Dyrektywa NIS2 a polska ustawa o KSC – co właściwie obowiązuje Twoją firmę?

Pytanie o NIS2 trafia do firm dwiema drogami. Albo od kontrahenta, który w ankiecie dostawcy pyta o zgodność, albo od kogoś z zarządu, kto przeczytał o karach. W obu przypadkach pierwsze, co się robi, to wpisanie „dyrektywa NIS2″ w wyszukiwarkę, i tu zaczyna się problem, bo połowa polskiego internetu wciąż podaje terminy z 2024 roku.

Ten artykuł porządkuje jedną rzecz, od której zależy cała reszta: dyrektywa NIS2 nie jest przepisem, który stosujesz bezpośrednio. Twoją firmę obowiązuje polska ustawa, i to jej terminy liczą się do kalendarza.

Czym jest dyrektywa NIS2 i dlaczego nie stosujesz jej wprost

Dyrektywa (UE) 2022/2555, znana szerzej jako NIS2, weszła w życie 16 stycznia 2023 r. i zastąpiła pierwszą dyrektywę NIS z 2016 r. Jej celem było podniesienie poziomu cyberbezpieczeństwa w całej Unii, dlatego objęła znacznie szerszy katalog sektorów, zaostrzyła obowiązki i wprowadziła sankcje, które realnie widać w budżecie.

Łatwo przy tym przeoczyć rzecz najważniejszą, czyli to, że dyrektywa wiąże państwa członkowskie, a nie firmy. Państwo ma obowiązek przełożyć ją na prawo krajowe i dopiero to prawo krajowe obowiązuje przedsiębiorców, co odróżnia dyrektywę od rozporządzenia unijnego, bo RODO działa bezpośrednio, a NIS2 nie.

W Polsce przełożeniem NIS2 jest nowelizacja ustawy o krajowym systemie cyberbezpieczeństwa, uchwalona 23 stycznia 2026 r. i obowiązująca od 3 kwietnia 2026 r. Jeśli zastanawiasz się, czy sięgnąć po tekst dyrektywy, czy po tekst ustawy, wybierz ustawę, ponieważ dyrektywa tłumaczy przede wszystkim, skąd się to wszystko wzięło i dokąd zmierza cała Unia, a ustawa mówi wprost, co masz zrobić i do kiedy.

W codziennej praktyce oba określenia funkcjonują wymiennie, więc kontrahent w ankiecie napisze „NIS2″, audytor napisze „KSC”, a chodzić będzie o to samo. Nie ma w tym błędu tak długo, jak pamiętasz, że po terminy i obowiązki sięgasz zawsze do ustawy.

Co NIS2 zmieniła względem poprzedniej dyrektywy

Cztery zmiany decydują o tym, że temat wrócił do firm, które wcześniej nie miały z nim nic wspólnego.

Koniec decyzji administracyjnych. Pod starymi przepisami organ wydawał decyzję i wskazywał operatora usługi kluczowej, więc firma, która nie dostała pisma, po prostu nie podlegała ustawie. Teraz obowiązuje samoidentyfikacja, co oznacza, że firma sama ocenia, czy spełnia kryteria, i sama zgłasza się do wykazu, a brak pisma z urzędu nie oznacza już niczego.

Znacznie szerszy katalog sektorów. Do listy dołączyły między innymi gospodarka odpadami, produkcja żywności, produkcja maszyn, urządzeń elektrycznych i pojazdów, usługi pocztowe i kurierskie oraz chemikalia, przez co przepisami objęto sporo firm, które nigdy nie myślały o sobie jako o infrastrukturze krytycznej.

Odpowiedzialność kierownictwa. Zarząd zatwierdza środki zarządzania ryzykiem, nadzoruje ich wdrożenie i odpowiada za zaniechania osobiście, a do tego ma obowiązek odbywać udokumentowane szkolenia, więc tematu nie da się już delegować w dół, do informatyków.

Kary powiązane z obrotem. Poprzednia ustawa straszyła raczej symbolicznie, natomiast nowe sankcje liczy się jako procent rocznego obrotu światowego, przez co rosną razem z firmą. Konkretne wysokości opisujemy na podstronie o zgodności z NIS2 i ustawą o KSC.

Dlaczego terminy z 2024 roku wciąż krążą po internecie

Dyrektywa wyznaczyła państwom członkowskim termin transpozycji na 17 października 2024 r., czyli do tego dnia każde państwo miało mieć gotowe przepisy krajowe.

Polska tego terminu nie dotrzymała, ponieważ prace nad nowelizacją ustawy o KSC ciągnęły się kilka lat, a sama ustawa weszła w życie dopiero 3 kwietnia 2026 r. W międzyczasie powstało mnóstwo artykułów, prezentacji i ofert szkoleniowych operujących datą październikową i wszystkie one nadal wiszą w sieci, często wysoko w wynikach wyszukiwania.

