NIS2 – co to jest i jakie zmiany wprowadza?

Dyrektywa NIS2 to nowe unijne przepisy, które podnoszą wymagania cyberbezpieczeństwa dla podmiotów działających w 18 sektorach gospodarki i wprowadzają surowe kary za brak zgodności. Jeżeli Twoja organizacja świadczy istotne usługi w UE, bardzo możliwe, że już teraz zalicza się do podmiotów kluczowych lub ważnych i musi przygotować się na nowe obowiązki. Warto sprawdzić status firmy, zaplanować wdrożenie środków ochrony i uporządkować procesy bezpieczeństwa – szczegóły znajdziesz w poniższym opracowaniu.

Czym jest NIS2 i po co powstała?

16 stycznia 2023 r. weszła w życie Dyrektywa NIS2, czyli znowelizowane prawo UE dotyczące bezpieczeństwa sieci i systemów informacyjnych. Zastąpiło ono wcześniejszą dyrektywę NIS z 2016 r., która dotyczyła głównie operatorów usług kluczowych w kilku podstawowych sektorach, takich jak energia, transport czy zdrowie. Nowe regulacje są odpowiedzią na gwałtowny wzrost liczby ataków, w tym phishingu, ransomware i wycieków danych, które silnie uderzają w infrastrukturę krytyczną oraz administrację publiczną.

NIS2 tworzy wspólne ramy dla całej Unii: określa minimalny poziom bezpieczeństwa, jednolite zasady raportowania incydentów i wymaga od państw członkowskich zbudowania spójnych krajowych systemów cyberbezpieczeństwa. Jednocześnie wzmacnia rolę Agencji UE ds. Cyberbezpieczeństwa ENISA oraz europejskiej sieci CSIRT, które koordynują wymianę informacji o zagrożeniach i reagowanie na poważne incydenty.

Jak NIS2 zmienia zakres podmiotów i sektorów?

W porównaniu z NIS1, nowa dyrektywa znacząco rozszerza katalog branż, w których cyberbezpieczeństwo jest traktowane jako warunek stabilnego funkcjonowania. NIS2 obejmuje 18 sektorów, w tym dotychczasowe sektory energii, transportu, finansów, zdrowia, wody i infrastruktury cyfrowej, ale także nowe obszary, takie jak produkcja żywności, gospodarka odpadami, przestrzeń kosmiczna, administracja publiczna czy zaawansowana produkcja przemysłowa.

W ramach tych sektorów pojawiają się dwa typy adresatów regulacji – podmioty kluczowe oraz podmioty ważne. Pierwsza grupa obejmuje przede wszystkim duże organizacje o strategicznym znaczeniu dla państwa, druga – głównie średnie firmy oraz część dużych przedsiębiorstw z tzw. sektorów ważnych. Taki podział przekłada się później na sposób nadzoru oraz wysokość potencjalnych sankcji za naruszenia obowiązków.

Jakie sektory uznano za kluczowe?

Do sektorów kluczowych zaliczono m.in. energię (elektryczność, gaz, paliwa, ciepło), transport lotniczy, kolejowy, drogowy i wodny, rynki finansowe i bankowość, ochronę zdrowia, wodę pitną i ścieki, infrastrukturę cyfrową, zarządzanie usługami ICT, sektor kosmiczny oraz wybrane podmioty publiczne. Dla firm z tych branż oznacza to obowiązek wdrożenia zaawansowanych środków bezpieczeństwa, systematycznego raportowania incydentów oraz regularnych audytów.

W Polsce szczególne znaczenie ma to dla spółek energetycznych, operatorów transportu, instytucji finansowych, szpitali, firm wodno‑kanalizacyjnych oraz dostawców usług chmurowych czy centrów danych. Podmioty te już dziś są mocno powiązane z krajową infrastrukturą krytyczną, a NIS2 tylko formalnie podnosi ich próg wymaganego poziomu ochrony.

Jakie branże traktowane są jako ważne?

