NIS2 i UKSC dla małej firmy - obowiązki, terminy, jak się przygotować

Ustawa o krajowym systemie cyberbezpieczeństwa (UKSC), wdrażająca NIS2, obowiązuje od 3 kwietnia 2026 r. Firmy z sektorów z załączników I/II UKSC miały czas do 3 października 2026 r. na wpis do Wykazu KSC - spóźnione składają wniosek niezwłocznie. Do 3 kwietnia 2027 r. wdrażają środki z art. 8 UKSC (art. 21 NIS2), a podmioty kluczowe do 3 kwietnia 2028 r. przechodzą pierwszy audyt. Biura rachunkowe, gabinety i kliniki podlegają tylko po spełnieniu kryteriów sektora i wielkości - sprawdźcie decision tree poniżej.

1. Co to jest NIS2, a co UKSC

NIS2 to dyrektywa Parlamentu Europejskiego i Rady (UE) 2022/2555 z dnia 14 grudnia 2022 r. dotycząca środków na rzecz wysokiego wspólnego poziomu cyberbezpieczeństwa w Unii. Zastępuje pierwszą dyrektywę NIS (2016/1148) i rozszerza zakres podmiotów objętych obowiązkami z rzędu 10 000 pod starą dyrektywą do około 160 000 w skali UE - to szacunki Komisji i analityków, nie liczby z rejestru.

UKSC, czyli ustawa o krajowym systemie cyberbezpieczeństwa z 5 lipca 2018 r., to polski akt wdrażający dyrektywę. Transponuje ją ustawa z 23 stycznia 2026 r. o zmianie ustawy o krajowym systemie cyberbezpieczeństwa oraz niektórych innych ustaw, ogłoszona 2 marca 2026 r. (Dz.U. 2026 poz. 252). Zgodnie z jej art. 49 weszła w życie po upływie miesiąca od ogłoszenia, czyli 3 kwietnia 2026 r. - i od tej daty liczą się wszystkie późniejsze terminy. UE wyznaczyła państwom członkowskim termin transpozycji na 17 października 2024 r. Polska wdrożyła z opóźnieniem ponad 17 miesięcy, podobnie jak większość państw członkowskich.

Praktyczna zasada: gdy mówicie o “obowiązkach NIS2 w Polsce”, rzeczywiście stosujecie UKSC. Dyrektywa NIS2 jest źródłem zasad; UKSC mówi, jak te zasady są egzekwowane w polskim porządku prawnym. Nadzór sprawuje Ministerstwo Cyfryzacji (mc.gov.pl) wraz z sektorowymi organami nadzorczymi. CERT Polska (cert.pl, prowadzony przez NASK) jest CSIRT-em krajowym dla zgłoszeń incydentów.

2. Czy dotyczy mojej firmy

Test składa się z trzech pytań. Wynik decision tree:

Pytanie 1: Czy jesteś w sektorze załącznika I lub II UKSC?

Załącznik nr 1 (podmioty kluczowe), 12 pozycji: energia, transport, bankowość wraz z infrastrukturą rynków finansowych, ochrona zdrowia (podmioty lecznicze powyżej progu), produkcja i dystrybucja substancji czynnych, leków oraz wyrobów medycznych, zaopatrzenie w wodę pitną, zbiorowe odprowadzanie ścieków, infrastruktura cyfrowa (DNS, rejestry TLD, chmura, IXP, centra danych, usługi zaufania), komunikacja elektroniczna, zarządzanie usługami ICT, przestrzeń kosmiczna, podmioty publiczne.

Załącznik nr 2 (podmioty ważne), 9 pozycji: usługi pocztowe, inwestycje energetyki jądrowej, gospodarowanie odpadami, produkcja i dystrybucja chemikaliów, produkcja i dystrybucja żywności, produkcja (wyroby medyczne, elektronika, urządzenia elektryczne, maszyny, pojazdy, pozostały sprzęt transportowy), dostawcy usług cyfrowych (marketplace, wyszukiwarki, platformy społecznościowe), badania naukowe, samorządowe podmioty publiczne.

