NIS2 i cyberbezpieczeństwo — dla kogo obowiązki i jakie

Dyrektywa NIS2 (unijna dyrektywa o cyberbezpieczeństwie sieci i systemów informacyjnych) to największe rozszerzenie unijnych regulacji cyberbezpieczeństwa od 2016 roku. Polska wdrożyła NIS2 ustawą z 23 stycznia 2026 r. o zmianie ustawy o krajowym systemie cyberbezpieczeństwa oraz niektórych innych ustaw (Dz.U. 2026 poz. 252), która weszła w życie 3 kwietnia 2026 r. Dla tysięcy średnich i dużych firm oznacza to zupełnie nowe obowiązki — od polityki bezpieczeństwa po zgłaszanie incydentów w ciągu 24 godzin.

Artykuł wyjaśnia, których firm dotyczy NIS2, jakie wymogi techniczne trzeba wdrożyć i jak praktycznie przygotować się do audytu. Stan prawny: 22 października 2026 r.

Kto jest w obowiązku

NIS2 dzieli podmioty na dwie kategorie:

Podmioty istotne (essential entities)

Duże firmy (ponad 250 pracowników lub przychody ponad 50 mln EUR) z sektorów krytycznych:

1. Energia — elektrownie, sieci przesyłowe, stacje paliw
2. Transport — lotniska, porty, kolej, drogi
3. Bankowość i finanse — banki, fintech (już objęty DORA)
4. Zdrowie — szpitale, laboratoria, producenci leków
5. Woda pitna — wodociągi, zakłady uzdatniania
6. Woda ściekowa
7. Infrastruktura cyfrowa — DNS, TLD, IXP, data centers, chmura
8. Administracja publiczna
9. Przestrzeń kosmiczna
10. Zarządzanie usługami ICT B2B
11. Przemysł (sektory kluczowe wg załącznika I)

Podmioty ważne (important entities)

Średnie firmy (ponad 50 pracowników lub obrót ponad 10 mln EUR) z dodatkowych 7 sektorów:

• Usługi pocztowe i kurierskie
• Gospodarowanie odpadami
• Produkcja chemikaliów
• Przetwórstwo spożywcze
• Produkcja wyrobów medycznych i farmaceutyków
• Motoryzacja, elektronika i inne wytwarzanie
• Dostawcy usług cyfrowych (B2C marketplace, wyszukiwarki, social media)

Obowiązki techniczne — 10 obszarów

NIS2 określa dziesięć obszarów minimalnych wymogów technicznych i organizacyjnych. Każda firma objęta dyrektywą musi je wdrożyć:

1. Polityka bezpieczeństwa informacji — formalny dokument, aktualizowany minimum rocznie
2. Zarządzanie incydentami — procedura wykrywania, reagowania, zgłaszania
3. Ciągłość działania i zarządzanie kryzysowe — plany BCP/DRP, testy minimum roczne
4. Bezpieczeństwo łańcucha dostaw — weryfikacja dostawców IT, SLA bezpieczeństwa
5. Bezpieczeństwo systemów — aktualizacje, patch management, harmonizacja konfiguracji
6. Ocena skuteczności środków bezpieczeństwa — audyty, pentesty
7. Praktyki kryptograficzne — szyfrowanie danych w transmisji i spoczynku
8. Zarządzanie tożsamościami i dostępem — MFA, zasada najmniejszych uprawnień
9. Bezpieczeństwo zasobów ludzkich — sprawdzanie pracowników, szkolenia
10. Bezpieczeństwo w projektach i rozwoju systemów — DevSecOps, secure coding

Zgłaszanie incydentów — timeline 24/72/30

Jeden z najbardziej konkretnych obowiązków NIS2 to trzyetapowe zgłaszanie incydentów:

| Etap | Termin | Zakres | |------|--------|--------| | Wczesne ostrzeżenie | 24 godziny od wykrycia | Podstawowy opis, kanały, wstępne skutki | | Zgłoszenie incydentu | 72 godziny | Pełna ocena, przyczyna, skala | | Raport końcowy | 1 miesiąc | Analiza przyczynowa, działania zaradcze |

