Od czego zacząć, gdy NIS2 dotyczy Cię pierwszy raz? Zacznij od ustalenia, czy w ogóle podlegasz przepisom i jako kto – podmiot kluczowy czy ważny – a następnie od dopełnienia obowiązku wpisu do wykazu i wdrożenia środków zarządzania ryzykiem. W Polsce wymogi NIS2 wprowadza znowelizowana ustawa o krajowym systemie cyberbezpieczeństwa (KSC), która weszła w życie 3 kwi 2026. Ta lista porządkuje pierwsze działania i typowe błędy.
Definicja kanoniczna: NIS2 to dyrektywa UE 2022/2555 podnosząca wspólny poziom cyberbezpieczeństwa w Unii, nakładająca na podmioty kluczowe i ważne obowiązki zarządzania ryzykiem, raportowania incydentów i odpowiedzialności kierownictwa; w Polsce transponowana nowelizacją ustawy o KSC obowiązującą od 3 kwi 2026.
Ten artykuł jest dla organizacji stykającej się z NIS2 po raz pierwszy: destyluje wdrożenie w pięć działań startowych i pięć błędów, które najczęściej kosztują czas lub narażają na kary.
Jak przygotować się do NIS2 – w skrócie:
- NIS2 (dyrektywa UE 2022/2555) w Polsce obowiązuje przez nowelizację ustawy o KSC, która weszła w życie 3 kwi 2026 – z ponad 17-miesięcznym opóźnieniem wobec unijnego terminu (17 paź 2024).
- Nowelizacja rozszerza zakres z około 400 do około 42 000 polskich podmiotów, dzieląc je na kluczowe i ważne.
- Pierwszy krok to samoidentyfikacja: ustalenie, czy podlegasz i jako kto, oraz dopełnienie wpisu do wykazu KSC – dla większości podmiotów termin to 3 paź 2026.
- NIS2 wymaga wdrożenia środków zarządzania ryzykiem, raportowania incydentów w twardych terminach oraz zabezpieczenia łańcucha dostaw.
- Kary dla podmiotów kluczowych sięgają 10 mln EUR lub 2% rocznego obrotu, z osobistą odpowiedzialnością kierownictwa.
- Patronusec wspiera podmioty kluczowe i ważne we wdrożeniu NIS2 – od klasyfikacji i analizy luk po wdrożenie środków i utrzymanie zgodności.
Spis treści
Dlaczego pierwszym krokiem jest ustalenie, czy i jako kto podlegasz?
Pierwszym krokiem jest samoidentyfikacja, bo od niej zależy wszystko dalej: czy w ogóle masz obowiązki, jak surowe, jakie terminy i jaki reżim nadzoru. NIS2 nie przychodzi z listą „jesteś objęty” – to na podmiocie spoczywa obowiązek sprawdzenia, czy spełnia kryteria, i dokonania wpisu do wykazu.
W polskim modelu decydują trzy kryteria: sektor (ustawa wskazuje sektory kluczowe i ważne), wielkość (zwykle próg co najmniej 50 pracowników albo roczny obrót powyżej 10 mln EUR, przy czym dla niektórych kategorii, jak dostawcy usług zarządzanych bezpieczeństwem, próg jest niższy) oraz przynależność do jednej z kategorii wskazanych w załącznikach. Podmiot kluczowy podlega surowszym obowiązkom i nadzorowi niż podmiot ważny, choć podstawowe środki są zbliżone.
Skala zmiany jest fundamentalna. Wcześniejsza ustawa o KSC obejmowała około 400 podmiotów – głównie operatorów infrastruktury krytycznej. Po nowelizacji w zakresie znalazło się około 42 000 polskich firm, w większości średnich i dużych, które dotąd nie traktowały cyberbezpieczeństwa jako odrębnego obowiązku prawnego. Wiele z nich wciąż nie wie, że podlega.
Najczęstszy błąd pierwszego zetknięcia z NIS2 to milczące założenie „to nie o nas” – tymczasem po nowelizacji ustawy o KSC obowiązek samodzielnego sprawdzenia i wpisu do wykazu spoczywa na podmiocie, a jego zaniechanie samo w sobie jest naruszeniem.
Top 5 rzeczy, które trzeba zrobić w pierwszej kolejności
Pięć zadań poniżej wyznacza właściwą kolejność startu z NIS2. Wspólny mianownik: najpierw ustal status i dopełnij obowiązków formalnych, a równolegle buduj realne środki bezpieczeństwa.
- Ustal, czy podlegasz i jako kto. Sprawdź sektor, wielkość i przynależność do kategorii z załączników ustawy o KSC. Rozstrzygnij, czy jesteś podmiotem kluczowym, ważnym, czy w ogóle poza zakresem. To determinuje wszystkie dalsze obowiązki.
