NIS2 – co to jest i kogo dotyczy?

Dyrektywa NIS2 to unijne przepisy, które radykalnie podnoszą wymagania w zakresie cyberbezpieczeństwa dla firm z wybranych sektorów – w Polsce wdraża je nowa ustawa o KSC. Jeżeli działasz w energetyce, transporcie, usługach cyfrowych, administracji, produkcji czy wodociągach, istnieje duża szansa, że staniesz się podmiotem kluczowym lub ważnym i będziesz musiał wdrożyć formalny system zarządzania bezpieczeństwem oraz raportować incydenty do CSIRT. W dalszej części wyjaśniam, co dokładnie oznacza NIS2, kogo obejmie w praktyce i jakie działania warto zaplanować już teraz.

Czym jest NIS2 i jak działa w Polsce?

16 stycznia 2023 r. weszła w życie Dyrektywa NIS2, czyli nowe unijne ramy prawne dla cyberbezpieczeństwa w 18 sektorach uznanych za krytyczne. Zastąpiła ona wcześniejszą dyrektywę NIS1 z 2016 r., rozszerzając liczbę sektorów, precyzując wymagania i wzmacniając mechanizmy nadzoru oraz współpracy między państwami UE. Od państw członkowskich zażądała m.in. przyjęcia krajowych strategii cyberbezpieczeństwa, budowy sieci współpracy i jasnych zasad raportowania incydentów.

W Polsce NIS2 jest wdrażana poprzez nowelizację ustawy o KSC (ustawy o krajowym systemie cyberbezpieczeństwa). Nowe przepisy krajowe obowiązują od 3 kwietnia 2026 r. i przekładają unijne wymogi na bardzo konkretne obowiązki dla firm – od samoidentyfikacji, przez wpis do wykazu w Systemie S46, aż po audyty bezpieczeństwa i ryzyko dotkliwych kar finansowych.

Dyrektywa NIS2 ustala wspólne minimum wymagań dla cyberbezpieczeństwa w całej UE, a ustawa o KSC przekłada je na szczegółowe obowiązki i terminy dla polskich przedsiębiorców.

Kogo dotyczy NIS2 i jak rozumieć „podmiot kluczowy” oraz „ważny”?

NIS2 porzuca dawny podział na operatorów usług kluczowych i dostawców usług cyfrowych. Wprowadza dwie kategorie: podmioty kluczowe (essential entities) oraz podmioty ważne (important entities). Obie grupy mają bardzo podobne wymagania co do stosowania środków bezpieczeństwa i raportowania incydentów, ale różni je sposób nadzoru oraz skala potencjalnych kar.

Podmiotami kluczowymi są przede wszystkim duże firmy z sektorów o najwyższej krytyczności – energia, finanse, sektor transportu, ochrona zdrowia, woda pitna, infrastruktura cyfrowa czy przestrzeń kosmiczna. W tej grupie znajdują się również niektóre jednostki publiczne oraz podmioty wskazane wprost w ustawie (np. operator obiektu energetyki jądrowej, rejestr nazw domen najwyższego poziomu). Dla tej kategorii przewidziano aktywny nadzór, wysoką częstotliwość audytów oraz maksymalne kary do 10 mln euro lub 2% obrotu.

Podmioty ważne to z reguły średnie i duże firmy z tzw. sektorów ważnych, np. usług pocztowych, gospodarki odpadami, produkcji chemikaliów, wyrobów komputerowych czy usług cyfrowych (platformy, wyszukiwarki, sieci społecznościowe). Nadzór ma tu charakter następczy – intensyfikuje się po incydencie lub wykrytym naruszeniu – lecz sankcje nadal są znaczące i mogą sięgać 7 mln euro lub 1,4% obrotu.

Jakie sektory obejmuje NIS2?

NIS2 obejmuje szeroki katalog sektorów krytycznych, a po wdrożeniu w Polsce – poprzez ustawę o KSC – dzieli je na sektory kluczowe i ważne. Wśród kluczowych znajdują się m.in.: energia (elektryczność, gaz, paliwa, ciepło), transport (lotniczy, kolejowy, morski i drogowy), bankowość i infrastruktura rynku finansowego, ochrona zdrowia, dostarczanie wody pitnej i ścieków, infrastruktura cyfrowa i zarządzanie usługami ICT, przestrzeń kosmiczna oraz wybrane podmioty administracji centralnej.

W sektorach ważnych znajdziemy natomiast np. usługi pocztowe i kurierskie, gospodarkę odpadami, produkcję chemikaliów, produkcję żywności, wiele gałęzi przemysłu (sprzęt elektryczny, pojazdy, komputery, urządzenia optyczne) oraz część administracji samorządowej. W efekcie krąg organizacji objętych wymogami NIS2 liczony jest w całej Europie już nie w setkach, ale w dziesiątkach tysięcy firm.

