NIS2 w Polsce: obowiązki podmiotów kluczowych i ważnych

Cyberbezpieczeństwo staje się kwestią zarządczą

NIS2 i polskie przepisy wdrażające dyrektywę przesuwają cyberbezpieczeństwo z poziomu wyłącznie technicznego na poziom odpowiedzialności całej organizacji. Ustawa przypisuje określone obowiązki kierownikowi podmiotu kluczowego lub ważnego, którym — zależnie od formy organizacyjnej — może być właściwa osoba albo organ.

Kierownik podejmuje decyzje dotyczące przygotowania, wdrażania, stosowania, przeglądu i nadzoru systemu zarządzania bezpieczeństwem informacji. Ustawa przewiduje również obowiązek cyklicznego szkolenia kierownika oraz osoby, której powierzono określone zadania z zakresu cyberbezpieczeństwa.

Dlatego projekt zgodności nie może ograniczyć się do zakupu narzędzia, testu penetracyjnego lub pojedynczego audytu.

Pierwsze pytanie: czy organizacja podlega przepisom

Obowiązki nie dotyczą automatycznie każdej firmy. Ocena zależy od sektora, rodzaju rzeczywiście świadczonych usług, wielkości podmiotu, wyjątków niezależnych od wielkości oraz ewentualnych rozstrzygnięć właściwego organu. Nie wystarcza mechaniczne sprawdzenie kodów działalności.

Polska wdrożyła NIS2 ustawą z 23 stycznia 2026 r. o zmianie ustawy o krajowym systemie cyberbezpieczeństwa oraz niektórych innych ustaw. Ustawa została ogłoszona 2 marca 2026 r. i weszła w życie 3 kwietnia 2026 r. Analizę należy prowadzić na podstawie aktualnych przepisów krajowych, a nie wyłącznie samej dyrektywy.

Obszary, które powinny tworzyć jeden system

Największą wartość daje połączenie wymogów prawnych z procesami, które i tak są potrzebne do utrzymania ciągłości działania.

• analiza ryzyka i odpowiedzialność właścicieli procesów
• zarządzanie incydentami oraz etapowe raportowanie
• ciągłość działania, kopie zapasowe i odtwarzanie
• bezpieczeństwo łańcucha dostaw oraz wymagania umowne
• kontrola dostępu, podatności i aktualizacji
• szkolenia kierownictwa oraz zespołów

Terminy przejściowe trzeba sprawdzić przed planowaniem wdrożenia

Podmioty, które spełniały przesłanki uznania za podmiot kluczowy lub ważny w dniu wejścia ustawy w życie, otrzymały co do zasady 12 miesięcy na realizację obowiązków określonych w rozdziale 3. Dla pierwszego audytu wskazanych podmiotów kluczowych przewidziano termin 24 miesięcy. Ustawa zawiera również odrębne reguły dotyczące wpisu do wykazu, zgłaszania incydentów przez dotychczasowych operatorów usług kluczowych i rozpoczęcia stosowania kar.

Terminy przejściowe nie zwalniają z potrzeby wcześniejszego ustalenia statusu organizacji i przygotowania planu wdrożenia. Każdy harmonogram powinien wskazywać podstawę prawną, właściciela działania, termin i dowód wykonania.

Umowy z dostawcami są częścią bezpieczeństwa

Organizacja może mieć dobre procedury wewnętrzne, a jednocześnie nie dysponować umownym prawem do informacji o incydencie, audytu lub odzyskania danych po zakończeniu współpracy. Właśnie dlatego ocena dostawców powinna łączyć technologię z warunkami kontraktu.

Warto sprawdzić terminy powiadomień, dostęp do informacji, zasady korzystania z podwykonawców, odpowiedzialność, plan wyjścia ze współpracy i współdziałanie przy obsłudze incydentu.

Plan zgodności powinien mieć właściciela

Dobra lista działań wskazuje nie tylko co należy przygotować, ale kto odpowiada za decyzję, jaki jest termin i jaki dowód potwierdzi wykonanie. Dzięki temu zgodność nie pozostaje projektem bez końca.

Zgłaszanie poważnego incydentu jest procesem etapowym obejmującym w szczególności wczesne ostrzeżenie, właściwe zgłoszenie i sprawozdanie końcowe. Konkretne terminy i odbiorcę zgłoszenia trzeba ustalić na podstawie aktualnych przepisów i statusu podmiotu.