Dyrektywa NIS2 w Polsce – kogo dotyczy i jakie obowiązki nakłada na organizacje?

NIS2 w Polsce – nowe obowiązki w obszarze cyberbezpieczeństwa

Dyrektywa NIS2 to unijna regulacja, której celem jest podniesienie poziomu cyberbezpieczeństwa oraz odporności organizacji działających w sektorach istotnych dla funkcjonowania gospodarki i społeczeństwa. Wchodząc w życie zastąpiła wcześniejszą dyrektywę NIS, jednocześnie znacząco rozszerzając katalog podmiotów objętych regulacją oraz zakres stawianych im wymagań.

W Polsce wymagania NIS2 zostały wdrożone poprzez nowelizację ustawy o krajowym systemie cyberbezpieczeństwa (KSC). Nowe przepisy weszły w życie 3 kwietnia 2026 r., rozpoczynając okres, w którym organizacje powinny nie tylko zweryfikować, czy podlegają regulacji, ale również przygotować się do realizacji nowych obowiązków.

Wdrażane w ramach nowej wersji dyrektywy zmiany nie sprowadzają się przy tym wyłącznie do wprowadzenia dodatkowych zabezpieczeń informatycznych. NIS2 wymaga od organizacji bardziej uporządkowanego podejścia do cyberbezpieczeństwa, obejmującego m.in.:

• zarządzanie ryzykiem, 
• dbałość o bezpieczeństwo systemów i informacji, 
• obsługę incydentów, 
• przygotowanie procedur umożliwiających ciągłość działania, 
• dbałość o bezpieczeństwo dostawców i łańcucha dostaw. 

W praktyce wejście w życie unijnej dyrektywy oznacza dla podmiotów konieczność spojrzenia zarówno na stosowane rozwiązania technologiczne, jak i na funkcjonujące w organizacji procesy, procedury oraz mechanizmy kontrolne. 

Polski ustawodawca wdrażając NIS2 przewidział oczywiście odpowiedni czas na dostosowanie się do nowych wymagań. Podmioty spełniające kryteria w dniu wejścia w życie nowych przepisów mają czas na dokonanie wpisu do wykazu podmiotów kluczowych i ważnych do 3 października 2026 r., natomiast zasadnicze obowiązki dotyczące m.in. zarządzania ryzykiem, incydentami oraz bezpieczeństwem łańcucha dostaw powinny zostać wdrożone do 3 kwietnia 2027 r. 

Kogo dotyczą nowe regulacje NIS2 i kim są podmioty kluczowe oraz ważne?

Pierwszym krokiem, który powinny podjąć działające w Polsce jednostki mogące być uznane za podmioty kluczowe lub ważne, jest ustalenie, czy organizacja w ogóle znajduje się w zakresie nowych przepisów. Podstawą takiej analizy jest art. 5 ustawy o krajowym systemie cyberbezpieczeństwa, a także załączniki nr 1 i 2 do ustawy, które wskazują sektory, podsektory oraz rodzaje podmiotów objętych regulacją.

Co do zasady ustalając możliwość podlegania pod dyrektywę NIS2 należy spojrzeć na dwa elementy: rodzaj prowadzonej działalności oraz wielkość przedsiębiorstwa. W tym celu należy zajrzeć do wspomnianej już wcześniej ustawy o krajowym systemie cyberbezpieczeństwa. Jej załącznik nr 1 obejmuje sektory o kluczowym znaczeniu, natomiast załącznik nr 2 pozostałe sektory objęte regulacją. Przy kwalifikacji organizacji nie należy opierać się wyłącznie na kodzie PKD podmiotu. Istotny jest przede wszystkim rzeczywisty charakter prowadzonej działalności.

W przypadku kryterium wielkości art. 5 KSC odwołuje się do art. 2 ust. 1 załącznika I do Rozporządzenia Komisji (UE) nr 651/2014. W uproszczeniu progi przedstawiają się następująco: 

• mikroprzedsiębiorstwo: mniej niż 10 pracowników oraz obrót lub suma bilansowa do 2 mln EUR,
• małe przedsiębiorstwo: mniej niż 50 pracowników oraz obrót lub suma bilansowa do 10 mln EUR,
• średnie przedsiębiorstwo: mniej niż 250 pracowników oraz obrót do 50 mln EUR lub suma bilansowa do 43 mln EUR,
• duże przedsiębiorstwo: przedsiębiorstwo przekraczające progi przewidziane dla przedsiębiorstwa średniego.

W typowym przypadku duży podmiot prowadzący działalność wskazaną w załączniku nr 1 będzie podmiotem kluczowym, natomiast średni podmiot z tego załącznika będzie co do zasady podmiotem ważnym. Podmioty wskazane w załączniku nr 2, które spełniają odpowiednie kryteria wielkościowe, kwalifikowane są jako podmioty ważne. Szczegółowe zasady oraz wyjątki określa art. 5 KSC. 

