NIS2 po 3 października: kto podlega i ile zostało czasu

Trzeciego października minął termin, o którym pisał każdy branżowy newsletter: wpis do wykazu podmiotów z polskiej ustawy o krajowym systemie cyberbezpieczeństwa (KSC), która wdraża NIS2. Logika podpowiadała, że po tej dacie temat ucichnie. Stało się odwrotnie. Telefony zaczęły dzwonić dopiero teraz, bo sporo firm zorientowało się, że ten termin nie był końcem sprawy. Dla wielu z nich nie był nawet początkiem.

Prawie każda rozmowa o tym, kogo dotyczy NIS2, zaczyna się od jednego z dwóch zdań. „Nie jesteśmy infrastrukturą krytyczną” albo „jesteśmy za mali”. Oba brzmią rozsądnie i oba odpowiadają na pytanie, którego ustawa nie zadaje. Ustawa nie pyta, w jakiej jesteście branży, i nie pyta tylko o to, ilu ludzi zatrudnia wasza spółka. Pyta, co faktycznie robicie, i liczy wielkość razem z grupą kapitałową. A dla części podmiotów nie pyta o wielkość w ogóle.

Ten tekst opisuje stan prawny na koniec października 2026 roku i nie jest poradą prawną. Kwalifikacja pojedynczego podmiotu wymaga analizy jego działalności, struktury właścicielskiej i architektury systemów.

W skrócie

• Kto podlega: decyduje faktycznie wykonywana działalność z załączników do ustawy i wielkość liczona z grupą kapitałową. Część podmiotów jest w zakresie niezależnie od wielkości.
• Jako kto: podmiot kluczowy albo podmiot ważny. Kategorie różnią się audytem, trybem nadzoru i pułapem kar.
• Termin 2027: do 3 kwietnia 2027 roku podmioty, które są w zakresie od początku, realizują obowiązki, w tym system zarządzania bezpieczeństwem informacji.
• Termin 2028: do 3 kwietnia 2028 roku podmioty kluczowe robią pierwszy audyt. Po tej dacie można nakładać zwykłe kary.
• Pierwsze kroki: kwalifikacja na piśmie, wniosek o wpis, inwentaryzacja, test odtworzenia z kopii zapasowej i procedura zgłaszania incydentów.

Dalej prowadzę przez trzy rzeczy. Jak sprawdzić, czy jesteście w zakresie, i gdzie ten rachunek najczęściej się wykłada. Co trzeba mieć, opisane językiem pracy, a nie przepisów. I jaki kalendarz naprawdę biegnie. Numery artykułów zebrałem na końcu, żeby dało się to przeczytać bez ustawy na drugim monitorze.

NIS2: kogo dotyczy, w czterech pytaniach

Rachunek ma stałą kolejność. Każdy krok rozwijam w dalszej części tekstu.

1. Działalność. Czy faktycznie wykonujecie którąś z czynności z załącznika nr 1 albo nr 2? Jeżeli nie, ustawa was bezpośrednio nie obejmuje, ale może dosięgnąć was przez łańcuch dostaw.
2. Wielkość z grupą. Jaka jest wasza wielkość po doliczeniu przedsiębiorstw powiązanych i partnerskich? Dla części podmiotów ten krok nie ma znaczenia.
3. Wyłączenie. Jeżeli przekraczacie próg dopiero dzięki grupie, czy wasz system informacyjny jest niezależny albo czy nie świadczycie z tymi spółkami usług wspólnie?
4. Kategoria. Odczytajcie wynik z tabeli.

To uproszczenie. Ustawa zna jeszcze inne przypadki, między innymi niekwalifikowanych dostawców usług zaufania, podmioty lecznicze niebędące przedsiębiorcami i samorządowe jednostki realizujące zadania publiczne.

Dlaczego „nie jesteśmy w tej branży” to zły test

Załączniki do ustawy wyglądają jak lista branż, ale nią nie są. Opisują rodzaje podmiotów przez to, co podmiot robi, a nie przez to, jak sam siebie nazywa. Różnica wychodzi dopiero na przykładach, i to takich, które zaskakują.

Najlepszy przykład to dostawca usług zarządzanych. W ustawie jest nim każdy, kto świadczy usługi związane z instalacją, eksploatacją lub konserwacją sprzętu, oprogramowania, procesów albo całych systemów informacyjnych, przez wsparcie lub aktywną administrację, u klienta na miejscu albo zdalnie. Przeczytajcie to jeszcze raz i pomyślcie o firmie, która prowadzi helpdesk i administruje serwerami kilkudziesięciu klientów. Taka firma jest w sektorze zarządzania usługami ICT, czyli w załączniku sektorów kluczowych. Ministerstwo Cyfryzacji potwierdza to wprost: usługi helpdesk wpisują się w tę definicję. Nikt w takiej firmie nie myśli o sobie w kategoriach infrastruktury krytycznej. Próg wielkości nadal obowiązuje, więc mikro i mała firma usługowa zwykle zostaje poza zakresem, ale od średniej w górę rachunek się zmienia, a wielkość liczy się z grupą, o czym za chwilę.