Do sektorów ważnych należą między innymi usługi pocztowe i kurierskie, inwestycje w energetykę jądrową, gospodarka odpadami, produkcja chemikaliów, zaawansowana produkcja wyrobów medycznych, sprzętu komputerowego i elektronicznego, pojazdów, a także dostawcy usług cyfrowych – wyszukiwarek, platform handlowych czy sieci społecznościowych. W tej grupie znalazły się również podmioty publiczne na poziomie regionalnym, np. jednostki samorządowe realizujące zadania użyteczności publicznej.

Firmy z sektorów ważnych podlegają zbliżonym wymaganiom co podmioty kluczowe, jednak ich nadzór jest następczy – organy państwowe wchodzą w szczegóły dopiero w razie incydentu lub podejrzenia naruszeń. Nie zmienia to faktu, że obowiązki wdrożeniowe są szerokie, a brak zgodności może oznaczać dotkliwe kary finansowe.

Kogo NIS2 obejmuje – kiedy firma staje się podmiotem kluczowym lub ważnym?

Podstawowe kryterium identyfikacji to wielkość organizacji działającej w sektorze objętym regulacją. Dyrektywa stosuje unijną definicję średnich i dużych przedsiębiorstw – duże podmioty zatrudniają co najmniej 250 osób i osiągają roczne obroty powyżej 50 mln euro, średnie mają co najmniej 50 pracowników i ponad 10 mln euro obrotu. To właśnie one automatycznie trafiają do kategorii podmiotów kluczowych lub ważnych, w zależności od sektora.

Dodatkowo część organizacji jest objęta przepisami niezależnie od wielkości. Dotyczy to m.in. kwalifikowanych dostawców usług zaufania, dostawców usług DNS, rejestrów nazw domen najwyższego poziomu, operatorów obiektów energetyki jądrowej czy określonych podmiotów publicznych. Organ właściwy ds. cyberbezpieczeństwa może także decyzją uznać konkretny podmiot za kluczowy lub ważny, jeżeli świadczy usługę o szczególnym znaczeniu dla bezpieczeństwa państwa lub zdrowia publicznego.

Jakie są różnice w nadzorze i karach?

Podmioty kluczowe poddane są stałemu, proaktywnemu nadzorowi. Organy nadzorcze mogą prowadzić kontrole, żądać dokumentów, nakazywać audyty oraz wydawać decyzje nakazujące wdrożenie określonych środków bezpieczeństwa. Za naruszenie przepisów grożą im kary do 10 mln euro lub 2% rocznego światowego obrotu, przy czym stosuje się wyższą z tych wartości.

Podmioty ważne podlegają nadzorowi następczemu – działania kontrolne są podejmowane głównie po wystąpieniu poważnego incydentu albo w przypadku sygnałów naruszeń obowiązków. Dla tej grupy maksymalny poziom sankcji to zazwyczaj 7 mln euro lub 1,4% rocznego obrotu. W polskim systemie prawnym ustawodawca przewidział także maksymalną karę administracyjną sięgającą 100 mln zł.

Jak NIS2 jest wdrażana w Polsce przez ustawę o KSC?

W Polsce ramą dla wdrożenia dyrektywy jest Ustawa o KSC – ustawa o krajowym systemie cyberbezpieczeństwa. Nowelizacja przekształca dotychczasowy model oparty na operatorach usług kluczowych w system odpowiedni dla NIS2, oparty na podmiotach kluczowych i ważnych. Ustawa definiuje krajowy system cyberbezpieczeństwa, określa rolę organów właściwych oraz zespołów CSIRT na poziomie krajowym i sektorowym.

W krajowym systemie funkcjonują m.in. CSIRT GOV, CSIRT NASK, CSIRT MON oraz zespoły sektorowe, które przyjmują zgłoszenia, koordynują obsługę incydentów i wydają ostrzeżenia. Organy właściwe – na przykład minister właściwy do spraw energii czy transportu – prowadzą nadzór nad podmiotami z danego sektora, wydają zalecenia oraz decyzje administracyjne. Istotnym elementem jest też System S46, w którym prowadzony jest wykaz podmiotów kluczowych i ważnych oraz odbywa się elektroniczna komunikacja z podmiotami.