Liczby biorą się z tabel polskiej ustawy, nie z dyrektywy. Dyrektywa NIS2 grupuje te obszary jako jedenaście sektorów wysokiej krytyczności i siedem pozostałych; polskie załączniki dzielą je inaczej i dopisują dwie pozycje własne - inwestycje energetyki jądrowej oraz samorządową warstwę podmiotów publicznych. Rozbiór obu list: sektory załącznika I i sektory załącznika II.

Pełne kody sektorów po stronie UKSC odsyłają do załączników dyrektywy NIS2 - zobacz art. 3 ust. 1 dyrektywy 2022/2555 i odpowiadające przepisy ustawy.

Pytanie 2: Czy spełniacie próg wielkości?

Próg “średniej firmy” według definicji NIS2 art. 3 ust. 1 (odsyłającej do załącznika do zalecenia Komisji 2003/361/WE): co najmniej 50 pracowników LUB roczny obrót albo bilans co najmniej 10 mln euro. Wystarczy jeden warunek. Firmy nieosiągające ani jednego z dwóch progów są poza zakresem - z wyjątkami.

Pytanie 3: Czy stosuje się któryś wyjątek od progu?

NIS2 art. 2 ust. 2 wskazuje typy podmiotów, które podlegają dyrektywie niezależnie od wielkości. Najczęściej dotyczy to: dostawców usług DNS, registry domen krajowych (np. NASK dla .pl), dostawców usług zarządzanych ICT, niektórych podmiotów krytycznych dla sektora, niektórych podmiotów dla bezpieczeństwa narodowego.

Większość polskich MŚP-gabinetów, biur, klinik te wyjątki nie dotyczą.

Per branża

Gabinet stomatologiczny - zwykle poza głównym zakresem. Sektor ochrony zdrowia obejmuje “podmioty lecznicze” zatrudniające powyżej progu. Gabinet jednoosobowy / 3-osobowy jest poza zakresem. Łańcuch dostaw: jeśli gabinet jest podwykonawcą szpitala publicznego (kluczowego), szpital może wymagać klauzul cyber w umowie - to obowiązek szpitala, nie wasz własny obowiązek NIS2.
Biuro rachunkowe - strefa szarości. Sam fakt prowadzenia księgowości nie obejmuje załącznika I ani II. Ale jeśli biuro świadczy usługi dla “podmiotu kluczowego” jako jego krytyczny dostawca ICT (np. zarządza systemami księgowymi szpitala), klient może egzekwować wymagania NIS2 przez umowę. Sprawdźcie portfolio.
Klinika medycyny estetycznej - prawie zawsze poza zakresem. Procedury estetyczne nie kwalifikują się jako “świadczenia zdrowotne” w rozumieniu ustawy o działalności leczniczej z 2011 r. (zob. art. 3 ust. 2 ustawy). Klinika z certyfikowanym personelem medycznym i procedurami “z pogranicza” (laser medyczny, podologia) może wpadać do sektora ochrony zdrowia - wówczas decyduje próg wielkości.

Jeśli odpowiedzi są niejednoznaczne, skonsultujcie się z radcą prawnym niezwłocznie - termin rejestracji minął 3.10.2026. Samoidentyfikacja jest waszym obowiązkiem; niezgłoszenie się, gdy obowiązek istniał, jest sankcjonowane.

Pogłębione tematy zakresu: Czy NIS2 dotyczy mojej firmy - test w trzech krokach, Sektory załącznika I NIS2 - szczegółowa lista i zakres, Sektory załącznika II NIS2 - podmioty ważne.

3. Obowiązki, gdy jesteś w zakresie

Termin 1: 3 października 2026 r. - rejestracja (minął)

Rejestr nazywa się Wykaz KSC (wykaz podmiotów kluczowych i podmiotów ważnych) i prowadzi go Minister Cyfryzacji. Technicznie działa w ramach systemu S46, ale jest osobną aplikacją webową pod adresem wykaz-ksc.gov.pl. Wniosek składa elektronicznie kierownik podmiotu albo osoba przez niego upoważniona. Zgłoszenie zawiera dane identyfikacyjne (KRS lub REGON, NIP), sektor z załącznika I lub II UKSC, wielkość firmy (liczba pracowników i obrót) oraz osobę kontaktową do spraw cyberbezpieczeństwa. Po wpisie podmiot otrzymuje status formalny (kluczowy lub ważny) i obowiązki z rozdziału 3 UKSC.