Drugi przykład jest ostrzejszy. Firma, która zarządza cudzym ryzykiem w cyberbezpieczeństwie, czyli obsługuje incydenty, robi testy bezpieczeństwa, audyty systemów, doradza, jest podmiotem kluczowym już wtedy, gdy spełnia wymogi dla małego przedsiębiorcy. To najniższy próg wielkościowy dla kategorii kluczowej w całej ustawie. Kilkunastoosobowa firma bezpieczeństwa trafia tam, gdzie zwykła firma z tego samego sektora trafia dopiero przy 250 osobach. Niżej jest tylko grupa, dla której wielkość w ogóle nie ma znaczenia, między innymi dostawcy DNS, kwalifikowani dostawcy usług zaufania, podmioty krytyczne i wskazane w ustawie podmioty publiczne. Jeżeli sprzedajecie usługi bezpieczeństwa i nie jesteście mikroprzedsiębiorcą, najpewniej jesteście podmiotem kluczowym, a nie tylko wykonawcą cudzej zgodności. „Najpewniej”, bo w komentarzach pojawia się też węższa wykładnia tej definicji.

Trzeci przykład to produkcja, przeoczana najczęściej ze wszystkich. Wyroby medyczne, komputery i elektronika, urządzenia elektryczne, maszyny, samochody, przyczepy, pozostały sprzęt transportowy, chemikalia, żywność. To wszystko są sektory z załącznika sektorów ważnych. Fabryka komponentów elektronicznych, podzespołów do maszyn czy części samochodowych nie uważa się za firmę cyfrową. I tak jest w zakresie, jeżeli przekroczy próg wielkości. Warunek: jej wyroby muszą mieścić się w zamkniętej liście z załącznika. Producent opakowań z tworzyw czy konstrukcji stalowych tam nie trafi, chyba że wejdzie w zakres inną drogą. Poza sektorem „produkcja” są też między innymi meble, tekstylia, odzież, wyroby z drewna i papieru oraz materiały budowlane. Podobnie „żywność” oznacza produkcję przemysłową, przetwarzanie i dystrybucję hurtową, a nie gastronomię czy handel detaliczny.

Czwarty przykład to firmy programistyczne, bo tu jedna nazwa może oznaczać trzy różne wyniki. Usługi cyfrowe w ustawie to internetowa platforma handlowa, wyszukiwarka i platforma usług społecznościowych. Sam development na zlecenie nie wpada do żadnego z tych worków. Granicę przesuwa umowa utrzymaniowa: jeżeli po wdrożeniu aktywnie administrujecie środowiskiem klienta, działacie jak dostawca usług zarządzanych. O kwalifikacji nie decyduje nazwa usługi ani to, czy jest to podstawowy przedmiot działalności, tylko faktycznie wykonywane czynności.

Osobny przypadek to SaaS. Udostępnianie oprogramowania jako usługi może mieścić się w definicji chmury obliczeniowej, czyli w infrastrukturze cyfrowej z załącznika nr 1. Średni dostawca SaaS może więc być podmiotem ważnym, a duży kluczowym. Nie dotyczy to jednak każdej aplikacji. Według Ministerstwa Cyfryzacji aplikacja webowa jest usługą chmurową wtedy, gdy działa na skalowalnym i elastycznym zbiorze zasobów współdzielonych przez wielu użytkowników. Producent oprogramowania instalowanego u klienta, który tylko sam korzysta z chmury, nie staje się przez to jej dostawcą. Taka firma, podobnie jak agencja, zwykle spotka NIS2 inną drogą, przez łańcuch dostaw, i wracam do tego dalej.

W dwóch ostatnich wierszach próg wielkości nadal obowiązuje.

Wniosek jest taki, że właściwe pytanie nie brzmi „w jakiej jesteśmy branży”, tylko: którą z czynności wymienionych w załącznikach faktycznie wykonujemy, dla siebie czy dla innych, i czy robimy to na tyle trwale, że jest to nasza działalność, a nie dodatek. Firma, która prowadzi kilka rodzajów działalności, wykazuje każdy z nich osobno. Każdy może trafić do innego sektora, z innym organem właściwym i innym zespołem reagowania, do którego zgłasza się incydenty.

Infrastruktura cyfrowa obejmuje między innymi dostawców chmury, centrów przetwarzania danych, sieci dostarczania treści, usług DNS i rejestrów domen. To miejsce, w którym kończy się intuicja większości firm technologicznych. Warto przejść tę kolumnę nazwa po nazwie, zamiast zakładać, że się w niej nie jest. Jedna uwaga do bankowości: banki i infrastruktura rynków finansowych są w załączniku, ale znaczną część ich obowiązków reguluje osobno DORA, więc tam rachunek wygląda inaczej.

