Krótka odpowiedź
Twoja firma podlega NIS2, jeśli spełnia dwa warunki jednocześnie: działa w jednym z objętych sektorów i przekracza próg wielkości — co do zasady od 50 pracowników albo powyżej 10 mln EUR rocznego obrotu lub sumy bilansowej. W Polsce konkretne obowiązki wynikają z nowelizacji ustawy o krajowym systemie cyberbezpieczeństwa (UKSC), która weszła w życie 3 kwietnia 2026 r. Część podmiotów — między innymi dostawcy usług zaufania, rejestry nazw domen czy dostawcy publicznych sieci łączności elektronicznej — podlega niezależnie od wielkości. Ocenę przeprowadza się samodzielnie: to firma ma ustalić, czy jest podmiotem kluczowym lub ważnym, i złożyć wniosek o wpis do wykazu w terminie do 3 października 2026 r.
Kluczowe fakty
Nowelizacja UKSC (Dz.U. 2026 poz. 252) weszła w życie 3 kwietnia 2026 r. — to ona, a nie sama dyrektywa, jest w Polsce podstawą obowiązków, kontroli i kar.
Wniosek o wpis do wykazu podmiotów kluczowych i ważnych trzeba złożyć do 3 października 2026 r.
Środki zarządzania ryzykiem trzeba wdrożyć do 3 kwietnia 2027 r., a pierwszy obowiązkowy audyt podmiotu kluczowego przeprowadzić do 3 kwietnia 2028 r. i potem co trzy lata.
Próg wielkości to co do zasady 50 pracowników albo powyżej 10 mln EUR rocznego obrotu lub sumy bilansowej — ale część podmiotów jest objęta niezależnie od wielkości.
Kary sięgają 10 mln EUR lub 2% światowego rocznego obrotu dla podmiotów kluczowych oraz 7 mln EUR lub 1,4% obrotu dla podmiotów ważnych.
01
Krok 1: sprawdź, czy Twój sektor jest na liście
Pierwsze kryterium jest sektorowe i działa zero-jedynkowo: albo rodzaj Twojej działalności znajduje się w katalogu, albo nie. Katalog dzieli się na dwie grupy — sektory kluczowe (o szczególnie wysokiej krytyczności) oraz pozostałe sektory krytyczne. Przynależność do grupy wpływa później na kategorię podmiotu i sposób nadzoru.
Zakres jest wyraźnie szerszy niż w poprzedniej dyrektywie. Po raz pierwszy w obowiązkach cyberbezpieczeństwa znalazły się między innymi produkcja, gospodarowanie odpadami, branża spożywcza i usługi kurierskie — czyli firmy, które nigdy nie uważały się za infrastrukturę krytyczną.
- Sektory kluczowe: energetyka, transport, bankowość, infrastruktura rynków finansowych, ochrona zdrowia, woda pitna, ścieki, infrastruktura cyfrowa, zarządzanie usługami ICT, administracja publiczna, przestrzeń kosmiczna.
- Pozostałe sektory krytyczne: usługi pocztowe i kurierskie, gospodarowanie odpadami, chemikalia, żywność, produkcja (m.in. wyroby medyczne, elektronika, maszyny, pojazdy), dostawcy usług cyfrowych, badania naukowe.
- Liczy się faktyczny rodzaj działalności, a nie nazwa firmy ani kod PKD wpisany kiedyś do rejestru.
Zobacz też
02
Krok 2: policz, czy przekraczasz próg wielkości
Drugie kryterium to skala działalności. Co do zasady w zakresie znajdują się organizacje co najmniej średnie, czyli takie, które zatrudniają od 50 osób albo mają powyżej 10 mln EUR rocznego obrotu lub sumy bilansowej. Firmy mniejsze zwykle są poza zakresem — chyba że łapie je któryś z wyjątków opisanych w kroku 3.