Zanim złożycie wniosek, sprawdźcie, czy nie jesteście już w wykazie. Od 13 kwietnia do 6 maja 2026 r. Minister Cyfryzacji wpisywał z urzędu dotychczasowych operatorów usług kluczowych, dostawców usług zaufania, przedsiębiorców telekomunikacyjnych i podmioty publiczne. Samorejestracja, otwarta od 7 maja 2026 r., dotyczy wyłącznie podmiotów, których taki wpis nie objął. Termin 3 października wyznaczył komunikat Ministra Cyfryzacji z 8 kwietnia 2026 r., wydany na podstawie art. 34 ust. 3 ustawy nowelizującej, a nie sama ustawa. Firmę, która wniosku nie złożyła, organ właściwy dla jej sektora może wpisać z urzędu i wezwać do uzupełnienia danych w ciągu 6 miesięcy (art. 7j UKSC).

Sankcja za niezgłoszenie wymaga precyzji, bo w obiegu krąży sporo uproszczeń. Art. 73 UKSC przewiduje karę od 20 tys. zł do równowartości 10 mln euro lub 2% przychodu dla podmiotu kluczowego, oraz od 15 tys. zł do 7 mln euro lub 1,4% przychodu dla podmiotu ważnego. Osobno przewidziana jest kara kwalifikowana do 100 mln zł za naruszenie powodujące bezpośrednie i poważne cyberzagrożenie. Kara za samo niezłożenie wniosku jest fakultatywna - organ może ją nałożyć, “jeżeli przemawia za tym waga i znaczenie naruszonych przepisów” (art. 73 ust. 1a). Przepisy przejściowe odsuwają zwykłe kary pieniężne w czasie: organ może je nałożyć dopiero po upływie dwóch lat od wejścia ustawy w życie, czyli najwcześniej w kwietniu 2028 r. (art. 35 ustawy nowelizującej). Kara do 100 mln zł temu odroczeniu nie podlega. Praktyczny wniosek: po 3 października 2026 r. nie posypały się wielomilionowe kary, ale firma, która nie złożyła wniosku, jest w zwłoce z obowiązkiem, a organ ma podstawę do działania wobec Was. Co zrobić po terminie - Rejestr podmiotów NIS2: procedura wpisu do Wykazu KSC.

Termin 2: 3 kwietnia 2027 r. - środki bezpieczeństwa z art. 8 UKSC

Art. 21 ust. 2 dyrektywy NIS2 (w polskiej ustawie: art. 8 UKSC w rozdziale 3) wymaga 10 środków zarządzania ryzykiem cyberbezpieczeństwa:

Polityki analizy ryzyka i bezpieczeństwa systemów informacyjnych
Obsługa incydentów (Incident Handling)
Ciągłość działania - backup, plan awaryjny, zarządzanie kryzysowe
Bezpieczeństwo łańcucha dostaw, w tym aspekty bezpieczeństwa relacji z dostawcami i usługodawcami
Bezpieczeństwo w nabyciu, rozwoju i utrzymaniu systemów sieci i informacyjnych, w tym zarządzanie i ujawnianie podatności
Polityki i procedury oceny skuteczności środków zarządzania ryzykiem cyberbezpieczeństwa
Podstawowa higiena cyberbezpieczeństwa i szkolenia z cyberbezpieczeństwa
Polityki i procedury dotyczące stosowania kryptografii i, w odpowiednich przypadkach, szyfrowania
Bezpieczeństwo zasobów ludzkich, polityka kontroli dostępu i zarządzanie aktywami
Stosowanie uwierzytelniania wieloskładnikowego (MFA) lub uwierzytelniania ciągłego, bezpieczne usługi komunikacyjne i procedury awaryjne

Operacyjne minimum dla 10-osobowej firmy w zakresie (rzadkie, ale realne): pisemna polityka analizy ryzyka, MFA na kontach krytycznych, szyfrowanie at-rest/in-transit, backup 3-2-1 z testowaniem, klauzule cyber w umowach z dostawcami ICT, polityka szkoleń pracowników + zarządu, procedura zgłaszania incydentów. Większość elementów pokrywa się z art. 32 RODO - patrz Sekcja 4 poniżej.

