Ten artykuł opisuje ogólne obowiązki wynikające z nowelizacji UKSC i nie jest poradą prawną — klasyfikację Twojej firmy i szczegółowy zakres obowiązków warto potwierdzić z prawnikiem lub doradcą ds. zgodności.
Dlaczego to dotyczy też Ciebie, a nie tylko elektrowni
Poprzedni reżim (jeszcze pod starą ustawą o KSC) obejmował głównie operatorów usług kluczowych i dostawców usług cyfrowych — duże podmioty z energetyki, transportu, bankowości, ochrony zdrowia i infrastruktury cyfrowej. Nowelizacja wdrażająca NIS2 zastępuje te kategorie dwoma nowymi: podmiotem kluczowym i podmiotem ważnym — i znacząco rozszerza katalog sektorów.
W nowym katalogu znalazły się m.in.: gospodarka wodno-ściekowa, zarządzanie usługami ICT, przestrzeń kosmiczna, usługi pocztowe i kurierskie, gospodarka odpadami, produkcja i dystrybucja chemikaliów, produkcja i dystrybucja żywności, badania naukowe oraz produkcja określonych wyrobów (m.in. maszyn, urządzeń i pojazdów). Jeśli Twoja średnia firma działa w jednym z tych obszarów, NIS2 najpewniej jej dotyczy — nawet jeśli nigdy wcześniej nie miała styczności z przepisami o cyberbezpieczeństwie.
Krok 1. Sprawdź, czy jesteś podmiotem ważnym (najczęstszy przypadek dla średniej firmy)
Kluczowa zmiana w podejściu: to firma sama ocenia, czy podlega ustawie — nie czeka na decyzję administracyjną, jak było wcześniej. Nazywa się to samoidentyfikacją.
- Podmiot ważny — zwykle średnia firma: powyżej 50 pracowników lub roczny obrót i suma bilansowa powyżej 10 mln EUR, działająca w jednym z sektorów objętych ustawą (w tym w nowo dodanych, wymienionych wyżej).
- Podmiot kluczowy — zwykle duża firma: powyżej 250 pracowników lub obrót powyżej 50 mln EUR i suma bilansowa powyżej 43 mln EUR, w sektorach najwyższego ryzyka (energetyka, bankowość, ochrona zdrowia, infrastruktura cyfrowa, transport).
Większość średnich firm z nowo dodanych sektorów wpadnie w kategorię podmiotu ważnego. Różnica jest istotna — wpływa na zakres nadzoru i wysokość kar (patrz niżej).
Przykład
Firma spożywcza z 80 pracownikami i obrotem 15 mln EUR rocznie, produkująca dla sieci handlowych — spełnia oba progi liczbowe (zatrudnienie i obrót) i działa w sektorze objętym ustawą. To podmiot ważny: musi się zarejestrować, wdrożyć minimalny SZBI i zgłaszać poważne incydenty. Ta sama firma przy 30 pracownikach i obrocie 4 mln EUR — mimo działania w tym samym sektorze — nie przekracza progów i na razie nie podlega ustawie. Warto policzyć oba progi osobno, bo wystarczy przekroczyć jeden z nich.
Krok 2. Zarejestruj się w systemie S46 — termin: 3 października 2026
S46 to krajowy system teleinformatyczny służący do rejestracji podmiotów kluczowych i ważnych oraz do zgłaszania incydentów i wymiany informacji z CSIRT (zespołami reagowania na incydenty bezpieczeństwa). Po samoidentyfikacji firma ma obowiązek zarejestrować się w S46 w terminie do 3 października 2026 r. — to mniej niż miesiąc od dziś. Rejestracja obejmuje m.in. dane kontaktowe, wskazanie sektora działalności i osoby odpowiedzialnej za kontakt z organami nadzoru.
Brak rejestracji w terminie jest samodzielną podstawą do nałożenia kary — niezależnie od tego, czy firma wdrożyła już jakiekolwiek środki bezpieczeństwa.
Krok 3. Zaangażuj zarząd — to on odpowiada osobiście
NIS2 wprost nakłada na kadrę zarządzającą obowiązek zatwierdzania i nadzorowania środków zarządzania ryzykiem cyberbezpieczeństwa. Za zaniedbania grozi osobista odpowiedzialność członków zarządu, niezależnie od kar nakładanych na samą firmę. W praktyce oznacza to trzy rzeczy do zrobienia od razu:
- zarząd zapoznaje się z obowiązkami i podpisuje decyzję o rozpoczęciu wdrożenia,
- ktoś konkretny — osoba, dział albo zewnętrzny partner — dostaje mandat i budżet na wdrożenie (w średniej firmie bez własnego działu bezpieczeństwa sprawdza się model doradcy ds. cyberbezpieczeństwa „na godziny"),
- zarząd wyznacza termin przeglądu postępu — np. co miesiąc do 3 kwietnia 2027 r. (patrz krok 4).
