3 kwietnia 2026 weszła w życie nowelizacja ustawy o krajowym systemie cyberbezpieczeństwa (KSC), która wdraża w Polsce unijną dyrektywę NIS2. Pierwsze pytanie, jakie zadaje sobie każda firma, brzmi: „czy to nas dotyczy?”. Odpowiedź zależy od trzech rzeczy: sektora, wielkości firmy i tego, czy firma nie należy do kategorii objętych ustawą niezależnie od wielkości. Poniżej przechodzimy przez wszystkie trzy, z dokładnymi progami, a potem przez obowiązki, terminy i kary.
W skrócie:
- ustawa obejmuje co do zasady średnie i duże firmy z sektorów z załączników 1 i 2 do ustawy oraz podmioty publiczne, w tym urzędy,
- firma z mniej niż 50 pracownikami jest mała, jeśli jej roczny obrót lub suma bilansowa nie przekracza 10 mln euro - wtedy co do zasady ustawa jej nie obejmuje,
- część podmiotów podlega ustawie niezależnie od wielkości, np. dostawcy usług DNS i dostawcy usług zaufania,
- firmy i urzędy objęte przepisami od 3 kwietnia 2026 co do zasady wdrażają obowiązki najpóźniej do 3 kwietnia 2027, z wyjątkami opisanymi niżej,
- incydent poważny co do zasady zgłasza się do CSIRT niezwłocznie, najpóźniej w 24 godziny (wczesne ostrzeżenie) i 72 godziny (zgłoszenie) od wykrycia.
Co jest w nagraniu: NIS2 to dyrektywa unijna, którą w Polsce wdraża znowelizowana ustawa o KSC, obowiązująca od 3 kwietnia 2026. Nagranie wyjaśnia podział na podmioty kluczowe i ważne, kryteria wielkości i sektora, główne wyjątki, terminy oraz kary. Szczegóły i pozostałe wyjątki opisujemy niżej.
Czym jest NIS2 i ustawa o KSC?
NIS2 to dyrektywa Parlamentu Europejskiego i Rady (UE) 2022/2555, która podnosi wymagania cyberbezpieczeństwa dla ważnych dla gospodarki sektorów. Dyrektywa nie działa w firmie bezpośrednio - obowiązki wynikają z polskiej ustawy o KSC, którą nowelizacja z 23 stycznia 2026 dostosowała do NIS2. Ustawa dzieli objęte nią firmy i instytucje na podmioty kluczowe i podmioty ważne. Obie grupy mają w dużej mierze te same obowiązki, a różnią się wysokością kar, zakresem nadzoru i obowiązkiem audytu.
Kogo dotyczy NIS2? Trzy pytania
1. Czy firma działa w sektorze z załącznika do ustawy?
Ustawa wymienia sektory w dwóch załącznikach. Sam sektor nie przesądza jeszcze o statusie - decyduje połączenie sektora i wielkości (art. 5 ustawy).
| Załącznik 1 - sektory kluczowe | Załącznik 2 - sektory ważne |
|---|---|
| energia (m.in. energia elektryczna, ciepło, ropa i paliwa, gaz, wodór) | usługi pocztowe |
| transport (lotniczy, kolejowy, wodny, drogowy) | gospodarowanie odpadami |
| bankowość i infrastruktura rynków finansowych | chemikalia |
| ochrona zdrowia | żywność (produkcja, przetwarzanie i dystrybucja) |
| zaopatrzenie w wodę pitną i zbiorowe odprowadzanie ścieków | produkcja (m.in. wyroby medyczne, komputery i elektronika, urządzenia elektryczne, maszyny, pojazdy) |
| infrastruktura cyfrowa, w tym komunikacja elektroniczna | dostawcy usług cyfrowych |
| zarządzanie usługami ICT | badania naukowe |
| przestrzeń kosmiczna | inwestycje energetyki jądrowej |
| podmioty publiczne | podmioty publiczne |
Przy sektorze warto czytać dokładny opis rodzaju działalności w załączniku. Według FAQ Ministerstwa Cyfryzacji np. restauracje nie są podmiotami ważnymi w sektorze żywności, bo nie prowadzą dystrybucji hurtowej ani przemysłowej produkcji żywności.