Istotny incydent (podlegający zgłoszeniu) to taki, który:

• Powoduje poważne zakłócenie świadczenia usługi
• Wpływa na osoby trzecie
• Wpływa na dane osobowe (wtedy dodatkowo RODO — 72h do UODO)
• Ma znaczące skutki finansowe

Zgłoszenia trafiają do CSIRT NASK (dla większości sektorów) lub do dedykowanych CSIRT branżowych (np. CSIRT KNF dla sektora finansowego).

Odpowiedzialność zarządu

NIS2 wprowadza osobistą odpowiedzialność członków zarządu za cyberbezpieczeństwo firmy. Zarząd musi:

• Zatwierdzać politykę bezpieczeństwa — formalna uchwała zarządu
• Nadzorować wdrożenie — regularne raporty stanu bezpieczeństwa
• Uczestniczyć w szkoleniach — z zakresu cyberbezpieczeństwa, minimum rocznie
• Podejmować decyzje przy incydentach — ostateczna odpowiedzialność

Za zaniedbania w tych obszarach członkowie zarządu mogą zostać ukarani osobiście — organ nadzorczy może nałożyć na nich grzywnę, a w skrajnych przypadkach zakaz pełnienia funkcji kierowniczych.

Rejestracja w CSIRT NASK

Podmioty objęte NIS2 muszą zarejestrować się w rejestrze prowadzonym przez CSIRT NASK. Rejestracja obejmuje:

1. Zgłoszenie statusu — czy podmiot istotny, czy ważny
2. Wskazanie osoby kontaktowej — odpowiedzialnej za cyberbezpieczeństwo
3. Opis usług świadczonych — zakres działalności podlegającej NIS2
4. Aktualizacja danych — w terminie 14 dni od zmian

Brak rejestracji lub nieaktualne dane to już podstawa do sankcji. Podmiot kluczowy albo ważny składa wniosek o wpis do wykazu w ciągu 6 miesięcy od dnia, w którym zaczął spełniać przesłanki.

Jak się przygotować — checklist

Dla firmy, która dopiero zaczyna wdrożenie NIS2:

1. Analiza kwalifikowalności — czy firma jest istotna, ważna, czy poza zakresem
2. Audyt stanu obecnego — gap analysis względem 10 obszarów technicznych
3. Mapowanie ryzyk — identyfikacja kluczowych zasobów i zagrożeń
4. Polityka bezpieczeństwa — dokument formalny, zatwierdzenie zarządu
5. Plan wdrożenia — budżet, harmonogram, odpowiedzialni
6. Rejestracja w CSIRT NASK — jeśli jeszcze nie zrobione
7. Szkolenia zarządu i kluczowego personelu
8. Testy i audyty zewnętrzne — minimum rocznie
9. Dokumentacja incydentów — log, procedury, eskalacja
10. Przegląd łańcucha dostaw — dostawcy IT, zewnętrzni partnerzy

Podsumowanie

NIS2 to nie projekt IT, tylko strategiczna zmiana w podejściu do ryzyka operacyjnego. Firmy, które traktują cyberbezpieczeństwo jako „sprawę informatyków”, będą miały problemy przy audytach. W Profais współpracujemy z klientami i ich działami IT/bezpieczeństwa przy dokumentowaniu procedur i analizie ryzyk z perspektywy księgowo-operacyjnej — sprawdź naszą pełną księgowość. Zobacz też artykuły o CSRD i AI Act — pokrewne regulacje 2026.

Źródła: ec.europa.eu/nis2, csirt.nask.pl, Dyrektywa UE 2022/2555, Ustawa o krajowym systemie cyberbezpieczeństwa (zmiana: Dz.U. 2026 poz. 252).