Kiedy małe i średnie firmy muszą stosować NIS2?

Mikro, małe i średnie przedsiębiorstwa teoretycznie są z NIS2 wyłączone, ale w praktyce wiele z nich zostanie objętych przepisami w trzech przypadkach. Po pierwsze – gdy spełnią kryteria ustawowe i zostaną zaklasyfikowane jako podmiot ważny lub kluczowy (np. dostawca usług zaufania czy podmiot wskazany z nazwy). Po drugie – gdy decyzję o takim statusie wyda organ właściwy do spraw cyberbezpieczeństwa ze względu na strategiczne znaczenie usługi. Po trzecie – gdy staną się istotnym elementem łańcucha dostaw organizacji objętej ustawą i zostaną zobowiązane umownie do wdrożenia określonych standardów bezpieczeństwa.

Jak wygląda krajowy system cyberbezpieczeństwa po NIS2?

Nowelizacja ustawy o KSC nie tylko dodaje nowe obowiązki firmom, ale też porządkuje architekturę krajowego systemu cyberbezpieczeństwa. W jego skład wchodzą przede wszystkim podmioty kluczowe i ważne, organy właściwe do spraw cyberbezpieczeństwa w poszczególnych sektorach oraz zespoły reagowania na incydenty – CSIRT na poziomie krajowym i sektorowym. Każdy podmiot podlegający ustawie raportuje incydenty do właściwego CSIRT i współpracuje z nim przy ich obsłudze.

Szczególną rolę pełni tu System S46, w którym prowadzi się wykaz podmiotów kluczowych i ważnych. Zgłoszenie do wykazu jest obowiązkowe po spełnieniu odpowiednich kryteriów, a dane z S46 służą zarówno do nadzoru, jak i do bieżącej komunikacji w sprawach incydentów, zagrożeń i podatności. Na poziomie unijnym całość wspierana jest przez ENISA, która wydaje wytyczne i dobre praktyki oraz inicjuje działania szkoleniowe i analityczne.

CSIRT, System S46 i krajowe organy nadzorcze tworzą praktyczną infrastrukturę NIS2 – to z nimi twoja firma będzie się realnie komunikować w sprawach incydentów i wymogów bezpieczeństwa.

Jakie są kluczowe terminy dla firm?

Terminy wdrażania obowiązków są rozłożone w czasie, ale dość rygorystyczne. Od momentu, gdy organizacja spełni przesłanki uznania za podmiot kluczowy lub ważny, ma 6 miesięcy na zgłoszenie do wykazu w S46 i kolejne 12 miesięcy na wdrożenie pełnego systemu zarządzania bezpieczeństwem informacji, w tym środków technicznych, organizacyjnych i procedur raportowania. Podmiot kluczowy musi w ciągu 24 miesięcy przeprowadzić pierwszy audyt zgodności, a następne – nie rzadziej niż raz na trzy lata.

Jakie obowiązki nakłada NIS2 na organizacje?

NIS2 i ustawa o KSC budują spójny katalog obowiązków, który obejmuje zarządzanie ryzykiem, techniczne i organizacyjne zabezpieczenia, raportowanie incydentów, ochronę łańcucha dostaw oraz odpowiedzialność kierownictwa. Dla wielu firm to oznacza przejście z podejścia „robimy, co możemy” do sformalizowanego systemu bezpieczeństwa, który można skontrolować, zmierzyć i udokumentować.

W praktyce organizacja objęta ustawą musi wdrożyć system zarządzania bezpieczeństwem informacji obejmujący cały cykl życia systemów IT wykorzystywanych do świadczenia usług. Dotyczy to zarówno infrastruktury własnej, jak i usług chmurowych, sieci telekomunikacyjnych, systemów przemysłowych czy rozwiązań SaaS, które są krytyczne dla działania biznesu.

Jak wygląda zarządzanie ryzykiem i dokumentacja?

Dyrektywa wymaga systematycznej i udokumentowanej analizy ryzyka – od zagrożeń technicznych, przez procesowe, aż po fizyczne (tzw. podejście all-hazard). Na tej podstawie trzeba dobrać proporcjonalne środki, np. polityki szacowania ryzyka, kontroli dostępu, ciągłości działania, bezpieczeństwa łańcucha dostaw, czy kryptografii. Wszystkie te elementy muszą być opisane w dokumentacji normatywnej (polityki, procedury, plany) oraz uzupełnione dokumentacją operacyjną, czyli realnymi zapisami z dzienników systemów, rejestrów incydentów i raportów z testów.

Dokumentację przechowuje się co najmniej dwa lata po zakończeniu korzystania z danego systemu lub usługi i chroni tak, aby była dostępna tylko dla upoważnionych osób, a jednocześnie gotowa do okazania podczas audytu lub kontroli organu nadzorczego.

Jakie są wymagania dotyczące łańcucha dostaw?

