NIS2 i ustawa o KSC: kogo dotyczy, jakie obowiązki, jakie terminy

NIS2 a ustawa o KSC: co jest czym

NIS2 to dyrektywa, a dyrektywa nie wiąże przedsiębiorców bezpośrednio. Źródłem Twoich obowiązków jest polska ustawa o krajowym systemie cyberbezpieczeństwa w brzmieniu nadanym nowelizacją. Gdy prawnik albo audytor pyta o podstawę prawną, wskazujesz ustawę, nie dyrektywę.

Dyrektywę 2022/2555 Parlament Europejski i Rada przyjęły 14 grudnia 2022 roku, wyznaczając państwom członkowskim termin wdrożenia na 17 października 2024 roku. Polska go nie dotrzymała. Przez kolejnych kilkanaście miesięcy przedsiębiorstwa planowały wdrożenie na podstawie projektu, którego treść wciąż się zmieniała, co dla części z nich oznaczało dwukrotne przerabianie tej samej dokumentacji.

Ten etap mamy za sobą. Ustawa z 23 stycznia 2026 roku o zmianie ustawy o krajowym systemie cyberbezpieczeństwa została ogłoszona 2 marca 2026 roku w Dzienniku Ustaw pod pozycją 252 i weszła w życie 3 kwietnia, po miesięcznym vacatio legis. Nie powstał nowy akt: to nowelizacja ustawy z 5 lipca 2018 roku, więc dotychczasowa numeracja artykułów w znacznej mierze pozostała w mocy.

Kogo dotyczy NIS2

Ustawa obejmuje podmioty, które łącznie spełniają dwa warunki: prowadzą działalność wymienioną w jednym z dwóch załączników i przekraczają próg wielkości. Wystąpienie tylko jednego z nich nie wystarcza. Wyjątkiem są kategorie objęte niezależnie od skali działalności, opisane niżej.

Załącznik nr 1: sektory kluczowe

• Energia, w tym wydobycie kopalin, energia elektryczna, ciepło, ropa, gaz i wodór
• Transport lotniczy, kolejowy, wodny i drogowy
• Bankowość i infrastruktura rynków finansowych
• Ochrona zdrowia, w tym podmioty lecznicze, apteki, laboratoria i wytwórcy wyrobów medycznych
• Zaopatrzenie w wodę pitną oraz odprowadzanie ścieków
• Infrastruktura cyfrowa i komunikacja elektroniczna
• Zarządzanie usługami ICT, w tym dostawcy usług zarządzanych oraz usług zarządzanych w zakresie cyberbezpieczeństwa
• Przestrzeń kosmiczna
• Podmioty publiczne

Załącznik nr 2: sektory ważne

• Usługi pocztowe i kurierskie
• Gospodarowanie odpadami
• Produkcja, wytwarzanie i dystrybucja chemikaliów
• Produkcja, przetwarzanie i dystrybucja żywności
• Wytwarzanie wyrobów medycznych, elektroniki, maszyn, pojazdów i sprzętu transportowego
• Dostawcy usług cyfrowych: platformy handlowe, wyszukiwarki, sieci społecznościowe
• Badania naukowe
• Inwestycje w energetykę jądrową

Próg wielkości

Próg odwołuje się do definicji średniego przedsiębiorstwa z załącznika I do rozporządzenia Komisji (UE) nr 651/2014, co sprowadza się do trzech przedziałów zatrudnienia:

• Od 50 do 249 osób: podmiot ważny
• Co najmniej 250 osób: podmiot kluczowy
• Poniżej 50 osób: co do zasady poza zakresem ustawy

Zatrudnienie ustala się na 1 stycznia danego roku, w przeliczeniu na pełne etaty, wyłącznie z umów o pracę. Ocena nie kończy się jednak na liczbie pracowników: rozporządzenie 651/2014 każe uwzględnić także pułapy finansowe oraz przedsiębiorstwa partnerskie i powiązane. Spółka o skromnym zatrudnieniu, ale należąca do dużej grupy, wbrew pozorom przekracza próg.

