Dyrektywa NIS2 obowiązuje w Polsce od października 2024 roku – a mimo to większość firm wciąż nie wie, czy podlega jej wymaganiom. Nie chodzi o brak zainteresowania. Chodzi o to, że przepisy są napisane językiem prawnym, a lista sektorów i kryteriów liczy kilkadziesiąt pozycji. Manager IT lub właściciel firmy stoi przed prostym pytaniem: czy moja organizacja musi się dostosować, czy mogę to zignorować?
Odpowiedź ma znaczenie finansowe. Jeśli Twoja firma podlega NIS2 i tego nie wiesz – ryzykujesz karę administracyjną, osobistą odpowiedzialność zarządu i wykluczenie z przetargów. Jeśli nie podlega – niepotrzebnie angażujesz zasoby w compliance, którego nie potrzebujesz. Ten artykuł daje Ci narzędzie do samodzielnej weryfikacji: sektory, progi wielkości, wyjątki i polską podstawę prawną. Jeśli chcesz najpierw zrozumieć samą dyrektywę od podstaw, przeczytaj artykuł o tym, jak NIS2 wpłynie na Twój biznes – tutaj zakładamy, że wiesz już, o co chodzi, i chcesz wiedzieć, czy Cię to dotyczy.
NIS2 w skrócie – 3 konkrety
NIS2 (dyrektywa UE 2022/2555) nakłada obowiązki cyberbezpieczeństwa na firmy działające w sektorach uznanych za krytyczne dla gospodarki i społeczeństwa. W Polsce wdrażana jest przez nowelizację ustawy o Krajowym Systemie Cyberbezpieczeństwa (KSC). Zastępuje poprzednią dyrektywę NIS z 2016 roku – rozszerzając zakres objętych podmiotów nawet czterokrotnie.
- Obowiązuje od 17 października 2024 roku we wszystkich państwach członkowskich UE.
- Wprowadza dwa poziomy podmiotów: podmioty kluczowe i podmioty ważne – z różnymi reżimami nadzoru i karami.
- Odpowiedzialność za wdrożenie spoczywa bezpośrednio na zarządzie – nie tylko na dziale IT.
- Sankcje sięgają 10 mln EUR lub 2% globalnego obrotu dla podmiotów kluczowych.
Kryterium 1: czy działasz w sektorze objętym NIS2?
NIS2 posługuje się dwoma listami sektorów. To, na której z nich znajdziesz swoją branżę, decyduje o tym, czy jesteś podmiotem kluczowym czy ważnym – i jakie obowiązki oraz kary Cię dotyczą.
Sektory kluczowe (Załącznik I dyrektywy)
Podmioty z tych branż podlegają surowszemu, proaktywnemu nadzorowi i wyższym karom:
- Energetyka (energia elektryczna, gaz, ropa, wodór, ciepłownictwo)
- Transport (lotniczy, kolejowy, wodny śródlądowy, drogowy)
- Bankowość i infrastruktura rynków finansowych
- Ochrona zdrowia (szpitale, laboratoria, producenci leków i wyrobów medycznych)
- Woda pitna i ścieki
- Infrastruktura cyfrowa (dostawcy DNS, TLD, chmury obliczeniowej, CDN, centrów danych, sieci komunikacyjnych)
- Zarządzanie usługami ICT – w tym dostawcy zarządzanych usług IT (MSP) i bezpieczeństwa (MSSP)
- Administracja publiczna
- Przestrzeń kosmiczna
Sektory ważne (Załącznik II dyrektywy)
Podmioty z tych branż podlegają łagodniejszemu nadzorowi (reaktywnemu), ale obowiązki w zakresie zarządzania ryzykiem i zgłaszania incydentów są analogiczne jak dla sektorów kluczowych:
- Usługi pocztowe i kurierskie
- Gospodarka odpadami
- Produkcja (m.in. wyroby medyczne, komputery, elektronika, maszyny, pojazdy, chemia, żywność)
- Dostawcy usług cyfrowych (platformy handlowe online, wyszukiwarki, sieci społecznościowe)
- Badania naukowe
Ważne dla firm produkcyjnych i logistycznych: sektor produkcji w NIS2 jest bardzo szeroki – obejmuje producentów maszyn, urządzeń elektrycznych, pojazdów i żywności. Jeśli prowadzisz zakład produkcyjny, istnieje duże prawdopodobieństwo, że znajdziesz się na liście podmiotów ważnych.