Pogłębiony rozbiór tych środków od strony technicznej: Środki techniczne RODO i NIS2 - co naprawdę wdrożyć.

Termin 3: 3 kwietnia 2028 r. - pierwszy audyt

Obowiązek okresowego audytu bezpieczeństwa mają wyłącznie podmioty kluczowe - pierwszy do 3 kwietnia 2028 r., a potem co najmniej raz na trzy lata, licząc od zakończenia poprzedniego raportu. Podmiotów ważnych ten obowiązek nie obejmuje. Audyt wykonuje niezależny audytor (kancelaria, firma compliance specjalistyczna). CyberCerber nie świadczy formalnych audytów zgodności - dostarczamy warstwę techniczną dowodu (ocena podatności, raport CVSS, dowód testowania środków), z której audytor korzysta przy ocenie skuteczności art. 21(2)(d).

Warto zauważyć, że ta sama data - 3 kwietnia 2028 r. - kończy dwuletni okres, po którym organ może zacząć nakładać zwykłe kary pieniężne. Pierwszy audyt i realne ryzyko finansowe zaczynają się więc w tym samym momencie.

Raportowanie incydentów

Dotychczasowi operatorzy usług kluczowych zgłaszają incydenty poważne według nowych zasad najpóźniej od 3 października 2026 r. (art. 33 ust. 4 ustawy nowelizującej). Pozostałe podmioty wdrażają obowiązki z rozdziału 3 UKSC, w tym obsługę i zgłaszanie incydentów, do 3 kwietnia 2027 r. (art. 33 ust. 1).

Art. 23 dyrektywy NIS2 wprowadza trójetapową procedurę zgłaszania istotnych incydentów do CSIRT NASK:

24 godziny - wczesne ostrzeżenie (early warning) z prostym opisem incydentu
72 godziny - pełne powiadomienie z oceną dotychczasowych działań
30 dni - raport końcowy z analizą przyczyn i wnioskami

System zgłoszeń prowadzi cert.pl. Procedura wewnętrzna podmiotu musi być spisana w polityce bezpieczeństwa.

Jak ten obowiązek nakłada się na zgłoszenie naruszenia do UODO, rozkładamy w porównaniu RODO i NIS2.

4. Jak RODO i NIS2 się nakładają

Najczęstsze pytanie compliance officera: “Wdrożyłem RODO. Czy spełniam NIS2?” Odpowiedź: częściowo. Środki techniczne pokrywają się w 70-80%, ale obowiązki proceduralne i raportowe są niezależne.

Wymóg	RODO art. 32	NIS2 art. 21
MFA	”Odpowiednie” - UODO interpretuje jako obowiązkowe dla danych szczególnych kategorii	Wprost wymagane (środek nr 10)
Szyfrowanie	Wymienione jako przykład (art. 32 ust. 1)	Wprost wymagane (środek nr 8)
Backup	Implicite z “zdolności do przywrócenia” (art. 32 ust. 1 lit. c)	Wprost wymagane (środek nr 3)
Łatki/patch management	Implicite z “regularnego testowania skuteczności”	Wprost wymagane (środek nr 5)
Zarządzanie ryzykiem	Implicite	Wprost (środek nr 1)
Raportowanie naruszeń	UODO w 72h (art. 33)	CSIRT NASK 24h/72h/30 dni (art. 23)
Audyt	”Regularne testowanie skuteczności”	Pierwszy obowiązkowy 3.04.2028 dla kluczowych
Szkolenia	Implicite z “świadomości pracowników”	Wprost - art. 20 (zarząd) + art. 21 (pracownicy)
Łańcuch dostaw	Art. 28 (DPA dla procesorów danych osobowych)	Art. 21(2)(d) (szerszy, dla każdego dostawcy ICT)
Próg podmiotowy	Każdy administrator	≥50 prac. / ≥10 mln euro + sektor

