Dyrektywa NIS2

Ostatnia aktualizacja: 29.05.2026

Nowe obowiązki w cyberbezpieczeństwie: Co zmienia dyrektywa NIS2 i nowelizacja ustawy o Krajowym Systemie Cyberbezpieczeństwa?

3 kwietnia 2026 r. weszła w życie nowelizacja Ustawy o krajowym systemie cyberbezpieczeństwa (UKSC), wdrażająca do polskiego prawa krajowego wymogi Dyrektywy NIS 2, czyli dyrektywy Parlamentu Europejskiego i Rady w sprawie środków na rzecz wysokiego wspólnego poziomu cyberbezpieczeństwa na terytorium Unii Europejskiej.

Nowe przepisy istotnie zmieniają model zarządzania bezpieczeństwem informacji, rozszerzając zakres obowiązków regulacyjnych na tysiące przedsiębiorców działających w sektorach o strategicznym znaczeniu dla gospodarki i infrastruktury cyfrowej.

Regulacja obejmuje przede wszystkim duże i średnie przedsiębiorstwa, a w określonych przypadkach również mikro- i małe podmioty świadczące usługi kluczowe dla bezpieczeństwa cyfrowego.

Co istotne, nowelizacja KSC przenosi odpowiedzialność za cyberbezpieczeństwo bezpośrednio na poziom zarządczy, wymagając od organizacji aktywnego podejścia do zw zakresie zarządzania ryzykiem cyberbezpieczeństwa oraz wdrożenia adekwatnych procesów compliance bez oczekiwania na działania organów administracji publicznej. W praktyce oznacza to konieczność samodzielnego ustalenia przez przedsiębiorców, czy podlegają oni nowym obowiązkom ustawowym.

Do podstawowych obowiązków przedsiębiorców objętych regulacją należą w szczególności:

• rejestracja w systemie S46,
• wdrożenie Systemu Zarządzania Bezpieczeństwem Informacji, oraz opracowanie planu ciągłości działania,
• raportowanie poważnych incydentów cyberbezpieczeństwa,
• przeprowadzanie regularnych audytów zgodności — w przypadkach przewidzianych ustawą.

Terminy wdrożeniowe już biegną, dlatego przedsiębiorcy powinni możliwie szybko przeprowadzić analizę swojego statusu, określić zakres obowiązków oraz dostosować wewnętrzne procedury cyberbezpieczeństwa do wymogów nowych przepisów i wymagań bezpieczeństwa przewidzianych w UKSC.

---

Kluczowe terminy wdrożenia obowiązków wynikających z NIS 2

Data	Etap compliance	Działanie biznesowe
3 kwietnia 2026 r.	Wejście w życie nowelizacji ustawy o Krajowym Systemie Cyberbezpieczeństwa	Firmy działające w sektorach o strategicznym znaczeniu dla gospodarki i bezpieczeństwa państwa powinny ocenić, czy podlegają nowym obowiązkom wynikającym z ustawy o UKSC jako podmioty kluczowe lub ważne.
3 października 2026 r.	Ostateczny termin na samoidentyfikację i rejestrację w Systemie S46	Firmy powinny przeprowadzić samoidentyfikację i złożyć elektroniczny wniosek o wpis do rejestru podmiotów kluczowych i ważnych.
3 kwietnia 2027 r.	Termin pełnego wdrożenia Systemu Zarządzania Bezpieczeństwem Informacji	Firmy muszą posiadać działający System Zarządzania Bezpieczeństwem Informacji (SZBI), kompletną dokumentację bezpieczeństwa oraz techniczną gotowość do raportowania incydentów
3 kwietnia 2028 r.	Termin pierwszego zewnętrznego audytu zgodności	Podmioty kluczowe powinny przeprowadzić pierwszy obowiązkowy zewnętrzny audyt bezpieczeństwa systemu informacyjnego.

---

Kogo dotyczą nowe obowiązki wynikające z dyrektywy NIS2 i UKSC?

