowadzące działalność badawczą)

Mówiąc po polsku: jeśli twoja firma działa w którymkolwiek z tych obszarów (nawet jako średniej wielkości dostawca usług ICT, średniej wielkości firma produkcyjna, lokalny dostawca żywności w skali wojewódzkiej), kryterium 1 jest spełnione.

Kryterium 2: rozmiar

Domyślnie podmiot jest objęty NIS2 jeśli spełnia co najmniej jeden z warunków:

≥ 50 pracowników (etat zgodny z definicją UE)
Roczny obrót ≥ 10 mln EUR
Roczna suma bilansowa ≥ 10 mln EUR

To są progi średniego przedsiębiorstwa w klasyfikacji UE. Mikro i małe (poniżej tych progów) są zwykle wyłączone, z istotnymi wyjątkami poniżej.

Wyjątki, kiedy rozmiar nie ma znaczenia

Niektóre podmioty są objęte niezależnie od rozmiaru:

Operatorzy DNS (Domain Name System)
Rejestry domen najwyższego poziomu (TLD), np. NASK dla .pl
Dostawcy zaufania (qualified trust service providers wg eIDAS)
Niektóre podmioty publiczne wskazane przez państwo członkowskie
Operatorzy infrastruktury krytycznej w sensie krytycznym dla bezpieczeństwa narodowego

Polska może też rozszerzyć zakres, wskazać dodatkowe sektory lub obniżyć progi w specyficznych obszarach. Polska ustawa nowelizacyjna w 2026 wprowadza pewne zaostrzenia w stosunku do minimum dyrektywy.

Klasyfikacja: essential vs important entities

Dwa typy klasyfikacji w NIS2, z istotnymi konsekwencjami:

Essential entities (podmioty kluczowe)

Sektory: wszystkie z Załącznika I, plus niektóre wskazane podmioty publiczne.

Wymagania: wyższy rygor, w tym proaktywny nadzór organu (audyty z urzędu, regularne kontrole, nakaz audytu).

Kary: do 10 mln EUR lub 2% globalnego obrotu (która jest wyższa).

Przykłady polskich essential entities:

Banki komercyjne, infrastruktura giełdowa
Operatorzy energetyczni (PGE, Tauron, Enea, Energa)
Szpitale wieloprofilowe powyżej 50 łóżek
Operatorzy autostrad, linii kolejowych
Wodociągi miast wojewódzkich
ASP, NASK, podmioty publiczne kluczowe dla cyberbezpieczeństwa

Important entities (podmioty istotne)

Sektory: wszystkie z Załącznika II + część z Załącznika I (dla średnich, nie kluczowych).

Wymagania: podstawowy rygor, reaktywny nadzór (interwencja po incydencie, sygnale, skardze).

Kary: do 7 mln EUR lub 1,4% globalnego obrotu (która jest wyższa).

Przykłady polskich important entities:

Średniej wielkości firmy produkcyjne (medical devices, części samochodowe, elektronika)
Średniej wielkości operatorzy logistyczni
Dostawcy usług IT B2B (managed services, hosting)
Sieci handlowe (jeśli powyżej progu rozmiaru)
Średniej wielkości platformy e-commerce
Pośrednicy ubezpieczeniowi (jeśli powyżej progu)

Konsekwencje klasyfikacji

Różnica essential vs important nie jest tylko nominalna. Praktycznie:

Aspekt	Essential	Important
Nadzór	Proaktywny, audyty z urzędu	Reaktywny, po incydencie/sygnale
Maksymalna kara	10 mln EUR / 2% obrotu	7 mln EUR / 1,4% obrotu
Częstość audytów	Regularne, planowane	Sporadycznie, po wystąpieniu zdarzeń
Pierwszeństwo wsparcia z CSIRT	Wyższe	Standardowe
Obowiązki raportowania	Pełne	Pełne (te same wymogi 24/72h)

Co istotne: minimalne wymagania techniczne są takie same dla obu kategorii. To jest sygnał regulatora: każdy podmiot objęty musi spełnić 10 obszarów wymagań z przewodnik artykułu, niezależnie od klasyfikacji.

