Do 6 miesięcy
Wpis do wykazu
Termin zgłoszenia do rejestru podmiotów kluczowych i ważnych został wydłużony z 3 do 6 miesięcy.
NIS2
Aktualne kompendium wiedzy dla IT
Temat unijnej dyrektywy NIS2 powraca do debaty publicznej, ponieważ nieuchronnie zbliża się moment, w którym polskie firmy będą zobowiązane do wdrożenia jej zapisów. NIS2 pojawia się w raportach, artykułach i na konferencjach, ale jak w gąszczu informacji wyłowić to, co naprawdę istotne z perspektywy IT?
Zapraszamy Cię na webinar, który odbędzie się 26.03.2026 r. o godz. 11:00 i podczas którego eksperci wyjaśnią wszystkie aspekty nowego prawa i rozwieją wątpliwości podczas sesji Q&A. Nie może Cię z nami zabraknąć!
Czym jest NIS2?
Dyrektywa NIS2 (Network and Information Systems Directive 2) to dokument, który ustanawia ogólne standardy w zakresie cyberbezpieczeństwa. Dyrektywa obejmuje instytucje i firmy, które są określone jako kluczowe z punktu widzenia funkcjonowania społeczeństwa.
NIS2 to aktualizacja dyrektywy NIS z 2016 roku. W Polsce jej wymogi były realizowane przez Ustawę o Krajowym Systemie Cyberbezpieczeństwa, która również jest aktualizowana. Dyrektywa została uchwalona, jako odpowiedź na zmiany w cyfrowym krajobrazie i coraz bardziej zaawansowane ataki cybernetyczne.
NIS2 określa nowe zasady bezpieczeństwa dla dostawców usług kluczowych. Zapisy NIS2 obejmują zarówno instytucje publiczne, jak i firmy prywatne. Przykładowe obszary działalności tych podmiotów to: energetyka, bankowość czy opieka zdrowotna.
Jakie najważniejsze zmiany wprowadza NIS2?
Dyrektywa NIS2 znacząco rozszerza zakres regulacji — obejmuje większą liczbę sektorów gospodarki oraz więcej podmiotów niż dotychczasowe przepisy.
Nowe regulacje nakładają na organizacje dodatkowe obowiązki w kluczowych obszarach.
Polityki bezpieczeństwa
Konieczność opracowania i wdrożenia formalnych dokumentów dotyczących zarządzania ryzykiem oraz ochrony systemów informatycznych.
Ciągłości działania
Przygotowanie planów zapewniających odtworzenie systemów po awarii, w tym procedur backupu i zarządzania kryzysowego.
Obsługi incydentów
Wdrożenie procedur umożliwiających szybkie wykrywanie, zgłaszanie i ograniczanie skutków incydentów cyberbezpieczeństwa.
Bezpieczeństwa łańcucha dostaw
Wzmocnienie kontroli nad poziomem zabezpieczeń u dostawców i partnerów zewnętrznych, szczególnie w obszarze oprogramowania i usług IT.
Weź udział w darmowym webinarze 26.03.2026 r. o godzinie 11:00 i dowiedz się więcej o NIS2
dni0
godziny0
minuty0
sekundy0
Kogo obejmuje NIS2?
Podmioty kluczowe
Nowa dyrektywa rozszerza katalog o następujące podmioty kluczowe, które zaliczają się do firm dużych (250+ pracowników lub >50 mln € obrotu) oraz podmioty o krytycznym znaczeniu (np. dostawcy DNS, administracja) niezależnie od wielkości.
Energia
Wytwarzanie, przesył i dystrybucja energii elektrycznej, gazu oraz ropy naftowej.
Transport
Lotniczy, kolejowy, wodny oraz drogowy.
Bankowość
Banki oraz podmioty prowadzące systemy obrotu.
Ochrona zdrowia
Szpitale, laboratoria, producenci wyrobów medycznych i farmaceutycznych.
Woda Pitna i Ścieki
Dostarczanie wody oraz odprowadzanie i oczyszczanie ścieków.
Infrastruktura Cyfrowa
Dostawcy usług chmury obliczeniowej, centrów danych, sieci łączności elektronicznej oraz usług zaufania.
Administracja publiczna
Organy administracji rządowej oraz wybrane jednostki samorządu terytorialnego.
Przestrzeń Kosmiczna
Operatorzy infrastruktury naziemnej wspierającej usługi kosmiczne.
Podmioty ważne
Do tej kategorii, która także jest zobowiązana do wdrożenia NIS2 wliczają się średnie przedsiębiorstwa (50+ pracowników lub >10 mln € obrotu) reprezentujące sektory:
Usługi pocztowe i kurierskie
Gospodarowanie odpadami
Produkcja i dystrybucja chemikaliów
Produkcja żywności
Szczególnie przetwórstwo i dystrybucja hurtowa.
Produkcja wyrobów
Np. elektroniki, maszyn, pojazdów.
