DreamITeam

NIS2 w Polsce – kogo dotyczy dyrektywa i czy Twoja firma musi działać

Audyt IT, Outsourcing IT
6 min

Dyrektywa NIS2 obowiązuje w Polsce od października 2024 roku – a mimo to większość firm wciąż nie wie, czy podlega jej wymaganiom. Nie chodzi o brak zainteresowania. Chodzi o to, że przepisy są napisane językiem prawnym, a lista sektorów i kryteriów liczy kilkadziesiąt pozycji. Manager IT lub właściciel firmy stoi przed prostym pytaniem: czy moja organizacja musi się dostosować, czy mogę to zignorować?

Odpowiedź ma znaczenie finansowe. Jeśli Twoja firma podlega NIS2 i tego nie wiesz – ryzykujesz karę administracyjną, osobistą odpowiedzialność zarządu i wykluczenie z przetargów. Jeśli nie podlega – niepotrzebnie angażujesz zasoby w compliance, którego nie potrzebujesz. Ten artykuł daje Ci narzędzie do samodzielnej weryfikacji: sektory, progi wielkości, wyjątki i polską podstawę prawną. Jeśli chcesz najpierw zrozumieć samą dyrektywę od podstaw, przeczytaj artykuł o tym, jak NIS2 wpłynie na Twój biznes – tutaj zakładamy, że wiesz już, o co chodzi, i chcesz wiedzieć, czy Cię to dotyczy.

NIS2 w skrócie – 3 konkrety

NIS2 (dyrektywa UE 2022/2555) nakłada obowiązki cyberbezpieczeństwa na firmy działające w sektorach uznanych za krytyczne dla gospodarki i społeczeństwa. W Polsce wdrażana jest przez nowelizację ustawy o Krajowym Systemie Cyberbezpieczeństwa (KSC). Zastępuje poprzednią dyrektywę NIS z 2016 roku – rozszerzając zakres objętych podmiotów nawet czterokrotnie.

  • Obowiązuje od 17 października 2024 roku we wszystkich państwach członkowskich UE.
  • Wprowadza dwa poziomy podmiotów: podmioty kluczowe i podmioty ważne – z różnymi reżimami nadzoru i karami.
  • Odpowiedzialność za wdrożenie spoczywa bezpośrednio na zarządzie – nie tylko na dziale IT.
  • Sankcje sięgają 10 mln EUR lub 2% globalnego obrotu dla podmiotów kluczowych.

Kryterium 1: czy działasz w sektorze objętym NIS2?

NIS2 posługuje się dwoma listami sektorów. To, na której z nich znajdziesz swoją branżę, decyduje o tym, czy jesteś podmiotem kluczowym czy ważnym – i jakie obowiązki oraz kary Cię dotyczą.

Sektory kluczowe (Załącznik I dyrektywy)

Podmioty z tych branż podlegają surowszemu, proaktywnemu nadzorowi i wyższym karom:

  • Energetyka (energia elektryczna, gaz, ropa, wodór, ciepłownictwo)
  • Transport (lotniczy, kolejowy, wodny śródlądowy, drogowy)
  • Bankowość i infrastruktura rynków finansowych
  • Ochrona zdrowia (szpitale, laboratoria, producenci leków i wyrobów medycznych)
  • Woda pitna i ścieki
  • Infrastruktura cyfrowa (dostawcy DNS, TLD, chmury obliczeniowej, CDN, centrów danych, sieci komunikacyjnych)
  • Zarządzanie usługami ICT – w tym dostawcy zarządzanych usług IT (MSP) i bezpieczeństwa (MSSP)
  • Administracja publiczna
  • Przestrzeń kosmiczna

Sektory ważne (Załącznik II dyrektywy)

Podmioty z tych branż podlegają łagodniejszemu nadzorowi (reaktywnemu), ale obowiązki w zakresie zarządzania ryzykiem i zgłaszania incydentów są analogiczne jak dla sektorów kluczowych:

  • Usługi pocztowe i kurierskie
  • Gospodarka odpadami
  • Produkcja (m.in. wyroby medyczne, komputery, elektronika, maszyny, pojazdy, chemia, żywność)
  • Dostawcy usług cyfrowych (platformy handlowe online, wyszukiwarki, sieci społecznościowe)
  • Badania naukowe

Ważne dla firm produkcyjnych i logistycznych: sektor produkcji w NIS2 jest bardzo szeroki – obejmuje producentów maszyn, urządzeń elektrycznych, pojazdów i żywności. Jeśli prowadzisz zakład produkcyjny, istnieje duże prawdopodobieństwo, że znajdziesz się na liście podmiotów ważnych.