Dlaczego „jesteśmy za mali” to jeszcze gorszy test

Zasada ogólna jest prosta i właśnie dlatego myląca: w zakresie są podmioty od średniego przedsiębiorcy w górę. Mały to mniej niż 50 osób i obrót albo suma bilansowa do 10 milionów euro. Średni to mniej niż 250 osób i obrót do 50 milionów euro albo suma bilansowa do 43 milionów euro. Każdy liczy pracowników, większość liczy obrót i na tym rachunek się zwykle kończy. A ma trzy pułapki.

Pierwsza pułapka to arytmetyka progów. Żeby wyjść ponad małego przedsiębiorcę, trzeba przekroczyć próg zatrudnienia albo jednocześnie oba progi finansowe: obrót i sumę bilansową. Firma z dużym majątkiem i niewielkim obrotem zostaje mała. Ale spółka z czterdziestoma osobami, wysokim obrotem i ciężkim bilansem już nie. Liczcie wszystkie trzy wskaźniki, nie tylko ten, który znacie z pamięci. Na progu między średnim a dużym działa to tak samo: co najmniej 250 osób albo jednocześnie obrót ponad 50 i bilans ponad 43 miliony euro.

Przy założeniu sektora z załącznika i bez grupy kapitałowej dwie pierwsze firmy są poza zakresem, a dwie ostatnie w zakresie.

Druga pułapka, dużo poważniejsza, to grupa kapitałowa. Wielkość liczy się z doliczeniem przedsiębiorstw powiązanych, czyli kontrolowanych lub kontrolujących, w całości, oraz partnerskich, czyli z udziałem od 25 procent bez kontroli, proporcjonalnie do udziału. Przy partnerze z 30-procentowym udziałem dolicza się już tylko 30 procent jego liczb. Spółka z 30 osobami, partnerem ze 120 osobami i spółką zależną z 40 osobami to więc 106 osób, a nie 190. Blisko progu taka różnica przesądza o kategorii.

Mała spółka w dużej grupie przestaje jednak być mała. Trzydziestoosobowa polska spółka zależna międzynarodowego koncernu może być podmiotem kluczowym, mimo że jej własne liczby są daleko od jakiegokolwiek progu. W rozmowach to jest najczęstsze zderzenie z rzeczywistością.

Jest tu też argument, który często umyka. Według wyjaśnień Ministerstwa Cyfryzacji, jeżeli podmiot i jego przedsiębiorstwo partnerskie lub powiązane nie świadczą tej samej usługi objętej KSC, danych tego przedsiębiorstwa nie powinno się ujmować przy ustalaniu wielkości. Tą samą usługą może być też taka, której realizację spółki dzielą między siebie, i powinno to być należycie udokumentowane. Wyjaśnienia nie mają mocy prawnej, ale są ważną wskazówką przy wykładni przepisów.

Trzecia pułapka działa z opóźnieniem. Przesłanki bada się według stanu na dzień sporządzenia sprawozdania finansowego, ale jeden rok ponad progiem jeszcze nie zmienia statusu. Przekroczenie musi się powtórzyć w dwóch kolejnych okresach obrachunkowych. Naszym zdaniem inaczej jest przy zmianie właścicielskiej: przejęcie przez większą grupę zmienia krąg spółek powiązanych, więc wielkość trzeba przeliczyć od razu. To nasz wniosek z zasad powiązań, źródła nie mówią tego wprost. Wzrost daje więc rok na przygotowanie, a przejęcie nie daje żadnego. Kwalifikację sprawdzajcie przy każdym sprawozdaniu i przy każdej transakcji kapitałowej.

Jest też furtka, o której prawie nikt nie pisze. Jeżeli przekraczacie próg dopiero po doliczeniu grupy, to nie jesteście z tego tytułu podmiotem kluczowym ani ważnym, o ile wasz system informacyjny jest niezależny od systemów spółek powiązanych i partnerskich albo nie świadczycie usług wspólnie z tymi spółkami. Ważne jest słowo „albo”. To alternatywa, nie koniunkcja, więc wystarczy spełnić jedną z dwóch przesłanek.

W praktyce sprowadza się to do kilku konkretnych pytań. Czy macie własną domenę i własny katalog użytkowników, czy logujecie się do korporacyjnego Active Directory? Czy ERP i poczta są wasze, czy grupowe? Kto faktycznie administruje infrastrukturą: wasz zespół czy centralne IT z innego kraju? Czy monitoring bezpieczeństwa jest wasz, czy korzystacie z korporacyjnego centrum operacji? I po drugiej stronie: czy wasze usługi dla klientów realizujecie samodzielnie, czy ich wykonanie wymaga udziału innych spółek z grupy, wspólnych kontraktów, podwykonawstwa wewnątrz grupy? Rozróżnienie, które decyduje, brzmi: używanie produktu grupy to jeszcze nie wspólne świadczenie usługi, ale udział innej spółki w jej realizacji już tak.

