NIS2 – co to jest i kogo dotyczy?

Dyrektywa NIS2 to unijny akt prawny, który wprowadza jednolite, zaostrzone wymagania cyberbezpieczeństwa dla średnich i dużych firm z wybranych sektorów oraz administracji publicznej w całej UE. W Polsce obowiązki te są wdrażane przez nowelizację ustawy o KSC i oznaczają m.in. konieczność wdrożenia systemu zarządzania bezpieczeństwem informacji, raportowania incydentów oraz gotowość na wysokie kary finansowe za brak zgodności. Jeśli chcesz sprawdzić, czy Twoja organizacja jest lub będzie uznana za podmiot kluczowy albo ważny i jakie konkretnie obowiązki się z tym wiążą, przeczytaj dalszą część artykułu.

NIS2 – co to jest?

NIS2 Directive, czyli dyrektywa (UE) 2022/2555, to zaktualizowane unijne przepisy dotyczące bezpieczeństwa sieci i systemów informacyjnych, które zastąpiły dyrektywę NIS1 z 2016 r. Nowy akt rozszerza liczbę sektorów objętych regulacją, podnosi standard wymagań technicznych i organizacyjnych oraz wprowadza jednolite ramy kar i nadzoru w całej Unii Europejskiej. Od 16 stycznia 2023 r. wszystkie państwa członkowskie mają obowiązek przełożyć jego zapisy na prawo krajowe.

W centrum regulacji znajduje się obowiązek wdrażania środków zarządzania ryzykiem w cyberbezpieczeństwie, raportowania incydentów oraz zapewnienia ciągłości działania usług istotnych dla społeczeństwa i gospodarki. Dyrektywa obejmuje ochronę sieci, systemów, danych oraz użytkowników – zarówno w wymiarze technicznym (np. szyfrowanie, testy bezpieczeństwa), jak i organizacyjnym (polityki, procesy, szkolenia). NIS2 wprowadza podejście „all-hazard” – podmiot ma mieć świadomość zarówno zagrożeń cybernetycznych, jak i fizycznych, które mogą zakłócić funkcjonowanie usług.

Dyrektywa NIS2 nie jest „dobrą praktyką”, lecz twardym prawem – niespełnienie wymogów może oznaczać karę finansową do 10 mln EUR lub 2% globalnego obrotu, w zależności od wyższej wartości.

Kogo dotyczy dyrektywa NIS2?

NIS2 obejmuje zarówno sektor publiczny, jak i prywatny, skupiając się na podmiotach, których działalność ma istotne znaczenie dla funkcjonowania państwa i gospodarki. W odróżnieniu od NIS1, to nie administracja z góry wyznacza wszystkie organizacje objęte przepisami – firmy muszą same sprawdzić, czy spełniają kryteria sektorowe i wielkościowe. Tu pojawia się podział na podmioty kluczowe i ważne, który determinuje poziom nadzoru i potencjalne sankcje.

Do sektorów kluczowych, które wprost wskazuje NIS2, należą m.in.: energia (elektroenergetyka, gaz, paliwa, ciepło), transport (lotniczy, kolejowy, wodny, drogowy), rynki finansowe i bankowość, ochrona zdrowia, woda pitna i ścieki, infrastruktura cyfrowa, administracja publiczna oraz przestrzeń kosmiczna. Do sektorów ważnych zalicza się m.in. produkcję (w tym sprzętu IT, wyrobów medycznych, pojazdów), gospodarkę odpadami, usługi pocztowe i kurierskie, sektor żywności i część usług cyfrowych, takich jak platformy handlowe czy wyszukiwarki.

Oprócz kryterium sektorowego stosuje się kryterium wielkości – za duże uznaje się przedsiębiorstwa zatrudniające co najmniej 250 osób i mające roczny obrót powyżej 50 mln euro, za średnie – co najmniej 50 osób i obrót powyżej 10 mln euro. Co istotne, pewne kategorie – jak dostawcy usług DNS, rejestry TLD czy kwalifikowani dostawcy usług zaufania – podlegają regulacji niezależnie od rozmiaru.

Podmiot kluczowy – co to za status?

