NIS2 dotyczy Twojej firmy tylko wtedy, gdy zajdą dwa warunki naraz: działasz w sektorze z załącznika I lub II UKSC oraz zatrudniasz co najmniej 50 osób lub masz co najmniej 10 mln euro obrotu. Większość gabinetów, biur i klinik jest poza zakresem - ale samoocenę musisz zrobić sam przed 3 października 2026 roku.

Dwa warunki, które muszą zajść naraz

Twoja firma podlega NIS2 - a w praktyce polskiej ustawie UKSC, która ją wdraża - tylko wtedy, gdy przejdzie dwa niezależne testy jednocześnie. Wypadnięcie z któregokolwiek z nich stawia firmę poza zakresem.

Warunek 1: sektor. Firma musi działać w jednym z sektorów wskazanych w załączniku I lub II UKSC. Załącznik I (podmioty kluczowe) to m.in. energetyka, transport, bankowość, ochrona zdrowia podmiotów leczniczych powyżej progu, infrastruktura cyfrowa i administracja publiczna. Załącznik II (podmioty ważne) to m.in. usługi pocztowe, gospodarka odpadami, chemia, produkcja żywności i dostawcy usług cyfrowych. Większość małych praktyk - gabinety stomatologiczne, biura rachunkowe, kliniki estetyczne - nie znajduje się na żadnej z tych list.

Warunek 2: próg wielkości. Definicja średniej firmy według dyrektywy 2022/2555 (art. 3 ust. 1) to co najmniej 50 pracowników albo co najmniej 10 mln euro rocznego obrotu lub sumy bilansowej. Tu tkwi haczyk: wystarczy jeden z tych dwóch progów, nie oba. Firma zatrudniająca 30 osób, ale z obrotem 12 mln euro, próg spełnia.

Oba pytania muszą dać odpowiedź “tak”. Pełne drzewko decyzyjne z wyjątkami znajdziesz w przewodniku NIS2 i UKSC dla małej firmy - tutaj skupiamy się na tym, gdzie ta samoocena najczęściej się wykłada.

Trzy pułapki samooceny

Zakres wygląda na prosty, dopóki nie trafisz na przypadek graniczny. Trzy sytuacje sprawiają, że firmy błędnie zakładają, po której są stronie.

Pułapka 1: klient wciąga Cię przez umowę

Biuro rachunkowe z ośmioma osobami obsługuje jako jednego z klientów szpital publiczny. Samo biuro jest poza zakresem - księgowość nie jest sektorem z załącznika I ani II, a osiem osób to nie próg. Ale szpital jest podmiotem kluczowym i sam podlega NIS2. Może więc wymagać od Ciebie klauzul cyberbezpieczeństwa w umowie na podstawie przepisów o łańcuchu dostaw (art. 21(2)(d)): prawa do audytu, MFA po Twojej stronie, zgłaszania incydentów. To obowiązek nałożony umową przez klienta, nie Twój własny obowiązek NIS2 - ale skutek dla firmy jest realny. Przeczytaj umowę z klientem, zanim uznasz, że temat Cię nie dotyczy. Więcej o tej sytuacji w przewodniku dla biur rachunkowych.

Pułapka 2: liczysz tylko pracowników

Firma zatrudnia 30 osób i właściciel zamyka temat na “poniżej 50, jesteśmy poza”. Pomija drugą połowę progu. Wystarczy 10 mln euro rocznego obrotu albo sumy bilansowej, żeby próg spełnić niezależnie od liczby etatów. Firma z 30 pracownikami i obrotem 12 mln euro, działająca w sektorze z załącznika, jest w zakresie. Sprawdź oba parametry, nie jeden.

Pułapka 3: zakładasz, że “medyczne” znaczy “w zakresie”

Klinika medycyny estetycznej zakłada, że skoro działa w obszarze zdrowia, to automatycznie wpada do sektora ochrony zdrowia. Zwykle jest odwrotnie: procedury estetyczne nie kwalifikują się jako “świadczenia zdrowotne” w rozumieniu ustawy o działalności leczniczej, więc klinika najczęściej stoi poza sektorową definicją, której używa NIS2. Gabinet stomatologiczny jest podmiotem leczniczym, ale solo-praktyka nie osiąga progu 50 osób ani 10 mln euro - też poza zakresem, tyle że z innego powodu. Dwie “medyczne” firmy, dwa różne mechanizmy wypadnięcia. Co chronić niezależnie od NIS2, opisujemy w przewodnikach dla klinik medycyny estetycznej i dla gabinetów stomatologicznych.

