Czy moja firma podlega NIS2? Test w czterech pytaniach

Znowelizowana ustawa o krajowym systemie cyberbezpieczeństwa obowiązuje od 3 kwietnia 2026 r. Termin na złożenie wniosku o wpis do wykazu minął 3 października 2026 r., a mimo to wiele firm nadal nie wie, czy w ogóle podlega nowym przepisom. Odpowiedź da się zwykle ustalić, przechodząc przez cztery pytania. Każde z nich wymaga konkretnych danych, więc warto mieć pod ręką sprawozdanie finansowe i opis działalności.

Pytanie 1. Czy firma działa w jednym z wymienionych sektorów?

Ustawa, która wdraża dyrektywę NIS2, dzieli sektory na dwie grupy. Pierwsza, o wyższym znaczeniu, obejmuje m.in. energetykę, transport, bankowość, infrastrukturę rynków finansowych, ochronę zdrowia, wodę pitną i ścieki, infrastrukturę cyfrową, zarządzanie usługami ICT na rzecz innych firm, administrację publiczną i sektor kosmiczny. Druga obejmuje usługi pocztowe i kurierskie, gospodarowanie odpadami, chemikalia, żywność, produkcję wybranych wyrobów, dostawców usług cyfrowych i badania naukowe.

Nazwy sektorów brzmią szeroko, ale w załącznikach do ustawy każdy z nich jest opisany przez konkretne rodzaje podmiotów. Producent mebli nie wpada do „produkcji” tylko dlatego, że coś produkuje. Kod PKD bywa dobrą wskazówką, ale sam niczego nie rozstrzyga. Rozstrzyga porównanie tego, co firma faktycznie robi, z opisem w załączniku.

Pytanie 2. Jaka jest wielkość firmy?

Co do zasady ustawa dotyczy przedsiębiorstw co najmniej średnich. Firma przestaje być mała, gdy zatrudnia co najmniej 50 osób albo gdy zarówno jej roczny obrót, jak i suma bilansowa przekraczają 10 mln euro. Duże przedsiębiorstwo to takie, które przekracza progi średniego: 250 pracowników albo jednocześnie 50 mln euro obrotu i 43 mln euro sumy bilansowej.

Tu najczęściej pojawia się błąd. Do wielkości spółki wlicza się dane przedsiębiorstw powiązanych, np. spółki-matki i innych spółek z grupy. Polska spółka-córka zagranicznej grupy zatrudniająca 30 osób może więc w świetle przepisów być dużym przedsiębiorstwem, jeśli należy do większej grupy. Ustawa przewiduje od tej zasady wyjątki, dlatego ten punkt warto przeanalizować dokładnie, a nie na oko.

Pytanie 3. Czy jest wyjątek, w którym wielkość nie ma znaczenia?

Tak. Niezależnie od wielkości przepisy obejmują m.in. dostawców usług DNS, rejestry domen najwyższego poziomu, dostawców usług zaufania i publicznych usług komunikacji elektronicznej. Jeśli firma prowadzi taką działalność, test wielkości nie ma znaczenia.

Pytanie 4. Podmiot kluczowy czy ważny?

Duże przedsiębiorstwo z pierwszej grupy sektorów jest zwykle podmiotem kluczowym. Średnie przedsiębiorstwo z pierwszej grupy oraz średnie i duże z drugiej to zwykle podmioty ważne. Obie kategorie mają podobne obowiązki, ale różnią się nadzorem i wysokością kar: do 10 mln euro albo 2% obrotu dla kluczowych, do 7 mln euro albo 1,4% obrotu dla ważnych.

Firma podlega ustawie. Co dalej?

Jeśli firma nie złożyła wniosku o wpis do wykazu, warto to nadrobić bez czekania na pismo z urzędu. Kolejna data to 3 kwietnia 2027 r. Wtedy powinien już działać system zarządzania bezpieczeństwem informacji, a firma powinna mieć gotowe procedury na wypadek incydentu. Podmioty kluczowe mają też do 3 kwietnia 2028 r. przeprowadzić pierwszy audyt.

Na procedurę incydentów warto spojrzeć od strony zegara. Wczesne ostrzeżenie trzeba wysłać w ciągu 24 godzin, zgłoszenie w ciągu 72 godzin, a raport końcowy w ciągu miesiąca. Bez ustalonego z góry podziału ról te terminy łatwo przekroczyć.

Firma nie podlega ustawie. Czy to koniec tematu?

Nie zawsze. Firmy objęte ustawą muszą dbać o bezpieczeństwo łańcucha dostaw, więc coraz częściej przenoszą wymagania na swoich dostawców w umowach i ankietach. Jeśli firma obsługuje szpital, operatora energetycznego czy firmę logistyczną, pytania o cyberbezpieczeństwo i tak do niej trafią. Dobrze też zachować na piśmie analizę, z której wynika, że firma ustawie nie podlega. Przyda się przy kontroli albo w rozmowie z klientem.

Stan prawny: 31 października 2026 r. Opis sektorów i progów jest uproszczony. O objęciu ustawą decyduje brzmienie jej przepisów i załączników.