NIS2 w średniej firmie: od czego zacząć

Znowelizowana ustawa o KSC obowiązuje od 3 kwietnia 2026 r. Praktyczny plan dla średniej firmy: jak sprawdzić, czy podlegasz przepisom, i co zrobić w pierwszych 90 dniach.

Gdzie jesteśmy w kalendarzu

Dyrektywa NIS2 trafiła do polskiego prawa przez nowelizację ustawy o krajowym systemie cyberbezpieczeństwa (KSC), która obowiązuje od 3 kwietnia 2026 r. Dla średniej firmy liczą się przede wszystkim cztery daty:

Jeśli Twoja firma podlega ustawie, a nie złożyła wniosku do 3 października 2026 r. — zrób to teraz. Obowiązek wpisu nie został zawieszony. Organ może wpisać firmę do wykazu z urzędu i wszcząć kontrolę, a moratorium dotyczy tylko części kar.

Krok 1. Sprawdź, czy i jak podlegasz przepisom

Status podmiotu kluczowego lub ważnego wynika wprost z ustawy. Urząd nie wysyła zawiadomień — to firma musi sama ocenić, czy spełnia kryteria.

Sprawdź trzy rzeczy:

• Sektor. Ustawa obejmuje 18 sektorów wymienionych w załącznikach nr 1 i 2 — od energetyki, zdrowia, transportu i wody, przez ICT, po produkcję, żywność, chemię, gospodarkę odpadami i usługi pocztowe.
• Wielkość. Co do zasady próg to status średniego przedsiębiorstwa liczony według kryteriów unijnych, razem z przedsiębiorstwami powiązanymi i partnerskimi. Mała spółka w większej grupie może więc podlegać ustawie.
• Faktyczna działalność, nie tylko kod PKD. Oceniaj to, czym firma naprawdę się zajmuje. Sam kod PKD bywa mylący w obie strony.

Nawet jeśli Twoja firma nie podlega ustawie, ale dostarcza usługi lub produkty podmiotom kluczowym i ważnym, spodziewaj się pytań o bezpieczeństwo w umowach i ankietach dostawców. NIS2 wymaga od nich zarządzania ryzykiem w łańcuchu dostaw.

Krok 2. Wpis do wykazu i osoby do kontaktu

Wniosek składa się na platformie wykaz-ksc.gov.pl (część Systemu S46). Wpis otwiera dostęp do S46 Cyber Hub, przez który firma realizuje obowiązki ustawowe — w tym zgłasza incydenty.

Wyznacz co najmniej dwie osoby do kontaktów w ramach KSC i upewnij się, że mają dostęp do systemu. To drobiazg, który przy pierwszym incydencie zdecyduje o tym, czy zdążysz ze zgłoszeniem.

Krok 3. Zarząd bierze odpowiedzialność — dosłownie

To największa zmiana mentalna, jaką wnosi NIS2. Za cyberbezpieczeństwo odpowiada kierownik podmiotu, a nie dział IT:

• powierzenie zadań firmie zewnętrznej albo wewnętrznemu specjaliście nie przenosi odpowiedzialności,
• jeśli zarząd nie wskaże osoby odpowiedzialnej za cyberbezpieczeństwo, odpowiadają wszyscy jego członkowie,
• kierownictwo musi co roku przechodzić udokumentowane szkolenie z cyberbezpieczeństwa,
• po zakończeniu moratorium przepisy przewidują kary dla osób kierujących (do 300% wynagrodzenia), a polisy D&O zwykle nie obejmują kar administracyjnych.

W praktyce oznacza to jedno: NIS2 nie jest projektem IT. To projekt zarządczy, w którym IT jest wykonawcą.