Jesteś poza zakresem - i co teraz

Bycie poza NIS2 nie znaczy “nic nie rób”. Lista 10 środków z art. 21 - uwierzytelnianie wieloskładnikowe, testowane kopie zapasowe, procedury reakcji na incydent, szkolenia zespołu - to rozsądny fundament dla każdej firmy przechowującej dane klientów lub pacjentów. RODO obowiązuje niezależnie od statusu NIS2: jeśli przetwarzasz dane osobowe, masz obowiązki z art. 32 tak czy inaczej. Zasady rozpisujemy w przewodniku RODO i bezpieczeństwo danych, a warstwę techniczną weryfikuje zewnętrzna ocena podatności.

Jesteś w zakresie - najbliższy termin

Firmy, które przechodzą oba testy, muszą zarejestrować się w rejestrze podmiotów kluczowych i ważnych prowadzonym przez Ministerstwo Cyfryzacji do 3 października 2026 roku. Za niezgłoszenie się, gdy obowiązek istniał, grozi kara administracyjna do 10 mln euro. Pełna zgodność z 10 środkami art. 21 obowiązuje od 3 kwietnia 2027 roku. Procedurę rejestracji krok po kroku i listę środków rozpisujemy w przewodniku po NIS2 i UKSC; to, co się właśnie zmieniło w ustawie, podsumowuje wpis UKSC 2026 - co się zmieniło.

FAQ: najczęstsze pytania o zakres NIS2

Czy jednoosobowa działalność podlega NIS2?

Prawie nigdy. Ten sam dwustopniowy test musi dać dwa razy “tak”: sektor z załącznika I lub II oraz próg 50 osób albo 10 mln euro obrotu. Jednoosobowa działalność praktycznie nie osiąga progu wielkości, więc pytanie o sektor zwykle traci znaczenie - solo-praktyka jest poza zakresem już na progu.

Co jeśli moim klientem jest szpital?

Twoja firma nie wpada do zakresu NIS2 tylko dlatego, że klient w nim jest. Co może się zdarzyć, ma charakter umowny: szpital jako podmiot kluczowy może wymagać od dostawców klauzul bezpieczeństwa na podstawie przepisów o łańcuchu dostaw. Sprawdź umowę z klientem, a nie własną klasyfikację sektorową.

Czy NIS2 dotyczy firmy spoza branży IT?

Tak. Sektory z załącznika I i II to nie tylko infrastruktura cyfrowa - obejmują też energetykę, transport, ochronę zdrowia, gospodarkę odpadami czy produkcję. Jeśli firma działa w którymś z nich i przekracza próg wielkości, podlega NIS2 niezależnie od tego, czy uważa się za firmę technologiczną.

Co jeśli źle oceniłem zakres i się nie zgłosiłem?

Obowiązek samodzielnej oceny, czy podlegasz, spoczywa na firmie. Niezgłoszenie się, gdy obowiązek istniał, jest sankcjonowane - do 10 mln euro dla podmiotów kluczowych. Jeśli sektor lub wielkość firmy są niejednoznaczne, a nie wyraźnie poza zakresem, skonsultuj się z radcą prawnym przed terminem 3 października 2026 roku, a nie po nim.

Czym różni się podmiot kluczowy od ważnego?

Podmioty kluczowe pochodzą z załącznika I (m.in. energetyka, zdrowie, infrastruktura cyfrowa), ważne z załącznika II (m.in. usługi pocztowe, chemia, żywność, produkcja). Różnią się pułapem kar - do 10 mln euro lub 2% obrotu dla kluczowych, do 7 mln euro lub 1,4% dla ważnych - oraz tym, że tylko kluczowe mają obowiązek pierwszego audytu do 3 kwietnia 2028 roku.

Nie masz pewności, gdzie stoi Twoja firma po stronie technicznej - niezależnie od zakresu NIS2? Zamów bezpłatny PreScan: w 24 godziny pokażemy zewnętrzną powierzchnię ataku domeny Twojej firmy i luki, które warto zamknąć w pierwszej kolejności.

Materiał informacyjny, nie jest to porada prawna. Stan prawny na sierpień 2026 roku. O tym, czy firma podlega UKSC, decyduje indywidualna analiza sektora i wielkości - w razie wątpliwości skonsultuj się z radcą prawnym lub Inspektorem Ochrony Danych przed terminem 3 października 2026 roku.