Podmiot Kluczowy to organizacja z sektora uznanego za krytyczny, która spełnia progi dużego przedsiębiorstwa lub została wskazana w ustawie niezależnie od wielkości. Dla tej grupy NIS2 przewiduje stały nadzór ze strony organów – możliwe są regularne kontrole, audyty bezpieczeństwa zlecone z urzędu oraz szeroki katalog środków nadzorczych. W praktyce oznacza to konieczność posiadania dojrzałego, udokumentowanego systemu bezpieczeństwa i gotowość do wykazania jego działania na każdym etapie.

Do tej kategorii trafią m.in. duże firmy z sektorów energii, transportu, finansów, ochrony zdrowia, wodociągów, infrastruktury cyfrowej czy wskazane z nazwy podmioty publiczne. Status ten mogą zyskać także podmioty średnie, jeśli pełnią funkcje o szczególnym znaczeniu (np. operator obiektu energetyki jądrowej). Ryzyko dla nich jest podwójne – oprócz ryzyka cyberincydentu mamy ryzyko wysokiej kary finansowej w razie braku zgodności.

Podmiot ważny – kogo obejmuje?

Podmiot ważny to zwykle średni przedsiębiorca z sektora kluczowego lub średni/duży z sektora ważnego, który nie spełnia progów dla podmiotu kluczowego. Te organizacje również muszą spełniać wymagania NIS2, ale podlegają nadzorowi następczemu – interwencje pojawiają się przede wszystkim po incydencie lub wykryciu naruszeń. Sankcje są niższe, lecz wciąż dotkliwe, a obowiązki – bardzo zbliżone (system zarządzania bezpieczeństwem, raportowanie, dokumentacja, audyty).

W tej grupie znajdą się np. producenci żywności, firmy z branży chemicznej, przedsiębiorstwa zajmujące się gospodarowaniem odpadami, usługami pocztowymi, a także wielu dostawców usług cyfrowych, w tym platformy handlowe online. Dla części MŚP ten status może być zaskoczeniem – zwłaszcza gdy do tej pory cyberbezpieczeństwo nie było regulowane ustawowo.

Jak NIS2 jest wdrażana w Polsce?

W Polsce przepisy NIS2 implementuje Ustawa o KSC – nowelizacja ustawy o krajowym systemie cyberbezpieczeństwa. Akt ten porządkuje krajowy system (organy właściwe, zespoły reagowania, mechanizmy nadzoru) i przypisuje konkretne obowiązki przedsiębiorcom. Zgodnie z projektem, ustawa wdrażająca NIS2 zaczyna obowiązywać 3 kwietnia 2026 r., a przedsiębiorcy realizują nowe obowiązki etapowo, w kilku krokach.

Po pierwsze – firma musi samodzielnie ustalić, czy jest podmiotem kluczowym lub ważnym. Służy temu m.in. ankieta samooceny oparta na kryteriach dyrektywy i załącznikach do ustawy o KSC. Po drugie – jeśli organizacja spełnia kryteria, ma 6 miesięcy na zgłoszenie się do wykazu podmiotów kluczowych i ważnych. Ten wykaz jest prowadzony w systemie S46, który jednocześnie służy do komunikacji z administracją oraz do raportowania incydentów.

Po trzecie – w ciągu 12 miesięcy od spełnienia przesłanek bycia podmiotem kluczowym lub ważnym trzeba wdrożyć system zarządzania bezpieczeństwem informacji (SZBI), procesy zarządzania ryzykiem i incydentami, przygotować dokumentację bezpieczeństwa oraz techniczne podłączenie do S46. Dla firm, które już 3 kwietnia 2026 r. spełniają kryteria, termin pełnego dostosowania upływa 3 kwietnia 2027 r.. Kolejny krok to audyt – podmioty kluczowe przeprowadzają pierwszy audyt zgodności najpóźniej w ciągu 24 miesięcy od spełnienia przesłanek.

Wpis do wykazu w S46 nie „nadaje” obowiązków, ale je formalnie potwierdza – brak wpisu przy spełnionych kryteriach zwiększa ryzyko sankcji, w tym dla zarządu.

