NIS2 to dyrektywa Parlamentu Europejskiego i Rady (UE) 2022/2555 z 14 grudnia 2022 r., która ustala wspólny w całej Unii poziom cyberbezpieczeństwa dla podmiotów kluczowych i ważnych. W Polsce wdrożyła ją ustawa z 23 stycznia 2026 r. o zmianie ustawy o krajowym systemie cyberbezpieczeństwa (Dz.U. 2026 poz. 252), obowiązująca od 3 kwietnia 2026. Objęte podmioty - firmy z wybranych sektorów, szpitale, urzędy, a także szkoły, ośrodki pomocy społecznej i instytucje kultury - mają do 3 kwietnia 2027 wdrożyć system zarządzania bezpieczeństwem informacji (SZBI), zgłaszać incydenty poważne i przeszkolić kierownictwo. Kary można nakładać po 3 kwietnia 2028.
Co to jest dyrektywa NIS2
NIS2 zastąpiła dyrektywę NIS z 2016 r. (2016/1148), uchyloną z dniem 18 października 2024 (art. 44 NIS2). Państwa członkowskie miały przyjąć przepisy wdrażające do 17 października 2024 i stosować je od następnego dnia (art. 41). Polska zrobiła to z opóźnieniem - przez nowelizację ustawy o KSC z 2018 r., a nie nową ustawę.
Dyrektywa opiera się na czterech filarach:
- zarządzanie ryzykiem - minimalny katalog środków bezpieczeństwa (art. 21 NIS2),
- odpowiedzialność kierownictwa - zatwierdza środki, nadzoruje je i przechodzi szkolenia (art. 20),
- zgłaszanie incydentów w terminach 24 godzin, 72 godzin i miesiąca (art. 23),
- nadzór i kary - dla podmiotów kluczowych z górną granicą co najmniej 10 mln euro albo 2% światowego obrotu (art. 34).
Dyrektywa ustala minimum. Państwo może pójść dalej i Polska w kilku miejscach to zrobiła.
Kogo obejmuje NIS2 w Polsce
Ustawa o KSC dzieli podmioty na kluczowe (art. 5 ust. 1) i ważne (art. 5 ust. 2). Decydują dwa kryteria: sektor i wielkość.
Sektory wymieniają załączniki do ustawy. Załącznik nr 1 (sektory kluczowe) obejmuje m.in. energię, transport, bankowość i infrastrukturę rynków finansowych, ochronę zdrowia, wodę pitną i ścieki, infrastrukturę cyfrową, zarządzanie usługami ICT, przestrzeń kosmiczną i podmioty publiczne. Załącznik nr 2 (sektory ważne) to m.in. usługi pocztowe, gospodarka odpadami, chemikalia, żywność, produkcja, dostawcy usług cyfrowych, badania naukowe i samorządowe podmioty publiczne.
Wielkość liczy się według definicji średniego przedsiębiorcy z rozporządzenia 651/2014/UE. W uproszczeniu:
| Wielkość podmiotu | Sektor z załącznika nr 1 | Sektor z załącznika nr 2 |
|---|---|---|
| Duży (powyżej progów średniego) | kluczowy | ważny |
| Średni (od 50 pracowników albo obrót i suma bilansowa powyżej 10 mln euro) | ważny | ważny |
| Mały i mikro | co do zasady poza ustawą | co do zasady poza ustawą |
Od reguły wielkości są wyjątki. Niezależnie od rozmiaru kluczowi są m.in. dostawcy usług DNS, kwalifikowani dostawcy usług zaufania, podmioty krytyczne i podmioty publiczne z załącznika nr 1 (art. 5 ust. 1 pkt 4). Wśród tych ostatnich są starostwo powiatowe i urząd gminy, który na 1 stycznia zatrudnia na umowę o pracę co najmniej 50 osób w przeliczeniu na pełne etaty. Podmiot leczniczy, który nie jest przedsiębiorcą, jest ważny przy 50-249 zatrudnionych, a kluczowy od 250 (art. 5 ust. 8).
Podmiot ważny publiczny - polskie rozszerzenie
NIS2 pozwala państwom objąć przepisami administrację publiczną szczebla lokalnego (art. 2 ust. 5 lit. a). Polska z tego skorzystała. Podmiotem ważnym jest samorządowa jednostka budżetowa, samorządowy zakład budżetowy, samorządowa instytucja kultury albo spółka komunalna wykonująca zadania użyteczności publicznej, jeśli realizuje zadanie publiczne z użyciem systemów informacyjnych (art. 5 ust. 2 pkt 8). W praktyce to szkoły, przedszkola, ośrodki pomocy społecznej, biblioteki i domy kultury.
Taki podmiot ma łagodniejszy reżim: wdraża SZBI według osiemnastu punktów załącznika nr 4 (art. 8 ust. 3), przegląda go co najmniej raz w roku i zgłasza tylko incydent poważny w 72 godziny (art. 12c). Szczegóły w artykule Podmiot ważny publiczny w KSC.
Co zmieniło się w porównaniu z ustawą z 2018 r.
Ustawa z 5 lipca 2018 r. wdrażała pierwszą dyrektywę NIS. Najważniejsze różnice:
- samodzielna kwalifikacja - dawniej operatora usługi kluczowej wskazywał organ w decyzji, dziś podmiot sam ustala, czy spełnia kryteria, i składa wniosek o wpis do wykazu (art. 7c), choć część podmiotów, w tym publiczne, minister wpisuje z urzędu (art. 7a ust. 2),
- znacznie szerszy zakres - kilkanaście sektorów, w tym jednostki samorządowe,
- odpowiedzialność i szkolenie kierownika (art. 8c-8e),
- trzyetapowe zgłaszanie incydentów i CSIRT sektorowe jako adresaci zgłoszeń,
- informacja z Krajowego Rejestru Karnego od osób realizujących zadania (art. 8f),
- wyższe kary, także dla kierownika osobiście (art. 73a).