Zarówno dyrektywa NIS 2, jak i UKSC wprowadzają podział podmiotów objętych regulacją na dwie kategorie: podmioty kluczowe oraz podmioty ważne. Status przedsiębiorcy zależy przede wszystkim od rodzaju prowadzonej przez niego działalności oraz jego skali operacyjnej. Kategorie te różnią się także zakresem obowiązków oraz poziomem nadzoru ze strony właściwych organów.

Rodzaj działalności – czy firma działa w sektorze objętym NIS2?

Obowiązki wynikające z dyrektywy NIS 2 oraz UKSC dotyczą przedsiębiorców działających w obszarach uznanych za szczególnie istotne dla funkcjonowania państwa, gospodarki oraz infrastruktury cyfrowej.

Nowe przepisy znacząco rozszerzają zakres podmiotowy regulacji w porównaniu do wcześniejszej dyrektywy NIS 1. Aktualnie obejmują one 18 sektorów gospodarki o strategicznym znaczeniu funkcjonowania społeczeństwa UE dla ciągłości świadczenia usług oraz odporności gospodarki na incydenty cyberbezpieczeństwa.

Celem NIS 2 jest również zbliżenie standardów bezpieczeństwa w państwach członkowskich UE oraz ograniczenie różnic pomiędzy systemami cyberbezpieczeństwa państw członkowskich.

Przepisy wyróżniają dwie podstawowe kategorie sektorów: sektory kluczowe oraz sektory ważne.

Sektory kluczowe w NIS2

Do sektorów kluczowych zaliczają się wybrane branże o fundamentalnym znaczeniu dla funkcjonowania państwa i infrastruktury krytycznej, w tym:

• energia, w tym energię elektryczną, gaz, ciepłownictwo, ropę i paliwa, transport, w tym transport lotniczy, kolejowy, wodny i drogowy,
• bankowość i infrastruktura rynków finansowych,
• ochrona zdrowia,
• zaopatrzenie w wodę pitną i jej dystrybucja,
• zbiorowe odprowadzanie ścieków,
• infrastruktura cyfrowa, w tym dostawcy usług DNS, podmioty świadczące usługę rejestracji nazw domen, dostawcy chmury obliczeniowej,
• zarządzanie usługami ICT, w tym dostawcy usług zarządzanych
• przestrzeń kosmiczna.

Sektory ważne w NIS2

Kategoria sektorów ważnych obejmuje natomiast działalności istotne z perspektywy stabilności gospodarki oraz bezpieczeństwa łańcuchów dostaw, w szczególności:

• usługi pocztowe,
• inwestycje w sektor energetyki jądrowej,
• gospodarowanie odpadami,
• produkcję, przetwarzanie i dystrybucję chemikaliów,
• produkcję, przetwarzanie i dystrybucję żywności
• produkcję, w tym komputerów, wyrobów elektronicznych i optycznych, urządzeń elektrycznych, maszyn i urządzeń, pojazdów samochodowych, przyczep i naczep,
• dostawcy usług cyfrowych,
• badania naukowe.

Należy zaznaczyć, że UKSC nie przewiduje zamkniętego katalogu podmiotów wyłączonych spod regulacji. Mechanizm działania przepisów opiera się natomiast na precyzyjnym określeniu branż oraz progów organizacyjnych, których spełnienie skutkuje objęciem przedsiębiorcy obowiązkami ustawowymi.

W praktyce oznacza to, że przedsiębiorcy prowadzący działalność poza wskazanymi sektorami lub niespełniający kryteriów dotyczących skali działalności co do zasady nie będą podlegać obowiązkom z UKSC.

Z kolei ocena czy przedsiębiorca podlega pod wymogi NIS 2, wymaga indywidualnej analizy rzeczywiście prowadzonej działalności, charakteru świadczonych usług oraz roli organizacji w strukturze dostaw i infrastruktury cyfrowej.

Wielkość organizacji – średnie i duże przedsiębiorstwa objęte NIS2

Drugim podstawowym kryterium objęcia regulacją jest wielkość przedsiębiorcy.