Dwie uwagi do tego wyłączenia. Nie jest deklaracją. Jedno zdanie w uchwale zarządu nic nie załatwia, bo w razie sporu wykazanie przesłanek jest po waszej stronie i musi opierać się na opisie architektury oraz modelu świadczenia usług. I nie jest sztuczką. Jeżeli IT jest realnie wspólne, wyłączenie nie zadziała i lepiej wiedzieć to na początku. Warto je jednak sprawdzić, zanim kupi się wdrożenie, bo właśnie tu rachunek może się skończyć inaczej, niż sugerują same liczby.

Na koniec grupa, dla której cała ta arytmetyka nie ma znaczenia, bo wielkość nie jest przesłanką. Dostawcy usług DNS, rejestry domen najwyższego poziomu i podmioty rejestrujące domeny. Kwalifikowani dostawcy usług zaufania. Podmioty krytyczne. Operatorzy obiektów energetyki jądrowej. Administracja i wskazane w ustawie podmioty publiczne, a wśród podmiotów ważnych również samorządowe jednostki i zakłady budżetowe, samorządowe instytucje kultury oraz spółki wykonujące zadania użyteczności publicznej, jeżeli realizują zadanie publiczne z wykorzystaniem systemów informacyjnych. Dla gminnej spółki wodociągowej czy zakładu oczyszczania miasta zdanie „jesteśmy za mali” nie ma żadnego znaczenia prawnego. Podobnie u przedsiębiorców komunikacji elektronicznej, gdzie mikro i mały podmiot jest podmiotem ważnym, a od średniego w górę kluczowym.

Kluczowy czy ważny, i dlaczego to nie kwestia prestiżu

Mapa jest krótka. Podmiot z załącznika sektorów kluczowych, który przewyższa wymogi dla średniego przedsiębiorcy, jest podmiotem kluczowym. Ten sam podmiot, jeżeli tylko spełnia wymogi dla średniego, jest podmiotem ważnym. Podmiot z załącznika sektorów ważnych jest podmiotem ważnym od średniego w górę. Jeżeli ktoś spełnia przesłanki obu kategorii, jest kluczowym.

Różnice są trzy i wszystkie mają wymiar budżetowy.

Audyt. Podmiot kluczowy przeprowadza na własny koszt audyt bezpieczeństwa co najmniej raz na trzy lata i przekazuje kopię raportu organowi w ciągu trzech dni roboczych od jego otrzymania. Nasz audyt bezpieczeństwa IT pomaga się do niego przygotować. Podmiot ważny nie ma obowiązku cyklicznego audytu. Organ może mu go nakazać, ale dopiero po poważnym incydencie albo innym naruszeniu przepisów. To jest realna różnica w stałych kosztach zgodności.

Tryb nadzoru. Wobec kluczowych organ działa też bez powodu, wobec ważnych zasadniczo po zdarzeniu. Mówiąc wprost: podmiot ważny ma więcej czasu, dopóki nic się nie stanie.

Pułap kar, o którym niżej.

Warto przy tym pamiętać o wymogu niezależności, bo psuje plany wielu firmom. Audytu nie może przeprowadzić osoba, która realizuje w audytowanym podmiocie zadania z zakresu systemu zarządzania bezpieczeństwem informacji, obsługi incydentów i pokrewnych obowiązków albo realizowała je tam w ciągu roku przed rozpoczęciem audytu. Jeżeli ta sama osoba napisze wam dokumentację, a potem ją oceni, wymóg nie jest spełniony. Rozdzielenie tych dwóch rzeczy trzeba zaplanować z góry.

Czego ustawa wymaga, w języku pracy

Rdzeniem obowiązków jest system zarządzania bezpieczeństwem informacji. Nazwa brzmi jak segregator, a chodzi o coś innego. O to, żeby ryzyko było regularnie szacowane i zarządzane, a środki techniczne i organizacyjne były proporcjonalne do wyniku tego szacowania, z uwzględnieniem stanu wiedzy, kosztów, wielkości podmiotu i skali narażenia.