Jaką rolę pełni ENISA i CSIRT?

Na poziomie unijnym wdrożenie NIS2 koordynuje ENISA, czyli Agencja UE ds. Cyberbezpieczeństwa. Jej zadania obejmują m.in. przygotowywanie wytycznych, wsparcie techniczne dla państw członkowskich, analizy zagrożeń i dobre praktyki dotyczące zarządzania ryzykiem i incydentami. To na bazie tych materiałów powstają krajowe strategie oraz wytyczne sektorowe.

Na poziomie operacyjnym kluczową rolę odgrywa sieć CSIRT, formalnie ustanowiona przez NIS2. W Polsce działają m.in. CSIRT GOV, CSIRT NASK i CSIRT MON oraz mogą powstawać CSIRT sektorowe. Ich zadaniem jest przyjmowanie zgłoszeń incydentów, wsparcie techniczne, wymiana informacji o zagrożeniach, a w razie poważnych zdarzeń – koordynacja działań naprawczych. To do tych zespołów – poprzez S46 lub dedykowane kanały – trafiają raporty o poważnych incydentach.

Jakie obowiązki nakłada NIS2 na firmy?

Dyrektywa kładzie nacisk na konkretne działania – od zarządzania ryzykiem, przez zabezpieczenia techniczne, po raportowanie. Zakres obowiązków jest podobny dla podmiotów kluczowych i ważnych, różni się jedynie intensywnością nadzoru i skalą potencjalnych kar. Centralnym elementem jest systemowe podejście do cyberbezpieczeństwa, udokumentowane i realizowane w codziennej praktyce biznesowej.

Po stronie technicznej wymagane są m.in.: mechanizmy kontroli dostępu, szyfrowanie komunikacji i danych, aktualizacje i zarządzanie podatnościami, monitoring i testy bezpieczeństwa, plany ciągłości działania wraz z procedurami odtworzeniowymi. Strona organizacyjna to polityki bezpieczeństwa, jasno opisane role i odpowiedzialności, cykliczne szkolenia dla personelu oraz formalne procesy obsługi incydentów i zgłaszania ich do właściwych organów.

Zarządzanie ryzykiem i SZBI

NIS2 wymaga wdrożenia systemu zarządzania bezpieczeństwem informacji, który obejmuje pełny cykl życia systemów IT używanych do świadczenia usług. Taki SZBI ma obejmować identyfikację zasobów, ocenę ryzyka, dobór środków ochrony, monitorowanie skuteczności zabezpieczeń oraz ciągłe doskonalenie. Środki muszą być proporcjonalne do ryzyka i wielkości organizacji – inne będą w dużym koncernie energetycznym, a inne w średniej firmie produkcyjnej.

Jednym z wymogów jest systematyczna analiza zagrożeń, w tym tych wynikających z łańcucha dostaw ICT. Organizacja powinna mieć polityki dotyczące bezpieczeństwa fizycznego, personelu, rozwoju i utrzymania systemów, a także polityki kontroli dostępu. Niezbędny jest też cykliczny przegląd planów awaryjnych oraz testowanie scenariuszy przywracania działania po incydencie – bez tego trudno wykazać, że deklarowane środki faktycznie działają.

Raportowanie incydentów i rola S46

Dyrektywa precyzyjnie opisuje sposób i terminy raportowania poważnych incydentów. W przypadku zdarzenia, które istotnie zakłóca świadczenie usług lub powoduje poważne szkody, podmiot musi najpierw wysłać wczesne ostrzeżenie – do 24 godzin od wykrycia. Następnie, w ciągu 72 godzin, przekazuje bardziej szczegółowe zgłoszenie, a po zakończeniu obsługi incydentu – raport końcowy z opisem przyczyn, przebiegu i zastosowanych środków naprawczych.

W Polsce centralnym narzędziem obsługi zgłoszeń jest system S46, w którym prowadzi się także wykaz podmiotów kluczowych i ważnych. Podmiot ma obowiązek utrzymywać w nim aktualne dane techniczne (np. adresy IP, domeny), dane kontaktowe oraz informacje potrzebne do współpracy z właściwym organem i CSIRT. W praktyce S46 staje się głównym kanałem komunikacji w obszarze krajowego systemu cyberbezpieczeństwa.