Kryterium 2: jak duża jest Twoja firma?

Sama branża to nie wszystko. NIS2 wprowadza progi wielkości, które co do zasady decydują o objęciu obowiązkiem. Dyrektywa stosuje się do:

  • Średnich przedsiębiorstw – zatrudniających co najmniej 50 pracowników lub osiągających roczny obrót albo sumę bilansową powyżej 10 mln EUR.
  • Dużych przedsiębiorstw – co najmniej 250 pracowników lub obrót powyżej 50 mln EUR / suma bilansowa powyżej 43 mln EUR.

Małe firmy (poniżej 50 pracowników i poniżej 10 mln EUR obrotu) są co do zasady wyłączone – ale istnieją istotne wyjątki.

Kiedy mała firma mimo wszystko podlega NIS2?

Dyrektywa przewiduje sytuacje, w których progi wielkości nie mają znaczenia. Twoja firma może podlegać NIS2 niezależnie od liczby pracowników, jeśli:

  • Jest jedynym dostawcą usługi kluczowej w danym państwie członkowskim.
  • Jej zakłócenie miałoby znaczący wpływ na bezpieczeństwo publiczne lub gospodarkę.
  • Jest dostawcą kwalifikowanych usług zaufania (np. elektronicznych usług certyfikacyjnych).
  • Jest rejestratorem nazw domenowych najwyższego poziomu.
  • Polska samodzielnie ją wskaże jako podmiot kluczowy lub ważny na mocy krajowych przepisów KSC.

Polski ustawodawca w nowelizacji ustawy o KSC może rozszerzyć listę podmiotów ponad minimalne wymagania dyrektywy – warto śledzić finalne brzmienie przepisów krajowych i w razie wątpliwości skonsultować swoją sytuację z doradcą.

Kryterium 3: czy jesteś dostawcą dla firmy objętej NIS2?

To kwestia najczęściej pomijana przez firmy spoza Załączników I i II. NIS2 nakłada na podmioty kluczowe i ważne obowiązek zarządzania bezpieczeństwem łańcucha dostaw. W praktyce oznacza to:

  • Twój klient objęty NIS2 może wymagać od Ciebie dokumentacji bezpieczeństwa, wyników audytów lub spełnienia określonych standardów – nawet jeśli Twoja firma formalnie nie podlega dyrektywie.
  • Umowy B2B coraz częściej zawierają klauzule zgodności z NIS2 jako warunek współpracy.
  • Brak zgodności po stronie dostawcy może oznaczać utratę kontraktu – bez żadnego postępowania administracyjnego.

Jeśli świadczysz usługi IT, logistyczne, produkcyjne lub serwisowe dla firm z sektora energetyki, finansów, zdrowia lub infrastruktury cyfrowej – sprawdź wymagania swoich klientów, nawet jeśli Twoja firma jest poniżej progów NIS2.

Szybka checklista: czy podlegasz NIS2?

  1. Sprawdź branżę: czy Twoja firma działa w jednym z sektorów z Załącznika I lub II? (patrz sekcje wyżej)
  2. Sprawdź wielkość: czy zatrudniasz ≥ 50 osób lub Twój obrót przekracza 10 mln EUR rocznie?
  3. Sprawdź wyjątki: czy jesteś jedynym dostawcą kluczowej usługi, dostawcą usług zaufania lub podmiotem wskazanym przez polskie przepisy?
  4. Sprawdź łańcuch dostaw: czy Twoi klienci objęci NIS2 wymagają od Ciebie zgodności jako warunku współpracy?

