Dyrektywa NIS2 – czym jest i kogo dotyczy?

Dyrektywa NIS2, czyli Dyrektywa Parlamentu Europejskiego i Rady (UE) 2022/2555, została przyjęta w celu zapewnienia wysokiego wspólnego poziomu cyberbezpieczeństwa w państwach członkowskich Unii Europejskiej. Jest to odpowiedź na rosnące zagrożenia w zakresie cyberbezpieczeństwa, obejmujące m.in. ataki na sieci i systemy informatyczne, kradzież danych oraz zakłócenia w świadczeniu usług kluczowych dla funkcjonowania państwa i gospodarki.

Cyberbezpieczeństwo przestało być tematem, który można odkładać na później. W Polsce wdrożenie dyrektywy NIS2 zostało przeprowadzone nowelizacją ustawy o krajowym systemie cyberbezpieczeństwa z 23 stycznia 2026 r., ogłoszoną 2 marca 2026 r. Jej zasadnicze przepisy obowiązują od 3 kwietnia 2026 r. To oznacza, że wiele organizacji musi uporządkować podejście do bezpieczeństwa, incydentów, ciągłości działania i odpowiedzialności zarządczej.

Nowe regulacje nie sprowadzają się do formalności ani do pojedynczych zabezpieczeń technicznych. Ich celem jest podniesienie odporności organizacji, które mają znaczenie dla gospodarki, usług publicznych i ciągłości funkcjonowania państwa. Dla firm oznacza to jedno: trzeba patrzeć na cyberbezpieczeństwo nie tylko przez pryzmat IT, ale jako obszar realnego ryzyka operacyjnego i biznesowego.

Dyrektywa NIS2 – czym jest i kogo dotyczy?

NIS2 to unijna dyrektywa podnosząca wymagania w zakresie bezpieczeństwa sieci i systemów informacyjnych. W Polsce jej wdrożenie nastąpiło przez zmianę ustawy o krajowym systemie cyberbezpieczeństwa. Najważniejsza zmiana polega na tym, że nowy model obejmuje więcej sektorów i więcej organizacji niż wcześniejsze przepisy, a podmioty zostały podzielone na podmioty kluczowe i podmioty ważne.

W praktyce nie chodzi już wyłącznie o wąsko rozumianych operatorów usług kluczowych. Nowe przepisy obejmują szeroki katalog organizacji działających w obszarach istotnych dla gospodarki i usług publicznych, a od wielu firm będą też pośrednio wymuszać wyższe standardy bezpieczeństwa w relacjach z klientami, partnerami i dostawcami.

Kogo dotyczą nowe przepisy?

Nowelizacja obejmuje podmioty działające m.in. w takich sektorach jak energetyka, transport, bankowość i infrastruktura rynków finansowych, ochrona zdrowia czy infrastruktura cyfrowa. Ustawa bardzo szczegółowo rozpisuje kategorie organizacji objętych regulacją, dlatego w praktyce nie warto opierać się wyłącznie na intuicji typu „to chyba nas nie dotyczy”.

Ważne jest też to, że nie każda firma współpracująca z podmiotem objętym ustawą automatycznie sama staje się podmiotem kluczowym lub ważnym. Jednocześnie nowe przepisy mocno akcentują bezpieczeństwo i ciągłość łańcucha dostaw, więc nawet organizacje pozostające poza bezpośrednim zakresem ustawy mogą odczuć jej skutki przez wymagania stawiane przez klientów, audyty dostawców i nowe standardy zakupowe.

Jakie obowiązki nakłada ustawa?

Najważniejszym wymogiem jest wdrożenie systemu zarządzania bezpieczeństwem informacji w systemach informacyjnych wykorzystywanych do świadczenia usług. To nie jest pojedynczy dokument ani jednorazowy projekt. Ustawa wymaga podejścia systemowego, obejmującego polityki, procedury, role, środki techniczne oraz nadzór nad ich skutecznością.

W praktyce organizacja musi zadbać między innymi o:

• szacowanie ryzyka i polityki bezpieczeństwa,
• bezpieczeństwo w nabywaniu, rozwoju, utrzymaniu i testowaniu systemów,
• bezpieczeństwo fizyczne i środowiskowe,
• bezpieczeństwo zasobów ludzkich,
• bezpieczeństwo i ciągłość łańcucha dostaw produktów, usług i procesów ICT,
• zarządzanie incydentami,
• ciągłość działania i odtwarzanie po awarii,
• monitoring bezpieczeństwa,
• edukację personelu i cyberhigienę,
• kryptografię i szyfrowanie tam, gdzie jest to zasadne,
• bezpieczne środki komunikacji i uwierzytelnianie wieloskładnikowe w stosownych przypadkach,
• polityki kontroli dostępu oraz zarządzanie aktywami.

To oznacza, że zgodność z NIS2 nie kończy się na zakupie narzędzia bezpieczeństwa. Potrzebne są również procesy, odpowiedzialności, dokumentacja, szkolenia i regularna weryfikacja, czy przyjęte środki rzeczywiście działają.

Zgłaszanie incydentów: jakie są terminy?