Polskie specyfiki

Polska ustawa nowelizacyjna 2025-2026 wprowadza kilka polskich specyfik:

1. Krajowy organ nadzoru

W Polsce nadzór NIS2 sprawuje:

CSIRT NASK (Computer Security Incident Response Team), dla większości sektorów
CSIRT MON, dla sektora obronnego
CSIRT GOV, dla administracji publicznej
Organy sektorowe, np. KNF dla bankowości, URE dla energetyki

Każdy podmiot powinien zidentyfikować swój CSIRT, do którego raportuje incydenty.

2. Obowiązek rejestracji

Polska wymaga rejestracji podmiotów objętych w Krajowym Rejestrze Cyberbezpieczeństwa. Termin: 2 miesiące od wejścia w życie nowelizacji ustawy (dokładny termin zależny od finalizacji).

3. Polskie zaostrzenia

Niektóre wymagania NIS2 są zaostrzane przez polską ustawę:

Krótszy okres na powiadomienie zewnętrzne (np. klientów) o niektórych typach incydentów
Dodatkowe wymagania dla sektora finansowego (synchronizacja z polskim KNF i unijnym DORA)
Specyficzne wymagania dla sektora zdrowia (synchronizacja z polskim NFZ)

4. Język raportowania

Raportowanie do CSIRT: w języku polskim. To pozornie oczywiste, ale praktycznie problematyczne dla międzynarodowych firm z polskimi oddziałami, wymaga to lokalnego procesu.

Jak praktycznie zweryfikować, czy was dotyczy

Krok po kroku:

Krok 1: zidentyfikuj sektor

Sprawdź, czy podstawowa działalność firmy mieści się w Załączniku I lub II. Pomocą: główny PKD firmy.

Najczęściej pomijane:

Producenci urządzeń medycznych (Załącznik II), wielu nie wie, że są objęci
Dostawcy hostingu / chmury B2B (Załącznik I, infrastruktura cyfrowa)
Średnie firmy software’owe oferujące SaaS (Załącznik II, dostawcy usług cyfrowych)
Firmy logistyczne (Załącznik II, poczta i kurierzy, jeśli świadczą usługi kurierskie)
Operatorzy oczyszczalni ścieków (Załącznik I, woda i ścieki)

Krok 2: sprawdź rozmiar

Najnowsze raporty roczne: liczba pracowników, obrót, suma bilansowa. Jeśli przekraczasz którykolwiek z trzech progów (50 pracowników / 10 mln EUR obrotu / 10 mln EUR sumy bilansowej), kryterium spełnione.

Krok 3: sprawdź wyjątki

Czy jesteście:

Operatorem DNS lub rejestrem TLD?
Dostawcą zaufania (kwalifikowanym wg eIDAS)?
Podmiotem publicznym wskazanym imiennie?

Jeśli tak, kwalifikacja niezależnie od rozmiaru.

Krok 4: określ klasyfikację

Czy jesteście w Załączniku I (essential) czy II (important)? Plus polskie modyfikacje, czy ustawa zaostrza wasze wymagania?

Krok 5: zarejestrujcie się

Po wejściu w życie polskiej ustawy: rejestracja w KRC (Krajowy Rejestr Cyberbezpieczeństwa).

Częste nieporozumienia

“Jesteśmy małą firmą, więc nas to nie dotyczy”

Nieprawda, jeśli jesteście w sektorach z wyjątkami od progu rozmiaru. Mała firma będąca operatorem DNS lub dostawcą zaufania, jest objęta.

“Mamy ISO 27001, więc jesteśmy zgodni”

Częściowo. ISO 27001 pokrywa większość wymagań NIS2, ale nie wszystkie. NIS2 wymaga konkretnych elementów (raportowanie 24/72h do CSIRT, szkolenia zarządu, mapowanie łańcucha dostaw), które ISO nie precyzuje. Plus: NIS2 wymaga zarejestrowania, ISO nie.

“Nasza spółka-córka w Polsce jest mała”

Sprawdźcie zasady grupowe. NIS2 generalnie traktuje podmioty odrębnie, ale niektóre wytyczne sugerują patrzenie na grupę w określonych przypadkach. Wymaga interpretacji prawnej.

“Nasi klienci są w UE, my w Polsce, więc nie podlegamy”

Polska jest częścią UE. Polskie podmioty są objęte polską implementacją NIS2. Plus dyrektywa ma efekt eksterytorialny, niektóre obowiązki dotyczą nawet podmiotów spoza UE oferujących usługi w UE.