Ważne jest jednak, że kryterium wielkości nie ma zastosowania do wszystkich podmiotów. Art. 5 KSC wskazuje kategorie podmiotów objęte regulacją NIS2 niezależnie od ich wielkości, m.in.: 

• dostawców usług DNS, 
• kwalifikowanych dostawców usług zaufania, 
• podmioty krytyczne, 
• rejestry nazw domen najwyższego poziomu. 

Szczególne kryteria przewidziano również m.in. dla przedsiębiorców komunikacji elektronicznej oraz dostawców usług zarządzanych w zakresie cyberbezpieczeństwa.

Na szczególną uwagę zasługują również grupy kapitałowe. Przy określaniu wielkości przedsiębiorstwa nie zawsze można bowiem analizować wyłącznie dane pojedynczej spółki. Należy uwzględnić też charakter działalności przedsiębiorstw partnerskich i powiązanych, co może oznaczać konieczność uwzględnienia na potrzeby kontroli podlegania pod NIS2 danych innych podmiotów z grupy. W efekcie spółka, która analizowana samodzielnie wydaje się małym przedsiębiorstwem, po uwzględnieniu odpowiednich powiązań może zostać zakwalifikowana inaczej.

Co NIS2 oznacza dla organizacji w praktyce?

NIS2 wymaga od działających w Polsce jednostek bardziej uporządkowanego i systemowego podejścia do cyberbezpieczeństwa. Dla podmiotów objętych regulacją oznacza to przede wszystkim konieczność wdrożenia i utrzymywania Systemu Zarządzania Bezpieczeństwem Informacji (SZBI) oraz odpowiednich środków organizacyjnych i technicznych, dostosowanych do zidentyfikowanego ryzyka. 

W praktyce organizacja powinna zwrócić uwagę m.in. na: 

• zarządzanie ryzykiem i dostępami użytkowników, 
• bezpieczeństwo systemów, 
• reagowanie na incydenty i ich raportowanie, 
• procedury umożliwiające zachowanie ciągłości działania, 
• kopie zapasowe, 
• zarządzanie podatnościami, 
• bezpieczeństwo dostawców i łańcucha dostaw. 

Istotne do wywiązania się z obowiązków w zakresie NIS2 i zachowania odpowiedniego poziomu cyberbezpieczeństwa jest przy tym nie tylko posiadanie odpowiednich procedur, ale również zapewnienie, że wynikające z nich mechanizmy kontrolne rzeczywiście funkcjonują.

Dla wielu organizacji nie będzie to oznaczało budowania całego systemu od podstaw. Dobrym punktem wyjścia jest przeprowadzona przez posiadającego odpowiednie kwalifikacje audytora ocena obecnego środowiska, identyfikacja luk względem nowych wymagań, a następnie przygotowanie i realizacja planu działań dostosowawczych. Takie podejście pozwala wykorzystać już funkcjonujące rozwiązania i skoncentrować działania tam, gdzie rzeczywiście wymagane są zmiany.

Dobrze zaprojektowane środowisko kontroli IT nie powinno być jednak budowane wyłącznie na potrzeby zgodności z NIS2. Te same mechanizmy, które wdrażane są w ramach wymogów unijnej dyrektywy, odpowiednio zaprojektowane mogą znacząco ograniczać ryzyko operacyjne, wspierać ciągłość działania i zwiększać bezpieczeństwo danych przetwarzanych przez organizację.

Cyberincydent w ramach NIS2 – dlaczego czas i sposób reakcji mają znaczenie?

To, o czym zdecydowanie warto pamiętać, to fakt, że NIS2 wprowadza uporządkowane podejście do reagowania na cyfrowe incydenty. Zgodnie z wytycznymi dyrektywy organizacja powinna posiadać proces pozwalający: 

1. wykryć incydent, 
2. ocenić jego znaczenie, 
3. eskalować go oraz zgłosić do właściwego zespołu Computer Security Incident Response Team (CSIRT). 

Istotną rolę pełni tutaj system S46, wykorzystywany m.in. do współpracy podmiotów objętych Krajowym Systemem Cyberbezpieczeństwa z właściwymi zespołami CSIRT i realizacji obowiązków związanych ze zgłaszaniem incydentów. 

W przypadku incydentu poważnego liczy się przede wszystkim czas reakcji. 

Proces raportowania odbywa się etapowo: organizacja przekazuje wczesne ostrzeżenie w ciągu 24 godzin, następnie zgłoszenie incydentu w ciągu 72 godzin, a co do zasady sprawozdanie końcowe w ciągu miesiąca.

Terminy są napięte, dlatego organizacja powinna zawczasu określić kto identyfikuje i klasyfikuje incydent, kto podejmuje decyzję o eskalacji, kto odpowiada za zgłoszenie w S46 oraz jakie informacje należy zebrać. Dobrze przygotowana i przetestowana procedura reagowania na incydenty pozwala nie tylko spełnić wymagania regulacyjne, ale przede wszystkim ograniczyć skutki zdarzenia dla działalności organizacji.