Jednym z najważniejszych obowiązków jest raportowanie incydentów poważnych. Ustawa przewiduje trzy kluczowe etapy zgłoszenia. Najpierw trzeba przekazać wczesne ostrzeżenie w ciągu 24 godzin od wykrycia incydentu. Następnie należy złożyć zgłoszenie incydentu poważnego w ciągu 72 godzin. Później wymagane jest także sprawozdanie końcowe, co do zasady w ciągu miesiąca od zgłoszenia, a jeśli obsługa incydentu trwa dłużej, w ciągu miesiąca od jej zakończenia.

Z perspektywy organizacyjnej to bardzo ważna zmiana. Bez jasno przypisanych ról, procedur eskalacji, ścieżki komunikacji i przygotowanych danych do zgłoszenia, dotrzymanie tych terminów może być po prostu nierealne. Dlatego temat incydentów trzeba traktować nie jako zadanie „na wypadek kryzysu”, ale jako element codziennego modelu operacyjnego bezpieczeństwa.

Kto odpowiada za wdrożenie?

Nowe przepisy wprost wzmacniają odpowiedzialność po stronie kierownictwa. Ustawa wskazuje obowiązki kierownika podmiotu kluczowego lub ważnego, a także wymaga, aby kierownik i osoba odpowiedzialna za ten obszar raz w roku kalendarzowym przechodzili szkolenie z zakresu cyberbezpieczeństwa.

To ważny sygnał dla zarządu i menedżerów: NIS2 nie jest projektem, który można w całości oddelegować do działu IT. Cyberbezpieczeństwo staje się obszarem wymagającym nadzoru na poziomie organizacyjnym i decyzyjnym, bo wpływa na ciągłość działania, zgodność, ryzyko kontraktowe i odporność biznesu.

Dodatkowo organizacja musi wyznaczyć osoby do kontaktu w sprawach cyberbezpieczeństwa. Ustawa przewiduje obowiązek wyznaczenia co najmniej dwóch osób do kontaktu, a w określonych przypadkach dla mikro- i małych przedsiębiorców co najmniej jednej.

Co grozi za brak zgodności?

Nowe przepisy przewidują administracyjne kary pieniężne. Dla podmiotów kluczowych kara może sięgać do 10 mln euro albo 2% rocznych przychodów, a dla podmiotów ważnych do 7 mln euro albo 1,4% rocznych przychodów. Ustawa przewiduje też minimalne poziomy kar oraz odpowiedzialność związaną z niewykonaniem określonych obowiązków.

Jednocześnie warto uczciwie podkreślić, że ustawodawca przewidział okres dostosowawczy. Podmioty, które w dniu wejścia w życie ustawy spełniają przesłanki uznania ich za podmiot kluczowy lub ważny, mają 12 miesięcy na realizację obowiązków z rozdziału 3. Podmioty kluczowe mają 24 miesiące na przeprowadzenie pierwszego audytu. Co więcej, nowe kary pieniężne będą mogły zostać nałożone po raz pierwszy dopiero po upływie 2 lat od wejścia ustawy w życie.

To jednak nie oznacza, że można spokojnie czekać. Okres przejściowy warto potraktować jako czas na uporządkowanie stanu obecnego, ocenę luk, wdrożenie procesów i przygotowanie organizacji do działania w nowym modelu. Firmy, które zaczną za późno, będą musiały nadrabiać pod presją czasu.

Co warto zrobić już teraz?

Najrozsądniejszym podejściem nie jest zaczynanie od samej dokumentacji ani od zakupu kolejnego narzędzia. Najpierw warto ustalić, czy organizacja rzeczywiście wpada w zakres nowych przepisów i w jakiej kategorii może zostać zakwalifikowana. Następnie trzeba sprawdzić, na ile obecne procedury, role i zabezpieczenia odpowiadają wymaganiom ustawy.

W praktyce dobry plan działania obejmuje:

• analizę, czy organizacja podlega pod nowe przepisy,
• przegląd obecnych polityk i procedur bezpieczeństwa,
• ocenę ryzyka oraz gotowości do obsługi incydentów,
• weryfikację zabezpieczeń technicznych i organizacyjnych,
• przegląd zależności od dostawców i ryzyk w łańcuchu dostaw,
• wskazanie osób odpowiedzialnych i ścieżek decyzyjnych,
• przygotowanie harmonogramu dostosowania do wymagań ustawy.

Podsumowanie

NIS2 w Polsce to nie abstrakcyjna zmiana regulacyjna, ale realny impuls do uporządkowania cyberbezpieczeństwa w organizacjach, które mają znaczenie dla gospodarki, usług i infrastruktury. Nowe przepisy rozszerzają zakres podmiotów objętych wymaganiami, podnoszą oczekiwania wobec zarządzania ryzykiem, incydentów i ciągłości działania oraz wyraźnie wzmacniają odpowiedzialność po stronie kierownictwa.

Dla wielu firm najbliższe miesiące będą momentem, w którym trzeba przełożyć cyberbezpieczeństwo z poziomu deklaracji na poziom konkretnych działań. Im szybciej organizacja sprawdzi, gdzie są luki i jak wygląda jej gotowość do spełnienia nowych wymagań, tym łatwiej będzie uniknąć chaosu, presji czasu i kosztownych błędów na etapie wdrożenia.