Ustawa wylicza czternaście obszarów, w których te środki trzeba mieć:

• polityki szacowania ryzyka i bezpieczeństwa systemów,
• bezpieczeństwo w nabywaniu, rozwoju, utrzymaniu i eksploatacji systemów, wraz z testowaniem,
• bezpieczeństwo fizyczne i środowiskowe z kontrolą dostępu,
• bezpieczeństwo kadrowe,
• bezpieczeństwo i ciągłość łańcucha dostaw ICT,
• plany ciągłości działania, plany awaryjne i plany odtworzenia, wdrażane, dokumentowane, testowane i utrzymywane,
• monitorowanie systemu w trybie ciągłym,
• ocena skuteczności zastosowanych środków,
• edukacja personelu,
• podstawowe zasady cyberhigieny,
• kryptografia i szyfrowanie,
• bezpieczne środki komunikacji z uwierzytelnianiem wieloskładnikowym tam, gdzie to zasadne,
• zarządzanie aktywami,
• kontrola dostępu.

Do tego dochodzi zbieranie informacji o cyberzagrożeniach i podatnościach, zarządzanie incydentami, regularne aktualizacje zgodnie z zaleceniami producenta wraz z analizą ich wpływu na bezpieczeństwo usługi oraz niezwłoczne działanie po dostrzeżeniu podatności.

Firma, która ma zaporę, antywirusa i kopie zapasowe, ma z tej listy mniejszą część, i to tę łatwiejszą. Cztery wymagania przesądzają o wyniku i wszystkie cztery są czynnościami, nie dokumentami: testowanie planów ciągłości i odtworzenia, ciągłe monitorowanie, ocena skuteczności środków oraz łańcuch dostaw. Z punktu widzenia kontroli nieprzetestowany plan odtworzenia nie jest planem, a nieprzetestowana kopia nie jest kopią.

Druga rzecz, która zwykle zaskakuje, to podział dokumentacji. Dokumentacja normatywna opisuje, jak ma być: polityki, dokumentacja systemu zarządzania, dokumentacja ciągłości działania, dokumentacja techniczna. Dokumentacja operacyjna to zapisy poświadczające, że czynności faktycznie wykonano, w tym automatycznie generowane zapisy w dziennikach systemów. I to jest najważniejsze zdanie całego tekstu: dokumentacji operacyjnej nie da się wytworzyć wstecz. Polityki można napisać w tygodniu przed kontrolą. Zapisu z testu odtworzenia kopii sprzed roku napisać się nie da. Dlatego data rozpoczęcia pracy ma większe znaczenie niż data terminu.

Trzecia rzecz to incydenty i ich zegary. Wczesne ostrzeżenie o incydencie poważnym: niezwłocznie, nie później niż w ciągu 24 godzin od wykrycia. Zgłoszenie: nie później niż w ciągu 72 godzin od wykrycia. Sprawozdanie końcowe: nie później niż w ciągu miesiąca od zgłoszenia. Wszystko przez rządowy system teleinformatyczny S46, do którego trzeba wcześniej mieć konto i uprawnioną osobę. Do tego obowiązek poinformowania użytkowników usługi, jeżeli incydent ma na nią niekorzystny wpływ. Dwadzieścia cztery godziny to nie jest termin dla komitetu. Ktoś musi mieć ten obowiązek przypisany imiennie, także w sobotę o trzeciej w nocy, i musi wiedzieć, gdzie się loguje.

Jest tu jedna rzecz, która na dziś jest w ruchu. Progi uznania incydentu za poważny określa rozporządzenie Rady Ministrów, osobno dla sektorów i podsektorów. Obowiązujące rozporządzenie z 2018 roku obejmuje tylko sześć sektorów, a nowe, dla piętnastu, jest w chwili pisania tego tekstu projektem z września 2026 roku, z planowanym przyjęciem do końca roku. Dla części infrastruktury cyfrowej, dostawców chmury, centrów danych i usług zarządzanych progi wynikają już z rozporządzenia wykonawczego Komisji Europejskiej 2024/2690. Stan dla własnego sektora trzeba więc sprawdzić, bo od niego zależy, kiedy ten zegar w ogóle startuje. Procedurę warto mieć niezależnie od tego, bo terminy 24 i 72 godzin są w ustawie i nie czekają na rozporządzenie.

Czwarta rzecz dotyczy zarządu i w praktyce zmienia najwięcej. Odpowiedzialność za wykonywanie obowiązków z zakresu cyberbezpieczeństwa ponosi kierownik podmiotu. Jeżeli organ jest wieloosobowy, a nie wskazano osoby odpowiedzialnej, odpowiadają wszyscy jego członkowie. Powierzenie zadań komukolwiek, wewnątrz czy na zewnątrz, tej odpowiedzialności nie zdejmuje. Do tego kierownik podejmuje decyzje o systemie, planuje na niego środki finansowe, przydziela zadania i nadzoruje ich wykonanie, a raz w roku kalendarzowym przechodzi udokumentowane szkolenie. Wniosek o wpis do wykazu może fizycznie złożyć osoba upoważniona, ale zawiera on oświadczenie o prawdziwości danych składane pod rygorem odpowiedzialności karnej, a za terminowe złożenie odpowiada kierownik. To jedno zdanie zwykle kończy rozmowę o tym, czy „jakoś to będzie”.