Jak wygląda rejestracja w wykazie podmiotów?

Organizacje, które spełniają kryteria podmiotu kluczowego lub ważnego, mają obowiązek zarejestrować się w wykazie prowadzonym w Systemie S46. Na zgłoszenie jest 6 miesięcy od dnia spełnienia przesłanek – jeśli firma była objęta regulacją od początku obowiązywania nowych przepisów krajowych, termin liczony jest od tej daty. Wniosek składa się elektronicznie, podpisem kwalifikowanym lub innym środkiem identyfikacji elektronicznej.

Wpis do wykazu potwierdza formalnie, że dana organizacja podlega reżimowi ustawy o KSC oraz umożliwia bieżącą komunikację z CSIRT i organami nadzoru. W razie braku zgłoszenia organ może dokonać wpisu z urzędu, a przedsiębiorstwo otrzymuje zawiadomienie. Dane w wykazie podlegają aktualizacji – np. przy zmianie zakresu działalności czy danych kontaktowych – w terminie 14 dni od zaistnienia zmian.

Jakie obowiązki wprowadza NIS2 dla firm?

Wspólnym mianownikiem dla wszystkich podmiotów objętych NIS2 jest obowiązek wdrożenia proporcjonalnych środków zarządzania ryzykiem w cyberprzestrzeni. Chodzi zarówno o zabezpieczenia techniczne i organizacyjne, jak i o ciągłe monitorowanie stanu bezpieczeństwa oraz systematyczne podnoszenie świadomości pracowników. W praktyce oznacza to konieczność zbudowania spójnego systemu zarządzania bezpieczeństwem informacji.

Dyrektywa wymaga również precyzyjnych procedur obsługi incydentów oraz raportowania ich do właściwych zespołów CSIRT. Rozszerza odpowiedzialność kierownictwa – zarządy muszą nie tylko zatwierdzać polityki bezpieczeństwa, ale też realnie nadzorować ich wdrażanie. W wielu przypadkach konieczne jest przeprowadzanie regularnych audytów bezpieczeństwa oraz testów technicznych, takich jak testy penetracyjne czy skanowanie podatności.

System zarządzania bezpieczeństwem informacji

Ustawa o KSC wymaga, aby podmioty kluczowe i ważne wdrożyły system zarządzania bezpieczeństwem informacji (SZBI), który obejmuje pełen cykl życia wykorzystywanych systemów IT. Taki system powinien uwzględniać metodyczną analizę ryzyka, polityki bezpieczeństwa, procedury reagowania na incydenty, zasady ciągłości działania oraz mechanizmy oceny skuteczności zastosowanych środków. Dla wielu organizacji naturalnym punktem odniesienia staje się norma ISO/IEC 27001 lub równoważne standardy branżowe.

W ramach SZBI trzeba objąć ochroną zarówno warstwę techniczną (aktualizacje, konfiguracja, kryptografia i szyfrowanie danych, segmentacja sieci), jak i obszary organizacyjne – zarządzanie uprawnieniami, polityki haseł, onboarding i offboarding pracowników, zasady pracy zdalnej. Coraz większą rolę odgrywa także bezpieczeństwo ciągłe, oparte na bieżącym monitoringu i reagowaniu na anomalie, zamiast wyłącznie okresowych przeglądów.

Bezpieczeństwo łańcucha dostaw i dostawcy wysokiego ryzyka

NIS2 bardzo mocno akcentuje znaczenie bezpieczeństwa łańcucha dostaw. Podmioty kluczowe i ważne muszą oceniać ryzyka wynikające ze współpracy z dostawcami ICT i usługodawcami oraz uwzględniać wymogi bezpieczeństwa w umowach. Na poziomie krajowym pojawia się też koncepcja dostawcy wysokiego ryzyka – ministra właściwego do spraw informatyzacji uprawniono do uznania określonego dostawcy sprzętu lub oprogramowania za stwarzającego zagrożenie dla bezpieczeństwa państwa.