Bezpieczeństwo nie kończy się wewnątrz organizacji – rola dostawców i łańcuchów dostaw

Co istotne, NIS2 rozszerza spojrzenie na cyberbezpieczeństwo również na dostawców i łańcuch dostaw. Organizacja powinna identyfikować kluczowych kontrahentów, oceniać związane z nimi ryzyko oraz monitorować poziom bezpieczeństwa w trakcie współpracy. Dotyczy to szczególnie dostawców systemów IT, usług chmurowych czy podmiotów mających dostęp do danych i infrastruktury organizacji. 

Istotne jest również odpowiednie reagowanie na incydenty występujące po stronie kluczowych dostawców. Organizacja powinna ocenić, czy zdarzenie występujące u kontrahenta może mieć wpływ na jej własne systemy lub ciągłość działania, podjąć adekwatne działania oraz pozostawić udokumentowany ślad przeprowadzonej analizy i podjętych decyzji. Takie podejście pozwala wykazać, że ryzyko ze strony dostawców jest aktywnie zarządzane, a nie jedynie oceniane na etapie zawierania umowy.

NIS2 nie tylko zwiększa odpowiedzialność działu IT, ale i zarządu

NIS2 wyraźnie przenosi odpowiedzialność za cyberbezpieczeństwo z poziomu operacyjnego na poziom zarządzania organizacją. Kierownictwo podmiotów kluczowych i ważnych oficjalnie odpowiada teraz bowiem za realizację zadań z zakresu cyberbezpieczeństwa, a przepisy przewidują również obowiązek odbywania odpowiednich szkoleń oraz możliwość nałożenia kar na kierownika podmiotu w przypadku niewykonywania określonych obowiązków. 

W praktyce oznacza to, że zarząd powinien rozumieć kluczowe ryzyka, nadzorować sposób ich ograniczania oraz otrzymywać regularną informację o stanie cyberbezpieczeństwa organizacji. Nie wystarczy zatem samo przekazanie odpowiedzialności działowi IT. Konieczne jest określenie ról, zapewnienie odpowiednich zasobów oraz stworzenie mechanizmów pozwalających kierownictwu monitorować realizację wymagań NIS2.

Czy Twoja organizacja jest gotowa na NIS2?

Jak już wcześniej zostało to wspomniane, pierwszym krokiem pozwalającym zadbać o zgodność z unijnymi wymogami jest ustalenie, czy organizacja podlega nowym przepisom. Aby to ułatwić Ministerstwo Cyfryzacji udostępnia materiały wspierające samoidentyfikację, które pomagają przeanalizować m.in. sektor działalności, wielkość przedsiębiorstwa oraz jego powiązania. Sama kwalifikacja jednostki jest jednak dopiero początkiem procesu. 

Choć NIS2 i znowelizowana ustawa KSC określają, co organizacja powinna osiągnąć, to nie podają jednego, gotowego modelu działań, którego zastosowanie przyniesie efekty odpowiednie dla każdego przedsiębiorstwa. Pomocne mogą być jednak w tym przypadku powszechnie stosowane standardy i normy (takie jak ISO/IEC 27001) dotyczące systemu zarządzania bezpieczeństwem informacji, czy standardy odnoszące się do ciągłości działania, zarządzania incydentami i bezpieczeństwa dostawców. 

Ministerstwo Cyfryzacji opublikowało zestawienie takich pomagających we wdrożeniu wytycznych NIS2 dokumentów, podkreślając jednocześnie, że mają one charakter pomocniczy i ich zastosowanie nie zastępuje realizacji wymagań KSC. 

W praktyce skuteczne wdrożenie standardów cyberbezpieczeństwa powinno łączyć wymagania regulacyjne, dobre praktyki oraz wiedzę o specyfice danej branży i organizacji. Inaczej będą wyglądały kluczowe ryzyka i zabezpieczenia w przedsiębiorstwie produkcyjnym, inaczej u dostawcy usług ICT, a jeszcze inaczej w podmiocie ochrony zdrowia.

Dlatego dobrym punktem wyjścia jest analiza luk, która pozwala określić, które wymagania są już realizowane, a które wymagają zmian. Na tej podstawie można przygotować realny plan dostosowania obejmujący procesy, dokumentację i kontrole IT, zamiast budować system bezpieczeństwa od podstaw tam, gdzie odpowiednie mechanizmy już funkcjonują. W przypadku chęci skorzystania z pomocy w tym zakresie zachęcamy do kontaktu. Zespół audytorów wewnętrznych RSM Poland ma duże doświadczenie we wdrażaniu odpowiednich procedur i chętnie odpowie na wszelkie pytania oraz wskaże rozwiązania, które warto wprowadzić, aby nie tylko spełnić unijne wymogi, ale i realnie zwiększyć bezpieczeństwo organizacji.