Czy NIS2 obejmuje każdą średnią lub dużą firmę?
Nie. Wielkość jest tylko jednym z elementów testu. Firma musi jeszcze należeć do rodzaju podmiotów wskazanych w załączniku nr 1 lub 2 do ustawy albo do szczególnej kategorii wymienionej bezpośrednio w art. 5 KSC.
Sektory kluczowe obejmują między innymi energię, transport, bankowość i infrastrukturę rynków finansowych, ochronę zdrowia, wodę, ścieki, infrastrukturę cyfrową, komunikację elektroniczną i zarządzanie usługami ICT. Wśród sektorów ważnych znajdują się między innymi usługi pocztowe, gospodarka odpadami, produkcja i dystrybucja chemikaliów lub żywności, wybrane rodzaje produkcji przemysłowej, dostawcy usług cyfrowych i organizacje badawcze.
W typowych przypadkach znaczenie ma osiągnięcie co najmniej poziomu średniego przedsiębiorstwa. Nie wolno jednak ograniczać analizy do liczby pracowników jednej spółki. Zasady ustalania wielkości mogą wymagać uwzględnienia danych przedsiębiorstw partnerskich i powiązanych. Ustawa zawiera też szczególne rozwiązania dotyczące niezależności systemów oraz wspólnego świadczenia usług w grupie.
Niektóre podmioty podlegają regulacji niezależnie od wielkości albo na innych progach. Dotyczy to między innymi dostawców DNS, kwalifikowanych dostawców usług zaufania, rejestrów domen TLD, podmiotów świadczących usługi rejestracji nazw domen oraz części przedsiębiorców komunikacji elektronicznej i dostawców usług zarządzanych w zakresie cyberbezpieczeństwa. Dlatego ogólna odpowiedź „mamy mniej niż 250 pracowników” nie wystarcza.
Jak przeprowadzić samoidentyfikację firmy?
Najpierw trzeba opisać usługi faktycznie świadczone przez spółkę, a nie tylko kody PKD lub marketingową nazwę produktu. Następnie należy przyporządkować je do rodzajów podmiotów z załączników do KSC i sprawdzić kryteria szczególne właściwe dla danego sektora.
Kolejny etap to analiza wielkości przedsiębiorstwa według reguł unijnych, wraz z relacjami właścicielskimi i kontrolą w grupie. Dopiero po połączeniu tych elementów można ustalić, czy podmiot jest kluczowy, ważny czy pozostaje poza ustawowym zakresem.
Wynik warto utrwalić w krótkim memorandum lub karcie kwalifikacyjnej. Jeżeli firma uzna, że nie podlega KSC, dokument powinien wskazywać przyjęte dane, analizowany sektor i podstawę wniosku. Pozwala to wykazać, że zarząd przeprowadził rzeczywistą ocenę, a nie tylko założył brak obowiązku.
Kto musi wpisać się do Wykazu KSC i w jakim terminie?
Minister właściwy do spraw informatyzacji wpisuje z urzędu między innymi część podmiotów publicznych, przedsiębiorców telekomunikacyjnych, dostawców usług zaufania oraz podmioty krytyczne. Pozostałe podmioty kluczowe i ważne składają wniosek samodzielnie.
Podmioty, które spełniały przesłanki w dniu wejścia w życie nowelizacji, podlegają harmonogramowi przejściowemu. Okres samorejestracji trwa od 7 maja do 3 października 2026 r. Wniosek składa się elektronicznie w aplikacji Wykaz KSC i opatruje właściwym podpisem elektronicznym.
Jeżeli firma zacznie spełniać przesłanki później, zasadniczo ma sześć miesięcy od ich spełnienia na złożenie wniosku. Zmiany danych objętych wpisem również wymagają aktualizacji w ustawowym terminie. Rejestracja nie jest więc jednorazową formalnością oderwaną od zmian w działalności lub strukturze grupy.
Jakie informacje trzeba przygotować do wpisu?
