NIS2 i UKSC — co nowe przepisy oznaczają dla Twojej firmy i jak się przygotować

NIS2 to unijna dyrektywa dotycząca cyberbezpieczeństwa. Jej celem jest podniesienie odporności gospodarki na cyberataki poprzez nałożenie jednolitych, minimalnych wymogów na firmy i instytucje uznane za istotne dla funkcjonowania państwa i rynku.

Kluczowa zmiana w podejściu jest prosta: cyberbezpieczeństwo przestaje być wyłącznie sprawą działu IT, a staje się obowiązkiem zarządczym. To zarząd odpowiada za wdrożenie i nadzór — i to zarząd ponosi konsekwencje jego braku. Dla firmy oznacza to, że temat trzeba przenieść z serwerowni na salę posiedzeń.

Dyrektywa nie nakłada obowiązków bezpośrednio na firmy. W Polsce wdrożyła ją ustawa z 23 stycznia 2026 r. o zmianie ustawy o krajowym systemie cyberbezpieczeństwa (Dz.U. 2026 poz. 252), która obowiązuje od 3 kwietnia 2026 r. To ona określa, kto jest podmiotem kluczowym lub ważnym, jakie ma obowiązki i jakie grożą kary.

Polska ustawa w kilku miejscach idzie dalej niż dyrektywa, na przykład obejmuje dostawców usług zarządzanych w zakresie cyberbezpieczeństwa już od progu małego przedsiębiorstwa i przewiduje osobną karę dla kierownika podmiotu. Dlatego punktem odniesienia jest tekst ustawy, a nie sama dyrektywa.

O objęciu przepisami decydują co do zasady dwa kryteria łącznie: sektor działalności oraz wielkość organizacji. Jeżeli firma działa w jednym z sektorów z załączników do ustawy i jest co najmniej średnim przedsiębiorstwem, czyli zatrudnia co najmniej 50 osób albo mają zarówno obrót, jak i sumę bilansową powyżej 10 mln EUR (liczone razem z przedsiębiorstwami powiązanymi i partnerskimi), najprawdopodobniej podlega ustawie. Część podmiotów, np. telekomunikacja, usługi DNS, dostawcy usług zarządzanych w zakresie cyberbezpieczeństwa i sektor publiczny, podlega jej także przy mniejszej skali.

Co istotne, zakres jest znacznie szerszy niż wcześniej — obejmuje nie tylko infrastrukturę krytyczną, ale też m.in. produkcję, gospodarkę odpadami, usługi cyfrowe czy sektor spożywczy. Wiele firm, które dotąd nie miały styczności z regulacjami cyberbezpieczeństwa, po raz pierwszy znajdzie się w zakresie.

Ustawa dzieli objęte firmy na dwie kategorie: podmioty kluczowe i podmioty ważne. Obie mają te same obowiązki merytoryczne. Różnią się nadzorem, wysokością kar oraz audytem: podmiot kluczowy przeprowadza audyt co najmniej raz na 3 lata, a ważny tylko wtedy, gdy nakaże to organ (art. 15 ustawy o KSC).

Podmioty kluczowe podlegają nadzorowi proaktywnemu (organ może kontrolować firmę z własnej inicjatywy, zanim cokolwiek się wydarzy). Podmioty ważne podlegają nadzorowi następczemu (kontrola zwykle po incydencie lub sygnale nieprawidłowości). Dla zarządu to wskazówka, jak rygorystycznie państwo będzie patrzeć firmie na ręce.

Sercem NIS2 jest wymóg wdrożenia odpowiednich i proporcjonalnych środków zarządzania ryzykiem. Brzmi ogólnie, ale dyrektywa wymienia konkretny zestaw obszarów, które trzeba pokryć. Poniżej — w języku biznesu, nie normy technicznej.

Słowo proporcjonalne jest tu kluczowe: nie chodzi o kupienie wszystkiego, lecz o dopasowanie środków do realnego ryzyka i skali firmy. Punktem wyjścia zawsze jest analiza ryzyka, a nie katalog zakupów.