Co do zasady NIS2 obejmuje średnie i duże przedsiębiorstwa działające w sektorach wskazanych w dyrektywie. W praktyce oznacza to najczęściej organizacje, gdzie:

Status przedsiębiorstwa	Liczba pracowników	Kryteria finansowe
Duży przedsiębiorca	>250 pracowników	Obrót roczny równy bądź większy niż 50 mln EUR lub suma bilansowa równa bądź większa niż 43 mln EUR
Średni przedsiębiorca	50 – 249 pracowników	Obrót roczny poniżej 50 mln EUR lub suma bilansowa poniżej 43 mln EUR

Do liczby pracowników uwzględnianej przy ustalaniu statusu przedsiębiorstwa wlicza się nie tylko osoby zatrudnione na podstawie umowy o pracę, ale również osoby świadczące pracę na podstawie umów cywilnoprawnych (w tym umów zlecenie oraz umów o dzieło), właścicieli-kierowników oraz partnerów regularnie prowadzących działalność w przedsiębiorstwie i czerpiących z niego korzyści finansowe.

Przy ustalaniu, czy podmiot podlega NIS2 jako podmiot ważny, należy uwzględniać także przedsiębiorstwa powiązane i partnerskie, doliczając ich przychody, sumę bilansową oraz liczbę pracowników. Nie oznacza to jednak automatycznie, że każdy podmiot, który formalnie osiąga status średniego przedsiębiorcy w ramach grupy, powinien zostać uznany za podmiot ważny.

Istotne znaczenie ma bowiem faktyczna niezależność jego systemów informacyjnych oraz to, czy podmioty powiązane świadczą tę samą usługę objętą regulacjami cyberbezpieczeństwa.

Co równie istotne, w określonych przypadkach obowiązki mogą obejmować również mniejsze podmioty. Wyjątek od kryterium wielkościowego dotyczy organizacji świadczących usługi o szczególnym znaczeniu dla bezpieczeństwa cyfrowego, w tym w szczególności dostawców usług DNS, rejestrów domen najwyższego poziomu (TLD), kwalifikowanych dostawców usług zaufania oraz przedsiębiorców świadczących usługi komunikacji elektronicznej.

W praktyce oznacza to, że także niewielkie podmioty technologiczne mogą zostać objęte pełnym reżimem obowiązków wynikających z dyrektywy NIS 2 i UKSC.

Kategoria podmiotu	Wielkość podmiotu	Sektor
Podmiot kluczowy	Duży przedsiębiorca	Energia (w tym ropa i paliwa, gaz, wodór) Transport (lotniczy, kolejowy, wodny, drogowy) Bankowość i infrastruktura rynków finansowych Ochrona zdrowia (w tym produkcja leków)Gospodarka wodna: Zaopatrzenie w wodę pitną i jej dystrybucja Zbiorowe odprowadzanie ściekówInfrastruktura cyfrowa Zarządzanie usługami ICT
Średni lub duży przedsiębiorca	Przedsiębiorcy komunikacji elektronicznej
Mały, średni lub duży przedsiębiorca	Dostawcy usług zarządzanych w zakresie cyberbezpieczeństwa
Niezależnie od wielkości	Dostawca usług DNS Kwalifikowany dostawca usług zaufaniaOperator obiektu energetyki jądrowej,Rejestr nazw domen najwyższego poziomu (TLD)Podmiot świadczący usługi rejestracji nazw domen
Podmiot ważny	Średni przedsiębiorca	Energia (w tym ropa i paliwa, gaz, wodór) Transport (lotniczy, kolejowy, wodny, drogowy) Bankowość i infrastruktura rynków finansowych Ochrona zdrowia (w tym produkcja leków)Zaopatrzenie w wodę pitną i jej dystrybucja Zbiorowe odprowadzanie ściekówInfrastruktura cyfrowa Zarządzanie usługami ICT
Średni lub duży przedsiębiorca	Usługi pocztowe Inwestycje energetyki jądrowej Gospodarowanie odpadami Produkcja, wytwarzanie i dystrybucja chemikaliów Produkcja, przetwarzanie i dystrybucja żywności Produkcja, w tym do wyrobów medycznych i wyrobów medycznych do diagnostyki in vitro, komputerów, wyrobów elektronicznych i optycznych, urządzeń elektrycznych
Niezależnie od wielkości	Inwestor obiektu energetyki jądrowej
Mały lub mikroprzedsiębiorca	Przedsiębiorca komunikacji elektronicznej