Podmioty objęte niezależnie od wielkości

Dla kilku kategorii próg zatrudnienia nie ma znaczenia. Podlegają ustawie nawet przy kilkuosobowym zespole:

• Dostawcy usług zaufania
• Rejestry nazw domen najwyższego poziomu oraz podmioty świadczące usługi rejestracji nazw domen
• Dostawcy usług DNS
• Przedsiębiorcy komunikacji elektronicznej, na warunkach określonych w ustawie
• Podmioty krytyczne w rozumieniu dyrektywy 2022/2557
• Podmioty publiczne wskazane w załączniku nr 1
• Podmioty uznane za kluczowe decyzją organu właściwego

Podmiot kluczowy a podmiot ważny

Katalog wymagań merytorycznych jest dla obu kategorii zasadniczo tożsamy. Rozchodzą się dopiero na poziomie nadzoru i sankcji, i to ta różnica przekłada się na koszt.

Najdotkliwszy jest pierwszy wiersz. Nadzór wyprzedzający odbiera możliwość gry na zwłokę w nadziei, że dopóki nic się nie wydarzy, nikt nie zapyta o dokumenty. Warto też zatrzymać się przy ostatnim: spółka celowa bez przychodu nie wychodzi na zerowej karze, bo ustawa podstawia jej wtedy równowartość 500 tysięcy euro.

Audyt: kto, jak często i kto go nie może zrobić

Podmiot kluczowy przeprowadza audyt bezpieczeństwa systemu informacyjnego na własny koszt, co najmniej raz na 3 lata. Termin biegnie od dnia podpisania raportu z poprzedniego audytu, nie od końca roku kalendarzowego, więc raz ustalona data przesuwa cały późniejszy harmonogram. Pierwszy audyt trzeba zamknąć w ciągu 24 miesięcy od spełnienia przesłanek.

Jest w tym przepis, który potrafi wywrócić plan budżetowy. Audytu nie może przeprowadzić osoba, która realizuje w audytowanym podmiocie zadania z zakresu cyberbezpieczeństwa, ani taka, która realizowała je w ciągu roku przed rozpoczęciem audytu. Własny zespół bezpieczeństwa nie zaudytuje więc własnej firmy, a świeżo zatrudniony specjalista od poprzedniego dostawcy też odpada. Niezależnie od tego organ może nakazać audyt zewnętrzny po incydencie poważnym, a taka decyzja podlega natychmiastowemu wykonaniu.

Test w pięciu pytaniach: czy Twoja firma podlega

Przejdź pytania po kolei. Odpowiedź na każde z nich wynika z dokumentów, które masz na miejscu, więc test wykonasz bez udziału doradcy zewnętrznego.

1. Czy Twoja działalność figuruje w załączniku nr 1 albo nr 2?

Weryfikuj po rodzaju działalności, nie po nazwie branży ani kodzie PKD. Załączniki opisują podmioty przez odesłania do innych ustaw, choćby do Prawa energetycznego czy Prawa pocztowego. Jeżeli dysponujesz koncesją, zezwoleniem albo wpisem do rejestru wskazanym w takim odesłaniu, jesteś w załączniku. Odpowiedź przecząca kończy test, ale zajrzyj jeszcze do pytania czwartego.

2. Ilu pracowników zatrudniasz w przeliczeniu na pełne etaty?

Bierz stan na 1 stycznia bieżącego roku. Przedział od 50 do 249 osób daje status podmiotu ważnego, 250 osób i więcej status podmiotu kluczowego. Przy zatrudnieniu poniżej 50 osób przejdź do pytania czwartego, ponieważ próg nie jest jedyną drogą do objęcia ustawą.

3. Czy należysz do grupy kapitałowej?

Ocena wielkości uwzględnia przedsiębiorstwa partnerskie i powiązane. Spółka zatrudniająca 40 osób, ale kontrolowana przez podmiot zatrudniający 1000, liczy się łącznie z nim. To najczęstsza przyczyna błędnego uznania się za wyłączonego, szczególnie w grupach o rozbudowanej strukturze spółek celowych.

4. Czy mieścisz się w kategorii objętej niezależnie od wielkości?

Dostawcy usług zaufania, rejestry domen, dostawcy DNS, przedsiębiorcy komunikacji elektronicznej, podmioty krytyczne oraz część podmiotów publicznych podlegają ustawie bez względu na zatrudnienie. Jeżeli którakolwiek z tych ról opisuje Twoją działalność, odpowiedzi na pytania drugie i trzecie tracą znaczenie.

