Unijna dyrektywa NIS2 i ustawa o Krajowym Systemie Cyberbezpieczeństwa (UKSC) – aktualny status

Implementacja unijnej dyrektywy NIS2 w Polsce

Digitalizacja postępuje w szybkim tempie, a wraz z nią rosną wyzwania dla firm: cyberprzestępczość oraz regulacje, takie jak unijna dyrektywa NIS2, nakładające na organizacje nowe obowiązki. W Polsce dyrektywę NIS2 wdraża nowelizacja ustawy z 5 lipca 2018 r. o krajowym systemie cyberbezpieczeństwa (uKSC) – nie jest to nowa ustawa, lecz gruntowna zmiana aktu, który wcześniej implementował pierwszą dyrektywę NIS. Nowelizacja weszła w życie 3 kwietnia 2026 r. i obejmuje zarówno podmioty kluczowe, jak i tzw. podmioty ważne.

Zakres: Czym różnią się podmioty kluczowe i ważne?

UKSC obliguje podmioty kluczowe i ważne do wdrożenia rygorystycznych środków zarządzania ryzykiem – m.in. zgłaszania poważnych incydentów do CSIRT (ang. Computer Security Incident Response Team), czyli właściwego Zespołu Reagowania na Incydenty Bezpieczeństwa Komputerowego, rejestracji w wykazie podmiotów (system S46), wdrożenia systemowego podejścia do bezpieczeństwa opartego na analizie ryzyka oraz zwiększonej odpowiedzialności kierownictwa. Podział na dwie kategorie wynika przede wszystkim z sektora i progów wielkości przedsiębiorstwa, a nie z uznaniowej oceny:

1) Podmiot kluczowy – co do zasady duża organizacja (powyżej 250 pracowników lub obrót powyżej 50 mln EUR) działająca w sektorach o najwyższej krytyczności (m.in. energetyka, transport, bankowość, ochrona zdrowia, infrastruktura cyfrowa, administracja publiczna). Podlega nadzorowi proaktywnemu (ex ante) – może być kontrolowana z wyprzedzeniem, niezależnie od wystąpienia incydentu, i objęta jest obowiązkiem cyklicznego audytu.

2) Podmiot ważny – średni lub duży przedsiębiorca w sektorach o nieco niższej krytyczności. Obowiązują go te same środki zarządzania ryzykiem, ale podlega łagodniejszemu, reaktywnemu nadzorowi (ex post) – kontrola następuje zasadniczo po wystąpieniu incydentu lub przy uzasadnionym podejrzeniu nieprawidłowości. Nie ma obowiązku cyklicznego audytu, choć audyt na żądanie organu nadzoru jest możliwy.

Co istotne: nie otrzymasz decyzji ani powiadomienia z urzędu. Ustawa wprowadza zasadę samoidentyfikacji – to organizacja sama, na podstawie sektora (załączniki nr 1 i 2 do ustawy) oraz wielkości (liczba pracowników, obrót) ocenia, czy podlega przepisom i do której kategorii należy.

Obowiązujące terminy

Kluczowe daty wynikające z nowelizacji uKSC:

28 stycznia 2026 r. – uchwalenie nowelizacji przez Senat (bez poprawek); 19 lutego 2026 r. – podpis Prezydenta; 2 marca 2026 r. – publikacja w Dzienniku Ustaw;

3 kwietnia 2026 r. – wejście nowelizacji w życie;

do 3 października 2026 r. – złożenie wniosku o wpis do wykazu podmiotów kluczowych i ważnych (przez system S46);

do 3 kwietnia 2027 r. – wdrożenie pełnych obowiązków wynikających z przepisów (m.in. SZBI, polityki bezpieczeństwa, zarządzanie ryzykiem, w tym ryzykiem łańcucha dostaw).

do 3 kwietnia 2028 r. – przeprowadzenie przez podmioty kluczowe pierwszego obowiązkowego audytu bezpieczeństwa (następnie powtarzanego co najmniej raz na 3 lata). Od tej daty organy właściwe ds. cyberbezpieczeństwa będą mogły także nakładać kary finansowe.

Uwaga: nowelizacja została skierowana przez Prezydenta RP do Trybunału Konstytucyjnego w trybie kontroli następczej, co w dłuższej perspektywie może wpłynąć na interpretację części przepisów. Sama ustawa obowiązuje.

Sankcje – dlaczego warto działać już teraz?

Kary administracyjne należą do najsurowszych w Europie i – co kluczowe – mogą obciążać kierownictwo osobiście. Widełki są zróżnicowane:

podmiot kluczowy – do 10 mln EUR lub do 2% rocznego światowego obrotu (wartość wyższa);

podmiot ważny – do 7 mln EUR lub do 1,4% rocznego światowego obrotu (wartość wyższa);
kierownictwo – kara do 300% miesięcznego wynagrodzenia.

