NIS2 w Polsce: czy firma podlega nowej ustawie o KSC?

Co się zmieniło

Nowelizacja ustawy o KSC obowiązuje od 3 kwietnia 2026 r. Obejmuje znacznie więcej firm niż poprzednie przepisy. Dzieli je na podmioty kluczowe i ważne, w zależności od sektora i wielkości. Wśród sektorów są m.in. energetyka, transport, ochrona zdrowia, infrastruktura cyfrowa, a w drugiej grupie także np. produkcja wybranych wyrobów, gospodarka odpadami, żywność czy usługi pocztowe i kurierskie. Co do zasady przepisy dotyczą firm co najmniej średniej wielkości, ale są wyjątki, w których wielkość nie ma znaczenia.

Podmioty objęte ustawą miały złożyć wniosek o wpis do wykazu do 3 października 2026 r. Ten termin już minął. Jeśli z przeglądu wyjdzie, że firma powinna się zarejestrować, a tego nie zrobiła, warto zrobić to jak najszybciej.

Najważniejsze terminy

Do 3 kwietnia 2027 r. firmy objęte ustawą powinny wdrożyć system zarządzania bezpieczeństwem informacji oraz procedury obsługi i zgłaszania incydentów. Do 3 kwietnia 2028 r. podmioty kluczowe przeprowadzają pierwszy audyt.

Poważne incydenty zgłasza się etapami: wczesne ostrzeżenie w ciągu 24 godzin, zgłoszenie w ciągu 72 godzin i raport końcowy w ciągu miesiąca. Bez gotowej procedury trudno w takim czasie zebrać informacje i podjąć decyzje.

Zarząd i dostawcy

Za cyberbezpieczeństwo odpowiada kierownictwo firmy. Zlecenie obsługi IT na zewnątrz nie zwalnia zarządu z odpowiedzialności, a członkowie zarządu powinni regularnie przechodzić szkolenia. Kary dla podmiotów kluczowych sięgają 10 mln euro albo 2% obrotu, dla podmiotów ważnych 7 mln euro albo 1,4% obrotu. Kierownikowi firmy może grozić kara do trzykrotności wynagrodzenia.

Nowe przepisy wymagają też dbania o bezpieczeństwo łańcucha dostaw. W praktyce oznacza to przegląd umów z dostawcami IT, chmury i usług zarządzanych: czy przewidują obowiązki dotyczące bezpieczeństwa, zgłaszania incydentów i współpracy przy ich wyjaśnianiu. To dotyczy także firm, które same nie podlegają ustawie, ale dostarczają usługi podmiotom kluczowym lub ważnym. Klienci coraz częściej przenoszą na nie swoje wymagania.

Co robimy, a czego nie

Ustalamy, czy i w jakiej roli firma podlega ustawie, przygotowujemy listę obowiązków z terminami, procedurę zgłaszania incydentów, zasady odpowiedzialności w zarządzie i klauzule do umów z dostawcami. Nie robimy technicznego audytu systemów IT. Jeśli jest potrzebny, pomagamy określić jego zakres i przygotować umowę z audytorem. Przy incydentach z danymi osobowymi łączymy obowiązki z KSC z obowiązkami z RODO, a odpowiedzialność zarządu omawiamy w ramach prawa handlowego.