Jeden incydent, dwa obowiązki: ransomware z wyciekiem danych osobowych w podmiocie zarejestrowanym jako kluczowy powoduje podwójne zgłoszenie: UODO w 72h (RODO art. 33) plus CSIRT NASK 24h/72h/30 dni (NIS2 art. 23). Procedura wewnętrzna powinna być zsynchronizowana - jeden incydent, dwa różne formularze, dwa różne odbiorcy.

Praktyczny wniosek dla podmiotów w obu reżimach: jeden zbiór środków technicznych satysfakcjonuje większość obu aktów. Inwestycja w MFA, szyfrowanie, backup, audyt zewnętrzny daje dowody zgodności dla obu regulatorów.

Pogłębione tematy: RODO vs NIS2 - porównanie obowiązków dla MŚP, Środki techniczne RODO i NIS2 - co naprawdę wdrożyć.

5. Kary

RODO

Art. 83 RODO ustala dwa pułapy: do 10 mln euro lub 2% obrotu globalnego za naruszenia mniejszej wagi (np. art. 8, 11, 25, 26, 27, 28, 29, 30, 31, 32, 33, 34, 35, 36, 37, 38, 39); do 20 mln euro lub 4% obrotu globalnego za naruszenia podstawowych zasad przetwarzania (art. 5, 6, 7, 9, 12-22, 44-49). Skala egzekwowania w Polsce wyraźnie wzrosła: w 2025 r. UODO nałożył kary o łącznej wartości około 64 mln zł wobec około 13,9 mln zł rok wcześniej, przy czym niemal cała ta kwota przypadła na podmioty prywatne. Rekord tworzy jednak kilka bardzo wysokich decyzji, a nie zmiana wobec małych firm - MŚP typowo otrzymują 5 000-50 000 zł.

NIS2

Art. 34 dyrektywy i art. 73 UKSC ustalają trzy poziomy. Podmioty kluczowe - od 20 tys. zł do równowartości 10 mln euro lub 2% przychodu z roku poprzedzającego, w zależności co wyższe. Podmioty ważne - od 15 tys. zł do 7 mln euro lub 1,4% przychodu. Oddzielnie ustawa przewiduje karę kwalifikowaną do 100 mln zł za naruszenie powodujące bezpośrednie i poważne cyberzagrożenie dla obronności, bezpieczeństwa państwa, porządku publicznego, życia i zdrowia ludzi albo ciągłości świadczenia usługi.

Istotne są przepisy przejściowe. Zwykłe kary pieniężne mogą być nakładane dopiero po dwóch latach od wejścia ustawy w życie, czyli najwcześniej w kwietniu 2028 r. Przed nałożeniem kary na podmiot kluczowy organ musi przedstawić mu wstępne ustalenia i dać 7 dni na stanowisko (art. 53 ust. 13-14), a gdy waga naruszenia jest znikoma i firma zaprzestała naruszenia, może od kary odstąpić (art. 76a ust. 9). Kara do 100 mln zł jest z tego odroczenia wyłączona i obowiązuje od początku. Okres do 2028 r. jest więc czasem na uporządkowanie środków, a nie okresem bez żadnego ryzyka.

Odpowiedzialność osobista zarządu

Art. 20 dyrektywy NIS2 nakłada na organ zarządzający obowiązek zatwierdzania środków zarządzania ryzykiem i nadzoru nad ich wdrożeniem oraz przesądza odpowiedzialność członków tego organu za zaniedbania. Osobną podstawą jest art. 32 ust. 5, który pozwala organowi nadzoru czasowo zakazać pełnienia funkcji kierowniczych - ale tylko wobec podmiotów kluczowych. To największa różnica wobec NIS1 - osoba decyzyjna nie może już zasłonić się “tym zajmuje się IT.”

Co dokładnie zmieniła nowelizacja w zakresie nadzoru i kar, opisujemy we wpisie UKSC 2026: co się zmieniło i jakie są nowe terminy.