---

Rejestracja w systemie S46 – obowiązek samoidentyfikacji podmiotów

W poprzednim stanie prawnym to organy administracji publicznej identyfikowały kluczowych graczy na rynku. Status operatora usługi kluczowej był nadawany w drodze oficjalnej, indywidualnej decyzji administracyjnej.

Znowelizowana ustawa całkowicie odwraca tę logikę, wprowadzając zasadę samoidentyfikacji przedsiębiorców. Oznacza to, że odpowiedzialność za ustalenie czy organizacja posiada status podmiotu kluczowego albo podmiotu ważnego, została przeniesiona bezpośrednio na przedsiębiorców.

W praktyce zarządy powinny samodzielnie przeprowadzić analizę działalności spółki pod kątem spełnienia kryteriów sektorowych oraz organizacyjnych przewidzianych w ustawie. Dotyczy to zarówno charakteru świadczonych usług, jak i skali działalności przedsiębiorstwa.

Podmioty objęte regulacją będą zobowiązane do dokonania wpisu do wykazu podmiotów kluczowych i podmiotów ważnych, prowadzonego w systemie S46. Rejestracja stanowi jeden z podstawowych obowiązków formalnych wynikających z nowych przepisów i będzie warunkować dalszą komunikację z organami właściwymi ds. cyberbezpieczeństwa.

Przedsiębiorca powinien dokonać rejestracji w terminie 6 miesięcy od dnia uzyskania statusu podmiotu kluczowego albo ważnego. W przypadku organizacji spełniających kryteria już w dniu wejścia w życie nowych przepisów ostateczny, nieprzekraczalny termin wpisu do systemu S46 upłynie 3 października 2026 r.

Z perspektywy compliance szczególne znaczenie ma fakt, że brak dokonania prawidłowej samoidentyfikacji nie wyłącza odpowiedzialności przedsiębiorcy. Organy nadzorcze będą uprawnione do samodzielnej oceny statusu organizacji oraz weryfikacji realizacji obowiązków ustawowych, w tym również nakładania administracyjnych kar pieniężnych.

Za brak złożenia wniosku o wpis do wykazu w terminie, na podmiot kluczowy może zostać nałożona kara do 10 mln euro (lub 2% jego rocznych przychodów), natomiast na podmiot ważny do 7 mln euro (lub 1,4% przychodów).

Dodatkowo organ nadzorczy może pociągnąć do osobistej odpowiedzialności finansowej członka zarządu, nakładając na niego karę w wysokości do 300% otrzymywanego wynagrodzenia.

---

Podstawowe obowiązki przedsiębiorców objętych NIS2 i UKSC

Nowe przepisy nakładają na podmioty kluczowe i ważne obowiązki o charakterze organizacyjnym, technicznym oraz raportowym. Celem regulacji jest zapewnienie ciągłości działania organizacji oraz zwiększenie odporności na incydenty cyberbezpieczeństwa.

Zarządzanie ryzykiem cyberbezpieczeństwa i środki bezpieczeństwa

Jednym z podstawowych obowiązków wynikających z art. 8 UKSC jest wdrożenie adekwatnych środków zarządzania ryzykiem w obszarze cyberbezpieczeństwa.