Zakres danych jest szerszy niż podstawowe dane rejestrowe. Obejmuje między innymi sektor i rodzaj podmiotu, adresy, NIP i REGON, publiczne adresy IP oraz domeny używane w sposób ciągły, dane osób kontaktowych, deklarację wielkości, państwa UE, w których prowadzona jest działalność, oraz informacje o zewnętrznym dostawcy usług zarządzanych w zakresie cyberbezpieczeństwa, jeżeli zawarto taką umowę.
Przed złożeniem wniosku warto uzgodnić dane między działem prawnym, IT, bezpieczeństwem i finansami. Błędna kwalifikacja sektora, niepełna lista domen albo przypadkowe wskazanie osoby kontaktowej może utrudnić dalszą komunikację i wdrożenie S46.
Co firma musi wdrożyć po rejestracji?
Podmiot kluczowy lub ważny powinien wdrożyć system zarządzania bezpieczeństwem informacji w systemach wykorzystywanych w procesach wpływających na świadczenie objętej usługi. SZBI ma obejmować między innymi analizę ryzyka, bezpieczeństwo dostawców, ciągłość działania, monitorowanie, zarządzanie incydentami, cyberhigienę, kontrolę dostępu, kryptografię, aktualizacje i edukację personelu.
Potrzebna jest dokumentacja normatywna i operacyjna, wyznaczenie osób do kontaktu, procedura obsługi i zgłaszania incydentów, korzystanie z S46 oraz wewnętrzna struktura odpowiedzialna za cyberbezpieczeństwo albo umowa z odpowiednim dostawcą. Outsourcing może wspierać wykonanie zadań, ale nie zastępuje nadzoru firmy nad zakresem usługi, raportowaniem i dostępem do informacji.
Przegląd umów z dostawcami powinien objąć czasy reakcji, przekazywanie informacji o incydentach i podatnościach, prawo audytu, podwykonawców, ciągłość świadczenia i współpracę przy raportowaniu. Samo ogólne oświadczenie dostawcy o „zgodności z NIS2” nie opisuje tych mechanizmów. Podobną logikę oceny dostawcy wyjaśnia artykuł o umowie powierzenia danych, choć KSC i RODO tworzą odrębne obowiązki.
Za co odpowiada zarząd lub inne kierownictwo?
Kierownik podmiotu odpowiada za wykonanie obowiązków z zakresu cyberbezpieczeństwa. Jeżeli funkcję kierownika pełni organ wieloosobowy i nie wskazano osoby odpowiedzialnej, odpowiedzialność ponoszą wszyscy jego członkowie. Ustawa wyraźnie wskazuje, że powierzenie obowiązków innej osobie nie usuwa odpowiedzialności kierownika.
Do zadań kierownictwa należy podejmowanie decyzji dotyczących SZBI, zapewnienie budżetu, podział zadań, nadzór i budowanie świadomości personelu. Kierownik oraz osoba, której powierzono jego obowiązki w zakresie cyberbezpieczeństwa, mają co roku przechodzić udokumentowane szkolenie.
To istotnie odróżnia wdrożenie od zakupu pojedynczego narzędzia IT. Zarząd powinien otrzymywać cykliczną informację o ryzykach, stanie wdrożenia, incydentach, zależnościach od dostawców i brakach budżetowych.