6. Praktyczny przewodnik minimalnej zgodności

Trzy mini-checklisty dla typowych małych firm z branż, którymi się zajmujemy. Każda zakłada, że firma jest w zakresie NIS2 (rzadkie przypadki).

Biuro rachunkowe 5-osobowe (zakładając zakres NIS2)

Sektor: zwykle poza zakresem - chyba że portfel klientów obejmuje “ważnych” lub “kluczowych” jako krytyczni dostawcy ICT (rzadko dla rozmiaru 5 osób). Mini-checklist zakłada scenariusz krytycznego dostawcy ICT dla podmiotu kluczowego.

Pisemna polityka analizy ryzyka cyber (1-2 strony, raz w roku przegląd)
MFA na: e-mail, KSeF, e-Urząd Skarbowy, ZUS PUE, bankowość, oprogramowanie księgowe
Szyfrowanie dysków BitLocker/FileVault na wszystkich stacjach
Backup 3-2-1 z testem odzysku co miesiąc (NAS + chmura immutable)
Procedura weryfikacji przelewów drugim kanałem
Klauzule cyber w umowach z klientami (prawo audytu, MFA u was, zgłaszanie incydentów)
Roczny zewnętrzny audyt podatności (warstwa techniczna art. 21(2)(d))
Szkolenie zarządu z cyberbezpieczeństwa raz w roku, lista obecności udokumentowana
Procedura zgłoszenia incydentów: UODO 72h + CSIRT NASK 24h/72h/30 dni

Sieć stomatologiczna 10 foteli (zakładając zakres NIS2)

Sektor: ochrona zdrowia jako “podmiot leczniczy” w rozumieniu ustawy o działalności leczniczej, w połączeniu z progiem zatrudnienia ≥50 osób (sieć 10 foteli, kilkudziesięciu pracowników). Częstszy scenariusz w zakresie niż solo-gabinet.

Polityka bezpieczeństwa danych medycznych (osobne dane o stanie zdrowia, art. 9 RODO)
MFA na: PRAKTYKAM, eRecepta/eSkierowanie, oprogramowanie stomatologiczne (Estomed, CGM Polonia, Kamsoft), backup chmurowy
Szyfrowanie at-rest dla bazy pacjentów i zdjęć RTG/CBCT
Backup zdjęć diagnostycznych z RPO ≤24h, RTO ≤72h
Klauzule cyber w umowach z dostawcami PACS, RIS, oprogramowania
DPIA dla każdego nowego systemu (art. 35 RODO + art. 21(5) NIS2)
Inspektor Ochrony Danych (obowiązkowy - art. 37 RODO dla dużej skali danych zdrowotnych)
Szkolenie zarządu kliniki co roku + zespołu medycznego co kwartał
Procedura podwójnego zgłoszenia: UODO 72h + CSIRT NASK 24h/72h/30 dni

Klinika medycyny estetycznej z 50+ pracownikami

Sektor: medycyna estetyczna jest poza zakresem ochrony zdrowia NIS2 (procedury kosmetyczne nie kwalifikują się jako “świadczenia zdrowotne” - art. 3 ust. 2 ustawy o działalności leczniczej). Ten checklist jest dla rzadkiego scenariusza: klinika z certyfikowanym personelem medycznym i ekspozycją na sektor zdrowia (laser medyczny pod nadzorem lekarza, podologia medyczna).

Polityka ochrony zdjęć przed/po (dane biometryczne - art. 9 RODO)
MFA na: booking online (Booksy, Estetii), CRM kliniki, system zarządzania placówką
Szyfrowanie at-rest dla bazy pacjentek + galerii przed/po
Backup z immutable dla zdjęć (ransomware celuje w wizerunek)
DPIA przed wdrożeniem każdego nowego systemu z danymi biometrycznymi
Klauzule cyber w umowach z dostawcami softu medycznego i booking
Szkolenie zarządu + recepcji (recepcja jest najczęstszym wektorem phishingu)
Procedura wycieku zdjęć - decyzja o powiadomieniu pacjentek (art. 34 RODO)
Procedura zgłoszenia incydentu: UODO 72h + jeśli zakres NIS2, CSIRT NASK

7. Jak CyberCerber pomaga

CyberCerber dostarcza warstwę techniczną dowodu wymaganą przez art. 21(2)(d) NIS2 i art. 32 RODO: zewnętrzną ocenę podatności infrastruktury widocznej z internetu, raport po polsku z priorytetami CVSS, plan naprawczy, dowód regularnego testowania środków.