Dostawcy usług cyfrowych
Internetowe platformy handlowe, wyszukiwarki i sieci społecznościowe.
Mechanizm Dostawcy Wysokiego Ryzyka (HRV)
To jeden z najbardziej kontrowersyjnych elementów wprowadzonych przez nowe prawo. Minister właściwy ds. informatyzacji będzie mógł uznać dostawcę sprzętu lub oprogramowania (np. wykorzystywanego w sieciach 5G) za dostawcę wysokiego ryzyka. Decyzja ta ma być podejmowana na podstawie kryteriów technicznych oraz pozatechnicznych, takich jak np. wpływ państwa pochodzenia dostawcy na jego działalność.
Termin wycofania sprzętu
W przypadku uznania dostawcy za HRV podmioty kluczowe i ważne będą zobowiązane do wycofania jego rozwiązań w ciągu 7 lat. Dla wybranych elementów infrastruktury krytycznej termin ten może zostać skrócony nawet do 4 lat.
Możliwość odwołania
Decyzję o uznaniu dostawcy za wysokiego ryzyka będzie można zaskarżyć do sądu administracyjnego.
Zgłaszanie incydentówTerminy:
Nowe przepisy wprowadzają bardzo rygorystyczne terminy raportowania poważnych incydentów:
- Wczesne ostrzeżenie – w ciągu 24 godzin od momentu wykrycia incydentu.
- Zgłoszenie incydentu – w ciągu 72 godzin, wraz z przekazaniem szczegółowych informacji.
- Raport końcowy – w terminie do miesiąca od wystąpienia zdarzenia.
Do kiedy czas na przygotowanie?
- Ustawa wdrażająca dyrektywę NIS2 nie weszła jeszcze w życie, choć prace legislacyjne są zaawansowane.
- Termin implementacji (17 października 2024 r.) nie został dotrzymany, wobec Polski wszczęto procedurę naruszeniową.
- NIS2 jest wdrażana poprzez nowelizację ustawy o Krajowym Systemie Cyberbezpieczeństwa.
- 23 stycznia 2026 r. Sejm uchwalił ustawę; obecnie czeka ona na rozpatrzenie przez Senat, podpis Prezydenta i publikację w Dzienniku Ustaw.
- Wejście w życie spodziewane jest w 2026 r.; firmy powinny już teraz przygotowywać się do nowych obowiązków.
Jakie kary są przewidziane za niedostosowanie się do NIS2?
NIS2 zawiera także sankcje, które będą nakładane na podmioty, które nie dostosują się do dyrektywy. Mowa tu o wysokich karach finansowych, które mogą być nakładane nie tylko na organizacje, ale też na osoby zarządzające.
Podmioty Kluczowe:
Maksymalna kara może wynosić 10 mln EUR lub 2% całkowitego rocznego światowego obrotu przedsiębiorstwa z poprzedniego roku obrotowego, przy czym zastosowanie będzie mieć kwota wyższa. Minimalna kara to 20 000 zł.
Podmioty Ważne:
Maksymalna kara może wynosić 7 mln EUR lub 1,4% całkowitego rocznego światowego obrotu przedsiębiorstwa z poprzedniego roku obrotowego, przy czym zastosowanie będzie mieć kwota wyższa. Minimalna kara to 15 000 zł.
Osoby zarządzające:
Kara pieniężna, o której mowa w Art. 73a. ust. 1–3, może być wymierzona w kwocie nie większej niż 600% otrzymywanego przez ukaranego wynagrodzenia obliczanego według zasad obowiązujących przy ustalaniu ekwiwalentu pieniężnego za urlop.
Tymczasowy zakaz pełnienia funkcji
W przypadku poważnych naruszeń organ nadzorczy może wystąpić o nałożenie na daną osobę czasowego zakazu pełnienia funkcji kierowniczych w danym podmiocie.
Publiczne ogłoszenie o naruszeniu
Możliwe będzie także opublikowanie informacji o niedopełnieniu obowiązków przez konkretną osobę, z podaniem jej imienia i nazwiska, co może wiązać się z istotnym ryzykiem wizerunkowym.
Okresowe kary pieniężne:
Możliwe są w sytuacji, gdy podmiot opóźnia się z wykonaniem czynności określonych w ostrzeżeniu lub decyzji organu właściwego do spraw cyberbezpieczeństwa. Za każdy dzień opóźnienia można nałożyć karę od 500 zł do 100 000 zł.
Zapraszamy na webinar, który odbędzie się 26 marca o godzinie 11:00.
Podczas niego nasi eksperci omówią najważniejsze aspekty NIS2 i odpowiedzą na pytania uczestników w trakcie sesji Q&A. Dołącz do nas i przygotuj się na wejście NIS2 w życie jak zawodowiec!
Przemysław Frąk
Presales Engineer w Axence
Mirosław Gumularz
Radca prawny, Doktor nauk prawnych