NIS2 i nowa ustawa o KSC w średniej firmie: czy podlegasz i co zrobić najpierw

Nowelizacja ustawy o krajowym systemie cyberbezpieczeństwa, która wdraża w Polsce unijną dyrektywę NIS2, została opublikowana w Dzienniku Ustaw 2 marca 2026 roku (Dz.U. 2026 poz. 252) i obowiązuje od 3 kwietnia 2026 roku. Najważniejsza zmiana dla średnich firm: o tym, czy przepisy Cię obejmują, nie decyduje już urząd. Firma sama ocenia swój status i sama zgłasza się do wykazu.

Pierwszy termin już minął. Firmy, które spełniały warunki w dniu wejścia ustawy w życie, miały czas na złożenie wniosku o wpis do 3 października 2026 roku. Jeśli Twoja firma podlega ustawie, a wniosku nie złożyła, warto zrobić to jak najszybciej.

Najważniejsze terminy

Czy Twoja firma podlega ustawie: trzy pytania

1. Czy działasz w jednym z sektorów z załączników do ustawy? Załącznik nr 1 (sektory kluczowe) obejmuje między innymi energię, transport, bankowość, ochronę zdrowia, w tym produkcję leków i wyrobów medycznych, wodę pitną, ścieki, infrastrukturę cyfrową i zarządzanie usługami ICT. Załącznik nr 2 (sektory ważne) obejmuje między innymi usługi pocztowe, gospodarkę odpadami, chemikalia, żywność, produkcję wyrobów medycznych, elektroniki, urządzeń elektrycznych, maszyn i pojazdów, dostawców usług cyfrowych oraz badania naukowe.

To ważne dla firm produkcyjnych: zakład, który produkuje maszyny, urządzenia elektryczne albo żywność, może podlegać ustawie, choć nie kojarzy się z cyberbezpieczeństwem.

2. Czy jesteś co najmniej średnim przedsiębiorstwem? Ustawa odsyła do unijnej definicji MŚP. W uproszczeniu średnie przedsiębiorstwo zaczyna się od 50 pracowników albo od przekroczenia 10 mln euro obrotu i sumy bilansowej, a duże od 250 pracowników albo od przekroczenia 50 mln euro obrotu i 43 mln euro sumy bilansowej. Dokładne zasady liczenia, w tym przy powiązaniach z innymi spółkami, warto sprawdzić z księgowością.

3. Czy należysz do wyjątków, które podlegają niezależnie od wielkości? Dotyczy to między innymi dostawców usług DNS, rejestrów domen, dostawców usług zaufania, podmiotów krytycznych i niektórych podmiotów publicznych. Dostawcy usług zarządzanych w zakresie cyberbezpieczeństwa są podmiotami kluczowymi już od progu małego przedsiębiorstwa.

Wynik: podmiot kluczowy czy ważny

Różnica ma znaczenie praktyczne. Podmiot kluczowy musi przechodzić audyt co najmniej raz na trzy lata. Podmiot ważny przechodzi audyt tylko wtedy, gdy zleci go organ, na przykład po poważnym incydencie.

Co zrobić najpierw

Poniżej kolejność, którą stosuję przy porządkowaniu organizacyjnej strony bezpieczeństwa informacji. Dotyczy procesów, ról i dokumentów, a nie zabezpieczeń technicznych, które powinien ocenić specjalista IT.

