NIS2 – co to jest i kogo dotyczy?

Dyrektywa NIS2 to unijne przepisy, które od 2023 r. radykalnie podnoszą wymagania w zakresie cyberbezpieczeństwa dla wielu firm i instytucji w całej UE, w tym w Polsce. Obejmują one tzw. podmioty kluczowe i podmioty ważne z 18 sektorów gospodarki, nakazując m.in. zarządzanie ryzykiem, raportowanie incydentów i grożąc karami finansowymi do 10 mln euro lub 2% obrotu. Jeśli działasz w jednym z sektorów wymienionych w ustawie o krajowym systemie cyberbezpieczeństwa, NIS2 z dużym prawdopodobieństwem będzie dotyczyć również Twojej organizacji – warto to rzetelnie sprawdzić i przygotować się zawczasu.

Czym jest dyrektywa NIS2?

Dyrektywa NIS2 (oficjalnie dyrektywa (UE) 2022/2555) weszła w życie 16 stycznia 2023 r. i zastąpiła wcześniejszą NIS1 z 2016 r. Jej celem jest ujednolicenie i podniesienie poziomu cyberbezpieczeństwa w całej Unii, w szczególności w sektorach o znaczeniu krytycznym dla gospodarki i społeczeństwa. Dokument wyznacza minimalne wymagania, które każde państwo członkowskie musi wdrożyć w prawie krajowym.

W Polsce podstawą krajową jest ustawa o KSC – nowelizacja tej ustawy wdraża postanowienia NIS2, określając, które firmy są objęte systemem, jakie mają obowiązki oraz jak działają organy nadzorcze i krajowe CSIRT. Dyrektywa działa więc na dwóch poziomach: europejskim (ramy) i krajowym (konkretne procedury, terminy, sankcje).

Nowe regulacje odpowiadają na gwałtowny wzrost liczby ataków takich jak phishing, ransomware czy złośliwe oprogramowanie. Ataki te coraz częściej uderzają w infrastrukturę krytyczną – od sektora energetycznego po systemy szpitalne – co mogłoby sparaliżować całe państwo, a nie tylko pojedynczą firmę.

NIS2 traktuje cyberbezpieczeństwo usług kluczowych jak element bezpieczeństwa państwa, a nie wyłącznie problem działu IT w pojedynczej firmie.

Kogo dotyczy NIS2?

Dyrektywa nie działa wprost na pojedyncze osoby czy mikrofirmy z dowolnej branży. Określa za to, że stosuje się ją do dwóch grup podmiotów – podmiotów kluczowych oraz podmiotów ważnych – działających w wskazanych sektorach i spełniających kryteria wielkości lub znaczenia usługi.

Jakie sektory obejmuje NIS2?

Na poziomie UE NIS2 obejmuje łącznie 18 sektorów, z czego część zaliczono do „kluczowych”, a część do „ważnych”. W polskiej ustawie o KSC zostały one uszczegółowione w załącznikach nr 1 i 2. Do przykładowych sektorów kluczowych należą:

• energia – w tym sektor energetyczny (energia elektryczna, gaz, paliwa, ciepło),
• transport – lotniczy, kolejowy, wodny, drogowy,
• finanse – bankowość, infrastruktura rynku finansowego,
• ochrona zdrowia – szpitale, laboratoria referencyjne, wyroby medyczne o znaczeniu krytycznym,
• woda pitna i ścieki – przedsiębiorstwa wodociągowe i kanalizacyjne,
• infrastruktura cyfrowa – m.in. centra danych, usługi chmurowe, publiczne sieci łączności elektronicznej,
• zarządzanie usługami ICT, przestrzeń kosmiczna oraz wybrane podmioty publiczne.

Do sektorów ważnych zaliczono np. usługi pocztowe i kurierskie, gospodarkę odpadami, produkcję żywności, produkcję chemikaliów, sprzętu elektrycznego, maszyn, pojazdów, a także dostawców usług cyfrowych (platformy handlowe, wyszukiwarki, sieci społecznościowe) i część administracji samorządowej.

Czym różnią się podmioty kluczowe i ważne?

Podmioty kluczowe to zazwyczaj duże przedsiębiorstwa z sektorów kluczowych – odpowiadające za ciągłość infrastruktury istotnej dla państwa. Podlegają one stałemu, proaktywnemu nadzorowi. Organy nadzorcze mogą kontrolować je niezależnie od wystąpienia incydentu, a wymagania wobec nich są najsurowsze.