Przedsiębiorcy będą zobowiązani m.in. do:

• systematycznego szacowania ryzyka i identyfikowania potencjalnych zagrożeń, oraz zarządzania cyberzagrożeniami,
• zapewnienia bezpieczeństwa sieci, systemów informacyjnych i systemów informatycznych wykorzystywanych do świadczenia usług,
• wdrożenia planów ciągłości działania i procedur odtworzeniowych,
• monitorowania i wymiany informacji o incydentach, incydentów oraz reagowania na naruszenia bezpieczeństwa,
• zabezpieczenia łańcucha dostaw produktów i usług ICT,
• stosowania odpowiednich mechanizmów kontroli dostępu oraz zabezpieczeń kryptograficznych, w tym uwierzytelniania wieloskładnikowego,
• regularnego testowania skuteczności wdrożonych środków bezpieczeństwa,
• prowadzenia szkoleń oraz działań z zakresu cyberhigieny dla personelu.
• zapewnienia regularnych aktualizacji systemów, oprogramowania oraz procedur bezpieczeństwa,

Regulacja wymaga przy tym ciągłego monitorowania ryzyk oraz dostosowywania środków bezpieczeństwa do aktualnych zagrożeń i charakteru działalności przedsiębiorcy.

Obowiązki raportowe i zgłaszanie incydentów cyberbezpieczeństwa

Podmioty objęte regulacją będą zobowiązane do zgłaszania incydentów poważnych właściwym zespołom CSIRT w ustawowo określonych terminach. System raportowania za pośrednictwem systemu S46 obejmuje co do zasady:

• wczesne ostrzeżenie – niezwłocznie, nie później niż w ciągu 24 godzin od momentu wykrycia incydentu,
• zgłoszenie incydentu poważnego – niezwłocznie, nie później niż w ciągu 72 godzin od momentu wykrycia,
• sprawozdanie końcowe – przekazywane nie później niż w ciągu miesiąca od dnia zgłoszenia incydentu poważnego (zawierające m.in. opisów skutków incydentu oraz zastosowane środki naprawcze).

W praktyce oznacza to konieczność wdrożenia wewnętrznych procedur identyfikacji, klasyfikacji oraz obsługi incydentów cyberbezpieczeństwa.

---

Kary za naruszenie przepisów NIS2 i UKSC oraz odpowiedzialność zarządu

UKSC przewiduje istotne sankcje administracyjne za naruszenie obowiązków związanych z cyberbezpieczeństwem. Regulacja obejmuje jednak nie tylko odpowiedzialność samego przedsiębiorcy, lecz również wzmacnia odpowiedzialność kadry zarządzającej za nadzór nad zgodnością organizacji z wymogami NIS 2 i UKSC.

Mechanizmy te służą egzekwowaniu przepisów, ponieważ obowiązki cyberbezpieczeństwa nie mają charakteru wyłącznie deklaratywnego — są to egzekwowane wymagania, których naruszenie może prowadzić do kar finansowych oraz innych środków prawnych.

Kary pieniężne mogą zostać nałożone m.in. za:

• brak wdrożenia wymaganych środków bezpieczeństwa,
• niewykonanie obowiązku rejestracji w systemie S46,
• brak zgłoszenia incydentu w ustawowym terminie,
• nieprzeprowadzenie obowiązkowego audytu,
• niewykonanie decyzji organu właściwego ds. cyberbezpieczeństwa,
• przekazanie nieprawdziwych informacji w toku postępowania nadzorczego.

Przepisy UKSC przewidują wysokie administracyjne kary pieniężne za naruszenie obowiązków wynikających z NIS2. W przypadku podmiotów kluczowych kara może wynieść do 10 mln EUR lub 2% rocznego przychodu osiągniętego w poprzednim roku obrotowym, natomiast dla podmiotów ważnych – do 7 mln EUR lub 1,4% rocznego przychodu osiągniętego w poprzednim roku obrotowym.

Szczególne znaczenie praktyczne ma obowiązek samoidentyfikacji i terminowej rejestracji w systemie S46. Ustawodawca przewidział mechanizmy dyscyplinujące wobec podmiotów, które nie dokonają wpisu do wykazu pomimo spełniania przesłanek ustawowych.