• Ustal status i złóż wniosek o wpis. Odpowiedz na trzy pytania powyżej i zapisz uzasadnienie. Jeśli firma podlega ustawie, złóż wniosek przez system S46. Wniosek podpisuje kierownik podmiotu, a brak wniosku jest zagrożony karą.
• Wskaż odpowiedzialność w kierownictwie. Za wykonanie obowiązków odpowiada kierownik podmiotu, także wtedy, gdy powierzy zadania innej osobie. Kierownik i ta osoba muszą przechodzić szkolenie co najmniej raz w roku kalendarzowym.
• Zrób listę procesów i systemów, od których zależy firma. Bez niej nie da się rzetelnie oszacować ryzyka. Dobrze sprawdza się tu mapa procesów z informacją, jakie systemy i dane są używane w każdym kroku.
• Oszacuj ryzyko i zaplanuj środki. Ustawa wymaga systematycznego szacowania ryzyka i zarządzania nim, w tym planów ciągłości działania, zarządzania aktywami i szkolenia pracowników.
• Przygotuj obsługę incydentów. Poważny incydent trzeba zgłosić do właściwego zespołu CSIRT: wczesne ostrzeżenie w ciągu 24 godzin, zgłoszenie w ciągu 72 godzin i sprawozdanie końcowe w ciągu miesiąca. To wymaga ustalonych ról i ścieżki decyzji, zanim incydent się wydarzy.
• Przejrzyj dostawców. Bezpieczeństwo łańcucha dostaw jest częścią obowiązków, więc warto wiedzieć, którzy dostawcy mają dostęp do Twoich systemów i danych.

Na wdrożenie obowiązków jest czas do 3 kwietnia 2027 roku. Rok wydaje się długi, ale szacowanie ryzyka, procedury i szkolenia w średniej firmie zajmują zwykle kilka miesięcy.

Kary i odpowiedzialność kierownika

Podmiotowi kluczowemu grozi kara do 10 mln euro albo 2% rocznego przychodu, przy czym stosuje się kwotę wyższą. Podmiotowi ważnemu grozi kara do 7 mln euro albo 1,4% przychodu. Kierownik podmiotu może zostać ukarany osobno, karą do 300% swojego wynagrodzenia. Większość kar można nakładać od 3 kwietnia 2028 roku. Wyjątkiem jest kara do 100 mln zł za naruszenia, które stwarzają poważne zagrożenie, na przykład dla bezpieczeństwa państwa albo życia i zdrowia.

A co z ISO/IEC 27001?

Certyfikat ISO/IEC 27001 nie zwalnia z obowiązków ustawowych ani z audytu. System zarządzania bezpieczeństwem informacji zbudowany według tej normy bardzo jednak ułatwia spełnienie wymagań ustawy, bo opiera się na tej samej logice: ryzyko, role, zabezpieczenia i doskonalenie. Jeśli firma i tak myśli o certyfikacie, warto połączyć oba projekty.

Mity, które warto odłożyć

• Ustawa obowiązuje od stycznia 2026 roku. 23 stycznia to data uchwalenia przez Sejm. Ustawa obowiązuje od 3 kwietnia 2026 roku.
• Każdy podmiot ważny ma regularny audyt. Audyt co trzy lata dotyczy podmiotów kluczowych. Podmiot ważny przechodzi audyt na wezwanie organu.
• Kary grożą od pierwszego dnia. Większość kar można nakładać od 3 kwietnia 2028 roku, choć ten czas warto wykorzystać na wdrożenie, a nie na czekanie.
• Certyfikat ISO/IEC 27001 oznacza zgodność z ustawą. Ustawa tego nie przewiduje. Norma pomaga, ale nie zastępuje obowiązków.

Jak możemy pomóc

Przygotowujemy organizacyjną stronę gotowości: ustalenie zakresu, mapę procesów i systemów, role i odpowiedzialność kierownictwa, szacowanie ryzyka, procedurę obsługi incydentów i ciągłość działania. Nie zastępujemy doradztwa prawnego ani testów technicznych, a przy tych elementach współpracujemy ze specjalistami. Więcej na stronie Systemy ISO.

Źródła: ustawa z 23 stycznia 2026 r. o zmianie ustawy o krajowym systemie cyberbezpieczeństwa oraz niektórych innych ustaw (Dz.U. 2026 poz. 252), komunikaty Ministerstwa Cyfryzacji. Stan na październik 2026 roku. Artykuł ma charakter informacyjny i nie stanowi porady prawnej. Status konkretnej firmy warto potwierdzić z prawnikiem.