Piąta rzecz, najczęściej przeoczana przy planowaniu. Zanim osoba zacznie realizować zadania z zakresu systemu zarządzania bezpieczeństwem albo obsługi incydentów, przedstawia informację z Krajowego Rejestru Karnego o niekaralności za przestępstwa przeciwko ochronie informacji. Kierownik dopuszcza ją do zadań dopiero po jej otrzymaniu, więc to warunek, nie formalność uzupełniana po fakcie. Jeżeli planujecie przypisać komuś te obowiązki w styczniu, informacja z rejestru powinna być wcześniej.

Dobra wiadomość na koniec tej części: ustawa wprost pozwala wybrać między powołaniem wewnętrznych struktur odpowiedzialnych za cyberbezpieczeństwo a umową z dostawcą usług zarządzanych w zakresie cyberbezpieczeństwa. Outsourcing jest legalną ścieżką, pod warunkiem że to jest umowa o określonym zakresie, a nie założenie.

Kalendarz, który biegnie dla każdego osobno

Okno od 7 maja do 3 października 2026 roku, o którym wszyscy pisali, było jednorazowym harmonogramem dla podmiotów, które spełniały przesłanki w dniu wejścia noweli w życie. Minęło. Jeżeli ktoś je przegapił, obowiązek nie wygasł. Wniosek nadal trzeba złożyć, system go przyjmuje, a organ może też wpisać podmiot do wykazu z urzędu. Za niezłożenie w terminie grozi kara, jeżeli organ uzna, że przemawia za tym waga naruszonych przepisów. Zwlekanie tego nie poprawia, a praktyczny koszt jest jeszcze inny: bez wpisu nie ma konta w S46, a bez konta nie zgłosicie pierwszego poważnego incydentu w 24 godziny.

Ważniejsza jest reguła stała, bo dotyczy każdego, kto wejdzie w zakres później: przez wzrost potwierdzony w drugim z rzędu okresie obrachunkowym, akwizycję albo zmianę profilu działalności. Od dnia spełnienia przesłanek jest sześć miesięcy na wniosek o wpis do wykazu, dwanaście miesięcy na realizację obowiązków i dwadzieścia cztery miesiące na pierwszy audyt, jeżeli jesteście podmiotem kluczowym. Zmianę danych objętych wpisem zgłasza się w ciągu czternastu dni.

Dla podmiotów, które były w zakresie od początku, te same okresy liczone od wejścia noweli w życie dają konkretne daty:

Co do kar, nie ma sensu niczego ukrywać. Zwykłe kary pieniężne, w tym te za brak wpisu, mogą być nałożone po raz pierwszy dopiero po 3 kwietnia 2028 roku. To odroczenie nie obejmuje jednak kary nadzwyczajnej. Grozi ona za naruszenia, które powodują bezpośrednie i poważne cyberzagrożenie dla obronności, bezpieczeństwa państwa, bezpieczeństwa i porządku publicznego albo życia i zdrowia ludzi, a także zagrożenie poważną szkodą majątkową lub poważnymi utrudnieniami w świadczeniu usług. Tę organ może nałożyć już dziś. Odroczenie nie obejmuje też kontroli, poleceń organu ani nakazu audytu, które działają od wejścia ustawy w życie.

Są trzy powody, żeby nie traktować kwietnia 2028 jako daty rozpoczęcia pracy. Obowiązek istnieje niezależnie od momentu, w którym staje się zagrożony sankcją. Zgodność w 2028 roku wymaga zapisów z 2027. I rzecz najbardziej praktyczna: kwestionariusze bezpieczeństwa od klientów z sektorów objętych ustawą przychodzą już teraz.

Pułapy wyglądają tak. Podmiot kluczowy: do 10 milionów euro albo 2 procent przychodów, przy czym stosuje się kwotę wyższą, i nie mniej niż 20 tysięcy złotych. Podmiot ważny: do 7 milionów euro albo 1,4 procent przychodów, nie mniej niż 15 tysięcy złotych. Kara nadzwyczajna, o której wyżej: do 100 milionów złotych. Osobno odpowiada kierownik podmiotu: do 300 procent swojego wynagrodzenia, a w podmiocie publicznym do 100 procent.

Jeżeli nie podlegacie, dosięgnie was łańcuch dostaw

Bezpieczeństwo i ciągłość łańcucha dostaw to jeden z obszarów, który każdy podmiot w zakresie musi mieć zaadresowany, razem z oceną podatności związanych z dostawcą sprzętu lub oprogramowania i ogólnej jakości jego produktów, usług i procesów ICT. Wynika z tego rzecz, która dotyczy znacznie szerszego grona niż sama ustawa: wymagania spływają kontraktowo w dół, na firmy formalnie poza zakresem.