2. Czy firma jest co najmniej średnia?
Ustawa nie podaje własnych progów, tylko odsyła do definicji z załącznika I do rozporządzenia Komisji (UE) nr 651/2014. Ten załącznik mówi:
- małe przedsiębiorstwo zatrudnia mniej niż 50 pracowników, a jego roczny obrót lub roczna suma bilansowa nie przekracza 10 mln euro,
- MŚP (mikro, małe i średnie) zatrudniają mniej niż 250 pracowników, a ich roczny obrót nie przekracza 50 mln euro lub roczna suma bilansowa nie przekracza 43 mln euro.
Z tych brzmień wynikają progi w praktyce:
| Kategoria | Kiedy firma się w niej mieści |
|---|---|
| mała (lub mikro) | mniej niż 50 pracowników i obrót lub suma bilansowa do 10 mln euro |
| średnia | nie jest mała, ma mniej niż 250 pracowników i obrót do 50 mln euro lub sumę bilansową do 43 mln euro |
| duża | 250 pracowników lub więcej albo jednocześnie obrót powyżej 50 mln euro i suma bilansowa powyżej 43 mln euro |
Liczbę personelu ustala się w rocznych jednostkach pracy (RJP), a nie przez proste zliczenie osób - o tym niżej.
Spójnik „lub” w definicji ma znaczenie. Z brzmienia przepisu wynika, że wystarczy, by jeden z dwóch wskaźników finansowych mieścił się w progu. Przykład: firma ma 40 pracowników, 12 mln euro obrotu i 8 mln euro sumy bilansowej. Obrót przekracza próg, ale suma bilansowa nie, więc firma pozostaje mała i co do zasady ustawa jej nie obejmuje.
Przy liczeniu obowiązuje jeszcze pięć zasad:
- dzień oceny - status zależny od wielkości ocenia się według stanu na dzień sporządzenia sprawozdania finansowego (art. 5 ust. 5),
- reguła dwóch lat - firma zyskuje albo traci status średniej dopiero wtedy, gdy przekroczy progi (albo spadnie poniżej nich) w dwóch kolejnych okresach obrachunkowych (art. 4 ust. 2 załącznika I). Według FAQ Ministerstwa Cyfryzacji, jeśli firma przekroczyła próg pierwszy raz za rok obrotowy 2026, staje się średnia dopiero, gdy przekroczenie powtórzy się za rok obrotowy 2027,
- firmy powiązane i partnerskie - dane firm powiązanych dolicza się w całości, a partnerskich proporcjonalnie do udziału w kapitale lub prawach głosu - zależnie od tego, który jest większy - bez podwójnego liczenia danych już ujętych w skonsolidowanym sprawozdaniu (art. 6 załącznika I). Ustawa zawiera wyjątek dla firm, których system informacyjny jest niezależny od systemów tych firm albo które nie świadczą z nimi usług wspólnie: jeśli tylko dzięki doliczeniu przewyższają kryteria średniego przedsiębiorstwa, nie są z tego powodu podmiotem kluczowym, a jeśli tylko dzięki doliczeniu spełniają kryteria średniego - nie są podmiotem ważnym (art. 5 ust. 6 i 7),
- udział publiczny - ustawa wyłącza przepis załącznika I, według którego firma kontrolowana w 25% lub więcej przez organ publiczny nie jest MŚP (art. 5 ust. 3), więc sam taki udział nie robi z firmy dużego przedsiębiorstwa,
- jak liczyć personel - w rocznych jednostkach pracy: praca w niepełnym wymiarze, przez część roku albo sezonowa liczy się jako część jednostki (art. 5 załącznika I). Według FAQ Ministerstwa Cyfryzacji do personelu wlicza się m.in. osoby pracujące na umowie zlecenia i umowie agencyjnej, nie tylko pracowników na etacie.