NIS2 mocno podkreśla znaczenie bezpieczeństwa łańcucha dostaw. Podmiot kluczowy lub ważny ma obowiązek analizować ryzyka wynikające ze współpracy z dostawcami ICT, operatorami chmury, integratorami, a nawet z podwykonawcami utrzymującymi infrastrukturę fizyczną. W praktyce oznacza to konieczność włączenia wymogów bezpieczeństwa do umów, ocen dostawców, przeglądów kontraktów i codziennej pracy działu zakupów.

Dodatkowym elementem jest możliwość uznania niektórych producentów sprzętu lub oprogramowania za dostawców wysokiego ryzyka. W takim przypadku organizacje korzystające z ich rozwiązań mogą zostać zobowiązane do stopniowego wycofania określonych produktów, zakazu instalowania nowych wersji lub specjalnej konfiguracji zabezpieczającej przed znanymi podatnościami.

Jak raportuje się incydenty w systemie NIS2?

Zarówno podmiot kluczowy, jak i ważny ma jasno określone obowiązki w zakresie zgłaszania poważnych incydentów do właściwego CSIRT. Incydentem jest każde zdarzenie, które wpływa lub może wpłynąć negatywnie na poufność, integralność lub dostępność systemów i danych. Za poważny uznaje się taki, który może spowodować istotne zakłócenia w świadczeniu usług lub znaczące szkody dla innych podmiotów.

Procedura zgłaszania jest wieloetapowa. Najpierw należy wysłać wczesne ostrzeżenie – w ciągu 24 godzin od wykrycia – z podstawową oceną, czy zdarzenie było celowe i czy może mieć skutki transgraniczne. Następnie, w ciągu 72 godzin, trzeba przekazać bardziej szczegółowe zgłoszenie, opisując wpływ, przyczyny, przebieg i podjęte działania. Po opanowaniu sytuacji przygotowuje się raport końcowy, który zbiera wnioski i opis zmian wdrożonych, aby podobnym incydentom zapobiegać w przyszłości.

Raportowanie do CSIRT nie jest tylko formalnością – dobrze przygotowane zgłoszenie pomaga szybciej uzyskać wsparcie, a jednocześnie buduje obraz realnych cyberzagrożeń na poziomie całej UE.

Jaką rolę odgrywa kierownictwo i jakie grożą kary?

NIS2 wprowadza osobistą odpowiedzialność kierownictwa za nadzór nad cyberbezpieczeństwem. Zarząd lub inny organ zarządzający musi nie tylko zatwierdzić strategię i środki bezpieczeństwa, ale też realnie nadzorować ich wdrożenie, zapewniać zasoby oraz regularnie aktualizować wiedzę poprzez szkolenia. Zaniechania na tym poziomie mogą skutkować nie tylko karami dla organizacji, ale również sankcjami finansowymi dla osób zarządzających.

Wysokość kar zależy od kategorii podmiotu. Dla jednostek kluczowych maksymalny pułap to 10 mln euro lub 2% globalnego obrotu, a dla ważnych – 7 mln euro lub 1,4% obrotu. W polskim porządku prawnym maksymalna kara administracyjna może sięgnąć nawet 100 mln zł, a minimalne poziomy (20 tys. zł dla podmiotów kluczowych, 15 tys. zł dla ważnych) sprawiają, że nawet „mniejsze” uchybienia są realnie odczuwalne.

Jak przygotować firmę do zgodności z NIS2?

Przygotowanie do NIS2 warto zacząć od prostego pytania: czy twoja organizacja znajduje się w sektorach wymienionych w załącznikach do ustawy o KSC lub jest wskazana w przepisach jako potencjalny podmiot kluczowy czy ważny. Jeśli tak, kolejne kroki będą dotyczyć zbudowania spójnego systemu zarządzania bezpieczeństwem, wpisu do wykazu i przygotowania się do audytów.

W praktyce organizacje planują zwykle następującą sekwencję działań:

• przeprowadzenie przeglądu zgodności z NIS2 i ocenę obecnego poziomu cyberbezpieczeństwa,
• zaprojektowanie polityk, procedur oraz struktury odpowiedzialności (w tym roli kierownictwa),
• wdrożenie narzędzi technicznych – od monitoringu, przez zarządzanie podatnościami, po mechanizmy szyfrowania i kopie zapasowe,
• zbudowanie procesu raportowania incydentów do CSIRT i wewnętrznego obiegu informacji,
• zaplanowanie cyklicznych szkoleń dla personelu i testów (np. kampanii phishingowych),
• przygotowanie się do pierwszego audytu oraz gromadzenie dokumentacji potwierdzającej zgodność z wymogami.

NIS2 nie jest więc jednorazowym projektem, ale ciągłym procesem – wymaga od zarządów i działów IT tego, by cyberbezpieczeństwo stało się stałym elementem zarządzania organizacją, a nie reakcją dopiero po głośnym incydencie.