Dla software house'u, integratora, agencji czy dostawcy SaaS, którzy sami są poza zakresem, oznacza to konkretne zapisy w umowach i w przetargach. Kwestionariusze bezpieczeństwa przed podpisaniem umowy. Klauzule o zgłaszaniu incydentów w terminach spiętych z zegarem klienta, a nie waszym. Wymóg utrzymywania wersji oprogramowania bez znanych krytycznych podatności i monitorowania cyklu życia komponentów. Zapisy o testach i wsparciu w ciągłości działania. Niekiedy prawo audytu po stronie klienta.

Wniosek jest prosty. Jeżeli sprzedajecie do sektorów z załączników, zgodność przestaje być kwestią prawną i staje się warunkiem udziału w postępowaniu. Opłaca się przygotować odpowiedzi raz: opis architektury, model utrzymania, proces wydawania poprawek, ścieżkę zgłaszania incydentów, zasady dostępu do środowisk klienta. Zamiast improwizować przy każdym kwestionariuszu. Przy okazji wychodzi na jaw, że większość tej pracy pokrywa się z tym, co i tak powinno być zrobione u siebie.

Co zrobić w najbliższych 90 dniach

1. Rozstrzygnąć kwalifikację na piśmie. Rodzaj działalności z załączników, wielkość z doliczeniem grupy, ewentualne wyłączenie dla podmiotu niezależnego, data pomiaru. Wynik to jedno zdanie: jesteśmy albo nie jesteśmy, jako kto, na jakiej podstawie. Do tego dokumentu wrócicie przy każdym sprawozdaniu finansowym i przy każdym kwestionariuszu od klienta.
2. Złożyć wniosek o wpis, jeżeli jesteście w zakresie i go nie macie. Ustalić, kto składa wniosek, i równolegle zebrać dane techniczne: zakresy publicznych adresów IP i nazw domenowych używanych w sposób ciągły, osoby do kontaktu, osobę do konta w S46. To jedyna pozycja z realnym czasem realizacji po stronie IT, więc powinna startować pierwsza.
3. Wskazać uchwałą osobę odpowiedzialną w zarządzie. Przy organie wieloosobowym brak wskazania oznacza odpowiedzialność wszystkich członków. To decyzja, którą lepiej podjąć samemu niż zostawić ustawie.
4. Zrobić inwentaryzację: systemy, usługi i procesy ICT, dostawcy, właściciele, powiązania z usługą świadczoną klientom. Bez niej nie ruszy ani szacowanie ryzyka, ani kontrola dostępu, ani ciągłość działania, ani łańcuch dostaw. Każdy, kto próbował odwrotnej kolejności, pisał polityki do systemów, których nie miał spisanych.
5. Przetestować odtworzenie z kopii zapasowej i zapisać wynik testu z datą, zakresem i osobą wykonującą. Jeden taki zapis znaczy w ocenie zgodności więcej niż dziesięć polityk.
6. Napisać procedurę zgłoszenia incydentu z zegarem 24 i 72 godzin, przypisać imienny dyżur i zrobić jedno ćwiczenie na sucho. Sprawdzi się przy tym to, co zawsze się nie sprawdza: czy ktokolwiek ma dostęp do systemu zgłoszeń i czy wie, kto decyduje o uznaniu incydentu za poważny.
7. Zaplanować budżet na rok i udokumentowane szkolenie kierownictwa. Jedno i drugie jest obowiązkiem kierownika, a szkolenie trzeba zaliczyć w każdym roku kalendarzowym.

Czego nie robić

Nie zaczynać od certyfikacji. ISO 27001 pokrywa dużą część wymaganych obszarów i jest dobrą drogą, ale ustawa nie wymaga certyfikatu, a certyfikacja bez inwentaryzacji i tak się nie udaje. Najpierw stan faktyczny, potem decyzja, czy iść na certyfikat.

Nie kupować wdrożenia przed rozstrzygnięciem kwalifikacji. Zakres pracy dla podmiotu kluczowego, ważnego i publicznego jest różny, bo każda z tych kategorii ma inny model i inne obowiązki audytowe. Oferta zbudowana na błędnym założeniu to albo przepłacenie, albo luka, która wyjdzie przy pierwszej kontroli.

Nie zakładać, że dostawca IT „to ma”. Odpowiedzialność jest po stronie podmiotu, a nie firmy, która administruje jego serwerami. Zlecenie jest dopuszczalne, ale musi być umową z określonym zakresem i odpowiedzialnością, nie domysłem opartym na tym, że ktoś przecież robi backupy.

I nie robić z tego projektu IT. Decyzje o apetycie na ryzyko, budżecie i odpowiedzialności są zarządcze. Dział IT dostarcza środki, ale nie może sam z siebie postanowić, jaka przerwa w świadczeniu usługi jest dla firmy akceptowalna.

