CookieBanerPro
PLENDEUA
Bezpieczeństwo

NIS2 w Polsce: termin na wpis do wykazu minął. Co dalej z obowiązkami z ustawy o KSC

Zespół CookieBanerPro4 min czytania

Od 3 kwietnia 2026 r. w Polsce obowiązuje znowelizowana ustawa o krajowym systemie cyberbezpieczeństwa, która wdraża unijną dyrektywę NIS2. Według szacunków rządowych nowe wymogi obejmą ponad 40 tys. podmiotów z 18 sektorów gospodarki. Pierwszy ważny termin, czyli zgłoszenie do wykazu podmiotów kluczowych i ważnych, upłynął 3 października 2026 r. Jeśli nie wiesz jeszcze, czy przepisy Cię dotyczą, to dobry moment, żeby to sprawdzić.

Samoidentyfikacja zamiast decyzji urzędu

Poprzednie przepisy działały inaczej. Status operatora usługi kluczowej nadawał organ w indywidualnej decyzji, dlatego ustawą objętych było kilkaset największych podmiotów w kraju. Teraz to firma sama musi ocenić, czy podlega ustawie. Decydują dwa kryteria:

  • sektor działalności - wymieniony w jednym z dwóch załączników do ustawy (sektory kluczowe i sektory ważne),
  • wielkość przedsiębiorstwa - liczba pracowników oraz obrót i suma bilansowa, według unijnych kryteriów dla małych i średnich firm.

Podmioty kluczowe to głównie duże firmy z sektorów takich jak energetyka, transport, bankowość, ochrona zdrowia, woda, infrastruktura cyfrowa (m.in. usługi chmurowe, centra danych, sieci CDN), zarządzanie usługami ICT dla biznesu oraz administracja publiczna. Podmioty ważne to m.in. średnie firmy z tych sektorów oraz średnie i duże firmy z sektorów takich jak usługi pocztowe i kurierskie, gospodarka odpadami, produkcja, żywność, badania naukowe i usługi cyfrowe. Do tej ostatniej grupy należą wyszukiwarki, internetowe platformy handlowe i serwisy społecznościowe.

Najważniejsze terminy

  1. 3 października 2026 r. - koniec sześciu miesięcy na złożenie wniosku o wpis do wykazu. Wniosek składa się elektronicznie w systemie S46 na stronie wykaz-ksc.gov.pl. Sam wpis ma charakter deklaratoryjny: status podmiotu kluczowego lub ważnego wynika z ustawy, ale niezłożenie wniosku w terminie samo w sobie rodzi odpowiedzialność finansową.
  2. 3 kwietnia 2027 r. - termin na wdrożenie środków zarządzania ryzykiem, czyli m.in. polityk bezpieczeństwa, planów ciągłości działania, uwierzytelniania wieloskładnikowego, kontroli dostawców i szkoleń.
  3. 3 kwietnia 2028 r. - termin pierwszego audytu bezpieczeństwa dla podmiotów kluczowych. Audyt trzeba potem powtarzać co najmniej raz na dwa lata.

Jak zaznacza LexDigital, ustawa była przedmiotem kontroli w Trybunale Konstytucyjnym, ale nie wstrzymuje to jej obowiązywania ani biegu terminów.

Częste pytanie dotyczy normy ISO/IEC 27001. Jej wdrożenie pokrywa dużą część technicznych i organizacyjnych wymagań, ale nie zastępuje obowiązków formalnych: wpisu do wykazu, zgłaszania incydentów w ustawowych terminach czy szkoleń zarządu. Certyfikat to dobry punkt wyjścia, a nie automatyczna zgodność z ustawą.

Jeśli Twoja firma podlega ustawie, a nie złożyła wniosku do 3 października, nie czekaj dłużej. Status wynika z przepisów, a nie z wpisu, więc obowiązki i tak Cię dotyczą. Spóźnione zgłoszenie jest lepsze niż żadne.

Zgłaszanie incydentów: 24 godziny, 72 godziny, miesiąc

Podmioty objęte ustawą muszą zgłaszać poważne incydenty do właściwego zespołu CSIRT. Dla większości firm prywatnych będzie to CSIRT NASK. CSIRT GOV obsługuje instytucje rządowe, a CSIRT MON sektor obronny. Procedura ma trzy etapy:

  • do 24 godzin od wykrycia - wczesne ostrzeżenie, w tym informacja, czy incydent mógł być wynikiem działania bezprawnego i czy ma charakter transgraniczny,
  • do 72 godzin - zgłoszenie ze wstępną analizą i oceną wpływu na ciągłość działania,
  • do miesiąca od zgłoszenia - raport końcowy z przyczyną incydentu i działaniami naprawczymi.

Kary i odpowiedzialność zarządu

Maksymalne kary są wysokie. Podmiot kluczowy może zapłacić do 10 mln euro lub 2% globalnego rocznego obrotu (w zależności od tego, która kwota jest wyższa), a minimalna kara to 20 tys. zł. Podmiot ważny - do 7 mln euro lub 1,4% obrotu, przy minimum 15 tys. zł. Standardowe kary będzie można nakładać dopiero od 3 kwietnia 2028 r. Wyjątkiem jest kara nadzwyczajna do 100 mln zł, możliwa już teraz w razie bezpośredniego i poważnego zagrożenia m.in. dla bezpieczeństwa państwa, życia i zdrowia ludzi. Za niewykonanie nakazu pokontrolnego grożą też kary od 500 do 100 tys. zł za każdy dzień zwłoki.

Nowością jest odpowiedzialność osób zarządzających. Członkowie zarządu mają zatwierdzać i nadzorować środki zarządzania ryzykiem oraz regularnie się szkolić. Przy rażących zaniedbaniach organ może nałożyć karę bezpośrednio na osobę zarządzającą, a w skrajnych przypadkach czasowo zawiesić ją w pełnieniu funkcji.

A jeśli jesteś małą firmą?

Mała firma zwykle nie trafi do wykazu, ale nie oznacza to, że może o ustawie zapomnieć. Podmioty kluczowe i ważne muszą kontrolować swoich dostawców ICT. Jeśli tworzysz oprogramowanie, prowadzisz hosting, wdrażasz systemy albo obsługujesz strony i sklepy dużych klientów, możesz wkrótce dostać ankietę bezpieczeństwa, prośbę o audyt albo aneks do umowy.

Warto przygotować się z wyprzedzeniem:

  1. Spisz systemy i dane, którymi zarządzasz w imieniu klientów.
  2. Włącz uwierzytelnianie wieloskładnikowe wszędzie, gdzie to możliwe.
  3. Uporządkuj kopie zapasowe i sprawdź, czy da się z nich odtworzyć dane.
  4. Przygotuj prostą procedurę reagowania na incydenty, z kontaktami i podziałem ról.
  5. Dokumentuj, kto ma dostęp do czego, i regularnie przeglądaj uprawnienia.

Częścią łańcucha dostaw jest też strona internetowa. Zewnętrzne skrypty, wtyczki i narzędzia marketingowe to kod, który działa w przeglądarkach Twoich klientów. Warto wiedzieć, co się na niej ładuje, a pierwszą inwentaryzację możesz zrobić w Skanerze zgody.

Źródło: LexDigital

NIS2KSCcyberbezpieczeństwozgłaszanie incydentówłańcuch dostaw

Czytaj także