Wdrożenie NIS2 w Twojej firmie — bez korporacyjnego przepłacania
Nowelizacja ustawy o krajowym systemie cyberbezpieczeństwa obowiązuje od 3 kwietnia 2026 r. Sprawdzimy, czy Twoja firma jej podlega, i przeprowadzimy wdrożenie od analizy luk po działające procedury.
Najważniejsze terminy
Stan prawny na 2026 r. Terminy biegną od wejścia w życie nowelizacji lub od spełnienia kryteriów przez firmę.
Wejście w życie nowelizacji
Znowelizowana ustawa o krajowym systemie cyberbezpieczeństwa (Dz.U. 2026 poz. 252) wdraża dyrektywę NIS2.
Wniosek o wpis do wykazu
Podmioty kluczowe i ważne miały 6 miesięcy na złożenie wniosku o wpis do wykazu prowadzonego przez ministra cyfryzacji. Jeśli Twoja firma podlega przepisom, a wniosku nie złożyła — trzeba to nadrobić jak najszybciej.
System zarządzania bezpieczeństwem
12 miesięcy na wdrożenie systemu zarządzania bezpieczeństwem informacji: analiza ryzyka, polityki, obsługa incydentów, ciągłość działania, bezpieczeństwo łańcucha dostaw.
Pierwszy audyt
Podmioty kluczowe przechodzą pierwszy audyt bezpieczeństwa, a następnie co 3 lata. Od tego momentu organy mogą też nakładać kary pieniężne.
Kogo dotyczą nowe przepisy
Ustawa rozróżnia podmioty kluczowe i ważne. O kwalifikacji decydują sektor działalności i wielkość firmy.
- Średnie i duże firmy z sektorów m.in. energetyki, transportu, bankowości, ochrony zdrowia, wody i ścieków, infrastruktury cyfrowej
- Produkcja: wyroby medyczne, komputery i elektronika, maszyny, pojazdy, chemikalia, żywność
- Usługi pocztowe, gospodarka odpadami, dostawcy usług cyfrowych i zarządzanych usług IT
- Pośrednio: dostawcy firm objętych ustawą — przez wymagania bezpieczeństwa łańcucha dostaw
Nowe przepisy wprost nakładają obowiązki na kierownika podmiotu — w tym obowiązek szkolenia z cyberbezpieczeństwa. Za zaniedbania kary mogą zostać nałożone także na niego osobiście.
To nie jest projekt do oddania „komuś z IT”. Pomagamy zarządowi zrozumieć, za co odpowiada i jak to udokumentować.
Jak wygląda wdrożenie
Łączymy kompetencje dokumentacyjne z technicznymi — polityki są nic niewarte, jeśli nikt nie skonfiguruje kopii zapasowych i MFA.
Kwalifikacja
Sprawdzamy sektor, wielkość firmy i powiązania z innymi podmiotami. Odpowiadamy na pytanie: podlegacie czy nie — i jako podmiot kluczowy czy ważny.
Analiza luk
Porównujemy stan obecny z wymaganiami ustawy. Dostajesz listę braków z priorytetami i szacunkiem pracy.
Dokumentacja i procedury
Polityka bezpieczeństwa, analiza ryzyka, procedura obsługi i zgłaszania incydentów, plan ciągłości działania, zasady dla dostawców.
Wdrożenie techniczne
MFA, kopie zapasowe z testami odtwarzania, segmentacja sieci, zarządzanie uprawnieniami, monitorowanie i logowanie zdarzeń.
Szkolenia
Obowiązkowe szkolenie kierownictwa z cyberbezpieczeństwa oraz szkolenia pracowników z rozpoznawania phishingu i zasad bezpiecznej pracy.
Utrzymanie
Przeglądy, aktualizacja dokumentacji, testy i wsparcie przy incydentach — w ramach stałej obsługi informatycznej.
Mamy doświadczenie z wdrożeniem dokumentacji i zabezpieczeń pod NIS2 w firmie z branży farmaceutycznej.
Pytania o NIS2
Nie ma tu Twojego pytania? Zadzwoń — odpowiemy od ręki.
Czy moja firma podlega NIS2?
Przepisy obejmują przede wszystkim średnie i duże przedsiębiorstwa (co do zasady od 50 pracowników lub powyżej 10 mln euro obrotu i sumy bilansowej) działające w sektorach wymienionych w ustawie — m.in. energetyka, transport, ochrona zdrowia, produkcja (np. wyrobów medycznych, maszyn, pojazdów, chemikaliów, żywności), gospodarka odpadami i usługi cyfrowe. Niektóre podmioty podlegają niezależnie od wielkości. Kwalifikację zawsze warto sprawdzić indywidualnie.
Jestem małą firmą — czy NIS2 mnie dotyczy?
Bezpośrednio zwykle nie. Pośrednio — coraz częściej tak: firmy objęte ustawą muszą dbać o bezpieczeństwo łańcucha dostaw, więc wymagania bezpieczeństwa przenoszą na swoich dostawców w umowach i ankietach. Jeśli dostarczasz usługi lub produkty dużemu klientowi z branży objętej przepisami, spodziewaj się takich pytań.
Jakie kary grożą za brak wdrożenia?
Dyrektywa NIS2 przewiduje kary do 10 mln euro lub 2% światowego obrotu dla podmiotów kluczowych i do 7 mln euro lub 1,4% obrotu dla podmiotów ważnych. Nowością jest odpowiedzialność kierownika podmiotu — kary mogą zostać nałożone także na niego osobiście. Polska ustawa przewiduje okres przejściowy, po którym kary mogą być nakładane.
W jakim czasie trzeba zgłosić incydent?
Zgodnie z dyrektywą NIS2 zgłoszenie jest wieloetapowe: wczesne ostrzeżenie w ciągu 24 godzin od wykrycia poważnego incydentu, zgłoszenie w ciągu 72 godzin i raport końcowy w ciągu miesiąca. Dlatego procedura obsługi incydentów musi być gotowa, zanim coś się wydarzy.
Ile trwa wdrożenie NIS2?
W małej i średniej firmie z uporządkowanym IT — zwykle od kilku tygodni do kilku miesięcy. Najdłużej trwają zmiany techniczne i wdrożenie procedur w codziennej pracy, a nie samo napisanie dokumentów.
Sprawdźmy, czy Twoja firma podlega NIS2
Krótka rozmowa i kilka pytań o sektor i wielkość firmy wystarczą, żeby wstępnie ocenić kwalifikację. Bez zobowiązań.
+48 605 648 238biuro@maverit.pl