Jak ten problem wygląda w praktyce
Hipotetyczny przykład: dystrybutor żywności zakłada, że NIS2 dotyczy tylko infrastruktury krytycznej
Hipotetyczny przykład: dystrybutor żywności zakłada, że NIS2 dotyczy tylko infrastruktury krytycznej Spółka zatrudnia ponad 50 osób, prowadzi hurtową dystrybucję żywności i korzysta z rozbudowanego systemu magazynowego, platformy zamówień oraz zewnętrznego operatora IT. Zarząd uznaje początkowo, że firma nie podlega KSC, ponieważ nie jest bankiem, operatorem energetycznym ani podmiotem publicznym. Produkcja, wytwarzanie i dystrybucja żywności znajdują się jednak w sektorach ważnych. Trzeba więc sprawdzić dokładny rodzaj działalności, dane finansowe i zatrudnienie oraz powiązania grupowe. Jeżeli przesłanki są spełnione, spółka powinna dokonać wpisu w terminie, wyznaczyć osoby kontaktowe i zaplanować SZBI. Umowa z operatorem IT wymaga uzupełnienia o szybkie zgłaszanie incydentów, dostęp do informacji, współpracę z S46, podwykonawców oraz testy ciągłości działania. Sam fakt outsourcingu systemów nie przenosi ustawowej odpowiedzialności ze spółki na dostawcę.
Kwestie do ustalenia lub sprawdzenia przed działaniem
- Jakie usługi firma faktycznie świadczy i do którego rodzaju podmiotów z załączników KSC mogą należeć?
- Czy status zależy od wielkości, czy firma należy do kategorii objętej niezależnie od rozmiaru?
- Jak na wynik wpływają przedsiębiorstwa partnerskie, powiązane i wspólne systemy w grupie?
- Czy firma powinna zostać wpisana z urzędu, czy musi złożyć wniosek samodzielnie?
- Jakie domeny, publiczne adresy IP i osoby kontaktowe należy wskazać we wniosku?
- Które systemy i procesy wpływają na świadczenie objętej usługi i powinny wejść do zakresu SZBI?
- Czy umowy z dostawcami zapewniają wymagane informacje, czasy reakcji, ciągłość działania i wsparcie przy incydentach?
- Kto w zarządzie nadzoruje wdrożenie, budżet, szkolenia oraz raportowanie postępu?
Najważniejsze zagadnienia w skrócie
| Zagadnienie | Kluczowa informacja |
|---|---|
| Wejście w życie nowelizacji | 3 kwietnia 2026 r. |
| Samorejestracja podmiotów objętych w dniu wejścia w życie | Od 7 maja do 3 października 2026 r. |
| Podłączenie do S46 i wdrożenie obowiązków przejściowych | Co do zasady do 3 kwietnia 2027 r. |
| Pierwszy audyt nowych podmiotów kluczowych | Do 3 kwietnia 2028 r.; obowiązek audytu okresowego dotyczy podmiotów kluczowych |
| Stosowanie nowych kar pieniężnych | Co do zasady od 3 kwietnia 2028 r. |
| Odpowiedzialność kierownictwa | Pozostaje także przy powierzeniu zadań pracownikowi lub dostawcy zewnętrznemu |
Podstawy prawne
- Ustawa z dnia 5 lipca 2018 r. o krajowym systemie cyberbezpieczeństwa, w szczególności art. 5–16 i załączniki nr 1–2
- Ustawa z dnia 23 stycznia 2026 r. o zmianie ustawy o krajowym systemie cyberbezpieczeństwa oraz niektórych innych ustaw, w szczególności art. 33–35
- Dyrektywa Parlamentu Europejskiego i Rady (UE) 2022/2555 z dnia 14 grudnia 2022 r. w sprawie środków na rzecz wysokiego wspólnego poziomu cyberbezpieczeństwa na terytorium Unii
- Rozporządzenie Komisji (UE) nr 651/2014 z dnia 17 czerwca 2014 r., załącznik I
Materiał ma charakter ogólny i nie stanowi porady prawnej w konkretnej sprawie. Właściwe rozwiązanie zależy od stanu faktycznego, dokumentów i celu biznesowego.
Podsumowanie
Najpilniejszym zadaniem nie jest zakup narzędzia bezpieczeństwa, lecz prawidłowa samoidentyfikacja. Dopiero ustalenie sektora, wielkości i statusu podmiotu pozwala określić obowiązek wpisu, zakres systemów objętych SZBI i harmonogram wdrożenia.