Krok 4. Inwentaryzacja i analiza ryzyka

Nie da się chronić czegoś, czego się nie zna. Zanim kupisz jakiekolwiek narzędzie, przygotuj:

1. Listę usług kluczowych dla firmy — co musi działać, żeby firma zarabiała.
2. Mapę systemów i danych, od których te usługi zależą: ERP, poczta, produkcja, chmura, sieć.
3. Listę dostawców z dostępem do systemów lub danych.
4. Analizę ryzyka: co może pójść nie tak, jak bardzo zaboli i co już dziś to ogranicza.

To fundament całego SZBI. Dobrze zrobiona analiza ryzyka mówi, na co wydać budżet w pierwszej kolejności — i pozwala obronić tę decyzję przed zarządem i audytorem.

Krok 5. Procedura zgłaszania incydentów — od razu

Obowiązki związane z incydentami działają już po wpisie do wykazu, więc nie odkładaj ich do 2027 r. Zgłoszenia składa się przez System S46 do właściwego CSIRT:

• wczesne ostrzeżenie — najpóźniej w ciągu 24 godzin od wykrycia incydentu poważnego,
• zgłoszenie incydentu — nie później niż 72 godziny od wykrycia,
• sprawozdanie końcowe — najpóźniej w ciągu miesiąca od zgłoszenia.

Spisz prostą procedurę na jedną stronę: kto wykrywa, kto decyduje, czy incydent jest poważny, kto zgłasza i kto komunikuje się z zarządem. Przećwicz ją raz na sucho — 24 godziny mijają szybciej, niż się wydaje.

Krok 6. Plan wdrożenia SZBI do 3 kwietnia 2027 r.

Na wdrożenie wymagań zostało kilka miesięcy. Nie wymyślaj systemu od zera — dobrą ramą jest ISO/IEC 27001, z którym wymagania NIS2 w dużej mierze się pokrywają.

Zacznij od środków, które dają najwięcej ochrony przy rozsądnym koszcie:

• uwierzytelnianie wieloskładnikowe (MFA) dla poczty, VPN i dostępów administracyjnych,
• kopie zapasowe odporne na ransomware i regularnie testowane odtwarzanie,
• aktualizacje systemów i zarządzanie podatnościami,
• zasada minimalnych uprawnień i przegląd kont,
• zbieranie i przeglądanie logów,
• plan ciągłości działania dla usług kluczowych.

Najczęstsze błędy

• Traktowanie NIS2 jako zadania dla działu IT. Bez decyzji i budżetu zarządu projekt utknie.
• Zakup narzędzia przed analizą ryzyka. Narzędzie nie zastąpi wiedzy, co i dlaczego chronisz.
• Polityki skopiowane z internetu. Dokumenty, których nikt nie stosuje, nie przejdą audytu i nie pomogą przy incydencie.
• Pominięcie dostawców. Wiele incydentów zaczyna się właśnie u nich.

Pierwsze 90 dni — lista kontrolna

• [ ] Ocena, czy firma podlega ustawie (sektor, wielkość z uwzględnieniem grupy)
• [ ] Wniosek o wpis do wykazu (jeśli jeszcze nie został złożony)
• [ ] Uchwała zarządu: osoba odpowiedzialna, budżet, harmonogram
• [ ] Szkolenie zarządu
• [ ] Inwentaryzacja usług, systemów i dostawców
• [ ] Analiza ryzyka i lista priorytetów
• [ ] Procedura zgłaszania incydentów i dwie osoby kontaktowe w S46
• [ ] Plan wdrożenia SZBI do 3 kwietnia 2027 r.

Źródła

• Nowelizacja ustawy o KSC — samorejestracja w wykazie podmiotów kluczowych i ważnych (gov.pl)
• Nowelizacja ustawy o KSC zaczyna obowiązywać — harmonogram wdrożenia NIS2 (ITwiz)
• Wpis do wykazu KSC do 3 października (Infor.pl)
• Obsługa i zgłaszanie incydentów (NIS2) (Lege Artis)

Artykuł ma charakter informacyjny i nie stanowi porady prawnej. Przed podjęciem decyzji sprawdź aktualny tekst ustawy o KSC i komunikaty w Systemie S46.