“To dotyczy IT, nie biznesu”

Nieprawda. NIS2 eksplicit wymaga zaangażowania zarządu, szkolenia, odpowiedzialność osobista, plany ciągłości działania. To jest sprawa dla CEO, nie tylko CIO.

Co robić, jeśli jesteście objęci

Jeśli kwalifikacja wskazuje, że NIS2 was dotyczy:

1. Audyt gotowości, diagnoza w 10 obszarach z przewodnik checklist.

2. Plan wdrożenia 12-miesięczny, fazy: diagnoza → krytyczne obszary → procesy → audyt.

3. Powołanie odpowiedzialnej osoby, CISO lub equivalent z mandatem zarządu.

4. Konsultacje prawne, szczególnie dla: branży regulowanej, międzynarodowej struktury grupowej, niejednoznacznych przypadków klasyfikacji.

5. Ścieżka komunikacji z CSIRT, kto, kiedy, jak raportuje. Numer telefonu, email, formularz online.

6. Budżet, realistycznie 100k-500k PLN / rok dla średniej firmy, 500k-3M PLN / rok dla dużej (zależy od stopnia obecnej dojrzałości).

Co robić, jeśli nie jesteście objęci

Nie znaczy “nic”. Trzy przyczyny dlaczego nadal warto wdrażać dobre praktyki cyber:

Klienci wymagają. Coraz więcej kontraktów B2B zawiera klauzule cyber. Niespełnienie = utrata kontraktów.
Łańcuch dostaw. Jeśli wasi klienci są podmiotami NIS2, oni są zobowiązani audytować was. Bez podstawowej higieny cyber wypadacie z list dostawców.
Ataki nie sprawdzają regulacji. Ransomware uderza w każdą firmę, niezależnie od tego, czy was kwalifikuje się jako “kluczowych” prawnie. Bez gotowości skutki są katastrofalne.

Małe firmy mogą skorzystać z uproszczonej checkisty NIS2 dla MŚP, większość najważniejszych elementów stosuje się też do nich, choć formalnego obowiązku nie ma.

Trzy pytania kontrolne

Po pierwsze: czy potraficie natychmiast wskazać, czy wasza firma jest w Załączniku I, Załączniku II, czy nieobjęta? Jeśli wymaga to konsultacji, zróbcie ją. Bez jasnej kwalifikacji każda dalsza praca compliance jest na piasku.

Po drugie: jeśli jesteście objęci, kto w organizacji ma imienną odpowiedzialność za NIS2? Jeśli odpowiedź to “wszyscy” lub “departament IT”, to nikt. NIS2 wymaga konkretnej osoby z mandatem.

Po trzecie: czy wasi kluczowi dostawcy są objęci NIS2? Jeśli tak, czy wasze umowy z nimi zawierają klauzule audytowe i raportowania incydentów? Jeśli nie, to luka w waszym łańcuchu dostaw, za którą wy odpowiadacie regulacyjnie.

W każdy poniedziałek wysyłamy w newsletterze TestNIS2 konkretne analizy interpretacyjne nowych wytycznych ENISA, polskich nowelizacji ustawy, case studies wdrożeń. Dla zarządów i CISO: 5 minut tygodniowo, decyzje oparte na faktach. Zapisz się na newsletter (formularz w stopce), bez spamu, wypisujesz się jednym klikiem.

Esencja

NIS2 obejmie ~8 000 polskich podmiotów (vs ~200 NIS1). Dwa kryteria łączne: sektor (Załącznik I lub II) + rozmiar (≥50 pracowników LUB ≥10 mln EUR obrotu/sumy bilansowej). Plus wyjątki, niektóre podmioty objęte niezależnie od rozmiaru (operatorzy DNS, rejestry TLD, dostawcy zaufania).

Klasyfikacja: essential entities (Załącznik I, kary do 10 mln EUR / 2% obrotu, nadzór proaktywny) vs important entities (Załącznik II, kary do 7 mln EUR / 1,4% obrotu, nadzór reaktywny). Wymagania techniczne takie same.

Polska specyfika: nadzór organów sektorowych (art. 41 ustawy o KSC), zgłoszenia incydentów do CSIRT MON, NASK lub GOV przez system S46, wniosek o wpis do wykazu podmiotów kluczowych i ważnych do 3.10.2026, szkolenie kierownika raz w roku.