W przypadku wydania takiej decyzji podmioty objęte ustawą mają zakaz wdrażania produktów i usług ICT tego dostawcy w obszarach wskazanych w decyzji, a już używane rozwiązania muszą stopniowo wycofać. Czas na wycofanie wynosi zwykle do 7 lat, a dla kluczowych elementów infrastruktury telekomunikacyjnej – 4 lata. Do tego czasu produkty mogą być używane tylko w ograniczonym zakresie, głównie dla zapewnienia ciągłości działania i usuwania podatności.

Dokumentacja i odpowiedzialność kierownictwa

Podmiot objęty regulacją ma obowiązek prowadzić dokumentację normatywną (polityki, procedury, plany awaryjne, standardy techniczne) oraz operacyjną (dzienniki systemowe, rejestry działań, raporty z analiz ryzyka i incydentów). Dokumenty muszą być aktualne, wersjonowane, odpowiednio chronione oraz przechowywane co najmniej 2 lata po zakończeniu korzystania z danego systemu lub usługi.

Za całość tych działań odpowiada kierownik podmiotu – np. zarząd spółki – który ma obowiązek zapewnić zasoby i nadzór nad wdrożeniem środków bezpieczeństwa. Ustawa przewiduje możliwość nakładania kar finansowych nie tylko na organizację, ale również bezpośrednio na osoby zarządzające, jeśli świadomie nie podejmują one działań wymaganych przepisami.

Dyrektywa NIS2 wprost przesuwa ciężar odpowiedzialności za cyberbezpieczeństwo na najwyższe kierownictwo, wiążąc z brakiem działań realne sankcje finansowe dla firmy i osób zarządzających.

Jak wygląda raportowanie incydentów według NIS2?

Każde znaczne zakłócenie pracy systemów informacyjnych lub naruszenie poufności, integralności bądź dostępności danych może być incydentem wymagającym zgłoszenia. NIS2 wprowadza ujednolicone ramy czasowe i etapy raportowania, a krajowe przepisy doprecyzowują szczegóły. Podmioty kluczowe i ważne muszą ocenić wpływ zdarzenia na świadczone usługi, możliwe skutki finansowe oraz oddziaływanie na inne podmioty lub państwa członkowskie.

Szczególną kategorią jest incydent krytyczny – zdarzenie, które powoduje znaczną szkodę dla bezpieczeństwa lub porządku publicznego, interesów gospodarczych, działania instytucji publicznych czy życia i zdrowia ludzi. W takim przypadku, oprócz standardowych zgłoszeń do CSIRT, mogą zostać uruchomione specjalne mechanizmy zarządzania kryzysowego i wydane polecenia zabezpieczające o szerokim zasięgu.

Jakie są terminy zgłoszeń do CSIRT?

Zgłaszanie poważnych incydentów do właściwego zespołu CSIRT odbywa się etapowo. W pierwszej kolejności, w ciągu 24 godzin od wykrycia, podmiot przekazuje tzw. wczesne ostrzeżenie z podstawowymi informacjami i oceną, czy incydent mógł mieć charakter celowy oraz czy ma potencjał transgraniczny. Następnie, w ciągu 72 godzin, składane jest pełne zgłoszenie incydentu, zawierające opis przebiegu, skutków oraz działań podjętych w celu opanowania sytuacji.

Kolejne etap to sprawozdania – okresowe (na żądanie CSIRT) oraz końcowe, zwykle w terminie miesiąca od zgłoszenia lub od zakończenia obsługi incydentu. Raporty muszą szczegółowo opisywać przyczyny zdarzenia, wprowadzone środki naprawcze i wnioski na przyszłość. Do zgłaszania oraz komunikacji używany jest przede wszystkim System S46, który porządkuje obieg informacji między podmiotami a krajowym systemem cyberbezpieczeństwa.

