NIS2: co to jest i co musi zrobić Twoja firma

1. Kogo dotyczy NIS2?

NIS2 znacząco rozszerza zakres podmiotów w porównaniu do pierwszej dyrektywy NIS. Nowe kategorie obejmują m.in. producentów żywności, firmy kurierskie, sektor kosmiczny, administrację publiczną oraz dostawców usług ICT.

Podmioty dzielą się na dwie kategorie: „podmioty kluczowe” (essential entities) i „podmioty ważne” (important entities). Obowiązki obu kategorii są w większości takie same. Różnią się nadzorem, audytem i wysokością kar.

Podmiot kluczowy podlega nadzorowi prewencyjnemu, więc organ może go skontrolować bez sygnału o naruszeniu. Nadzór nad podmiotem ważnym jest następczy: uruchamia go dopiero incydent poważny albo sygnał o naruszeniu.

Podmiot kluczowy przeprowadza audyt bezpieczeństwa co najmniej raz na 3 lata, pierwszy do 3 kwietnia 2028 r. Podmiot ważny przeprowadza go tylko na podstawie decyzji organu (art. 15 KSC).

2. Co musi zrobić firma objęta ustawą

Ustawa o KSC wymienia środki, ale nie podaje gotowych konfiguracji. O tym, jak mocne mają być zabezpieczenia, decyduje szacowanie ryzyka. Najważniejsze obowiązki:

• Wniosek o wpis do wykazu podmiotów kluczowych i ważnych. Termin dla firm objętych ustawą od 3 kwietnia 2026 r. minął 3 października 2026 r.
• Analiza ryzyka i polityka bezpieczeństwa systemów informacyjnych.
• Zarządzanie incydentami - wykrywanie, reagowanie, raportowanie.
• Ciągłość działania - kopie zapasowe, disaster recovery, zarządzanie kryzysowe.
• Bezpieczeństwo łańcucha dostaw - ocena dostawców i partnerów.
• Ocena skuteczności zabezpieczeń i audyt bezpieczeństwa (w podmiocie kluczowym co najmniej raz na 3 lata).
• Szkolenia z cyberbezpieczeństwa dla kadry zarządzającej i pracowników.

3. Raportowanie incydentów

O incydencie poważnym przekazujesz właściwemu CSIRT wczesne ostrzeżenie do 24 godzin od wykrycia, a zgłoszenie do 72 godzin od wykrycia. Sprawozdanie końcowe składasz w miesiąc od zgłoszenia (art. 11 ust. 1 pkt 4, 4a i 4c KSC).

To oznacza, że organizacja musi mieć wdrożony proces incident response z jasno zdefiniowanymi rolami, procedurami eskalacji i kanałami komunikacji z właściwym CSIRT.

Zgłoszenia przekazujesz przez system S46. Dopóki nie powstaną CSIRT sektorowe, trafiają one do CSIRT MON, CSIRT NASK albo CSIRT GOV.

4. Kary i odpowiedzialność zarządu

NIS2 wprowadza osobistą odpowiedzialność kadry zarządzającej za wdrożenie środków cyberbezpieczeństwa. To przełomowa zmiana - zarząd nie może już delegować odpowiedzialności „w dół” organizacji.

Podmiotowi kluczowemu grozi kara od 20 000 zł do 10 mln euro albo 2% przychodów, a podmiotowi ważnemu od 15 000 zł do 7 mln euro albo 1,4% przychodów. Liczy się wyższa z dwóch kwot (art. 73 KSC).

Kary pieniężne organ może nakładać od 3 kwietnia 2028 r. Odroczenie dotyczy tylko kar, a nadzór, kontrole i nakazy działają już dziś.