Czego CyberCerber nie świadczy: formalnych audytów zgodności NIS2/RODO, opinii prawnych, reprezentacji przed UODO ani Ministerstwem Cyfryzacji, doradztwa w sprawie zakresu obowiązków. Tę warstwę zapewniają kancelarie prawne, IOD-y wewnętrzni i firmy compliance specjalistyczne. CyberCerber jest technicznym dostawcą dowodu, nie prawnym interpretatorem.

Trzy produkty: PreScan (bezpłatny skan diagnostyczny), CyberAudyt (pełna ocena podatności) i Pentest (dla podmiotów regulowanych) - wycena w cenniku. Konsultacja przez kontakt lub bezpłatne skanowanie wstępne.

8. FAQ

Czy moja mała firma rzeczywiście podlega NIS2?

Tylko jeśli spełnia DWA warunki łącznie: 1) działa w sektorze z załącznika I lub II UKSC (m.in. ochrona zdrowia podmiotów leczniczych powyżej progu, infrastruktura cyfrowa, niektóre usługi cyfrowe), 2) zatrudnia co najmniej 50 osób LUB ma obrót co najmniej 10 mln euro. Większość biur rachunkowych, gabinetów stomatologicznych i klinik medycyny estetycznej nie spełnia obu warunków.

Jaki jest najbliższy termin, który mnie dotyczy?

3 kwietnia 2027 r. - wdrożenie środków bezpieczeństwa z art. 8 UKSC. Samorejestracja w Wykazie KSC (wykaz-ksc.gov.pl) miała termin 3 października 2026 r. - jeśli firma jest w zakresie, a wniosku nie złożyła, zróbcie to niezwłocznie. Część podmiotów (sektor publiczny, telekomunikacja, dotychczasowi operatorzy usług kluczowych, dostawcy usług zaufania) została wpisana z urzędu wiosną 2026 r. i nie składa wniosku ponownie.

Co jeśli świadczę usługi dla szpitala publicznego?

Wasz klient (szpital) jest podmiotem kluczowym i sam podlega NIS2. Wasza firma podlega NIS2 tylko jeśli niezależnie spełnia kryteria sektora i wielkości. Jednak klient może wymagać klauzul cyber w umowie (art. 21(2)(d) o łańcuchu dostaw) - to wymóg klienta, nie waszej własnej zgodności.

Czym różni się NIS2 od RODO?

RODO chroni dane osobowe (egzekwowane przez UODO). NIS2 wymaga zarządzania ryzykiem cyber dla wskazanych sektorów (egzekwowane przez Ministerstwo Cyfryzacji i sektorowe organy). Naruszenie z wyciekiem danych osobowych powoduje podwójny obowiązek: zgłoszenie UODO w 72h i CSIRT NASK w 24h/72h/30 dni.

Czy potrzebuję pełnego audytu zgodności NIS2?

Tylko podmioty kluczowe mają obowiązek formalnego audytu (pierwszy do 3 kwietnia 2028 r.). Audyt wykonuje niezależny audytor (kancelaria, firma compliance) - CyberCerber nie świadczy formalnych audytów compliance, dostarcza warstwę techniczną dowodu (ocena podatności, raport CVSS).

Ile wynoszą kary za naruszenie NIS2?

