Kogo obejmuje nowelizacja KSC

Ustawa obejmuje podmioty z sektorów wymienionych w jej załącznikach. Wśród nich są m.in. energetyka, transport, bankowość, ochrona zdrowia, woda, infrastruktura cyfrowa, usługi zarządzane IT, administracja publiczna, gospodarka odpadami, produkcja wybranych wyrobów, żywność, usługi pocztowe i kurierskie. Podmioty dzielą się na kluczowe i ważne; od kategorii zależy m.in. sposób nadzoru i wysokość kar.

Co do zasady ustawa dotyczy firm co najmniej średnich, czyli zatrudniających od 50 osób albo z rocznym obrotem lub sumą bilansową powyżej 10 mln euro. Niektóre kategorie, np. wybrani dostawcy usług cyfrowych i telekomunikacyjnych, mogą podlegać niezależnie od wielkości. Eksperci szacują liczbę objętych podmiotów w Polsce na ponad 40 tysięcy.

Status podmiotu kluczowego lub ważnego powstaje z mocy prawa, gdy firma spełnia kryteria. Nikt nie przysyła zawiadomienia, więc ocena należy do samej firmy. W razie wątpliwości warto ją potwierdzić z prawnikiem.

Najważniejsze terminy

Według harmonogramów publikowanych przez serwisy prawne i doradcze dla podmiotów istniejących w dniu wejścia ustawy w życie:

  • 3 października 2026 – termin złożenia wniosku o wpis do wykazu prowadzonego w systemie S46 (później obowiązuje zasada: 6 miesięcy od spełnienia przesłanek),
  • około 12 miesięcy od wejścia w życie – wdrożenie obowiązków organizacyjnych i technicznych, w tym systemu zarządzania bezpieczeństwem informacji,
  • do 2028 roku – pierwsze audyty podmiotów kluczowych; najsurowsze kary finansowe zostały odroczone.

Odroczenie kar nie oznacza braku obowiązków. Zaniedbania mogą skutkować kontrolą i osobistą odpowiedzialnością kierownictwa. Część przepisów została też skierowana do Trybunału Konstytucyjnego, więc warto śledzić zmiany.

Co trzeba wdrożyć

Ustawa wymaga systemu zarządzania bezpieczeństwem informacji adekwatnego do ryzyka. W praktyce obejmuje on m.in.:

  • szacowanie ryzyka i dobór zabezpieczeń,
  • kontrolę dostępu, w tym uwierzytelnianie wieloskładnikowe tam, gdzie wynika to z ryzyka,
  • kopie zapasowe, plan ciągłości działania i odtwarzania po awarii,
  • zarządzanie podatnościami i aktualizacjami,
  • bezpieczeństwo łańcucha dostaw, czyli wymagania wobec dostawców IT,
  • obsługę i zgłaszanie incydentów,
  • szkolenia, również dla kierownictwa.

Poważne incydenty zgłasza się etapami: wczesne ostrzeżenie w ciągu 24 godzin, zgłoszenie w ciągu 72 godzin i sprawozdanie końcowe w ciągu miesiąca. Bez monitoringu i ustalonej procedury trudno dotrzymać tych terminów.

Od czego zacząć część techniczną

Dokumenty są potrzebne, ale audytor zapyta o dowody, że zabezpieczenia działają. Dlatego część techniczną warto zacząć od rzeczy, które dają jednocześnie bezpieczeństwo i materiał dowodowy:

  1. Inwentaryzacja. Spis systemów, danych, kont administracyjnych i dostawców. Bez niego nie da się rzetelnie oszacować ryzyka.
  2. Kopie i test odtworzenia. Kopia odseparowana od środowiska produkcyjnego i zapis z testu, że da się z niej wrócić do pracy.
  3. Dostęp administracyjny. MFA dla dostępu zdalnego i kont z uprawnieniami, przegląd, kto ma dostęp i po co.
  4. Skanowanie podatności. Regularny skan z oceną i planem łatania, a nie jednorazowy raport.
  5. Monitoring i procedura incydentu. Alerty, które pozwalają zauważyć problem, oraz jasne role: kto ocenia incydent i kto go zgłasza.

Firma spoza wykazu też może być objęta

Podmioty kluczowe i ważne muszą dbać o bezpieczeństwo łańcucha dostaw. Jeśli dostarczasz im usługi IT, oprogramowanie albo obsługę systemów, wymagania mogą trafić do Ciebie przez umowę: ankiety bezpieczeństwa, wymóg MFA, terminy zgłaszania incydentów czy prawo do audytu. Przygotowanie się zawczasu bywa przewagą w przetargach i rozmowach z klientami.

Najczęstsze pytania

Czy NIS2 dotyczy małych firm?

Co do zasady nie: ustawa obejmuje firmy średnie i duże z wymienionych sektorów. Wyjątkiem są wybrane kategorie podmiotów, które podlegają niezależnie od wielkości. Mała firma może też dostać wymagania od klienta objętego ustawą.

Kto decyduje, czy firma jest podmiotem kluczowym lub ważnym?

Status powstaje z mocy prawa po spełnieniu kryteriów. Ocenę przeprowadza sama firma, a w razie wątpliwości warto skonsultować ją z prawnikiem.

W jakim czasie trzeba zgłosić incydent?

Poważny incydent zgłasza się etapami: wczesne ostrzeżenie w ciągu 24 godzin, zgłoszenie w ciągu 72 godzin i sprawozdanie końcowe w ciągu miesiąca.

Do sprawdzenia w Twojej firmie

  • Firma oceniła, czy jest podmiotem kluczowym, ważnym albo dostawcą dla takiego podmiotu.
  • Istnieje aktualny spis systemów, danych, kont administracyjnych i dostawców.
  • Kopie zapasowe są odseparowane, a test odtworzenia jest udokumentowany.
  • Dostęp zdalny i administracyjny jest chroniony MFA.
  • Podatności są skanowane regularnie, a wyniki mają plan łatania.
  • Wiadomo, kto ocenia incydent i kto zgłasza go w terminie 24 godzin.

Źródła i dalsza lektura

Chcesz przełożyć to na swoje środowisko?

Wdrażamy techniczną część wymagań: inwentaryzację, kopie i ciągłość działania, monitoring, obsługę podatności i przygotowanie do zgłaszania incydentów.

NIS2 i KSC – wymagania techniczne