Egzekwowanie kar finansowych rozpocznie się od 3 kwietnia 2028 r. Zarząd zatwierdza i nadzoruje środki zarządzania ryzykiem i może ponosić odpowiedzialność za ich zaniechanie.

O czym należy pamiętać i co warto zrobić?

Wdrożenie nowych obowiązków wymaga czasu, zasobów i kompetencji – budowa SZBI zajmuje zwykle od 6 do 12 miesięcy, a bez wsparcia zewnętrznego przygotowanie organizacji bywa projektem trudnym w zarządzaniu. Dlatego zaleca się rozpoczęcie prac już teraz i oparcie ich na sprawdzonych ramach, takich jak ISO/IEC 27001, które dostarczają ustrukturyzowanej podstawy: kontekst organizacji, ocena i postępowanie z ryzykiem, Deklaracja Stosowania (SoA), cele bezpieczeństwa, audyty wewnętrzne, przegląd zarządzania i doskonalenie.

Certyfikacja Systemu Zarządzania Bezpieczeństwem Informacji na zgodność z normą ISO/IEC 27001 stanowi solidny fundament pokrywający znaczną część wymagań organizacyjnych ustawy, ale należy pamiętać, że nie zastępuje ich pełnej realizacji. Wydawany przez CIS akredytowany certyfikat w zakresie ISO/IEC 27001 jest jednak potwierdzeniem, że proces ten został przeprowadzony prawidłowo, a raporty po przeprowadzanych raz w roku audytach nadzorczych dodatkowo wskazują na potencjały firmy do doskonalenia w obszarze bezpieczeństwa informacji. Z kolei akredytacja nadana przez krajową jednostkę akredytującą (jedyną autorytatywną jednostkę w państwie członkowskim UE, udzielającą akredytacji na podstawie upoważnienia nadanego jej przez państwo) potwierdza wiarygodność całego procesu, a wydanie certyfikatu przez międzynarodową jednostkę certyfikacyjną sprawia, że jest on uznawany nie tylko w Polsce, ale też na świecie, zwiększając tym samym zaufanie i prestiż danej organizacji. Należy również pamiętać o tym, że – zgodnie z uKSC – kierownictwo ponosi większą odpowiedzialność za bezpieczeństwo, dobrze więc już dziś zaplanować szkolenia — własne i pracowników. Organy nadzoru będą kontrolować firmy pod kątem wdrożenia wymaganych środków. Zgodnie z dobrą praktyką: lepiej jest zapobiegać niż leczyć.

Dodatkowo: nawet jeśli Twoja firma formalnie nie podlega uKSC, Twoi klienci będący podmiotami kluczowymi mogą wymagać od Ciebie zgodności kontraktowo — to konsekwencja wymogów dotyczących bezpieczeństwa łańcucha dostaw (art. 21 ust. 2 lit. d dyrektywy NIS2). W przetargach i zaproszeniach do współpracy coraz częściej pojawiają się ankiety bezpieczeństwa, klauzule o prawie do audytu i wymogi techniczne (MFA, kopie zapasowe, czas reakcji na incydent).

4 rekomendacje, które ułatwią Ci drogę

Potraktuj wdrożenie wymagań ustawy jako szansę na realne wzmocnienie odporności organizacji.
Nie lekceważ nakładu pracy – to projekt wielomiesięczny.
Załóż, że będziesz potrzebować zewnętrznej wiedzy specjalistycznej.
Działaj w ujęciu ryzyka – to gwarancja opłacalności i skuteczności środków.

Zewnętrzna wiedza specjalistyczna

Specjaliści CIS pomogą Ci poznać i właściwie zinterpretować wymagania uKSC, oddzielić sprawy istotne od mniej istotnych, ostrzegą przed typowymi błędami i doradzą, jak najlepiej przygotować się do wdrożenia przepisów i realizacji wynikających z nich obowiązków. Więcej informacji znajdziesz pod linkiem do szkolenia „NIS2 oraz nowelizacja ustawy o krajowym systemie cyberbezpieczeństwa”, adresowanego do audytorów systemów zarządzania bezpieczeństwem informacji, audytorów wiodących, menedżerów SZBI, ekspertów technicznych oraz kadry kierowniczej.

Ponieważ ISO/IEC 27001 pomaga zbudować ustrukturyzowaną podstawę wdrożenia środków cyberbezpieczeństwa, sprawdź również szkolenie adresowane do obecnych i przyszłych Menedżerów bezpieczeństwa informacji wg ISO/IEC 27001.

Jesteś zainteresowany certyfikacją na zgodność z ISO/IEC 27001?

A może któreś z powyższych szkoleń wpisuje się
w Twoje aktualne potrzeby?

Zapraszamy do współpracy
oraz poszerzania wiedzy i kompetencji razem z CIS!

NIS2 i UKSC – aktualny status