3. Kluczowy czy ważny?
Gdy firma jest w sektorze z załącznika i ma co najmniej średnią wielkość, zasadę ogólną pokazuje tabela (art. 5 ust. 1 pkt 1 i ust. 2 pkt 1-2). Wyjątki, m.in. dla komunikacji elektronicznej i usług zarządzanych w zakresie cyberbezpieczeństwa, opisujemy niżej.
| Sektor | Firma średnia | Firma duża |
|---|---|---|
| załącznik 1 (sektory kluczowe) | podmiot ważny | podmiot kluczowy |
| załącznik 2 (sektory ważne) | podmiot ważny | podmiot ważny |
Firma, która spełnia przesłanki obu kategorii, jest podmiotem kluczowym (art. 5 ust. 4).
Kto podlega ustawie niezależnie od wielkości?
Ta lista zaskakuje najczęściej, bo obejmuje także małe firmy:
- zawsze podmiot kluczowy (art. 5 ust. 1 pkt 4): dostawca usług DNS, kwalifikowany dostawca usług zaufania, podmiot krytyczny, rejestr nazw domen najwyższego poziomu, podmiot świadczący usługi rejestracji nazw domen, operator obiektu energetyki jądrowej, podmiot publiczny z załącznika 1 oraz podmiot niebędący przedsiębiorcą wskazany w załączniku 1 (z zastrzeżeniem reguły dla podmiotów leczniczych opisanej niżej),
- dostawca usług zarządzanych w zakresie cyberbezpieczeństwa - podmiot kluczowy już wtedy, gdy jest małym przedsiębiorcą (art. 5 ust. 1 pkt 3),
- przedsiębiorca komunikacji elektronicznej - kluczowy od wielkości średniej, a jako mikro- lub mała firma - ważny (art. 5 ust. 1 pkt 2 i ust. 2 pkt 4),
- niekwalifikowany dostawca usług zaufania - podmiot ważny, jeśli jest mikro-, małym albo średnim przedsiębiorcą,
- inwestor obiektu energetyki jądrowej, który uzyskał decyzję zasadniczą, oraz podmiot niebędący przedsiębiorcą wskazany w załączniku 2 - podmiot ważny niezależnie od wielkości (art. 5 ust. 2 pkt 5 i 7),
- podmiot leczniczy, który nie jest przedsiębiorcą - ważny przy 50-249 osobach, kluczowy od 250 osób (art. 5 ust. 8).
Do tego organ właściwy może decyzją uznać za podmiot kluczowy albo ważny firmę z sektora z załącznika, która nie spełnia progów - np. gdy jest jedynym dostawcą usługi krytycznej albo zakłócenie jej usługi miałoby poważne skutki (art. 7l). Firma z załącznika 1 staje się wtedy podmiotem kluczowym, a z załącznika 2 - ważnym. Na wdrożenie obowiązków ma 12 miesięcy, a na pierwszy audyt 24 miesiące od doręczenia decyzji - także jako podmiot ważny (art. 7l ust. 7).
Czy NIS2 dotyczy małych firm?
Co do zasady nie. Mikro- i mała firma z sektora z załącznika, która nie mieści się w żadnej kategorii z listy powyżej i nie dostała decyzji z art. 7l, nie jest ani podmiotem kluczowym, ani ważnym.
Mała firma może jednak odczuć ustawę pośrednio. Podmioty kluczowe i ważne muszą w ramach systemu zarządzania bezpieczeństwem informacji zadbać o bezpieczeństwo łańcucha dostaw (art. 8 ust. 1 pkt 2 lit. e). Nasz wniosek: dostawcy usług IT, oprogramowania czy serwisu dla takich firm będą coraz częściej dostawać pytania o zabezpieczenia i szkolenia pracowników, także w umowach.