Kryterium 2: jak duża jest Twoja firma?
Sama branża to nie wszystko. NIS2 wprowadza progi wielkości, które co do zasady decydują o objęciu obowiązkiem. Dyrektywa stosuje się do:
- Średnich przedsiębiorstw – zatrudniających co najmniej 50 pracowników lub osiągających roczny obrót albo sumę bilansową powyżej 10 mln EUR.
- Dużych przedsiębiorstw – co najmniej 250 pracowników lub obrót powyżej 50 mln EUR / suma bilansowa powyżej 43 mln EUR.
Małe firmy (poniżej 50 pracowników i poniżej 10 mln EUR obrotu) są co do zasady wyłączone – ale istnieją istotne wyjątki.
Kiedy mała firma mimo wszystko podlega NIS2?
Dyrektywa przewiduje sytuacje, w których progi wielkości nie mają znaczenia. Twoja firma może podlegać NIS2 niezależnie od liczby pracowników, jeśli:
- Jest jedynym dostawcą usługi kluczowej w danym państwie członkowskim.
- Jej zakłócenie miałoby znaczący wpływ na bezpieczeństwo publiczne lub gospodarkę.
- Jest dostawcą kwalifikowanych usług zaufania (np. elektronicznych usług certyfikacyjnych).
- Jest rejestratorem nazw domenowych najwyższego poziomu.
- Polska samodzielnie ją wskaże jako podmiot kluczowy lub ważny na mocy krajowych przepisów KSC.
Polski ustawodawca w nowelizacji ustawy o KSC może rozszerzyć listę podmiotów ponad minimalne wymagania dyrektywy – warto śledzić finalne brzmienie przepisów krajowych i w razie wątpliwości skonsultować swoją sytuację z doradcą.
Kryterium 3: czy jesteś dostawcą dla firmy objętej NIS2?
To kwestia najczęściej pomijana przez firmy spoza Załączników I i II. NIS2 nakłada na podmioty kluczowe i ważne obowiązek zarządzania bezpieczeństwem łańcucha dostaw. W praktyce oznacza to:
- Twój klient objęty NIS2 może wymagać od Ciebie dokumentacji bezpieczeństwa, wyników audytów lub spełnienia określonych standardów – nawet jeśli Twoja firma formalnie nie podlega dyrektywie.
- Umowy B2B coraz częściej zawierają klauzule zgodności z NIS2 jako warunek współpracy.
- Brak zgodności po stronie dostawcy może oznaczać utratę kontraktu – bez żadnego postępowania administracyjnego.
Jeśli świadczysz usługi IT, logistyczne, produkcyjne lub serwisowe dla firm z sektora energetyki, finansów, zdrowia lub infrastruktury cyfrowej – sprawdź wymagania swoich klientów, nawet jeśli Twoja firma jest poniżej progów NIS2.
Szybka checklista: czy podlegasz NIS2?
- Sprawdź branżę: czy Twoja firma działa w jednym z sektorów z Załącznika I lub II? (patrz sekcje wyżej)
- Sprawdź wielkość: czy zatrudniasz ≥ 50 osób lub Twój obrót przekracza 10 mln EUR rocznie?
- Sprawdź wyjątki: czy jesteś jedynym dostawcą kluczowej usługi, dostawcą usług zaufania lub podmiotem wskazanym przez polskie przepisy?
- Sprawdź łańcuch dostaw: czy Twoi klienci objęci NIS2 wymagają od Ciebie zgodności jako warunku współpracy?
Jeśli na pytania 1 i 2 odpowiedziałeś TAK – z dużym prawdopodobieństwem podlegasz NIS2. Jeśli TAK tylko na pytanie 3 lub 4 – powinieneś to zweryfikować z prawnikiem lub doradcą IT.
Co grozi za nieprzestrzeganie NIS2?