Podmioty ważne to najczęściej średnie przedsiębiorstwa z sektorów kluczowych (gdy nie spełniają progów dla kluczowych) oraz średnie i duże firmy z sektorów ważnych. Wobec nich stosuje się nadzór następczy – intensywniejszy głównie po poważnym incydencie lub stwierdzeniu naruszeń.

W obu grupach mogą znaleźć się również mniejsze firmy (MŚP), jeśli świadczą usługi o szczególnym znaczeniu lub zostały wprost wymienione w ustawie, np. dostawcy usług DNS czy kwalifikowani dostawcy usług zaufania. Wtedy rozmiar firmy nie chroni już przed objęciem systemem.

O statusie firmy decyduje nie tylko liczba pracowników czy przychód, ale przede wszystkim znaczenie świadczonej usługi dla bezpieczeństwa państwa i obywateli.

Kiedy NIS2 obejmuje MŚP?

Mikro, małe i średnie przedsiębiorstwa mogą zostać objęte przepisami, gdy:

• spełniają definicję podmiotu kluczowego lub ważnego w ustawie o KSC,
• zostaną tak zakwalifikowane decyzją organu właściwego do spraw cyberbezpieczeństwa (np. ze względu na wagę usługi),
• są częścią łańcucha dostaw dla podmiotu objętego ustawą – wtedy konkretne wymogi bezpieczeństwa mogą narzucić im kluczowi klienci.

Z praktycznego punktu widzenia nawet firma spoza formalnego katalogu może odczuć skutki NIS2, jeśli współpracuje z dużymi graczami z sektorów objętych ustawą – wymogi bezpieczeństwa trafią do umów i przetargów.

Jak NIS2 jest wdrażana w Polsce?

Na poziomie krajowym fundamentem jest ustawa o KSC, która tworzy polski system cyberbezpieczeństwa i implementuje wymagania NIS2. System obejmuje m.in. podmioty kluczowe i podmioty ważne, krajowe i sektorowe CSIRT oraz organy właściwe do spraw cyberbezpieczeństwa (np. ministrów odpowiedzialnych za energię, transport, zdrowie, informatykę czy Ministerstwo Infrastruktury w zakresie nadzorowanych sektorów).

Ustawa określa zasady rejestracji podmiotów w wykazie, nadzoru, raportowania incydentów, a także sposób wymiany informacji przez system S46. To na jej podstawie przedsiębiorca dowiaduje się, jakie konkretnie obowiązki ma od określonych dat oraz jak często musi poddawać się audytom.

Jakie są terminy dla firm?

Przepisy krajowe przewidują stopniowe wdrażanie obowiązków. Po spełnieniu przesłanek uznania za podmiot kluczowy lub ważny firma ma obowiązek:

• w ciągu 6 miesięcy – zgłosić się do wykazu podmiotów kluczowych i ważnych w systemie S46,
• w ciągu 12 miesięcy – wdrożyć system zarządzania bezpieczeństwem informacji, procedury zarządzania ryzykiem i incydentami oraz rozpocząć zgłaszanie incydentów,
• w ciągu 24 miesięcy (dla podmiotów kluczowych) – przeprowadzić pierwszy audyt zgodności i przekazać raport organowi.

Okresy te biegną od momentu spełnienia kryteriów, a nie od dnia faktycznego zgłoszenia, dlatego spóźniona samoidentyfikacja może od razu oznaczać ryzyko naruszeń.

Jakie obowiązki nakłada NIS2 na organizacje?

Dyrektywa nie sprowadza się do zakupu jednego urządzenia czy wdrożenia pojedynczej procedury. Tworzy spójny model, w którym zarządzanie ryzykiem, ochrona techniczna, kultura organizacyjna i współpraca z instytucjami państwowymi muszą się wzajemnie uzupełniać.

Jak wygląda zarządzanie ryzykiem?

Każdy podmiot objęty przepisami ma obowiązek wdrożyć systemowe podejście do ryzyka. Obejmuje to inwentaryzację systemów, ocenę ich znaczenia biznesowego, identyfikację zagrożeń oraz dobór środków proporcjonalnych do ryzyka. Model ma uwzględniać nie tylko aspekt techniczny, ale też bezpieczeństwo fizyczne, procesy oraz łańcuch dostaw.

To właśnie zarządzanie ryzykiem jest fundamentem doboru środków ochrony: wymagań dla dostawców, rozwiązań kryptograficznych, segmentacji sieci czy polityk dostępu. Dyrektywa nie narzuca jednego standardu, ale oczekuje, że przyjęty system będzie spójny, udokumentowany i regularnie weryfikowany.

Jakie są wymagania techniczne i organizacyjne?