Wielkość decyduje też o kategorii. Duże przedsiębiorstwo (od 250 pracowników albo obrót powyżej 50 mln EUR i suma bilansowa powyżej 43 mln EUR) działające w sektorze kluczowym będzie zwykle podmiotem kluczowym. Pozostałe objęte organizacje trafiają do kategorii podmiotów ważnych.
- Podmiot kluczowy — nadzór proaktywny, organ może kontrolować z własnej inicjatywy, wyższe kary, obowiązkowy audyt cykliczny.
- Podmiot ważny — nadzór następczy, zwykle po incydencie lub sygnale nieprawidłowości.
- Obowiązki merytoryczne w obu kategoriach są zasadniczo takie same — różni je tryb nadzoru i sankcje.
03
Krok 3: sprawdź wyjątki, w których wielkość nie ma znaczenia
To miejsce, w którym najczęściej myli się firma licząca wyłącznie etaty. Przepisy wskazują kategorie podmiotów objętych obowiązkami bez względu na liczbę pracowników i obrót — bo o ich znaczeniu decyduje pełniona rola, a nie skala.
Jeżeli rozpoznajesz się w którymkolwiek z poniższych punktów, sama wielkość Cię nie wyłącza i ocenę trzeba przeprowadzić do końca.
- Dostawcy usług zaufania, rejestry nazw domen najwyższego poziomu i dostawcy usług DNS.
- Dostawcy publicznych sieci łączności elektronicznej i publicznie dostępnych usług komunikacji elektronicznej.
- Podmioty administracji publicznej objęte ustawą.
- Podmiot będący jedynym w kraju dostawcą usługi kluczowej dla działalności społecznej lub gospodarczej.
- Podmiot, którego zakłócenie działania mogłoby wywołać istotne skutki dla bezpieczeństwa publicznego lub zdrowia.
04
Krok 4: udokumentuj samoocenę, zanim zrobi to za Ciebie organ
Ustawa nie przewiduje, że ktoś przyśle Ci zawiadomienie o objęciu przepisami. Ocena jest samodzielna — firma sama ustala swój status i sama składa wniosek o wpis do wykazu podmiotów kluczowych i ważnych prowadzonego przez ministra właściwego do spraw informatyzacji.
Z tego wynika praktyczny wniosek, który umyka wielu zarządom: wartość ma nie tylko wynik oceny, ale i ślad po niej. Jeśli uznajesz, że nie podlegasz, ten wniosek też trzeba umieć uzasadnić — datą, danymi i podpisem osoby, która go zatwierdziła.
- Zapisz, jaki rodzaj działalności badałeś i do której pozycji katalogu go przypisałeś.
- Zapisz dane, na których liczyłeś próg: zatrudnienie, obrót, sumę bilansową i rok, z którego pochodzą.
- Wskaż wprost, czy sprawdzono wyjątki niezależne od wielkości.
- Zatwierdź ocenę na poziomie kierownictwa i wyznacz termin jej przeglądu — status zmienia się razem z firmą.
05
Nie podlegam bezpośrednio — dlaczego i tak dostaję pytania od klientów
Bycie poza zakresem nie oznacza, że temat Cię omija. NIS2 nakłada na objęte firmy obowiązek zarządzania bezpieczeństwem łańcucha dostaw, a te przenoszą wymagania na dostawców — umowami, ankietami bezpieczeństwa i klauzulami o zgłaszaniu incydentów.
W efekcie mniejszy dostawca oprogramowania czy usług serwisowych odczuwa NIS2 nie jako obowiązek ustawowy, lecz jako warunek utrzymania kontraktu. Dla wielu firm to silniejszy bodziec niż sama regulacja — bo działa od razu i ma cenę wyrażoną w utraconym przetargu.
- Wymagania trafiają do umów: poziomy bezpieczeństwa, prawo do audytu, terminy powiadamiania o incydentach.
- Ankiety bezpieczeństwa od kontrahentów stają się rutyną, a odpowiedzi bywają weryfikowane.