Jeśli na pytania 1 i 2 odpowiedziałeś TAK – z dużym prawdopodobieństwem podlegasz NIS2. Jeśli TAK tylko na pytanie 3 lub 4 – powinieneś to zweryfikować z prawnikiem lub doradcą IT.

Co grozi za nieprzestrzeganie NIS2?

Dyrektywa wprowadza dwa poziomy sankcji – zależne od kategorii podmiotu:

  • Podmioty kluczowe: kara do 10 mln EUR lub 2% całkowitego rocznego obrotu (wyższa z kwot).
  • Podmioty ważne: kara do 7 mln EUR lub 1,4% całkowitego rocznego obrotu (wyższa z kwot).

Oprócz kar finansowych dyrektywa przewiduje:

  • Osobistą odpowiedzialność członków zarządu za brak nadzoru nad wdrożeniem wymagań.
  • Możliwość czasowego zawieszenia prawa do pełnienia funkcji kierowniczych.
  • Publiczne ogłoszenie o naruszeniu – ryzyko reputacyjne.
  • Nakaz przeprowadzenia audytu bezpieczeństwa na koszt podmiotu.

Organami nadzoru w Polsce są organy sektorowe właściwe dla danej branży (m.in. CSIRT NASK, UKE, UKNF) – każdy w swoim obszarze kompetencji. Postępowania kontrolne wobec podmiotów kluczowych mogą być inicjowane proaktywnie, bez konieczności wcześniejszego incydentu.

Podmiot kluczowy vs podmiot ważny – praktyczna różnica

Obie kategorie mają te same obowiązki techniczne i organizacyjne: zarządzanie ryzykiem, zgłaszanie incydentów, polityki bezpieczeństwa, ciągłość działania i bezpieczeństwo łańcucha dostaw. Różni je sposób nadzoru:

  • Podmioty kluczowe – nadzór proaktywny: organy mogą przeprowadzać kontrole bez uprzedniego incydentu, żądać dokumentacji i certyfikatów w dowolnym momencie.
  • Podmioty ważne – nadzór reaktywny: kontrola następuje najczęściej po zgłoszeniu incydentu lub skardze.

W obu przypadkach brak udokumentowanych procedur bezpieczeństwa to ryzyko – niezależnie od tego, kiedy i czy w ogóle przyjdzie kontrola.

Jakie obowiązki nakłada NIS2 na objęte firmy?

Jeśli potwierdziłeś, że Twoja firma podlega dyrektywie, musisz wdrożyć m.in.:

  • Politykę analizy ryzyka i zarządzania bezpieczeństwem systemów informatycznych.
  • Procedury zgłaszania incydentów – wstępne powiadomienie właściwego organu w ciągu 24 godzin od wykrycia.
  • Zarządzanie ciągłością działania – plany backupu, przywracania systemów i zarządzania kryzysowego.
  • Bezpieczeństwo łańcucha dostaw – weryfikacja dostawców i podwykonawców pod kątem ryzyka cyberbezpieczeństwa.
  • Polityki kryptografii i kontroli dostępu, w tym uwierzytelnianie wieloskładnikowe.
  • Szkolenia z cyberbezpieczeństwa dla pracowników i zarządu.
  • Regularne audyty bezpieczeństwa potwierdzające skuteczność wdrożonych środków.

Pełne omówienie wymagań technicznych i organizacyjnych znajdziesz w artykule Czy Twoja firma jest gotowa na NIS2?, który opisuje minimalne obowiązki dyrektywy krok po kroku.

Co zrobić, jeśli Twoja firma podlega NIS2?

Pierwszym krokiem powinno być ustalenie faktycznego stanu bezpieczeństwa – nie na podstawie przekonania, że „jakoś to jest”, lecz na podstawie rzetelnej oceny luk względem wymagań dyrektywy. To właśnie robi audyt NIS2: weryfikuje polityki, procedury, systemy i dokumentację, a następnie wskazuje konkretne działania do wdrożenia – z priorytetami i realistycznym planem.