5. Czy dostarczasz usługi podmiotowi kluczowemu albo ważnemu?

To pytanie nie przesądza o objęciu ustawą, lecz o tym, czy wymagania i tak Cię dosięgną. Podmioty objęte ustawą odpowiadają za bezpieczeństwo łańcucha dostaw, więc przenoszą obowiązki na kontrahentów drogą umowną. Status formalny pozostaje wtedy bez zmian, a kwestionariusz bezpieczeństwa i tak przychodzi z pierwszym przedłużeniem umowy.

Wynik testu a Twój audyt: termin i wykonawca

Test rozstrzyga status, a status przesądza o audycie. Poniżej ta sama czwórka wyników przełożona na dwa pytania, które padają zaraz potem: do kiedy i przez kogo.

Wniosek budżetowy jest prosty: wykonawcę audytu trzeba zakontraktować z wyprzedzeniem i nie może to być podmiot, który na co dzień odpowiada u Was za bezpieczeństwo. Jak taki audyt przebiega, co obejmuje jego część techniczna i co powinno znaleźć się w raporcie, opisaliśmy w tekście o audycie cyberbezpieczeństwa.

Jakie są obowiązki

Wymagania układają się w trzy grupy: zarządzanie ryzykiem, obsługa i zgłaszanie incydentów oraz odpowiedzialność kierownictwa. Poniżej to, co wymaga realnej pracy i budżetu, a nie samego oświadczenia.

System zarządzania bezpieczeństwem informacji

Ustawa nakazuje wdrożenie systemu zarządzania bezpieczeństwem informacji obejmującego systemy informacyjne wykorzystywane do świadczenia usługi. Środki mają być proporcjonalne do oszacowanego ryzyka i uwzględniać aktualny stan wiedzy technicznej. Zakres obejmuje między innymi:

• Systematyczne szacowanie ryzyka i postępowanie z ryzykiem
• Polityki i procedury bezpieczeństwa wraz z nadzorem nad dokumentacją
• Obsługę incydentów: wykrywanie, klasyfikację, rejestrowanie i reakcję
• Ciągłość działania, kopie zapasowe i odtwarzanie po awarii
• Kontrolę dostępu, uwierzytelnianie wieloskładnikowe i zarządzanie tożsamością
• Szyfrowanie oraz bezpieczeństwo pozyskiwania i utrzymania systemów
• Szkolenia i utrzymanie higieny cyberbezpieczeństwa

Bezpieczeństwo łańcucha dostaw

Musisz uwzględnić ryzyko wnoszone przez dostawców i usługodawców, łącznie z jakością ich praktyk bezpieczeństwa oraz sposobem wytwarzania oprogramowania, z którego korzystasz. Przekłada się to na przegląd umów, wymagania bezpieczeństwa w postępowaniach zakupowych i mechanizm ich weryfikacji. Tym kanałem regulacja wychodzi poza podmioty formalnie objęte i sięga ich zaplecza technologicznego.

Odpowiedzialność kierownictwa

Ta grupa wymagań zaskakuje zarządy najczęściej, bo nie da się jej ani delegować w dół, ani kupić razem z usługą:

• Kierownik podmiotu odpowiada za wykonanie obowiązków wynikających z ustawy
• Członkowie kierownictwa mają obowiązek odbywania szkoleń z cyberbezpieczeństwa
• Kara pieniężna może zostać nałożona bezpośrednio na kierownika podmiotu i jest liczona jako procent jego wynagrodzenia
• Od osób realizujących zadania z zakresu bezpieczeństwa ustawa wymaga zaświadczenia o niekaralności

Zgłaszanie incydentów: 24 godziny, 72 godziny, miesiąc

Zegar rusza w chwili wykrycia incydentu poważnego, a nie po jego zaklasyfikowaniu czy zamknięciu analizy. Zgłoszenia kierujesz do właściwego CSIRT sektorowego:

• Wczesne ostrzeżenie: niezwłocznie, nie później niż w ciągu 24 godzin od wykrycia
• Zgłoszenie incydentu poważnego: niezwłocznie, nie później niż w ciągu 72 godzin od wykrycia
• Sprawozdanie okresowe z obsługi incydentu: na wniosek CSIRT sektorowego
• Sprawozdanie końcowe: nie później niż miesiąc od zgłoszenia

Doba na wczesne ostrzeżenie wygląda na termin komfortowy do pierwszego incydentu wykrytego w sobotę nad ranem. Bez dyżuru i ścieżki eskalacji cała doba potrafi zejść na ustalaniu, kto ma upoważnienie podpisać zgłoszenie. Ten scenariusz warto przećwiczyć na sucho, zanim wystąpi naprawdę — jak wygląda taka pierwsza godzina w praktyce, rozpisaliśmy w runbooku po ataku ransomware.