Precyzyjne terminy raportowania – 24 i 72 godziny – wymuszają na firmach gotowość operacyjną do analizy i opisu incydentu praktycznie od momentu jego wykrycia.

Jak przedsiębiorstwo może przygotować się do NIS2?

Pierwszy krok to rzetelna samoocena – ustalenie, czy firma działa w sektorze objętym NIS2, sprawdzenie wielkości zatrudnienia i obrotów oraz analiza, czy nie występują przesłanki do uznania za podmiot kluczowy lub ważny niezależnie od skali działalności. Jeżeli odpowiedź jest twierdząca, trzeba zaplanować harmonogram dostosowania: rejestrację w wykazie, budowę lub dostosowanie SZBI, przygotowanie procedur i narzędzi raportowania incydentów.

Kolejnym etapem jest inwentaryzacja zasobów IT i usług, ocena ich krytyczności, identyfikacja podatności oraz priorytetyzacja zagrożeń. Na tej podstawie można zaprojektować środki techniczne, organizacyjne i procesowe – od uwierzytelniania wieloskładnikowego i segmentacji sieci, przez szkolenia pracowników, po procedury reagowania na incydenty i plany ciągłości działania. Dla wielu organizacji sensowną drogą okazuje się powierzenie części zadań zewnętrznym wyspecjalizowanym zespołom bezpieczeństwa.

Jaką rolę odgrywa czynnik ludzki?

Statystyki branżowe pokazują, że większość poważnych incydentów zaczyna się od błędu człowieka – kliknięcia w link phishingowy, użycia tego samego hasła w wielu systemach czy otwarcia załącznika złośliwego oprogramowania. NIS2 wymaga regularnych szkoleń, testów oraz budowania kultury cyberhigieny, w której pracownicy są świadomi typowych wektorów ataku i wiedzą, jak reagować na podejrzane sytuacje.

W praktyce dobrze sprawdzają się cykliczne kampanie edukacyjne, symulowane ataki socjotechniczne, krótkie testy wiedzy oraz włączenie tematyki bezpieczeństwa do onboardingu nowych osób. Dzięki temu nawet proste nawyki – blokowanie komputera, zgłaszanie nietypowych e‑maili, ostrożność przy korzystaniu z nośników zewnętrznych – realnie obniżają ryzyko poważnego incydentu.

Nawet najlepiej zaprojektowane systemy techniczne nie wystarczą, jeśli pracownicy nie rozpoznają prób phishingu i nie wiedzą, gdzie zgłosić podejrzane zdarzenie.

Dlaczego NIS2 dotyczy także firm spoza „listy”?

Wiele mikro i małych firm zakłada, że NIS2 ich nie obejmuje, bo nie spełniają progów zatrudnienia czy obrotów. Część z nich faktycznie nie trafi do kategorii podmiotu kluczowego lub ważnego, ale i tak odczuje skutki nowych regulacji. Wynika to z podejścia opartego na łańcuchu dostaw – organizacje objęte dyrektywą muszą oceniać bezpieczeństwo swoich dostawców i często przenoszą wybrane wymagania na mniejsze podmioty w kontraktach.

Jeśli mała firma jest dostawcą komponentów lub usług ICT dla dużego podmiotu kluczowego, może zostać poproszona o wdrożenie określonych standardów bezpieczeństwa, raportowanie incydentów lub udział w testach odporności. Zdarza się również, że organ właściwy ds. cyberbezpieczeństwa uznaje mniejszy podmiot za istotny ze względu na rolę, jaką odgrywa w krytycznym procesie gospodarczym lub społecznym.

W 2026 r. NIS2 funkcjonuje już jako stały element europejskiego ładu regulacyjnego w obszarze bezpieczeństwa cyfrowego, a firmy – niezależnie od skali – coraz częściej traktują zgodność z tym standardem jako zwykły koszt prowadzenia działalności w zdigitalizowanej gospodarce.