Najczęściej pomijane sektory: producenci urządzeń medycznych, dostawcy SaaS, firmy hostingowe B2B, operatorzy oczyszczalni ścieków, firmy logistyczne (kurierzy).

Częste nieporozumienia: “jesteśmy mali” (wyjątki!), “mamy ISO 27001” (częściowo!), “to dotyczy IT” (zarząd też!).

Najtrudniejsza prawda: większość polskich firm objętych NIS2 nie wie, że jest objęta. Brak rejestracji nie zwalnia z obowiązków, tylko zwiększa ryzyko sankcji za nie-zgłoszenie się + brak gotowości w razie kontroli.

Pierwszy krok strategiczny, jasna kwalifikacja. Jeśli dotyczy was, czas zacząć. Jeśli nie, czas budować dobre praktyki, bo łańcuch dostaw was dosięgnie inaczej.

NIS2, kompletna checklista gotowości w 10 obszarach (Polska 2026)

Marek Porycki — Tue, 19 May 2026 12:25:00 +0000

Termin 17 października 2024 roku przeszedł niezauważony przez większość polskich firm. To była data, kiedy państwa członkowskie UE, w tym Polska, miały transponować do prawa krajowego dyrektywę NIS2 (Network and Information Security Directive 2, oficjalnie Dyrektywa Parlamentu Europejskiego i Rady (UE) 2022/2555). Polska tę datę przekroczyła. W maju 2026 roku trwa wciąż proces nowelizacji Ustawy o krajowym systemie cyberbezpieczeństwa, ale to nie zmienia faktu, że wymagania NIS2 są już wiążące dla polskich podmiotów objętych dyrektywą, niezależnie od tempa procesu legislacyjnego.

ENISA, Agencja Unii Europejskiej ds. Ministerstwo Cyfryzacji szacuje, że nowelizacja może objąć około 38 tys. podmiotów, w tym około 27 tys. publicznych. NIS2 włącza nowe sektory: dostawcy usług cyfrowych, produkcja, gospodarka odpadami, sektor żywności, kurierzy, niektóre podmioty publiczne, wybrane MŚP w sektorach kluczowych.

Kary za niezgodność: do 10 mln EUR lub 2% rocznego obrotu dla podmiotów kluczowych (essential entities); do 7 mln EUR lub 1,4% obrotu dla podmiotów istotnych (important entities). Plus odpowiedzialność kierownika podmiotu za wykonywanie obowiązków (art. 8c ustawy o KSC) i możliwa kara pieniężna dla kierownika do 300 procent wynagrodzenia (art. 73a ust. 4). Ustawa nie wprowadza przestępstw za niewdrożenie NIS2.

To nie jest “kolejna regulacja UE do odhaczenia”. To jest strukturalna zmiana zarządzania cyberbezpieczeństwem w polskich firmach, z konsekwencjami prawnymi, finansowymi i osobistymi dla decydentów. Ten artykuł jest kompletną checklistą gotowości w 10 obszarach, opartą na oficjalnym tekście dyrektywy, wytycznych ENISA, oraz interpretacjach polskich Krajowych Centrów Cyberbezpieczeństwa.

Najpierw, czy ciebie to dotyczy?

NIS2 stosuje się do podmiotów spełniających dwa warunki jednocześnie:

Warunek 1: sektor objęty. Załącznik I (sektory wysokiego znaczenia): energetyka, transport, bankowość, infrastruktura rynków finansowych, sektor zdrowia, woda pitna i ścieki, infrastruktura cyfrowa, zarządzanie usługami ICT, administracja publiczna, przestrzeń kosmiczna. Załącznik II (sektory pozostałe krytyczne): poczta i kurier, gospodarka odpadami, chemikalia, żywność, produkcja, dostawcy usług cyfrowych, badania.

Warunek 2: rozmiar. Domyślnie: co najmniej 50 pracowników LUB roczny obrót / suma bilansowa ≥ 10 mln EUR. Wyjątki (zawsze objęte, niezależnie od rozmiaru): operatorzy DNS, rejestry domen TLD, dostawcy zaufania, niektóre podmioty publiczne.