Terminy: co i do kiedy

Wszystkie kluczowe daty liczą się od 3 kwietnia 2026 roku. Harmonogram wpisów do wykazu Minister Cyfryzacji ogłosił odrębnym komunikatem z 8 kwietnia 2026 roku.

Wykaz KSC to nie to samo co System S46

Te dwie nazwy mylą się nagminnie, a stoją za nimi dwa osobne obowiązki z osobnymi terminami. Wykaz KSC to rejestr podmiotów kluczowych i ważnych, dostępny pod adresem wykaz-ksc.gov.pl — tam składasz wniosek o wpis do 3 października 2026 roku. System S46 to kanał teleinformatyczny, przez który później zgłaszasz incydenty i komunikujesz się z CSIRT. Wykaz działa jako usługa w ramach S46, ale wpis do wykazu nie oznacza, że jesteś podłączony do systemu.

S46 Cyber Hub udostępniono nowym podmiotom 12 czerwca 2026 roku, a termin na podłączenie mija 3 kwietnia 2027 roku, razem z resztą obowiązków. To zadanie integracyjne, nie formalność: warto je wpiąć w ten sam harmonogram co proces obsługi incydentów, bo bez działającego kanału zgłoszeniowego termin 24 godzin jest teoretyczny.

Dwuletnią karencję łatwo odczytać jako dwa lata spokoju i jest to nieporozumienie kosztowne. Środki nadzorcze inne niż kary działają od pierwszego dnia, a sama karencja ma węższy zasięg, niż się powszechnie zakłada.

Kary

Wobec podmiotu kluczowego kara nie może przekroczyć 10 000 000 euro albo 2% przychodu za poprzedni rok obrotowy, przy czym stosuje się kwotę wyższą. Dla podmiotu ważnego limity wynoszą odpowiednio 7 000 000 euro i 1,4% przychodu. Równowartość w złotych ustala się według średniego kursu NBP z 31 grudnia roku poprzedzającego rok wydania decyzji.

Ustawa domyka ten rachunek z dwóch stron, o czym rzadko się pisze. Kara nie może być niższa niż 20 000 zł dla podmiotu kluczowego i 15 000 zł dla ważnego, więc dolna granica istnieje niezależnie od skali naruszenia. Jeżeli natomiast podmiot nie osiągnął przychodu albo prowadzi działalność krócej niż 12 miesięcy, za podstawę wymiaru przyjmuje się równowartość 500 000 euro dla podmiotu kluczowego i 250 000 euro dla ważnego. Rachuba „2% z zera to zero" nie działa.

Kara dla kierownika podmiotu

Osobno stoi sankcja wymierzana kierownikowi podmiotu i to ona zwykle zmienia priorytety na poziomie zarządu najszybciej. Górny pułap wynosi 300% otrzymywanego wynagrodzenia, liczonego według zasad obowiązujących przy ustalaniu ekwiwalentu za urlop. Dla kierownika podmiotu publicznego limit jest niższy i wynosi 100%, ale gdy taki podmiot podlega ustawie również z tytułu innego sektora z załącznika nr 1 lub 2, wraca stawka 300%. Karę na kierownika i karę na podmiot można nałożyć niezależnie od siebie — jedna nie konsumuje drugiej.

Kara nadzwyczajna do 100 milionów złotych

Poza zwykłymi limitami ustawa przewiduje sankcję do 100 000 000 zł. Sięga po nią organ wtedy, gdy naruszenie powoduje bezpośrednie i poważne cyberzagrożenie dla obronności, bezpieczeństwa państwa, bezpieczeństwa i porządku publicznego albo życia i zdrowia ludzi, lub grozi poważną szkodą majątkową bądź poważnymi utrudnieniami w świadczeniu usługi. Ta pozycja rzadko pojawia się w zestawieniach o NIS2, bo nie ma jej w samej dyrektywie — jest rozwiązaniem krajowym, podobnie jak kara dla kierownika.