Krok 4. Zrób analizę ryzyka i zbuduj minimalny SZBI — termin: 12 miesięcy
Firmy, które spełniały kryteria podmiotu ważnego lub kluczowego już 3 kwietnia 2026 r. (dzień wejścia w życie nowelizacji), mają 12 miesięcy — do 3 kwietnia 2027 r. — na wdrożenie systemu zarządzania bezpieczeństwem informacji (SZBI) oraz udokumentowanej analizy ryzyka. Dla średniej firmy bez własnego działu IT bezpieczeństwa realny, minimalny zakres SZBI obejmuje:
- analizę ryzyka — spis systemów i danych krytycznych dla działania firmy oraz ocena, co się stanie, jeśli padną;
- politykę obsługi incydentów — kto, kiedy i jak reaguje (patrz krok 5);
- plan ciągłości działania — kopie zapasowe, procedura odtworzenia systemów po awarii lub ataku;
- bezpieczeństwo łańcucha dostaw — ocena dostawców IT i podwykonawców, którzy mają dostęp do Twoich systemów;
- kontrolę dostępu i uwierzytelnianie wieloskładnikowe (MFA) dla kont z dostępem do systemów krytycznych;
- regularne szkolenia pracowników — podstawowa higiena cyberbezpieczeństwa, rozpoznawanie phishingu.
To nie musi być od razu rozbudowany system klasy korporacyjnej — ustawa dopuszcza środki proporcjonalne do wielkości i profilu ryzyka firmy. Ważne, żeby były realne i udokumentowane, a nie tylko spisane na papierze.
Krok 5. Przygotuj procedurę zgłaszania incydentów: 24 godziny, 72 godziny, 30 dni
Dla poważnego incydentu bezpieczeństwa (czyli takiego, który realnie zakłóca działanie usługi lub powoduje straty) obowiązuje trzystopniowy model zgłoszeń do właściwego CSIRT — wyłącznie przez system S46:
- do 24 godzin od wykrycia — wczesne ostrzeżenie: sygnalizacja, że doszło do incydentu, wraz ze wstępną oceną, czy mógł mieć podłoże celowego działania;
- do 72 godzin — zgłoszenie właściwe: pełniejsza ocena incydentu, w tym jego skali i wpływu;
- do 30 dni od zgłoszenia — sprawozdanie końcowe: szczegółowy opis incydentu, zastosowane środki i wnioski na przyszłość.
Bez wcześniej przygotowanej procedury i wyznaczonej osoby dyżurnej te terminy są trudne do dotrzymania w praktyce — warto rozpisać ją na spokojnie, zanim faktycznie dojdzie do incydentu.
Ile kosztuje zignorowanie obowiązku
Kary administracyjne za niedopełnienie obowiązków NIS2/UKSC są odczuwalne nawet dla średniej firmy:
- podmiot kluczowy — do 10 mln EUR lub 2% rocznego globalnego obrotu, w zależności od tego, co wyższe;
- podmiot ważny — do 7 mln EUR lub 1,4% rocznego globalnego obrotu.
Do tego dochodzi wspomniana wyżej osobista odpowiedzialność członków zarządu za brak nadzoru nad wdrożeniem środków zarządzania ryzykiem. Brak rejestracji w S46 czy zignorowanie terminu na SZBI to więc nie „administracyjne niedopatrzenie", tylko realne ryzyko finansowe i osobiste dla decydentów. Organ nadzoru może też — niezależnie od kary — nakazać firmie usunięcie stwierdzonych naruszeń w wyznaczonym terminie, co przy zaniedbanym temacie oznacza wdrożenie pod presją czasu zamiast spokojnego, rozłożonego na miesiące planu.
Plan na najbliższe tygodnie
Jeśli dopiero zaczynasz, ułóż pracę w tej kolejności:
- teraz — samoidentyfikacja: sprawdź sektor działalności oraz zatrudnienie i obrót firmy względem progów z kroku 1;
- do 3 października 2026 — rejestracja w systemie S46;
- równolegle — decyzja zarządu i wyznaczenie osoby lub partnera odpowiedzialnego za wdrożenie;
- do 3 kwietnia 2027 — analiza ryzyka, minimalny SZBI i przetestowana procedura zgłaszania incydentów.