Klasyfikacja:

Essential entities (kluczowe): wyższy rygor + wyższe kary. Sektor energetyczny, transport, bankowość, zdrowie, infrastruktura cyfrowa.
Important entities (istotne): podstawowy rygor. Reszta sektorów wymienionych.

Szczegółowe zasady kwalifikacji opisuję w artykule Kogo dokładnie obowiązuje NIS2 w Polsce.

10 obszarów wymagań, checklista pełna

Dyrektywa NIS2 (art. 21) wymienia 10 minimalnych wymagań zarządzania ryzykiem cyberbezpieczeństwa, które każdy podmiot objęty musi spełniać. Te wymagania są obowiązujące bez wyjątków, nie ma “miękkich rekomendacji” w NIS2.

Obszar 1: Polityki analizy ryzyka i bezpieczeństwa systemów informatycznych

Wymóg: Udokumentowane, regularnie aktualizowane polityki:

Identyfikacja i analiza ryzyk cyberbezpieczeństwa
Klasyfikacja informacji według wrażliwości
Polityka bezpieczeństwa dla każdego systemu krytycznego
Mapowanie zasobów IT (asset inventory)

Praktyczna checklista:

[ ] Dokument Polityka Bezpieczeństwa Informacji zatwierdzony przez zarząd
[ ] Rejestr ryzyk aktualizowany co najmniej rocznie
[ ] Inwentaryzacja zasobów IT (sprzęt, oprogramowanie, dane)
[ ] Klasyfikacja informacji (poufne / wewnętrzne / publiczne)
[ ] Procedura przeglądu polityk co najmniej rocznie

Dowody dla audytu: dokumenty z datami zatwierdzenia, podpisy, log zmian.

Obszar 2: Obsługa incydentów

Wymóg: Procedury wykrywania, klasyfikacji, reagowania i raportowania incydentów. Czas raportowania: 24h wczesny alert, 72h raport oceny, 1 miesiąc raport końcowy. Szczegółowo: Raportowanie incydentów 24/72h.

Checklista:

[ ] Plan reakcji na incydenty (Incident Response Plan)
[ ] Zespół CSIRT wewnętrzny LUB umowa z zewnętrznym SOC
[ ] Kanały zgłaszania incydentów (wewnętrzne 24/7)
[ ] Procedura raportowania do CSIRT NASK / Ministerstwa Cyfryzacji
[ ] Klasyfikacja incydentów (severity matrix)
[ ] Logi systemowe przechowywane min. 12 miesięcy
[ ] Coroczne testy planów reakcji (tabletop exercises)

Obszar 3: Ciągłość działania (BCP) i zarządzanie kryzysowe

Wymóg: Plany ciągłości działania, backup-y, procedury odzyskiwania po awarii (DR, Disaster Recovery), zapasowe centra danych jeśli dotyczy.

Checklista:

[ ] Business Continuity Plan zatwierdzony, testowany corocznie
[ ] Disaster Recovery Plan z określonymi RTO/RPO (Recovery Time/Point Objective)
[ ] Strategia backupu 3-2-1 (3 kopie, 2 nośniki, 1 offsite)
[ ] Backupy odporne na ransomware (immutable / air-gapped)
[ ] Test pełnego odzyskiwania co najmniej raz w roku
[ ] Plan komunikacji kryzysowej (kogo informujesz w jakiej kolejności)
[ ] Zapasowe lokalizacje pracy (jeśli krytyczne)

Obszar 4: Bezpieczeństwo łańcucha dostaw

Wymóg: Ocena ryzyka dostawców, kontraktowe zabezpieczenia, monitoring third-party.

Checklista:

[ ] Inwentaryzacja dostawców z dostępem do systemów krytycznych
[ ] Klasyfikacja dostawców według ryzyka (high/medium/low)
[ ] Klauzule cyberbezpieczeństwa w umowach z dostawcami high-risk
[ ] Right to audit w umowach z kluczowymi dostawcami
[ ] Procedura due diligence dla nowych dostawców
[ ] Monitoring incydentów u dostawców (notifications)
[ ] Plan B na wypadek upadku kluczowego dostawcy

Obszar 5: Bezpieczeństwo w pozyskiwaniu, rozwoju i utrzymaniu systemów IT

Wymóg: Secure development lifecycle (SDLC), zarządzanie podatnościami, kontrole dostępu do kodu i systemów.