W przypadku braku rejestracji organ właściwy ds. cyberbezpieczeństwa będzie uprawniony do dokonania wpisu z urzędu na podstawie danych pochodzących z rejestrów publicznych oraz posiadanych informacji. Tego rodzaju działania mogą skutkować natychmiastowym wszczęciem czynności nadzorczych oraz zwiększonym ryzykiem dla organizacji.

Nowelizacja UKSC wzmacnia również osobistą odpowiedzialność członków zarządu oraz osób kierujących organizacją za realizację obowiązków z zakresu cyberbezpieczeństwa. Kierownik podmiotu może ponosić odpowiedzialność finansową m.in. za brak wykonania obowiązków rejestracyjnych, raportowych lub nadzorczych.

Co istotne, organ właściwy ds. cyberbezpieczeństwa będzie uprawniony do nałożenia osobistej kary pieniężnej w wysokości do 300% miesięcznego wynagrodzenia kierownika podmiotu.

---

Jak przygotować się do NIS2?

Firmy działające w sektorach objętych UKSC nie powinny czekać do momentu, gdy terminy ustawowe będą już bliskie. Harmonogram wdrożenia obowiązków jest etapowy, ale pierwszy kluczowy termin, samoocena i rejestracja w Systemie S46, przypada na 3 października 2026 r.

Na tym etapie firmy powinny skoncentrować się na następujących działaniach:

• sprawdzić, czy ich działalność mieści się w zakresie znowelizowanej ustawy o KSC;
• ocenić, czy mogą kwalifikować się jako podmiot kluczowy lub ważny;
• przygotować się do samoidentyfikacji i rejestracji w Systemie S46;
• zweryfikować obecne podejście do zarządzania ryzykiem cyberbezpieczeństwa;
• zaplanować wdrożenie Systemu Zarządzania Bezpieczeństwem Informacji;
• przygotować dokumentację bezpieczeństwa, procedury raportowania incydentów oraz- tam, gdzie ma to zastosowanie- gotowość audytową.

W praktyce wdrożenie nowych obowiązków będzie wymagało więcej niż samych działań technicznych. Firmy powinny zadbać także o właściwy podział odpowiedzialności, procedury oraz ścieżki raportowania, zanim nadejdą kluczowe terminy.

---

Potrzebujesz pomocy w procesie compliance NIS 2?

UKSC tworzy praktyczne wyzwanie compliance dla firm, które mogą podlegać nowemu reżimowi cyberbezpieczeństwa. Przedsiębiorcy powinni zweryfikować swój status, ustalić zakres mających zastosowanie obowiązków i przygotować się do nadchodzących terminów ustawowych.

Brak terminowego spełnienia obowiązków wynikających z UKSC/NIS 2, w tym brak rejestracji w rejestrze podmiotów kluczowych i ważnych, może narazić przedsiębiorców na istotne kary administracyjne w wysokości do 10 mln EUR lub 2% globalnego rocznego obrotu, a także wiązać się z ryzykiem osobistej odpowiedzialności członków zarządu.

Dudkowiak & Putyra może wspierać firmy w zakresie:

• oceny, czy firma może kwalifikować się jako podmiot kluczowy lub ważny na gruncie znowelizowanej ustawy o KSC;
• analizy zakresu obowiązków compliance w zakresie cyberbezpieczeństwa mających zastosowanie do danego przedsiębiorstwa;
• wsparcia procesu samoidentyfikacji i przygotowania do rejestracji w Systemie S46;
• pomocy we wdrożeniu wymaganej dokumentacji normatywnej oraz procedur ISMS/SZBI;
• wsparcia w zakresie procedur raportowania incydentów oraz gotowości audytowej;
• przygotowania indywidualnej roadmapy compliance z ustawą o KSC / NIS 2.

Nie warto czekać! Terminy ustawowe są już określone. Jeżeli znowelizowana ustawa o KSC lub NIS 2 mogą mieć wpływ na obecne lub planowane działania Państwa firmy, prosimy o kontakt z naszymi ekspertami w celu oceny obowiązków i przygotowania indywidualnej roadmapy compliance.