Art. 73 UKSC przewiduje trzy poziomy. Podmiot kluczowy - od 20 tys. zł do równowartości 10 mln euro lub 2% przychodu z poprzedniego roku. Podmiot ważny - od 15 tys. zł do 7 mln euro lub 1,4% przychodu. Osobno przewidziana jest kara kwalifikowana do 100 mln zł, gdy naruszenie powoduje bezpośrednie i poważne cyberzagrożenie. Uwaga na przepisy przejściowe: zwykłe kary pieniężne mogą być nakładane dopiero po dwóch latach od wejścia ustawy w życie, czyli od kwietnia 2028 r., a kara do 100 mln zł temu okresowi nie podlega. Dodatkowo członkowie organu zarządzającego ponoszą odpowiedzialność osobistą.

Mam już certyfikat ISO 27001. Czy spełniam NIS2?

W 80-90% tak. ISO 27001:2022 (93 kontrole w Annex A) pokrywa większość 10 środków z art. 21 NIS2. Uzupełnić trzeba: szkolenia zarządu (art. 20), raportowanie incydentów w trójetapowej procedurze 24h/72h/30 dni (art. 23), wpis do rejestru podmiotów. Pełny mapping w klastrze tego pillaru.

Co jeśli nie podlegamy NIS2 - czy warto i tak wdrożyć środki?

Tak, bo lista 10 środków z art. 21 NIS2 to dobry wzorzec higieny cyber dla każdej firmy. Wdrożenie środków bez formalnego obowiązku NIS2 nie wymaga rejestracji, raportowania incydentów do CSIRT NASK ani audytu - ale nadal spełnia art. 32 RODO.

Jak zgłosić się do rejestru podmiotów NIS2?

Wniosek składa się elektronicznie w aplikacji Wykaz KSC pod adresem wykaz-ksc.gov.pl, działającej w ramach systemu S46. Składa go kierownik podmiotu albo osoba przez niego upoważniona. Zgłoszenie zawiera dane identyfikacyjne podmiotu, sektor z załącznika I lub II UKSC, wielkość firmy (pracownicy i obrót) oraz osobę kontaktową do spraw cyberbezpieczeństwa. Termin dla firm w zakresie od 3 kwietnia 2026 r. minął 3 października 2026 r., ale wniosek złożony po terminie nadal jest wymagany. Firma, która spełni przesłanki później, ma 6 miesięcy od tego dnia.

Czy mogę odłożyć rejestrację, jeśli nie jestem pewny czy podlegam?

Nie. UKSC nakłada odpowiedzialność za samoidentyfikację na sam podmiot, a termin dla firm w zakresie od 3 kwietnia 2026 r. minął 3 października 2026 r. Jeśli macie wątpliwości, skonsultujcie się z radcą prawnym niezwłocznie - organ właściwy dla sektora może wpisać firmę z urzędu (art. 7j UKSC), a kara za niezłożenie wniosku jest fakultatywna i może zapaść najwcześniej w kwietniu 2028 r.

Co konkretnie obejmuje 10 środków z art. 21 NIS2?

Polityki analizy ryzyka i bezpieczeństwa systemów informacyjnych, obsługa incydentów, ciągłość działania (backup i plan awaryjny), bezpieczeństwo łańcucha dostaw, bezpieczeństwo nabywania i utrzymywania systemów, polityki oceny skuteczności środków, podstawowa higiena cyber i szkolenia, kryptografia, kontrola dostępu i zarządzanie tożsamością + MFA, bezpieczne komunikacja i procedury awaryjne.

Czy DORA mnie też dotyczy?

DORA (rozporządzenie 2022/2554) jest lex specialis dla sektora finansowego - banki, ubezpieczyciele, firmy inwestycyjne i ich krytyczni dostawcy ICT. Obowiązuje od 17 stycznia 2025 r. Jeśli sprzedajecie usługi bankowi jako krytyczny dostawca ICT, podlegacie DORA niezależnie od NIS2.

9. Powiązane przewodniki

Artykuły powiązane:

UKSC 2026: co się zmieniło i jakie są nowe terminy

Porównania:

RODO vs NIS2 - porównanie obowiązków dla MŚP

Sąsiednie pillary:

Materiał informacyjny, nie jest to porada prawna. W sprawach szczegółowych skonsultuj się z radcą prawnym lub Inspektorem Ochrony Danych. Data aktualizacji: 2026-09-21.