Najczęstsze pytania

Od czego zacząć u siebie

Jeżeli po lekturze nie macie pewności, w której kategorii jesteście, to jest normalny wynik. Kwalifikacja bywa jednoznaczna w dwa dni i sporna przez dwa miesiące, zwłaszcza w grupach kapitałowych i przy działalności mieszanej. Sensowna kolejność jest taka: najpierw rozstrzygnięcie na piśmie, potem analiza luk względem obowiązków właściwych dla waszej kategorii, potem harmonogram z budżetem. Dopiero wtedy warto wydawać pieniądze na narzędzia.

Większość tej pracy to nie prawo, a inżynieria: inwentaryzacja, kontrola wersji i aktualizacji, uprawnienia i ich odbieranie, kopie zapasowe wraz z testami odtworzenia, monitorowanie, procedury awaryjne i ich ćwiczenie.

W RedMoon Security prowadzimy obie części. Kwalifikację rozstrzygamy w pisemnej opinii NIS2/KSC, którą można pokazać zarządowi, klientowi i organowi. Pod właściwy dla was reżim budujemy system zarządzania bezpieczeństwem informacji, a po stronie technicznej wspieramy między innymi monitoring bezpieczeństwa i odtwarzanie po awarii.

Marcin Grzywaczewski jest założycielem RedMoon Security.

Podstawa prawna

Ustawa z 5 lipca 2018 r. o krajowym systemie cyberbezpieczeństwa w brzmieniu nadanym ustawą z 23 stycznia 2026 r. (Dz.U. 2026 poz. 252), która weszła w życie 3 kwietnia 2026 r.

• kategorie podmiotów, progi wielkości i wyłączenie dla podmiotu niezależnego w grupie: art. 5, w szczególności ust. 1, 2 oraz 5–7,
• definicje dostawcy chmury obliczeniowej, dostawcy usług zarządzanych i dostawcy usług zarządzanych w zakresie cyberbezpieczeństwa: art. 2 pkt 4e, 4i i 4j,
• sektory i rodzaje podmiotów: załącznik nr 1 (sektory kluczowe) i załącznik nr 2 (sektory ważne),
• definicja wielkości przedsiębiorstwa, doliczanie przedsiębiorstw partnerskich i powiązanych oraz reguła dwóch okresów obrachunkowych: art. 2, 3, 4 i 6 załącznika I do rozporządzenia Komisji (UE) nr 651/2014,
• modele usług chmury obliczeniowej, w tym SaaS: motyw 33 dyrektywy (UE) 2022/2555 (NIS2),
• wykaz podmiotów, terminy wniosków, oświadczenie kierownika i wpis przez organ: art. 7–7d i art. 7j, w szczególności art. 7c,
• system zarządzania bezpieczeństwem informacji: art. 8; model dla podmiotu ważnego będącego podmiotem publicznym: art. 8 ust. 3 i załącznik nr 4,
• odpowiedzialność i obowiązki kierownika, szkolenie, informacja z Krajowego Rejestru Karnego: art. 8c–8f,
• osoby do kontaktu i obowiązki informacyjne: art. 9; dokumentacja: art. 10,
• zgłaszanie incydentów poważnych i terminy 24 godzin, 72 godzin oraz miesiąca: art. 11–12b,
• progi uznania incydentu za poważny: rozporządzenie Rady Ministrów z 31 października 2018 r. (dla sześciu sektorów, obowiązujące w okresie przejściowym), projekt nowego rozporządzenia Rady Ministrów z września 2026 r. oraz rozporządzenie wykonawcze Komisji (UE) 2024/2690 dla wskazanych podmiotów infrastruktury cyfrowej i usług zarządzanych,
• wybór między strukturami wewnętrznymi a umową z dostawcą: art. 14,
• audyt podmiotu kluczowego, niezależność audytora i audyt nakazany: art. 15,
• terminy 6, 12 i 24 miesięcy od spełnienia przesłanek: art. 7c ust. 1 i art. 16,
• kary pieniężne: art. 73 (kara nadzwyczajna w ust. 5) i art. 73a,
• terminy przejściowe, odroczenie kar i zespoły sektorowe: art. 33, 35, 42 i 44 ustawy nowelizującej,
• harmonogram pierwszej fali wpisów: komunikat Ministra Cyfryzacji z 8 kwietnia 2026 r. (Dz. Urz. Min. Cyfr. 2026 poz. 7),
• wyjaśnienia organu: pytania i odpowiedzi Ministerstwa Cyfryzacji dotyczące KSC, w szczególności pytania 1.6, 1.22, 1.34, 1.43, 1.46 i 2.32. Dokument nie ma mocy prawnej, ale pomaga w wykładni przepisów.

Na dzień przygotowania tekstu nie został ogłoszony tekst jednolity uwzględniający nowelizację.