Stąd pułapka, na którą warto uważać. Jeśli trafisz na materiał mówiący, że termin dostosowania minął w październiku 2024 r., dotyczy on obowiązku państwa, a nie Twojego, bo Twoje terminy zaczęły biec dopiero 3 kwietnia 2026 r. i część z nich jest wciąż przed Tobą. Ta sama pułapka działa też w drugą stronę i tam ryzyko jest większe, ponieważ firma, która sprawdziła temat w 2024 roku, uznała, że jej nie dotyczy, i odłożyła sprawę, sprawdzała w rzeczywistości stan sprzed wdrożenia. Kwalifikację warto powtórzyć na obowiązującej ustawie, zamiast opierać się na projekcie sprzed dwóch lat.

Terminy, które obowiązują Twoją firmę

Wszystkie liczą się od dnia wejścia ustawy w życie, czyli od 3 kwietnia 2026 r.

• Do 3 października 2026 r. trzeba przeprowadzić samoidentyfikację i złożyć wniosek o wpis do wykazu podmiotów kluczowych i ważnych.
• Do 3 kwietnia 2027 r. trzeba wdrożyć system zarządzania bezpieczeństwem informacji wraz z pozostałymi obowiązkami wynikającymi z ustawy.
• Do 3 kwietnia 2028 r. podmioty kluczowe muszą przejść pierwszy audyt bezpieczeństwa, a kolejne co najmniej raz na trzy lata.

Jeśli Twoja firma zacznie spełniać kryteria później, na przykład przez wzrost zatrudnienia, przekroczenie progu obrotów albo zmianę profilu działalności, masz sześć miesięcy liczone od dnia spełnienia przesłanek. Najbliższy termin jest jednocześnie najprostszy do wykonania, ponieważ wpis do wykazu sprowadza się do zebrania danych, wypełnienia formularza i podpisu. Całą procedurę opisaliśmy krok po kroku w osobnym tekście o rejestracji w wykazie podmiotów KSC.

Czy przepisy dotyczą Twojej firmy

Dwa warunki muszą być spełnione łącznie. Pierwszym jest sektor z załącznika nr 1 dla podmiotów kluczowych albo nr 2 dla podmiotów ważnych, a drugim wielkość, czyli status co najmniej średniego przedsiębiorstwa, który osiąga się od 50 pracowników lub od 10 mln EUR obrotu albo sumy bilansowej.

Firmy potykają się przy tym najczęściej na trzech rzeczach. Przy ustalaniu wielkości uwzględnia się przedsiębiorstwa powiązane i partnerskie, więc spółka zatrudniająca trzydzieści osób, ale należąca do większej grupy kapitałowej, może przekraczać próg, mimo że patrząc we własną listę płac czuje się bezpieczna. Sektor ustala się po faktycznej działalności i kodach PKD, a nie po intuicji, ponieważ załączniki są znacznie szersze, niż się na pierwszy rzut oka wydaje. Istnieją też wyjątki od zasady ogólnej, bo dostawcy usług zarządzanych w zakresie cyberbezpieczeństwa podlegają ustawie od znacznie niższego progu, a organ może objąć nią decyzją również mniejszą firmę, jeżeli jej usługa ma znaczenie systemowe.

Podmioty kluczowe

Kluczowe podmioty to te, które świadczą usługi niezbędne do sprawnego funkcjonowania społeczeństwa i gospodarki Unii. Ponadto mają one bezpośredni wpływ na stabilność oraz bezpieczeństwo tych obszarów.

Podmioty ważne

Podmioty ważne, choć nie spełniają kryteriów kluczowych, mają znaczący wpływ na właściwe funkcjonowanie gospodarki i społeczeństwa Unii Europejskiej.

Od czego zacząć?

Jeśli po lekturze nadal nie masz pewności co do kwalifikacji, to zupełnie normalne, ponieważ przypadki nieoczywiste, takie jak grupy kapitałowe, działalność mieszana czy spółki IT obsługujące własną grupę, rozstrzyga się na dokumentach, a nie na wyczuciu. Błędna samoocena kosztuje w obie strony, bo rejestracja podmiotu, który nie podlega ustawie, oznacza niepotrzebne obowiązki na lata, a brak rejestracji podmiotu, który podlega, jest naruszeniem przepisów.

Jeśli kwalifikację masz już za sobą i wiesz, że podlegasz, kolejność jest dość oczywista. Najpierw rejestracja, ponieważ jej termin jest najbliższy, a potem diagnoza pokazująca, które wymagania ustawy już spełniasz, czego brakuje i ile będzie kosztowało uzupełnienie. Dopiero z taką wiedzą rozmowa o budżecie ma sens, a rok pozostały do wdrożenia systemu zarządzania bezpieczeństwem informacji topnieje znacznie szybciej, niż wygląda to na papierze.

Nie wiesz, czy przepisy dotyczą Twojej firmy? Ustalmy to.

(+48) 790 213 841 Izabela Gorwa Data Protection Supervisor