Jakie kary przewiduje NIS2?

Jednym z najbardziej dotkliwych elementów NIS2 są sankcje finansowe. Za poważne naruszenia obowiązków – takich jak brak wdrożonych środków bezpieczeństwa, niewłaściwe zarządzanie ryzykiem czy niezgłoszenie incydentu – możliwa jest kara finansowa sięgająca do 10 mln EUR lub 2% całkowitego rocznego światowego obrotu przedsiębiorstwa, w zależności od tego, która kwota jest wyższa. Dla podmiotów ważnych pułap jest nieco niższy (np. 7 mln EUR lub 1,4% obrotu), ale wciąż bardzo odczuwalny.

W polskiej ustawie o KSC maksymalna administracyjna kara krajowa może sięgnąć nawet 100 mln zł. Oprócz kar pieniężnych organ nadzorczy może nałożyć także inne środki – od zaleceń i nakazu usunięcia nieprawidłowości, przez obowiązek przeprowadzenia zewnętrznego audytu, po polecenia zabezpieczające wydawane w razie incydentów krytycznych. Te ostatnie mogą dotyczyć np. konieczności wycofania sprzętu lub oprogramowania określonego dostawcy wysokiego ryzyka.

NIS2 przesuwa odpowiedzialność na najwyższe kierownictwo – zarząd ma nie tylko zatwierdzać środki bezpieczeństwa, ale też realnie nadzorować ich wdrożenie, co otwiera drogę do kar także wobec osób zarządzających.

Podmiot kluczowy a ważny – różnice w nadzorze

Różnica między statusem podmiotu kluczowego a ważnego ujawnia się głównie w sposobie nadzoru. Organizacje z pierwszej grupy podlegają aktywnemu, stałemu nadzorowi – mogą oczekiwać regularnych kontroli, wezwań do przedstawienia dokumentacji, a w razie potrzeby – nakazu przeprowadzenia audytu przez wskazany podmiot zewnętrzny. Raport z takiego audytu trzeba przesłać organowi w krótkim terminie, a zalecenia wdrożyć.

Podmioty ważne nadzorowane są przede wszystkim następczo – intensywnie po incydencie lub wykryciu niezgodności. Nie oznacza to jednak, że mogą sobie pozwolić na niższy poziom zabezpieczeń. Wymogi NIS2 – co do zasady – są dla obu grup takie same, a różnice dotyczą głównie dynamiki kontaktu z organami i maksymalnych progów kar administracyjnych.

Jak sprawdzić, czy NIS2 dotyczy Twojej firmy?

Podstawowe pytanie brzmi: w jakim sektorze działasz i jaka jest skala działalności Twojej organizacji? Jeśli należysz do jednego z sektorów wymienionych w załącznikach do ustawy o KSC (energia, transport, gospodarka wodna, infrastruktura cyfrowa, zdrowie, rynki finansowe, produkcja określonych wyrobów, usługi cyfrowe, administracja publiczna i inne) – musisz sprawdzić kryteria wielkościowe i szczególne wyłączenia. Gdy jesteś dużym podmiotem w sektorze kluczowym, szanse, że NIS2 Cię obejmuje, są bardzo wysokie.

Nawet jeśli formalnie nie spełniasz progów, możesz zostać objęty ustawą decyzją organu właściwego, jeśli świadczysz usługę o szczególnym znaczeniu lub zakłócenie Twojej działalności mogłoby wywołać poważne skutki dla bezpieczeństwa państwa czy zdrowia publicznego. Wreszcie – jako element łańcucha dostaw dużego podmiotu kluczowego lub ważnego możesz zostać zobowiązany umownie do spełnienia określonych standardów bezpieczeństwa, np. w zakresie szyfrowania, zarządzania podatnościami czy raportowania.

Dla wielu organizacji pierwszy krok to rzetelna samoocena – określenie sektora, wielkości i roli w łańcuchach dostaw. Od tej diagnozy zależy nie tylko zakres obowiązków, ale też harmonogram działań i potencjalne ryzyko regulacyjne.