Urzędy i samorządy
Ustawa obejmuje podmioty publiczne bez progu wielkości firmy, ale z własnymi zasadami dla samorządu:
- starostwo powiatowe jest zawsze podmiotem kluczowym,
- urząd gminy jest podmiotem kluczowym, jeżeli 1 stycznia danego roku zatrudnia na umowę o pracę co najmniej 50 osób w przeliczeniu na pełne etaty; według FAQ Ministerstwa Cyfryzacji mniejsze urzędy gmin są podmiotami ważnymi,
- w samorządzie województwa podmiotami kluczowymi są jego jednostki i zakłady budżetowe (z wyjątkami, np. wojewódzkie urzędy pracy),
- inne samorządowe jednostki i zakłady budżetowe, instytucje kultury oraz spółki komunalne wykonujące zadania o charakterze użyteczności publicznej są podmiotami ważnymi, jeżeli realizują zadania publiczne z wykorzystaniem systemów informacyjnych (art. 5 ust. 2 pkt 8).
Podmiot publiczny wykonuje główne obowiązki z ustawy, m.in. dotyczące systemu bezpieczeństwa i zgłaszania incydentów, jeżeli wykorzystuje system informacyjny do realizacji zadania publicznego (art. 16d). Podmioty publiczne wpisuje do wykazu minister z urzędu (art. 7a ust. 2), a urząd uzupełnia brakujące dane w 6 miesięcy od doręczenia wezwania. Podmiot ważny publiczny wdraża system zarządzania bezpieczeństwem informacji według wymagań z załącznika 4 do ustawy (art. 8 ust. 3) i przy incydencie przekazuje tylko zgłoszenie, bez wczesnego ostrzeżenia i sprawozdań (art. 12c). Dla urzędów przygotowaliśmy wersję kursu cyberbezpieczeństwa dla urzędów (JST), z przykładami z gminy i przepisami dla administracji.
Nie masz pewności, czy Twoja firma podlega ustawie? Sprawdź ją w 4 pytaniach w bezpłatnym teście NIS2/KSC - wynik od razu, bez rejestracji.
Jakie obowiązki nakłada ustawa o KSC?
Poniższe zasady stosuje się z uwzględnieniem odrębności podmiotów publicznych, opisanych wyżej, oraz sektora bankowości i infrastruktury rynków finansowych (art. 8i), opisanego niżej.
Wpis do wykazu. Podmiot kluczowy i ważny składa wniosek o wpis do wykazu podmiotów kluczowych i ważnych w 6 miesięcy od spełnienia przesłanek (art. 7c ust. 1). Przedsiębiorców telekomunikacyjnych, dostawców usług zaufania, podmioty publiczne i podmioty krytyczne minister wpisuje z urzędu. Gdy zmienią się dane we wpisie, wniosek o zmianę wpisu trzeba złożyć w 14 dni od zmiany (art. 7c ust. 3). Wnioski składa się w systemie teleinformatycznym S46.
System zarządzania bezpieczeństwem informacji. To centralny obowiązek (art. 8). Obejmuje systematyczne szacowanie ryzyka i środki techniczne oraz organizacyjne proporcjonalne do tego ryzyka, m.in.:
- polityki bezpieczeństwa systemu informacyjnego i kontroli dostępu,
- bezpieczeństwo fizyczne, zasobów ludzkich i łańcucha dostaw,
- plany ciągłości działania i odtworzenia działalności,
- monitorowanie systemu w trybie ciągłym i ocenę skuteczności środków,
- edukację z zakresu cyberbezpieczeństwa dla personelu i podstawowe zasady cyberhigieny,
- kryptografię, bezpieczną komunikację i uwierzytelnianie wieloskładnikowe w stosownych przypadkach.
Obowiązki kierownika. Kierownik podejmuje decyzje dotyczące systemu bezpieczeństwa, planuje na niego środki finansowe i odpowiada za wykonanie obowiązków, także gdy powierzy je innej osobie (art. 8c i 8d). Raz w roku kalendarzowym przechodzi szkolenie - tak samo osoba, której powierzył obowiązki kierownika w zakresie cyberbezpieczeństwa - a udział trzeba udokumentować (art. 8e). W spółce z zarządem kierownikami są członkowie zarządu.