Checklista:

[ ] Polityka secure-by-design dla nowych systemów
[ ] Zarządzanie podatnościami (vulnerability management): regularne skany, patchowanie
[ ] Procedura zarządzania zmianami (change management)
[ ] Kod źródłowy w repozytorium z kontrolą wersji i dostępu
[ ] Code review przed deploymentami produkcyjnymi
[ ] Testy penetracyjne (pentest) co najmniej rocznie dla systemów krytycznych
[ ] Patchowanie krytycznych podatności w SLA (zwykle 7-30 dni)

Obszar 6: Polityki i procedury oceny skuteczności środków zarządzania ryzykiem

Wymóg: Mierzalność skuteczności wdrożonych zabezpieczeń. KPI, audyty wewnętrzne, raporty dla zarządu.

Checklista:

[ ] KPI cyberbezpieczeństwa (MTTR, MTTD, % patchowanych systemów)
[ ] Coroczne audyty wewnętrzne kontroli
[ ] Raporty dla zarządu co najmniej kwartalnie
[ ] Niezależny audyt zewnętrzny (jeśli essential entity)
[ ] Plan działań naprawczych (CAPA) po audytach
[ ] Benchmark z standardem (ISO 27001, NIST CSF)

Obszar 7: Higiena cyberbezpieczeństwa i szkolenia

Wymóg: Regularne szkolenia wszystkich pracowników, w tym członków zarządu.

Checklista:

[ ] Szkolenie wstępne dla nowych pracowników (cyberhigiena)
[ ] Coroczne szkolenia odświeżające dla wszystkich
[ ] Specyficzne szkolenia dla zarządu (NIS2 wymaga eksplicit)
[ ] Symulacje phishingowe co najmniej kwartalnie
[ ] Szkolenia specjalistyczne dla IT i osób z dostępem privileged
[ ] Rejestr ukończonych szkoleń per pracownik
[ ] Materiały szkoleniowe aktualne (nie starsze niż 12 miesięcy)

Obszar 8: Polityki kryptografii

Wymóg: Standardy szyfrowania danych w spoczynku i w tranzycie.

Checklista:

[ ] Polityka kryptograficzna (jakie algorytmy, klucze, długości)
[ ] Szyfrowanie dysków na komputerach roboczych (BitLocker / FileVault)
[ ] Szyfrowanie baz danych z danymi wrażliwymi (at rest)
[ ] TLS 1.2+ dla całej komunikacji external (1.3 zalecane)
[ ] Zarządzanie kluczami kryptograficznymi (key management)
[ ] Procedura rotacji kluczy
[ ] Zakaz używania zdeprecjonowanych algorytmów (MD5, SHA-1, RC4)

Obszar 9: Bezpieczeństwo zasobów ludzkich, polityki kontroli dostępu, zarządzanie zasobami

Wymóg: Kontrole dostępu, weryfikacja pracowników, zarządzanie tożsamościami.

Checklista:

[ ] Polityka kontroli dostępu least privilege
[ ] Wieloskładnikowe uwierzytelnianie (MFA) dla wszystkich uprzywilejowanych kont
[ ] MFA dla wszystkich pracowników z dostępem do systemów krytycznych
[ ] Procedura joiner-mover-leaver (ścieżka uprawnień przy zatrudnieniu, zmianie roli, odejściu)
[ ] Audyt kont uprzywilejowanych co kwartał
[ ] Zarządzanie hasłami (password manager firmowy)
[ ] Polityka długości i rotacji haseł zgodna z NIST SP 800-63B (rotacja nie domyślnie wymagana, jeśli nie ma kompromitacji)
[ ] Onboarding cyber dla nowych pracowników
[ ] Procedura natychmiastowego odebrania dostępu przy odejściu (offboarding)

Obszar 10: Zastosowanie wieloskładnikowego uwierzytelniania, zabezpieczenia komunikacji głosowej, video, tekstowej

Wymóg: MFA, secure communications, kontrola endpointów.