Dyrektywa wprowadza dwa poziomy sankcji – zależne od kategorii podmiotu:
- Podmioty kluczowe: kara do 10 mln EUR lub 2% całkowitego rocznego obrotu (wyższa z kwot).
- Podmioty ważne: kara do 7 mln EUR lub 1,4% całkowitego rocznego obrotu (wyższa z kwot).
Oprócz kar finansowych dyrektywa przewiduje:
- Osobistą odpowiedzialność członków zarządu za brak nadzoru nad wdrożeniem wymagań.
- Możliwość czasowego zawieszenia prawa do pełnienia funkcji kierowniczych.
- Publiczne ogłoszenie o naruszeniu – ryzyko reputacyjne.
- Nakaz przeprowadzenia audytu bezpieczeństwa na koszt podmiotu.
Organami nadzoru w Polsce są organy sektorowe właściwe dla danej branży (m.in. CSIRT NASK, UKE, UKNF) – każdy w swoim obszarze kompetencji. Postępowania kontrolne wobec podmiotów kluczowych mogą być inicjowane proaktywnie, bez konieczności wcześniejszego incydentu.
Podmiot kluczowy vs podmiot ważny – praktyczna różnica
Obie kategorie mają te same obowiązki techniczne i organizacyjne: zarządzanie ryzykiem, zgłaszanie incydentów, polityki bezpieczeństwa, ciągłość działania i bezpieczeństwo łańcucha dostaw. Różni je sposób nadzoru:
- Podmioty kluczowe – nadzór proaktywny: organy mogą przeprowadzać kontrole bez uprzedniego incydentu, żądać dokumentacji i certyfikatów w dowolnym momencie.
- Podmioty ważne – nadzór reaktywny: kontrola następuje najczęściej po zgłoszeniu incydentu lub skardze.
W obu przypadkach brak udokumentowanych procedur bezpieczeństwa to ryzyko – niezależnie od tego, kiedy i czy w ogóle przyjdzie kontrola.
Jakie obowiązki nakłada NIS2 na objęte firmy?
Jeśli potwierdziłeś, że Twoja firma podlega dyrektywie, musisz wdrożyć m.in.:
- Politykę analizy ryzyka i zarządzania bezpieczeństwem systemów informatycznych.
- Procedury zgłaszania incydentów – wstępne powiadomienie właściwego organu w ciągu 24 godzin od wykrycia.
- Zarządzanie ciągłością działania – plany backupu, przywracania systemów i zarządzania kryzysowego.
- Bezpieczeństwo łańcucha dostaw – weryfikacja dostawców i podwykonawców pod kątem ryzyka cyberbezpieczeństwa.
- Polityki kryptografii i kontroli dostępu, w tym uwierzytelnianie wieloskładnikowe.
- Szkolenia z cyberbezpieczeństwa dla pracowników i zarządu.
- Regularne audyty bezpieczeństwa potwierdzające skuteczność wdrożonych środków.
Pełne omówienie wymagań technicznych i organizacyjnych znajdziesz w artykule Czy Twoja firma jest gotowa na NIS2?, który opisuje minimalne obowiązki dyrektywy krok po kroku.
Co zrobić, jeśli Twoja firma podlega NIS2?
Pierwszym krokiem powinno być ustalenie faktycznego stanu bezpieczeństwa – nie na podstawie przekonania, że „jakoś to jest”, lecz na podstawie rzetelnej oceny luk względem wymagań dyrektywy. To właśnie robi audyt NIS2: weryfikuje polityki, procedury, systemy i dokumentację, a następnie wskazuje konkretne działania do wdrożenia – z priorytetami i realistycznym planem.
Jeśli zastanawiasz się, jak narzędzia, z których już korzystasz, mogą wesprzeć zgodność z NIS2, przeczytaj artykuł jak pakiet Microsoft 365 pomaga spełniać wymagania NIS2.
Nie wiesz, od czego zacząć lub czy w ogóle podlegasz dyrektywie? Skontaktuj się z nami – pomożemy Ci to ustalić i przeprowadzimy audyt zgodności z NIS2, który da Ci jasny obraz sytuacji i plan działania zamiast listy pytań bez odpowiedzi.