Jednym z najbardziej wymagających operacyjnie obowiązków jest raportowanie poważnych incydentów w ściśle określonych terminach. To nie jest wysłanie maila kiedyś tam — to procedura z zegarem, którą trzeba mieć przećwiczoną, zanim wydarzy się kryzys.

Firmy, które nie mają gotowej ścieżki zgłaszania i osób decyzyjnych wyznaczonych z wyprzedzeniem, w praktyce nie zdążą. Dlatego proces zgłaszania warto zbudować i przetestować na spokojnie, a nie improwizować w trakcie ataku.

Najważniejsza zmiana filozofii: kierownictwo nie może już oddelegować tematu i o nim zapomnieć. Kierownik podmiotu odpowiada za wykonanie obowiązków z ustawy, także wtedy, gdy powierzył je innej osobie. W zarządzie wieloosobowym, który nie wskazał osoby odpowiedzialnej, odpowiadają wszyscy członkowie (art. 8c ustawy o KSC). Kierownik przechodzi szkolenie raz w roku kalendarzowym (art. 8e), a za zaniedbania może dostać karę do 300% wynagrodzenia, w podmiocie publicznym do 100% (art. 73a).

Dla właściciela i członka zarządu oznacza to konkret: cyberbezpieczeństwo staje się elementem należytej staranności zarządczej, na równi z finansami czy BHP. Zaniechanie w tym obszarze to ryzyko nie tylko dla firmy, ale i dla osób nią kierujących.

Polska ustawa liczy kary od przychodów samego podmiotu z działalności gospodarczej w poprzednim roku obrotowym, a nie od światowego obrotu grupy, jak dyrektywa. Kary są na tyle wysokie, że stają się pozycją w rejestrze ryzyka zarządu, a nie drobnym kosztem operacyjnym. Poza karą pieniężną w grę wchodzą środki nadzorcze i ryzyko reputacyjne.

Kary z ustawy, poza karą za naruszenie powodujące poważne zagrożenie, organy mogą nakładać dopiero po 3 kwietnia 2028 r. (art. 35 ustawy z 23 stycznia 2026 r.). Okres ten jest przeznaczony na wdrożenie, a nie na odkładanie przygotowań.

NIS2 wprost wymaga zarządzania ryzykiem po stronie dostawców. Oznacza to, że odpowiadasz nie tylko za własne systemy, ale i za to, kogo wpuszczasz do swojego środowiska — od dostawcy oprogramowania po firmę serwisującą infrastrukturę.

Ten sam mechanizm działa w drugą stronę: jeśli Twoja firma jest dostawcą dla podmiotu objętego ustawą, wymogi bezpieczeństwa spływają do Ciebie w umowach i ankietach. Warto być na to gotowym, zanim zapyta o to klient.

Droga do zgodności z NIS2 nie musi być chaotyczna. Najlepiej rozłożyć ją na trzy fazy: najpierw ustalić, czy i jak przepisy Cię dotyczą, potem zamknąć najpoważniejsze luki, a na końcu utrwalić proces. Taki układ pozwala wykazać należytą staranność jeszcze przed pełnym domknięciem programu.

W AlgorSec prowadzimy firmy przez NIS2 i UKSC od pytania czy mnie to dotyczy aż po gotowy, przećwiczony proces. Zaczynamy od oceny zgodności i analizy luk, następnie budujemy priorytetyzowany plan działań i wspieramy jego wdrożenie — tak, aby wymogi przełożyły się na realną odporność, a nie stertę dokumentów.

Jeśli Twojej organizacji brakuje własnego CISO, tę samą odpowiedzialność możemy przejąć w modelu usługowym (vCISO) — łącznie z raportowaniem do zarządu i nadzorem nad wdrożeniem. Następny krok to zwykle krótka, bezpłatna rozmowa o tym, gdzie jesteś i co jest najpilniejsze.