Jeśli zastanawiasz się, jak narzędzia, z których już korzystasz, mogą wesprzeć zgodność z NIS2, przeczytaj artykuł jak pakiet Microsoft 365 pomaga spełniać wymagania NIS2.

Nie wiesz, od czego zacząć lub czy w ogóle podlegasz dyrektywie? Skontaktuj się z nami – pomożemy Ci to ustalić i przeprowadzimy audyt zgodności z NIS2, który da Ci jasny obraz sytuacji i plan działania zamiast listy pytań bez odpowiedzi.

Pytania i odpowiedzi:

Co do zasady nie - NIS2 obejmuje podmioty zatrudniające co najmniej 50 pracowników lub osiągające obrót powyżej 10 mln EUR. Wyjątkiem są firmy wskazane przez krajowe przepisy jako strategiczne, jedyni dostawcy usług kluczowych lub dostawcy kwalifikowanych usług zaufania. Nawet jeśli formalnie nie podlegasz dyrektywie, Twoi klienci objęci NIS2 mogą wymagać od Ciebie zgodności jako warunku umowy.

Decyduje branża, w której działasz. Podmioty kluczowe to organizacje z sektorów takich jak energetyka, transport, bankowość, zdrowie czy infrastruktura cyfrowa (Załącznik I dyrektywy). Podmioty ważne to m.in. firmy produkcyjne, logistyczne i dostawcy usług cyfrowych (Załącznik II). Jeśli masz wątpliwości co do klasyfikacji, warto przeprowadzić audyt NIS2 lub skonsultować się z doradcą.

Tak - jeśli firma spoza UE świadczy usługi na terenie Unii Europejskiej i działa w objętym sektorze, może podlegać wymaganiom NIS2 nałożonym przez dane państwo członkowskie. W takim przypadku konieczne może być wyznaczenie przedstawiciela w UE odpowiedzialnego za zgodność z przepisami.

Dyrektywa UE 2022/2555 miała być wdrożona przez wszystkie państwa członkowskie do 17 października 2024 roku. W Polsce implementację realizuje nowelizacja ustawy o Krajowym Systemie Cyberbezpieczeństwa (KSC). Proces legislacyjny w Polsce trwa - warto śledzić aktualne informacje o stanie prac i finalnym brzmieniu krajowych przepisów.

NIS2 wprost nakłada odpowiedzialność na członków zarządu - nie tylko na dział IT. Sankcje mogą obejmować kary finansowe (do 10 mln EUR lub 2% obrotu dla podmiotów kluczowych), czasowe zawieszenie prawa do pełnienia funkcji kierowniczych oraz publiczne ogłoszenie o naruszeniu. To oznacza, że compliance z NIS2 jest decyzją zarządczą, nie wyłącznie techniczną.

Tak. Dyrektywa zakłada ciągłe zarządzanie ryzykiem, a nie jednorazowe wdrożenie. Audyt NIS2 warto przeprowadzać cyklicznie - co najmniej raz w roku lub po istotnych zmianach w organizacji, infrastrukturze IT lub po incydencie bezpieczeństwa. Regularne audyty pomagają też udokumentować zgodność w przypadku kontroli ze strony organu nadzorczego.

Tak, jeśli działa jako dostawca zarządzanych usług IT (MSP) lub usług bezpieczeństwa (MSSP) - takie podmioty są wprost wymienione w Załączniku I dyrektywy jako sektor kluczowy. Ponadto każda firma IT obsługująca klientów objętych NIS2 może być zobowiązana do spełnienia wymagań bezpieczeństwa wynikających z umów B2B - nawet jeśli samodzielnie nie kwalifikuje się jako podmiot kluczowy lub ważny.

Audyt IT ocenia stan techniczny infrastruktury - konfiguracje, podatności, wydajność. Audyt NIS2 to audyt zgodności regulacyjnej: weryfikuje, czy organizacja spełnia konkretne wymagania dyrektywy w zakresie zarządzania ryzykiem, procedur zgłaszania incydentów, ciągłości działania i bezpieczeństwa łańcucha dostaw. Kończy się raportem z oceną luk i planem działań naprawczych dostosowanym do wymagań prawnych.