- Dopełnij wpisu do wykazu. Jeśli podlegasz, złóż wniosek o wpis do wykazu podmiotów kluczowych i ważnych w wymaganym terminie – dla większości podmiotów, które spełniały kryteria w dniu wejścia ustawy w życie, termin ten upływa 3 paź 2026. Wpis realizuje się elektronicznie.
- Przeprowadź analizę luk względem środków zarządzania ryzykiem. Porównaj obecny stan z wymaganymi środkami: politykami bezpieczeństwa, obsługą incydentów, ciągłością działania, bezpieczeństwem łańcucha dostaw, kryptografią, kontrolą dostępu i higieną cyfrową. To pokazuje, ile pracy dzieli Cię od zgodności.
- Wdróż środki zarządzania ryzykiem i zaangażuj kierownictwo. NIS2 wymaga wdrożenia proporcjonalnych środków oraz – co kluczowe – zaangażowania i odpowiedzialności kierownictwa. Kierownictwo zatwierdza środki i odpowiada za ich wdrożenie, także osobiście.
- Ustanów proces raportowania incydentów. Zbuduj zdolność wykrywania i raportowania poważnych incydentów w twardych terminach NIS2: wczesne ostrzeżenie, zgłoszenie właściwe i raport końcowy. Bez działającego procesu terminy są nie do dotrzymania.
Top 5 rzeczy, których należy unikać
Poniższe pięć błędów najczęściej naraża podmiot na kary lub blokuje zgodność z NIS2. Wspólny mianownik: traktowanie NIS2 jako formalności lub odkładanie działań, których terminy już biegną.
❌ Zakładanie, że „to nie o nas”. Po rozszerzeniu zakresu do około 42 000 podmiotów wiele firm podlega, nie wiedząc o tym. Obowiązek samodzielnego sprawdzenia spoczywa na podmiocie – a jego zaniechanie jest naruszeniem, nie neutralnym milczeniem.
❌ Odkładanie wpisu do wykazu. Terminy już biegną: wpis dla większości podmiotów upływa 3 paź 2026. Zwłoka naraża na naruszenie obowiązku rejestracyjnego niezależnie od stanu wdrożenia środków bezpieczeństwa.
❌ Traktowanie NIS2 jako projektu wyłącznie IT. NIS2 nakłada odpowiedzialność na kierownictwo, w tym osobistą. Zrzucenie całości na dział IT bez zaangażowania zarządu pomija istotę reżimu i zostawia kierownictwo nieświadome własnej odpowiedzialności.
❌ Pomijanie łańcucha dostaw. NIS2 wprost wymaga zarządzania bezpieczeństwem łańcucha dostaw. Ograniczenie środków do własnych systemów, bez oceny dostawców, zostawia lukę, którą reżim uznaje za istotną.
❌ Kopiowanie polityk bez realnego wdrożenia. Środki NIS2 muszą działać, nie tylko istnieć w dokumencie. Zestaw pobranych polityk bez wdrożenia i dowodu skuteczności nie przejdzie nadzoru – podobnie jak w innych reżimach, liczy się praktyka, nie papier.
Patronusec Insight: Z naszego doświadczenia projektowego wynika, że po wejściu w życie nowelizacji ustawy o KSC największym problemem nie jest wdrożenie środków, lecz sama świadomość, że podmiot w ogóle podlega. Firmy średniej wielkości z sektorów, które dotąd nie były regulowane, często dowiadują się o obowiązku przypadkiem – od klienta, audytora lub z mediów – gdy terminy już biegną. Rekomendujemy zacząć od jednej, konkretnej czynności: rzetelnego sprawdzenia statusu względem sektorów i progów z załączników. Ta godzina analizy rozstrzyga, czy w ogóle mówimy o obowiązkach, i chroni przed najkosztowniejszym błędem – przegapieniem, że reżim Cię obejmuje.
Jak połączyć te działania w spójny plan wdrożenia?
Spójny plan wdrożenia NIS2 łączy warstwę formalną (samoidentyfikacja, wpis do wykazu) z warstwą realną (środki, incydenty, łańcuch dostaw), a następnie przechodzi w cykl utrzymania. Formalności mają twarde terminy, więc idą równolegle z budową środków, nie po niej.
Rekomendowana sekwencja:
- Status i wykaz. Samoidentyfikacja (sektor, wielkość, kategoria), decyzja o klasyfikacji, wpis do wykazu w terminie.
- Analiza luk. Porównanie obecnego stanu z wymaganymi środkami zarządzania ryzykiem.
- Wdrożenie środków i governance. Wdrożenie proporcjonalnych środków z zaangażowaniem i odpowiedzialnością kierownictwa.
- Incydenty i łańcuch dostaw. Proces raportowania w terminach NIS2 oraz zarządzanie bezpieczeństwem dostawców.