NIS2 a DORA: którą regulację stosujesz

Podmioty finansowe podlegają rozporządzeniu DORA, które wobec ustawy o KSC jest przepisem szczególnym w zakresie zarządzania ryzykiem ICT i zgłaszania incydentów. Bank nie prowadzi zatem dwóch równoległych ścieżek raportowania. Jeżeli działasz w finansach, punktem wyjścia jest rozporządzenie DORA i oczekiwania KNF, a ustawa o KSC schodzi na drugi plan. Poza sektorem finansowym zależność jest odwrotna.

Od czego zacząć

Jeżeli test wypadł twierdząco, kolejność działań ma znaczenie. Osobnym obowiązkiem jest cykliczny audyt bezpieczeństwa, którego przebieg i terminy rozłożyliśmy w tekście o audycie cyberbezpieczeństwa. Trzy pierwsze kroki są tanie i zdejmują większość ryzyka proceduralnego:

1. TerazZarząd i dział prawny
   Przeprowadź i udokumentuj kwalifikację

   Jedna strona z uzasadnieniem, dlaczego jesteś podmiotem kluczowym, ważnym albo żadnym z nich, wraz z podstawą z załącznika i wyliczeniem zatrudnienia z uwzględnieniem grupy kapitałowej. To pierwszy dokument, o który zapyta kontrola, i jedyny, którego nie da się odtworzyć wstecz w sposób wiarygodny.

2. Do 3.10.2026Kierownik podmiotu
   Złóż wniosek o wpis do Wykazu KSC

   Wniosek składasz przez wykaz-ksc.gov.pl i przy okazji wyznaczasz co najmniej dwie osoby do kontaktu z podmiotami krajowego systemu cyberbezpieczeństwa. Zmianę danych zgłasza się potem w ciągu 14 dni. To jedyny termin z całej listy, którego nie nadrobisz późniejszą pracą.

3. Do 3.10.2026Bezpieczeństwo i IT
   Uruchom obsługę incydentów z realnym dyżurem

   Zegar 24 godzin biegnie także w sobotę o czwartej nad ranem, więc potrzebna jest ścieżka eskalacji i osoba z upoważnieniem do podpisania zgłoszenia. Jak wygląda ta pierwsza godzina w praktyce, rozpisaliśmy w runbooku pierwszej godziny po ataku ransomware.

4. I kwartał wdrożeniaBezpieczeństwo i finanse
   Wykonaj analizę luk i dopiero potem planuj budżet

   Kolejność jest odwrotna niż zwykle: bez analizy luk budżet powstaje z listy życzeń dostawców, a nie z wymagań ustawy. Pamiętaj, że część pozycji wymaga uchwały zarządu i wpisania w plan finansowy na kolejny rok, więc decyzja zapada wcześniej, niż wskazywałby termin 3 kwietnia 2027.

5. Do 3.04.2027IT i zakupy
   Podłącz się do S46 i przejrzyj umowy z dostawcami

   Podłączenie do Systemu S46 to zadanie integracyjne z tym samym terminem co reszta obowiązków. Równolegle przejrzyj umowy pod kątem wymagań bezpieczeństwa i prawa do audytu — kwestionariusze od klientów objętych ustawą przychodzą i tak, zwykle przy pierwszym przedłużeniu.

6. Do 3.04.2028Zarząd
   Zamknij pierwszy audyt i szkolenie kierownictwa

   Audyt dotyczy podmiotów kluczowych i wymaga audytora niezależnego od zespołu wykonującego zadania bezpieczeństwa, więc wykonawcę trzeba zakontraktować z wyprzedzeniem. Szkolenie dla kierownictwa zaplanuj wcześniej niezależnie od audytu: to obowiązek ustawowy, a nie dobra praktyka.

Najczęstsze pytania

Podsumowanie

Najkosztowniejszy błąd przy NIS2 nie polega na złym doborze narzędzi. Polega na spóźnionej kwalifikacji, ponieważ termin wpisu do wykazu mija niezależnie od tego, jak zaawansowane jest wdrożenie. Wykonaj test, udokumentuj wynik i dopiero potem rozmawiaj o budżecie. Jeżeli potrzebujesz kogoś, kto poprowadzi to od strony zarządczej, odpowiada za to usługa vCISO, a stronę techniczną domyka monitorowanie i wykrywanie incydentów.

Ustawa nie pyta, czy zdążyłeś się zorientować, że Cię dotyczy. Pyta, czy złożyłeś wniosek w terminie.