- Firma przygotowana odpowiada w kilka dni; nieprzygotowana negocjuje warunki, których nie umie spełnić.
06
Podlegam. Co teraz — kalendarz UKSC do 2028 roku
Nowelizacja rozłożyła obowiązki w czasie, więc firma, która zaczyna dzisiaj, wciąż mieści się w harmonogramie. Najbliższy termin jest jednak formalny i krótki: wpis do wykazu.
Kolejne kamienie milowe dotyczą już nie papieru, lecz realnego stanu bezpieczeństwa — i to one wymagają pracy rozłożonej na miesiące, a nie tygodnie.
- Do 3 października 2026 r. — wniosek o wpis do wykazu podmiotów kluczowych i ważnych.
- Do 3 kwietnia 2027 r. — wdrożone środki zarządzania ryzykiem i procedury zgłaszania incydentów.
- Do 3 kwietnia 2028 r. — pierwszy obowiązkowy audyt podmiotu kluczowego, następnie co trzy lata.
- Po 3 kwietnia 2028 r. — możliwość nakładania kar administracyjnych przewidzianych ustawą.
07
Trzy błędy, które psują ocenę zakresu
Ocena zakresu wygląda na formalność, dopóki nie okaże się, że oparto ją na złych danych. Poniższe trzy pomyłki widać najczęściej i każda z nich potrafi przesunąć firmę o całą kategorię.
- Liczenie samej spółki zamiast grupy — przy powiązaniach kapitałowych dane spółek trzeba zsumować zgodnie z zasadami ustalania wielkości przedsiębiorstwa.
- Ocena raz i na zawsze — przekroczenie progu zatrudnienia albo przejęcie nowej działalności zmienia status.
- Pominięcie działalności pobocznej — do zakresu wchodzi się przez rzeczywiście świadczoną usługę, nawet jeśli stanowi ona ułamek przychodu.
FAQ
Najczęstsze pytania
Co do zasady nie — próg wielkości zaczyna się od 50 pracowników albo powyżej 10 mln EUR rocznego obrotu lub sumy bilansowej. Wyjątkiem są podmioty objęte niezależnie od wielkości, m.in. dostawcy usług zaufania, rejestry nazw domen, dostawcy DNS i publicznych sieci łączności elektronicznej, a także jedyny w kraju dostawca danej usługi kluczowej.
Decyduje kombinacja sektora i wielkości. Duże przedsiębiorstwo działające w sektorze o wysokiej krytyczności będzie zwykle podmiotem kluczowym, a pozostałe objęte organizacje — podmiotem ważnym. Obowiązki merytoryczne są w obu kategoriach zasadniczo takie same; różnią się tryb nadzoru, wysokość kar i obowiązek cyklicznego audytu.
Zgłoszenia dokonuje sama firma, po przeprowadzeniu własnej oceny statusu. Termin na złożenie wniosku o wpis do wykazu podmiotów kluczowych i ważnych upływa 3 października 2026 r., czyli sześć miesięcy od wejścia nowelizacji UKSC w życie. Nikt nie prześle zawiadomienia z urzędu — brak zgłoszenia nie oznacza, że firma jest poza zakresem.
Nie zwalnia, ale bardzo pomaga. Wdrożony system zarządzania bezpieczeństwem informacji pokrywa dużą część wymogów dotyczących zarządzania ryzykiem, ciągłości działania i pracy z dostawcami. Uzupełnić trzeba przede wszystkim to, czego norma nie obejmuje wprost: ścieżkę zgłaszania incydentów w terminach ustawowych, formalny nadzór kierownictwa i obowiązki rejestrowe.
Od oceny zakresu i jej udokumentowania, bo od tego zależy najbliższy termin formalny. Równolegle warto zrobić analizę luk wobec wymogów zarządzania ryzykiem — ona pokazuje, ile realnie pracy zostało do kwietnia 2027 r. i pozwala ustawić priorytety zamiast robić wszystko naraz.
