NIS2 i nowa ustawa o KSC — sprawdź, czy Twoja firma ma czas do października

„To dotyczy dużych firm i infrastruktury krytycznej, nie nas” — tak najczęściej brzmi pierwsza reakcja na wieść o nowelizacji ustawy o Krajowym Systemie Cyberbezpieczeństwa (KSC). Do niedawna to było prawdą: przepisy obejmowały niecałe 400 podmiotów, głównie operatorów energetyki, wodociągów czy dużych sieci telekomunikacyjnych. Po wejściu w życie nowelizacji wdrażającej unijną dyrektywę NIS2 krąg objętych firm powiększył się do około 42 tysięcy — i część z nich jeszcze o tym nie wie.

Jeśli firma zatrudnia kilkadziesiąt osób i działa w jednym z kilkunastu wskazanych sektorów, warto sprawdzić swoją sytuację jeszcze w tym miesiącu — kalendarz wdrożenia jest napięty, a pierwszy istotny termin przypada na początek października.

Co się zmieniło

NIS2 to dyrektywa unijna z 2022 roku, którą państwa członkowskie miały wdrożyć do października 2024 roku. Polska zrobiła to z ponad rocznym opóźnieniem: prezydent podpisał nowelizację ustawy o KSC 19 lutego 2026 roku, akt opublikowano w Dzienniku Ustaw 2 marca, a przepisy weszły w życie 3 kwietnia 2026 roku.

Największa zmiana to nie nowe obowiązki dla firm już objętych ustawą, tylko radykalne poszerzenie listy sektorów — z operatorów infrastruktury krytycznej na 18 branż gospodarki, od produkcji żywności po usługi cyfrowe.

Kogo dotyczy nowelizacja

Ustawa dzieli objęte firmy na dwie kategorie. Podmioty kluczowe to zwykle większe organizacje: powyżej 250 pracowników lub obrót roczny przekraczający 50 mln euro, działające m.in. w energetyce, transporcie, bankowości, ochronie zdrowia, infrastrukturze cyfrowej czy administracji publicznej.

Podmioty ważne to głównie firmy średniej wielkości: od 50 do 249 pracowników lub obrót w przedziale 10–50 mln euro, z sektorów takich jak usługi pocztowe, gospodarka odpadami, produkcja i dystrybucja żywności, chemikalia, wyroby medyczne, elektronika, motoryzacja czy dostawcy usług cyfrowych.

Mikro i małe firmy — poniżej 50 pracowników — są co do zasady wyłączone z obowiązków, z wyjątkiem tych świadczących wybrane usługi krytyczne, jak rejestracja domen internetowych czy usługi zaufania. To dobra wiadomość dla większości małych firm z Poznania i okolic, ale nie dla wszystkich — warto sprawdzić to indywidualnie, zwłaszcza jeśli firma jest podwykonawcą lub dostawcą dla podmiotu objętego ustawą.

Skąd wiedzieć, czy to dotyczy właśnie Twojej firmy

Ustawa nie przewiduje, że ktoś poinformuje firmę o obowiązku — kwalifikację trzeba ustalić samodzielnie na podstawie kodu PKD i progów wielkościowych. To samoidentyfikacja, i to na niej najczęściej robi się błąd: firma zakłada, że jej to nie dotyczy, bo nigdy nie kojarzyła się z „infrastrukturą krytyczną”, a formalnie mieści się w jednym z 18 sektorów objętych nowelizacją.

Podmioty, które się kwalifikują, mają obowiązek zgłoszenia się do wykazu prowadzonego w systemie S46, dostępnym pod adresem wykaz-ksc.gov.pl (aplikacja ruszyła 7 maja 2026 roku). Termin na samoidentyfikację i wpis do wykazu mija 3 października 2026 roku — to najbliższa i najpilniejsza data w całym harmonogramie.

Co trzeba wdrożyć i w jakim terminie

Na pełne wdrożenie wymaganych środków technicznych i organizacyjnych podmioty mają 12 miesięcy od wejścia w życie ustawy, czyli do 3 kwietnia 2027 roku. W praktyce chodzi o system zarządzania ryzykiem, regularną analizę podatności, plany ciągłości działania z przetestowanymi kopiami zapasowymi, zabezpieczenie łańcucha dostaw (czyli też dostawców IT i podwykonawców), szkolenia dla pracowników oraz podstawowe mechanizmy jak uwierzytelnianie wieloskładnikowe.

Dochodzi do tego obowiązek zgłaszania poważnych incydentów w sztywnych terminach: wczesne ostrzeżenie do właściwego CSIRT nie później niż w 24 godziny od wykrycia, pełne zgłoszenie w ciągu 72 godzin, a sprawozdanie końcowe w ciągu miesiąca. Brak zgłoszenia w terminie traktowany jest jako naruszenie ustawy — niezależnie od tego, czy sam incydent wyrządził szkodę.

Kary i odpowiedzialność zarządu

Skala kar jest zbliżona do tej znanej z RODO. Dla podmiotów kluczowych to do 10 mln euro lub 2% rocznego obrotu światowego — w zależności, która kwota jest wyższa. Dla podmiotów ważnych limit jest niższy: do 7 mln euro lub 1,4% obrotu.

Nowością w porównaniu z dotychczasowymi przepisami jest osobista odpowiedzialność kierownictwa — organ nadzorujący cyberbezpieczeństwo może nałożyć na członka zarządu karę pieniężną sięgającą 300% jego miesięcznego wynagrodzenia. To zmienia optykę tematu z „sprawa działu IT” na „sprawa zarządu”.

Od czego zacząć

Pierwszy krok to nie zakup sprzętu czy oprogramowania, tylko odpowiedź na pytanie, czy ustawa w ogóle dotyczy danej firmy — sprawdzenie kodu PKD, liczby pracowników i obrotu zajmuje kilkanaście minut, a rozstrzyga, czy zegar do 3 października już tyka. Jeśli odpowiedź jest twierdząca, kolejnym krokiem jest audyt luk: co z wymaganych środków już działa, a czego brakuje — od kopii zapasowych, przez ochronę stacji roboczych, po procedurę zgłaszania incydentów.

Zajmujemy się audytem IT, wdrażaniem monitoringu sieci, ochroną endpointów (WithSecure, ThreatDown) i backupem odpornym na ransomware (Acronis) — czyli dokładnie tymi obszarami, które nowelizacja stawia w centrum uwagi. Jeśli nie masz pewności, czy Twoja firma podlega pod nowe przepisy, sprawdzimy to razem w ramach bezpłatnej konsultacji, zanim zrobi to za Ciebie kontrola.