Zgłaszanie incydentów. Podmiot klasyfikuje incydent jako poważny według progów uznawania incydentu za poważny, a potem dotrzymuje terminów z art. 11. Firm z sektora bankowości i infrastruktury rynków finansowych te przepisy nie obejmują (art. 8i).
| Etap | Termin | Kogo dotyczy |
|---|---|---|
| wczesne ostrzeżenie | niezwłocznie, nie później niż w 24 godziny od wykrycia incydentu | podmioty kluczowe i ważne, poza ważnymi publicznymi |
| zgłoszenie incydentu poważnego | niezwłocznie, nie później niż w 72 godziny od wykrycia | podmioty kluczowe i ważne (dostawca usług zaufania - w 24 godziny) |
| sprawozdanie okresowe | na wniosek CSIRT | podmioty kluczowe i ważne, poza ważnymi publicznymi |
| sprawozdanie końcowe | nie później niż w miesiąc od zgłoszenia; jeśli obsługa jeszcze trwa - sprawozdanie z postępu, a końcowe w miesiąc od zakończenia obsługi | podmioty kluczowe i ważne, poza ważnymi publicznymi |
Dostawca usług zaufania zgłasza incydent poważny niezwłocznie, nie później niż w 24 godziny od wykrycia. Zgłoszenia trafiają przez system S46 do właściwego CSIRT sektorowego, a do czasu ogłoszenia komunikatu o osiągnięciu przez niego zdolności operacyjnej - do CSIRT MON, CSIRT NASK albo CSIRT GOV (art. 44 ustawy zmieniającej).
Audyt. Podmiot kluczowy przeprowadza na własny koszt, co najmniej raz na 3 lata, licząc od sporządzenia i podpisania raportu z ostatniego audytu, audyt bezpieczeństwa systemu informacyjnego, w którym świadczy usługę (art. 15). Podmiot ważny co do zasady nie ma obowiązku cyklicznego audytu. Pierwszy audyt musi jednak przeprowadzić podmiot uznany decyzją na podstawie art. 7l, zgodnie z ust. 7 tego artykułu. Ponadto organ może nakazać podmiotowi ważnemu audyt po incydencie poważnym albo innym naruszeniu ustawy.
Terminy: do kiedy trzeba się dostosować?
| Obowiązek | Podmioty objęte od 3 kwietnia 2026 | Podmioty, które spełnią przesłanki później |
|---|---|---|
| wniosek o wpis do wykazu | do 3 października 2026 (według FAQ Ministerstwa Cyfryzacji; termin minął) | 6 miesięcy od spełnienia przesłanek |
| zmiana danych we wpisie | 14 dni od zmiany | 14 dni od zmiany |
| obowiązki z rozdziału 3 (m.in. system bezpieczeństwa, szkolenie kierownika, zgłaszanie incydentów) | do 3 kwietnia 2027 | 12 miesięcy od spełnienia przesłanek |
| pierwszy audyt podmiotu kluczowego | do 3 kwietnia 2028 | 24 miesiące od spełnienia przesłanek |
Zastrzeżenia do tej tabeli. Dawni operatorzy usług kluczowych zgłaszają incydenty według nowych zasad najpóźniej od 3 października 2026, a do czasu wdrożenia nowego systemu stosują system bezpieczeństwa według dotychczasowych przepisów; przedsiębiorcy telekomunikacyjni do tego czasu wykonują dotychczasowe obowiązki z Prawa telekomunikacyjnego (art. 33 ust. 4-6 ustawy zmieniającej). Okres dostosowawczy nie zawiesza więc dotychczasowych obowiązków. Termin pierwszego audytu do 3 kwietnia 2028 według FAQ Ministerstwa Cyfryzacji nie dotyczy dawnych operatorów usług kluczowych, którzy już wykonali audyt - zachowują dotychczasowy cykl co najmniej raz na 3 lata od ostatniego raportu (art. 25 ustawy zmieniającej). Dla podmiotów uznanych decyzją na podstawie art. 7l terminy 12 i 24 miesięcy biegną od doręczenia decyzji; termin pierwszego audytu obejmuje również podmiot ważny. Podmioty wpisane z urzędu, w tym urzędy, nie składają wniosku o wpis, tylko uzupełniają dane w 6 miesięcy od doręczenia wezwania. Jeśli Twoja firma spełniała przesłanki 3 kwietnia 2026, podlegała obowiązkowi złożenia wniosku i dotąd go nie złożyła, zrób to niezwłocznie - według FAQ Ministerstwa Cyfryzacji samorejestracja w wykazie jest dostępna cały czas.