Główne obowiązki: od art. 21 NIS2 do SZBI
Polska ustawa przenosi środki z art. 21 ust. 2 NIS2 do wymagań SZBI z art. 8 ust. 1 i dodaje dwa własne: bezpieczeństwo fizyczne (lit. c) i monitorowanie systemu w trybie ciągłym (lit. g).
| Art. 21 ust. 2 NIS2 | Art. 8 ust. 1 ustawy o KSC |
|---|---|
| a) analiza ryzyka i polityki bezpieczeństwa | pkt 1, pkt 2 lit. a |
| b) obsługa incydentów | pkt 4 |
| c) ciągłość działania, kopie zapasowe, odtwarzanie | pkt 2 lit. f |
| d) bezpieczeństwo łańcucha dostaw | pkt 2 lit. e |
| e) bezpieczeństwo nabywania i utrzymania systemów, podatności | pkt 2 lit. b, pkt 5 |
| f) ocena skuteczności środków | pkt 2 lit. h |
| g) cyberhigiena i szkolenia | pkt 2 lit. i i j |
| h) kryptografia | pkt 2 lit. k |
| i) zasoby ludzkie, kontrola dostępu, aktywa | pkt 2 lit. d, m i n |
| j) uwierzytelnianie wieloskładnikowe, bezpieczna komunikacja | pkt 2 lit. l |
Do tego dochodzą: co najmniej dwie osoby do kontaktów (art. 9 ust. 1 pkt 1), dokumentacja bezpieczeństwa (art. 10), korzystanie z systemu S46 (art. 9 ust. 1 pkt 4) i coroczne szkolenie kierownika (art. 8e) - opisujemy je w artykule Szkolenie kierownika w KSC.
Zgłaszanie incydentów: 24 godziny, 72 godziny, miesiąc
Podmiot kluczowy i ważny zgłasza incydent poważny do właściwego CSIRT sektorowego (art. 11 ust. 1):
- wczesne ostrzeżenie - niezwłocznie, nie później niż w 24 godziny od wykrycia (pkt 4),
- zgłoszenie incydentu - nie później niż w 72 godziny od wykrycia (pkt 4a),
- sprawozdanie okresowe - na wniosek CSIRT (pkt 4b),
- sprawozdanie końcowe - w ciągu miesiąca od zgłoszenia (pkt 4c), a jeśli obsługa trwa, sprawozdanie z postępu i końcowe w miesiąc od jej zakończenia (art. 12b).
Wszystko przechodzi przez system S46 (art. 11 ust. 2). Podmiot ważny publiczny składa tylko zgłoszenie w 72 godziny (art. 12c). Więcej w artykule Incydent poważny w KSC.
Wykaz, nadzór i kary
Wykaz podmiotów kluczowych i ważnych prowadzi minister właściwy do spraw informatyzacji. Podmiot składa wniosek o wpis w 6 miesięcy od spełnienia przesłanek (art. 7c ust. 1), a zmiany danych zgłasza w 14 dni (art. 7c ust. 3).
Nadzór sprawują organy właściwe do spraw cyberbezpieczeństwa - nad podmiotami kluczowymi prewencyjnie i następczo, nad ważnymi następczo (art. 53 ust. 3). W sektorze podmiotów publicznych organem jest co do zasady minister właściwy do spraw informatyzacji (art. 41a ust. 1). Podmiot kluczowy przechodzi audyt co najmniej raz na 3 lata (art. 15 ust. 1), a pierwszy do 3 kwietnia 2028.
Kary wynoszą do 10 mln euro albo 2% przychodów dla podmiotu kluczowego, nie mniej niż 20 000 zł (art. 73 ust. 3), i do 7 mln euro albo 1,4% przychodów dla ważnego, nie mniej niż 15 000 zł (art. 73 ust. 4). Kierownik odpowiada do 300% wynagrodzenia, w podmiocie publicznym do 100% (art. 73a ust. 4-5). Zestawienie w artykule Kary w ustawie o KSC.
Oś czasu
| Data | Co się dzieje |
|---|---|
| 14 grudnia 2022 | przyjęcie dyrektywy NIS2 |
| 17 października 2024 | termin wdrożenia NIS2 w państwach członkowskich |
| 3 kwietnia 2026 | nowelizacja ustawy o KSC wchodzi w życie |
| 3 kwietnia 2027 | obowiązki z rozdziału 3 ustawy (art. 33 ust. 1 ustawy nowelizującej) |
| 3 kwietnia 2028 | pierwszy audyt podmiotu kluczowego (art. 33 ust. 2); po tym dniu można nakładać kary (art. 35) |
Warto sprawdzić na bieżąco stan rozporządzeń wykonawczych - do końca października 2026 nie znaleźliśmy tych, które mają określić m.in. progi incydentu poważnego.
Jak pomaga Cyberenu
Cyberenu buduje SZBI na danych, które jednostka wprowadziła już do dokumentacji RODO: osobach, pomieszczeniach, aktywach i dostawcach. Rodzaj podmiotu - kluczowy, ważny albo ważny publiczny - wybierasz w danych jednostki, a system dobiera listę wymagań, terminy zgłoszeń incydentów i audytu. Formy współpracy, także z konsultantem, omówimy przez formularz kontaktowy.