Ustawa o KSC przekłada ogólne zapisy NIS2 na katalog wymagań, które muszą objąć m.in.:

• polityki szacowania ryzyka i bezpieczeństwa systemów informacyjnych,
• bezpieczeństwo fizyczne, personelu i łańcucha dostaw,
• kontrolę dostępu i zarządzanie tożsamością,
• zapewnienie ciągłości działania (plany awaryjne, odtworzeniowe),
• monitoring i testowanie zabezpieczeń,
• ochronę danych – aktualizacje, kryptografię, zabezpieczanie komunikacji,
• edukację pracowników i zasady cyberhigieny.

Całość powinna być opisana w dokumentacji normatywnej i operacyjnej, a następnie potwierdzana w ramach audytów oraz kontroli organów nadzorczych i CSIRT.

Jak zgłaszać incydent cybernetyczny?

Incydent cybernetyczny to każde zdarzenie zagrażające poufności, integralności lub dostępności systemów i danych. Jeśli ma on wpływ na jakość usług lub powoduje poważne straty – staje się incydentem poważnym i uruchamia ostre terminy raportowania.

Dla incydentu poważnego firma musi:

• w ciągu 24 godzin – przekazać wczesne ostrzeżenie do właściwego CSIRT sektorowego lub krajowego (np. CSIRT NASK, GOV, MON),
• w ciągu 72 godzin – przesłać zgłoszenie z opisem wpływu, przyczyn i pierwszych działań,
• w ciągu miesiąca – przekazać sprawozdanie końcowe z pełną analizą i informacjami o wdrożonych środkach naprawczych.

Szybkie zgłoszenie nie zwalnia z obowiązku reagowania – równolegle trzeba działać operacyjnie, aby ograniczyć skutki incydentu i przywrócić działanie usług.

Jakie są konsekwencje naruszenia NIS2?

Dyrektywa przewiduje dotkliwe kary finansowe dla firm, które nie wdrożą wymaganych środków lub złamią obowiązki raportowania. Mechanizmy sankcyjne przepisano do polskiej ustawy o KSC, a ich wysokość zależy od statusu podmiotu i rodzaju naruszeń.

Jakie kary grożą firmom?

Dla podmiotów kluczowych maksymalne kary administracyjne mogą sięgać:

• do 10 mln euro lub
• do 2% całkowitego rocznego światowego obrotu – stosuje się wyższą z tych kwot,

przy czym minimalna kara to 20 000 zł. Dla podmiotów ważnych limity są nieco niższe – do 7 mln euro lub 1,4% obrotu, nie mniej niż 15 000 zł. W polskim systemie górny pułap może dochodzić nawet do 100 mln zł.

Oprócz kar pieniężnych organy mogą wydawać zalecenia i polecenia, zlecać audyty, a w sytuacjach krytycznych – nakazywać konkretne działania techniczne, jak wyłączenie określonej wersji oprogramowania czy ograniczenie ruchu sieciowego.

Za co odpowiada zarząd?

NIS2 wprowadza osobistą odpowiedzialność osób zarządzających za wdrożenie środków cyberbezpieczeństwa. Kierownik podmiotu musi zatwierdzić przyjęte środki, nadzorować ich realizację, zapewnić finansowanie i wyznaczyć osoby do kontaktu z systemem krajowym.

Zaniedbania mogą skutkować nie tylko sankcją dla samej firmy, ale również karami dla członków władz – zwłaszcza gdy zignorowano obowiązki ustawowe, a naruszenia były długotrwałe lub powtarzalne. Zarząd nie może więc traktować NIS2 jako „tematu działu IT”, bo przepisy wprost łączą cyberbezpieczeństwo z odpowiedzialnością menedżerską.

Co powinna zrobić firma, którą może dotyczyć NIS2?

W 2026 r. brak reakcji na NIS2 może oznaczać realne ryzyko finansowe i operacyjne. Pierwszym krokiem jest ustalenie, czy działalność firmy mieści się w sektorach ujętych w załącznikach ustawy o KSC oraz czy spełnia progi wielkości dla podmiotów kluczowych lub podmiotów ważnych. Dopiero na tej podstawie można świadomie planować działania.

Kolejne etapy to zwykle: audyt stanu obecnego, zbudowanie lub dostosowanie systemu zarządzania bezpieczeństwem informacji, określenie wymagań dla dostawców, uporządkowanie procesów raportowania do właściwego CSIRT oraz włączenie cyberbezpieczeństwa w codzienne decyzje biznesowe. Bez względu na wielkość organizacji, NIS2 ustawia poprzeczkę na poziomie, którego nie da się osiągnąć wyłącznie doraźnymi, jednorazowymi działaniami.