Checklista:

[ ] MFA bezwarunkowo dla VPN, kont chmurowych, dostępu do systemów krytycznych
[ ] Endpoint Detection and Response (EDR) na wszystkich endpointach
[ ] Mobile Device Management (MDM) dla urządzeń firmowych
[ ] Zabezpieczona komunikacja (Microsoft Teams, Signal, Wire dla wrażliwych)
[ ] Polityka BYOD (Bring Your Own Device) jeśli stosujesz
[ ] Restrykcje USB / urządzeń przenośnych
[ ] Anti-malware na endpointach (nowoczesne, nie tylko klasyczny AV)

Terminy, kiedy musisz być gotowy

17 października 2024, termin transpozycji NIS2 do prawa krajowego (przekroczony w PL)
Po wejściu nowelizacji ustawy (Polska 2026), automatyczne objęcie wszystkich kwalifikujących się podmiotów
17 stycznia 2025, data, do której organy regulacyjne mają wykazać podmioty kluczowe i istotne (w UE; Polska prawdopodobnie z opóźnieniem)
Wymagania techniczne, efektywnie od razu po wpisaniu do rejestru, bez okresu przejściowego (w odróżnieniu od RODO, które miało 2 lata)

Strategicznie: nie czekaj na finalne brzmienie polskiej ustawy. Wymagania NIS2 są minimalne, polska implementacja może je zaostrzyć, ale nie zmiękczyć. Prace nad zgodnością można rozpocząć dziś, na podstawie samej dyrektywy + wytycznych ENISA.

Realna strategia wdrożenia, 12 miesięcy

Klasyczna porażka: wdrażać wszystkie 10 obszarów jednocześnie. Lepsza strategia, fazy:

Faza 1 (miesiące 1-3): Diagnoza i fundamenty

Audyt gotowości, gdzie aktualnie jesteś w 10 obszarach (ten artykuł = checklista do tego audytu)
Identyfikacja największych luk
Powołanie dedykowanej osoby odpowiedzialnej (CISO lub equivalent)
Aktualizacja polityki bezpieczeństwa
Zatwierdzenie planu wdrożenia przez zarząd

Faza 2 (miesiące 4-6): Krytyczne obszary

Plan reakcji na incydenty (Obszar 2)
MFA wszędzie gdzie możliwe (Obszar 9-10)
Patch management (Obszar 5)
Backupy 3-2-1 z odpornością na ransomware (Obszar 3)

Faza 3 (miesiące 7-9): Procesy i ludzie

Polityki dla pozostałych obszarów
Szkolenia dla zarządu i pracowników (Obszar 7)
Klasyfikacja dostawców i klauzule kontraktowe (Obszar 4)
Wdrożenie KPI cyber (Obszar 6)

Faza 4 (miesiące 10-12): Audyt i konsolidacja

Wewnętrzny audyt zgodności
Test reakcji na incydent (tabletop exercise)
Test BCP/DR
Niezależny audyt zewnętrzny (jeśli essential entity)
Raport dla zarządu
Plan ciągłej poprawy

Po 12 miesiącach: podstawowa zgodność. Pełna dojrzałość, kolejne 24-36 miesięcy ciągłej pracy.

Konsekwencje braku zgodności

Sankcje finansowe to tylko jedna warstwa. Pełen rachunek braku gotowości:

Sankcje administracyjne (organ nadzoru, w Polsce CSIRT NASK + Ministerstwo Cyfryzacji):

Kluczowe: do 10 mln EUR lub 2% globalnego obrotu (która wyższa)
Istotne: do 7 mln EUR lub 1,4% obrotu

Odpowiedzialność osobista zarządu:

W przypadku rażących zaniedbań, odpowiedzialność cywilna (odszkodowanie)
Prawo zawodowe, zakaz pełnienia funkcji kierowniczych w przypadku poważnych naruszeń
Szczegóły: Odpowiedzialność osobista zarządu w NIS2

Reputacja:

Publiczne ujawnienie incydentów (w niektórych przypadkach)
Utrata kontraktów (klient B2B sprawdza compliance dostawców)
Ubezpieczenia cyber, wyższe składki lub odmowa pokrycia

Operacyjne:

Atak ransomware z zaawansowaną gotowością NIS2, recovery 2-7 dni
Atak ransomware bez gotowości, recovery 30-180 dni, czasem upadek firmy

Klasyczne badanie Sophos (2024): średni koszt incydentu ransomware u nieprzygotowanych firm, 3-5 milionów EUR. U firm z mocną postawą cyber, 800k-1,5 mln EUR. Różnica = inwestycja w gotowość się zwraca finansowo, niezależnie od regulacji.