- Utrzymanie. NIS2 to obowiązek ciągły: aktualizacja środków, raportowanie, gotowość na nadzór (dla podmiotów kluczowych – nadzór proaktywny).
Kluczowe jest równoległe prowadzenie formalności i środków. Wpis do wykazu ma twardy termin i nie czeka na zakończenie wdrożenia bezpieczeństwa – oba nurty biegną naraz. Plan, który najpierw dopełnia formalności, a środki zostawia na potem (lub odwrotnie), ryzykuje albo naruszeniem terminu rejestracji, albo brakiem realnych zabezpieczeń w razie kontroli.
Patronusec wspiera podmioty w budowie takiego planu w ramach usługi NIS2 – od klasyfikacji i analizy luk, przez wdrożenie środków, po przygotowanie do nadzoru.
FAQ – Jak przygotować się do NIS2
Skąd mam wiedzieć, czy podlegam NIS2?
Sprawdź trzy kryteria: sektor (czy jesteś w sektorze kluczowym lub ważnym z załączników ustawy o KSC), wielkość (zwykle próg co najmniej 50 pracowników albo obrót powyżej 10 mln EUR, dla niektórych kategorii niższy) oraz przynależność do wskazanych kategorii. Obowiązek samodzielnego sprawdzenia spoczywa na podmiocie – warto zacząć od rzetelnej analizy statusu.
Kiedy w Polsce zaczęły obowiązywać przepisy NIS2?
Nowelizacja ustawy o krajowym systemie cyberbezpieczeństwa (KSC), wdrażająca dyrektywę NIS2, weszła w życie 3 kwi 2026 – z ponad 17-miesięcznym opóźnieniem wobec unijnego terminu transpozycji (17 paź 2024). Od tego momentu biegną terminy na wpis do wykazu i wdrożenie obowiązków.
Do kiedy muszę dokonać wpisu do wykazu?
Dla większości podmiotów, które spełniały kryteria w dniu wejścia nowelizacji w życie, termin na złożenie wniosku o wpis do wykazu podmiotów kluczowych i ważnych upływa 3 paź 2026. Wpis realizuje się elektronicznie. Warto potwierdzić swój konkretny termin, bo liczy się od dnia spełnienia przesłanek.
Czym różni się podmiot kluczowy od ważnego?
Podmiot kluczowy to zwykle duża firma lub operator infrastruktury krytycznej z sektora o najwyższym znaczeniu – podlega surowszym obowiązkom i nadzorowi, w tym proaktywnemu. Podmiot ważny to najczęściej średnie przedsiębiorstwo z sektora objętego ustawą – podstawowe środki są zbliżone, ale zakres nadzoru i kar łagodniejszy. Klasyfikacja zależy od sektora i skali.
Jak wysokie są kary za brak zgodności z NIS2?
Dla podmiotów kluczowych kary sięgają 10 mln EUR lub 2% rocznego obrotu (w zależności od tego, która kwota jest wyższa). Dodatkowo NIS2 przewiduje osobistą odpowiedzialność kierownictwa. To zasadnicza zmiana modelu odpowiedzialności – cyberbezpieczeństwo przestaje być wyłącznie kwestią działu IT, a staje się obowiązkiem zarządu.
Jak Patronusec pomaga we wdrożeniu NIS2?
Zaczynamy od klasyfikacji (czy i jako kto podlegasz) oraz analizy luk względem środków zarządzania ryzykiem. Następnie wspieramy wdrożenie proporcjonalnych środków, proces raportowania incydentów i zarządzanie łańcuchem dostaw, z zaangażowaniem kierownictwa. Po bezpłatnej rozmowie scope-assessment przedstawiamy plan wdrożenia i wycenę.
Warto przeczytać
Ścieżka lektury dla tematu wdrożenia NIS2:
- Jak wybrać firmę do audytu bezpieczeństwa pod NIS2 – na co zwrócić uwagę, wybierając partnera do audytu.
- DORA – 5 rzeczy do zrobienia i 5 do uniknięcia – pokrewny reżim dla sektora finansowego.
- Plan ciągłości działania w 5 krokach – ciągłość działania jako jeden ze środków NIS2.
- Incident Response, Disaster Recovery, Business Continuity i IT Continuity – czym się różnią – pojęcia kluczowe dla obsługi incydentów.
NIS2 – bezpłatna konsultacja
Patronusec wspiera podmioty kluczowe i ważne we wdrożeniu NIS2 – od klasyfikacji i wpisu do wykazu, przez analizę luk i wdrożenie środków, po przygotowanie do nadzoru. Umów bezpłatną konsultację, aby ustalić swój status i kolejność działań.
Umów konsultację | NIS2 | DORA | BCM
