3 kwietnia 2026 r. weszła w życie nowelizacja ustawy o krajowym systemie cyberbezpieczeństwa (Dz.U. 2026 poz. 252), która wdraża do polskiego prawa unijną dyrektywę NIS2. Dla tysięcy firm oznacza to nowe obowiązki — a dla kierownictwa także osobistą odpowiedzialność.
Ten tekst ma charakter informacyjny i nie stanowi porady prawnej. Kwalifikację konkretnej firmy zawsze warto sprawdzić indywidualnie.
Kogo obejmują przepisy
Ustawa dzieli objęte nią firmy na podmioty kluczowe i podmioty ważne. O kwalifikacji decydują dwa czynniki:
Sektor działalności. Katalog sektorów jest dużo szerszy niż w poprzedniej ustawie. Obejmuje m.in. energetykę, transport, bankowość, ochronę zdrowia, wodę i ścieki, infrastrukturę cyfrową, zarządzanie usługami ICT, usługi pocztowe, gospodarkę odpadami, produkcję chemikaliów i żywności oraz produkcję m.in. wyrobów medycznych, elektroniki, maszyn i pojazdów.
Wielkość firmy. Co do zasady przepisy dotyczą średnich i dużych przedsiębiorstw — czyli zatrudniających co najmniej 50 osób lub mających powyżej 10 mln euro rocznego obrotu i sumy bilansowej. Część podmiotów (np. niektórzy dostawcy usług cyfrowych) podlega niezależnie od wielkości.
Najważniejsze terminy
| Termin | Obowiązek |
|---|---|
| 3 kwietnia 2026 | Wejście w życie nowelizacji |
| 3 października 2026 | Złożenie wniosku o wpis do wykazu podmiotów kluczowych i ważnych |
| 3 kwietnia 2027 | Wdrożenie systemu zarządzania bezpieczeństwem informacji |
| 3 kwietnia 2028 | Pierwszy audyt bezpieczeństwa podmiotów kluczowych (potem co 3 lata) |
Kary pieniężne mogą być nakładane po okresie przejściowym. To nie znaczy, że można czekać — wdrożenie systemu bezpieczeństwa w firmie, która nie ma uporządkowanego IT, trwa miesiącami.
Co trzeba wdrożyć
- Analizę ryzyka i system zarządzania bezpieczeństwem informacji.
- Procedurę obsługi incydentów — z wieloetapowym zgłaszaniem: wczesne ostrzeżenie w ciągu 24 godzin, zgłoszenie w ciągu 72 godzin i raport końcowy.
- Ciągłość działania — kopie zapasowe, plan odtworzenia po awarii, zarządzanie kryzysowe.
- Bezpieczeństwo łańcucha dostaw — wymagania wobec dostawców, w tym dostawców IT.
- Zabezpieczenia techniczne — m.in. uwierzytelnianie wieloskładnikowe, zarządzanie uprawnieniami, szyfrowanie, aktualizacje.
- Szkolenia — obowiązkowe także dla kierownictwa.
Odpowiedzialność kierownictwa
To największa zmiana w podejściu. Ustawa wprost nakłada obowiązki na kierownika podmiotu i przewiduje możliwość nałożenia kar także na niego. Dyrektywa NIS2 przewiduje kary dla firm do 10 mln euro lub 2% światowego obrotu (podmioty kluczowe) i do 7 mln euro lub 1,4% obrotu (podmioty ważne).
Jestem małą firmą — czy to mnie dotyczy?
Bezpośrednio najczęściej nie. Ale jeśli jesteś dostawcą firmy objętej przepisami — produkujesz dla niej komponenty, świadczysz usługi, masz dostęp do jej systemów — to wymagania dotrą do Ciebie przez umowy i ankiety bezpieczeństwa. Duże firmy muszą wykazać, że ich łańcuch dostaw jest bezpieczny, więc będą tego wymagać od partnerów.
Dobra wiadomość: podstawy, których oczekują — MFA, kopie zapasowe z testami, aktualizacje, polityka haseł, szkolenia pracowników — to i tak fundament rozsądnej obsługi IT.
Od czego zacząć
- Sprawdź kwalifikację — sektor, wielkość, powiązania z innymi firmami.
- Zrób analizę luk — porównaj obecny stan z wymaganiami.
- Zaplanuj wdrożenie — najpierw największe ryzyka, potem dokumentacja i procedury.
- Przeszkol kierownictwo — to obowiązek, a nie formalność.
Pomagamy firmom przejść tę drogę od kwalifikacji po działające procedury. Zobacz, jak wygląda wdrożenie NIS2 albo zadzwoń i zapytaj, czy Twoja firma podlega przepisom.