Czego ten przewodnik nie obejmuje

Świadomie skupiamy się na wymaganiach NIS2. Pomijamy:

Specyfikę sektorową (każdy sektor ma dodatkowe wymagania, rozwijane w osobnych artykułach)
Detalne porady techniczne (architektura, narzędzia)
Kosztorysy wdrożenia (zbyt zależne od skali firmy)

Te obszary są w innych artykułach domeny, i w bezpośrednich konsultacjach z doradcami cyberbezpieczeństwa.

Trzy pytania kontrolne dla zarządu

Po pierwsze: czy w ciągu ostatnich 6 miesięcy zarząd otrzymał raport z oceny gotowości NIS2? Jeśli “nie”, to nie chodzi o “jeszcze nie zaczęliśmy”. Chodzi o to, że organ nadzoru w razie kontroli zapyta: gdzie była diagnoza? Brak dokumentacji = sygnał systemowego zaniedbania.

Po drugie: kto w organizacji jest imiennie odpowiedzialny za cyberbezpieczeństwo? Jeśli odpowiedź to “wszyscy” lub “dział IT”, to nikt. NIS2 wymaga konkretnej osoby z mandatem, raportującej do zarządu.

Po trzecie: jeśli jutro pojawiłby się incydent ransomware na 30% systemów krytycznych, czy macie pisemny plan, kto co robi w ciągu pierwszych 4 godzin? Bez tego planu pierwsze godziny to chaos, który koszty incydentu mnoży 5-10x.

Co tydzień przygotowujemy w newsletterze TestNIS2 konkretne analizy zmian, interpretacji ENISA, wzorów dokumentów i case studies polskich wdrożeń. Zapisz się na newsletter (formularz na końcu strony), żeby otrzymywać te materiały, tygodniowy 5-minutowy update bez spamu.

Pamiętaj: NIS2 nie jest “kolejną biurokracją”. Jest ramą zarządzania ryzykiem, która, wdrożona poważnie, chroni przed atakami, nie tylko przed karami. Firmy, które traktują NIS2 jako compliance theater, oszukują tylko siebie. Atak ransomware nie sprawdza, czy macie polityki. Sprawdza, czy macie backupy odporne, MFA, segmentację, plan reakcji. NIS2 wymaga tego samego.

Esencja

NIS2 (Dyrektywa UE 2022/2555), termin transpozycji 17 października 2024 (Polska przekroczona, nowelizacja ustawy w 2026). Może objąć około 38 tys. podmiotów (szacunek MC). Kary do 10 mln EUR lub 2% obrotu. Osobista odpowiedzialność zarządu.

Klasyfikacja: essential entities (wyższy rygor + wyższe kary) vs important entities (podstawowy rygor). Sektory: energetyka, transport, bankowość, zdrowie, infrastruktura cyfrowa, dostawcy usług ICT, produkcja, MŚP w sektorach kluczowych.

Dziesięć obszarów wymagań (art. 21 NIS2): polityki ryzyka, obsługa incydentów, ciągłość działania, łańcuch dostaw, secure development, ocena skuteczności, higiena i szkolenia, kryptografia, kontrole dostępu, MFA + secure communications.

Realna strategia: 12 miesięcy fazami, diagnoza/fundamenty (1-3), krytyczne obszary (4-6), procesy i ludzie (7-9), audyt i konsolidacja (10-12). Pełna dojrzałość: 24-36 miesięcy.

Konsekwencje braku zgodności: kary pieniężne możliwe od 3.04.2028 (do 10 mln EUR lub 2 procent przychodów dla podmiotu kluczowego), kara dla kierownika do 300 procent wynagrodzenia, w podmiocie kluczowym czasowy zakaz pełnienia funkcji zarządczych, ryzyko utraty kontraktów.

Najtrudniejsza prawda: większość polskich firm objętych NIS2 jeszcze nie zaczęła poważnej diagnozy. Czas, który zostaje do efektywnego wdrożenia po wejściu polskiej ustawy, jest krótki. Strategia “poczekamy aż się ustabilizuje” jest formą ryzyka, którego firma, ani jej zarząd, nie powinny brać na własną odpowiedzialność.

NIS2 nie jest opcjonalny. Pytanie nie brzmi czy, brzmi kiedy zaczniecie i jak głęboko.