Kary za naruszenie ustawy o KSC
| Kto | Górna granica kary | Dolna granica |
|---|---|---|
| podmiot kluczowy | 10 mln euro albo 2% przychodów z działalności gospodarczej z poprzedniego roku obrotowego - stosuje się kwotę wyższą (art. 73 ust. 3) | 20 000 zł |
| podmiot ważny | 7 mln euro lub 1,4% przychodów (art. 73 ust. 4) | 15 000 zł |
| kierownik podmiotu | 300% wynagrodzenia liczonego jak ekwiwalent za urlop; w podmiocie publicznym co do zasady 100% (art. 73a) | - |
| naruszenie powodujące m.in. bezpośrednie i poważne cyberzagrożenie dla bezpieczeństwa państwa albo życia i zdrowia ludzi | 100 mln zł (art. 73 ust. 5) | - |
Oprócz kar organ może nakazać zaniechanie naruszeń. Gdy podmiot kluczowy nie wykona nakazu, organ może wstrzymać jego koncesję lub zezwolenie albo zakazać kierownikowi pełnienia funkcji zarządczych do czasu usunięcia uchybień (art. 53 ust. 9). Tych środków nie stosuje się wobec podmiotów ważnych i publicznych.
Kary pieniężne organ może nałożyć po raz pierwszy po 3 kwietnia 2028 (art. 35 ustawy zmieniającej), ale obowiązki trzeba wykonać w terminach z tabeli wyżej. Przepis o karencji wymienia tylko kary pieniężne, nie środki nadzoru. Według FAQ Ministerstwa Cyfryzacji karencja nie obejmuje też kary do 100 mln zł.
NIS2 a RODO i DORA
Ustawa o KSC nie zastępuje RODO. RODO chroni dane osobowe, ustawa o KSC - bezpieczeństwo sieci i systemów informacyjnych. Jeden incydent może wymagać dwóch zgłoszeń: do CSIRT według ustawy o KSC i do Prezesa UODO na zasadach RODO, jeśli doszło do naruszenia ochrony danych osobowych. Ustawa przewiduje, że system S46 będzie wspierał także zgłaszanie naruszeń z art. 33 RODO - minister ma uruchomić tę funkcję do 3 kwietnia 2027 (art. 36 ustawy zmieniającej). Gdy Prezes UODO prawomocnie ukarze podmiot za ten sam czyn, organ KSC nie wszczyna już postępowania w sprawie kary (art. 76c).
Firm z sektora bankowości i infrastruktury rynków finansowych nie obejmują przepisy ustawy o systemie zarządzania bezpieczeństwem informacji i zgłaszaniu poważnych incydentów. Stosują one tylko wybrane przepisy, m.in. o wpisie do wykazu, szacowaniu ryzyka i cyberhigienie, a przepisy o kierowniku i jego szkoleniu - odpowiednio (art. 8i).
Jak sprawdzić, czy ustawa Cię dotyczy - w 5 krokach
- Znajdź rodzaj działalności firmy w załączniku 1 albo 2 do ustawy o KSC.
- Sprawdź, czy firma nie jest na liście podmiotów objętych niezależnie od wielkości.
- Ustal personel w rocznych jednostkach pracy (według FAQ Ministerstwa Cyfryzacji także osoby na zleceniu i umowie agencyjnej) oraz obrót i sumę bilansową z ostatniego sprawozdania finansowego, z doliczeniem firm powiązanych (w całości) i partnerskich (proporcjonalnie).
- Porównaj dane z progami z tabeli i sprawdź regułę dwóch lat.
- Ustal status (kluczowy albo ważny), a jeśli firma podlega ustawie - sprawdź wpis w wykazie i zaplanuj wdrożenie obowiązków.
Kroki 1, 2 i 4 w uproszczeniu przeprowadzi bezpłatny test NIS2/KSC.
Od czego zacząć wdrożenie?
Naszym zdaniem najszybszym do wdrożenia elementem systemu bezpieczeństwa jest zwykle edukacja personelu, którą ustawa wymienia wprost wśród środków zarządzania ryzykiem (art. 8 ust. 1 pkt 2 lit. i). Szkolenie kierownika z art. 8e to osobny obowiązek. Nasze szkolenie Cyberbezpieczeństwo dla pracowników i menedżerów kończy się certyfikatem, a platforma prowadzi rejestr ukończeń, który pomaga udokumentować szkolenia. Zanim zdecydujesz, sprawdź kurs samodzielnie w demie - zobaczysz dokładnie to, co zobaczą pracownicy. Przykład tematu, który warto dziś objąć szkoleniem, opisaliśmy osobno: bezpieczne korzystanie z AI w pracy i ukryte polecenia w plikach.
Ten materiał ma charakter informacyjny i nie stanowi porady prawnej. Ostateczną kwalifikację i zakres obowiązków warto potwierdzić z prawnikiem lub działem compliance. Stan prawny: 8 października 2026 - ustawa z 5 lipca 2018 o krajowym systemie cyberbezpieczeństwa (t.j. Dz.U. 2026 poz. 20, ze zm.: poz. 252, 815, 1003 i 1206), rozporządzenie Komisji (UE) nr 651/2014 (załącznik I), FAQ Ministerstwa Cyfryzacji (aktualizacja z października 2026).
Najczęstsze pytania
Kogo dotyczy NIS2 w Polsce?
Dyrektywę NIS2 wdraża w Polsce ustawa o krajowym systemie cyberbezpieczeństwa (KSC). Co do zasady obejmuje średnie i duże firmy z sektorów wymienionych w załącznikach 1 i 2 do ustawy, m.in. energetyki, transportu, ochrony zdrowia, bankowości, wody, infrastruktury cyfrowej, gospodarki odpadami, żywności i produkcji. Obejmuje też podmioty publiczne, w tym urzędy, oraz część podmiotów niezależnie od wielkości, np. dostawców usług DNS i dostawców usług zaufania.
Od jakiej wielkości firma podlega NIS2?
Co do zasady od średniego przedsiębiorstwa w rozumieniu załącznika I do rozporządzenia 651/2014. Firma z mniej niż 50 pracownikami jest mała, jeśli jej roczny obrót lub roczna suma bilansowa nie przekracza 10 mln euro. Średnia jest więc firma, która ma co najmniej 50 pracowników albo przekracza 10 mln euro jednocześnie obrotem i sumą bilansową (i nie jest duża). Personel liczy się w rocznych jednostkach pracy. Dane przedsiębiorstw powiązanych dolicza się w całości, a partnerskich proporcjonalnie do większego z udziałów (w kapitale albo prawach głosu), z wyjątkami z art. 5 ust. 6 i 7 ustawy. Status zmienia się dopiero, gdy progi są przekroczone w dwóch kolejnych okresach obrachunkowych.
Czy NIS2 dotyczy małych firm?
Co do zasady nie: mikro- i małe firmy z sektorów z załączników nie są podmiotami kluczowymi ani ważnymi. Wyjątki dotyczą m.in. dostawców usług DNS, rejestrów domen najwyższego poziomu, firm rejestrujących domeny, dostawców usług zaufania, małych przedsiębiorców komunikacji elektronicznej i inwestorów obiektu energetyki jądrowej z decyzją zasadniczą. Mała firma świadcząca usługi zarządzane w zakresie cyberbezpieczeństwa jest podmiotem kluczowym. Organ może też uznać małą firmę za podmiot kluczowy albo ważny decyzją.
W jakim terminie trzeba zgłosić incydent poważny?
Co do zasady wczesne ostrzeżenie przekazuje się do właściwego CSIRT niezwłocznie, nie później niż w 24 godziny od wykrycia incydentu, a zgłoszenie incydentu poważnego - niezwłocznie, nie później niż w 72 godziny od wykrycia. Dostawca usług zaufania zgłasza incydent poważny niezwłocznie, nie później niż w 24 godziny. Sprawozdanie końcowe składa się nie później niż w miesiąc od zgłoszenia; jeśli obsługa incydentu nadal trwa, składa się sprawozdanie z postępu, a końcowe w miesiąc od zakończenia obsługi. Podmiot ważny, który jest podmiotem publicznym, przekazuje tylko zgłoszenie, bez wczesnego ostrzeżenia i sprawozdań. Firm z sektora bankowości i infrastruktury rynków finansowych te przepisy nie obejmują (art. 8i).
Do kiedy trzeba się dostosować do ustawy o KSC?
Firmy i urzędy, które spełniały przesłanki 3 kwietnia 2026, muszą wdrożyć obowiązki z rozdziału 3 ustawy najpóźniej do 3 kwietnia 2027, a podmiot kluczowy przeprowadzić pierwszy audyt do 3 kwietnia 2028. Według FAQ Ministerstwa Cyfryzacji dawni operatorzy usług kluczowych, którzy wykonali już audyt, zachowują dotychczasowy cykl audytów (co najmniej raz na 3 lata od ostatniego raportu), a nowe zasady zgłaszania incydentów stosują najpóźniej od 3 października 2026. Podmioty nieobjęte wpisem z urzędu miały złożyć wniosek o wpis do 3 października 2026 (według FAQ Ministerstwa Cyfryzacji); podmioty objęte wpisem z urzędu, w tym urzędy, uzupełniają dane w 6 miesięcy od doręczenia wezwania. Kto spełni przesłanki później, ma od tego dnia najpóźniej 6 miesięcy na wniosek o wpis, 12 miesięcy na wdrożenie obowiązków, a podmiot kluczowy 24 miesiące na pierwszy audyt. Dla podmiotów uznanych decyzją obowiązują szczególne zasady opisane przy art. 7l.
Jakie kary grożą za naruszenie ustawy o KSC?
Podmiotowi kluczowemu grozi kara do 10 mln euro albo do 2% przychodów z działalności gospodarczej z poprzedniego roku obrotowego (stosuje się kwotę wyższą), nie mniej niż 20 000 zł. Podmiotowi ważnemu do 7 mln euro lub 1,4% przychodów, nie mniej niż 15 000 zł. Kierownikowi podmiotu do 300% wynagrodzenia liczonego jak ekwiwalent za urlop, w podmiocie publicznym co do zasady do 100%. Kary pieniężne można nałożyć po raz pierwszy po 3 kwietnia 2028, z wyjątkiem kary do 100 mln zł, której według FAQ Ministerstwa Cyfryzacji karencja nie obejmuje.
Czym różni się podmiot kluczowy od podmiotu ważnego?
Wysokością kar, zakresem nadzoru i audytem. Nad podmiotem kluczowym organ sprawuje nadzór prewencyjny i następczy, nad ważnym tylko następczy. Tylko podmiot kluczowy musi co najmniej raz na 3 lata przeprowadzić audyt bezpieczeństwa. Wpis do wykazu, system zarządzania bezpieczeństwem informacji, zgłaszanie incydentów i obowiązki kierownika dotyczą obu kategorii, przy czym podmiot ważny publiczny stosuje węższe wymogi, a sektor bankowości i infrastruktury rynków finansowych - odrębne zasady z art. 8i.
Chcesz zobaczyć kurs, zanim zdecydujesz?Dwie pełne lekcje i symulacja decyzyjna, bez zakładania konta.
Uruchom demo kursu
