NIS2 w Polsce – kogo dotyczy nis2 i czy Twoja firma musi działać

Dyrektywa NIS2 obowiązuje w Polsce od października 2024 roku – a mimo to większość firm wciąż nie wie, czy podlega jej wymaganiom. Nie chodzi o brak zainteresowania. Chodzi o to, że przepisy są napisane językiem prawnym, a lista sektorów i kryteriów liczy kilkadziesiąt pozycji. Manager IT lub właściciel firmy stoi przed prostym pytaniem: czy moja organizacja musi się dostosować, czy mogę to zignorować?

Odpowiedź ma znaczenie finansowe. Jeśli Twoja firma podlega NIS2 i tego nie wiesz – ryzykujesz karę administracyjną, osobistą odpowiedzialność zarządu i wykluczenie z przetargów. Jeśli nie podlega – niepotrzebnie angażujesz zasoby w compliance, którego nie potrzebujesz. Ten artykuł daje Ci narzędzie do samodzielnej weryfikacji: sektory, progi wielkości, wyjątki i polską podstawę prawną. Jeśli chcesz najpierw zrozumieć samą dyrektywę od podstaw, przeczytaj artykuł o tym, jak NIS2 wpłynie na Twój biznes – tutaj zakładamy, że wiesz już, o co chodzi, i chcesz wiedzieć, czy Cię to dotyczy.

NIS2 w skrócie – 3 konkrety

NIS2 (dyrektywa UE 2022/2555), czyli dyrektywa Parlamentu Europejskiego i Rady w sprawie środków na rzecz wysokiego wspólnego poziomu cyberbezpieczeństwa na terytorium Unii, nakłada obowiązki cyberbezpieczeństwa na firmy działające w sektorach uznanych za krytyczne dla gospodarki i społeczeństwa. W Polsce wdrażana jest przez nowelizację ustawy o Krajowym Systemie Cyberbezpieczeństwa (KSC), która ma przenieść postanowień dyrektywy do prawa krajowego i polskiego porządku prawnego. Zastępuje poprzednią dyrektywę NIS z 2016 roku – wprowadzając nowe obowiązki i znacząco rozszerzając katalog firm objętych wymogami w obszarze cyberbezpieczeństwa.

• Obowiązuje od 17 października 2024 roku we wszystkich państwach członkowskich UE.
• Wprowadza dwa poziomy podmiotów: podmioty kluczowe i podmioty ważne – z różnymi reżimami nadzoru i karami.
• Odpowiedzialność za wdrożenie spoczywa bezpośrednio na zarządzie – nie tylko na dziale IT.
• Sankcje sięgają 10 mln EUR lub 2% globalnego obrotu dla podmiotów kluczowych.

Kryterium 1: czy działasz w sektorze objętym NIS2?

NIS2 posługuje się dwoma listami sektorów. To, na której z nich znajdziesz swoją branżę, decyduje o tym, czy jesteś podmiotem kluczowym czy ważnym – i jakie obowiązki oraz kary Cię dotyczą.

Sektory kluczowe (Załącznik I dyrektywy)

Podmioty z tych branż podlegają surowszemu, proaktywnemu nadzorowi i wyższym karom — to sektory kluczowe wymienione w załączniku I NIS 2, obejmujące m.in. energię, transport, bankowość i opiekę zdrowotną; dyrektywa klasyfikuje je jako sektory krytyczne:

• Energetyka (energia elektryczna, gaz, ropa, wodór, ciepłownictwo)
• Transport (lotniczy, kolejowy, wodny śródlądowy, drogowy)
• Bankowość i infrastruktura rynków finansowych
• Ochrona zdrowia (szpitale, laboratoria, producenci leków i wyrobów medycznych)
• Woda pitna i ścieki
• Infrastruktura cyfrowa (dostawcy DNS, TLD, chmury obliczeniowej, CDN, centrów danych, sieci komunikacyjnych)
• Zarządzanie usługami ICT – w tym dostawcy zarządzanych usług IT (MSP) i bezpieczeństwa (MSSP)
• Administracja publiczna
• Przestrzeń kosmiczna

Sektory ważne (Załącznik II dyrektywy)

Podmioty z tych branż, czyli sektorów ważnych wymienionych w załączniku II NIS2, podlegają łagodniejszemu nadzorowi (reaktywnemu), ale obowiązki w zakresie zarządzania ryzykiem i zgłaszania incydentów są analogiczne jak dla sektorów kluczowych:

• Usługi pocztowe i kurierskie
• Gospodarka odpadami
• Produkcja (m.in. wyroby medyczne, komputery, elektronika, maszyny, pojazdy, chemia, żywność)
• Dostawcy usług cyfrowych (platformy handlowe online, wyszukiwarki, sieci społecznościowe)
• Badania naukowe

Ważne dla firm produkcyjnych i logistycznych: sektor produkcji w NIS2 jest bardzo szeroki – obejmuje producentów maszyn, urządzeń elektrycznych, pojazdów i żywności, obok branż takich jak usługi pocztowe i kurierskie czy gospodarka odpadami, a także inne sektory krytyczne. Do tej grupy należą m.in. usługi pocztowe, gospodarka odpadami i produkcja żywności. Jeśli prowadzisz zakład produkcyjny, istnieje duże prawdopodobieństwo, że znajdziesz się na liście podmiotów ważnych.

Kryterium 2: jak duża jest Twoja firma?

Sama branża to nie wszystko. NIS2 wprowadza progi wielkości, które co do zasady decydują o objęciu obowiązkiem; przepisy dotyczą głównie średnie przedsiębiorstwa i duże przedsiębiorstwa, a wielkość podmiotu jest tu podstawowym kryterium kwalifikacji. Dyrektywa stosuje się do:

• Średnich przedsiębiorstw – które co do zasady są kwalifikowane jako podmioty ważne, jeśli zatrudniają co najmniej 50 pracowników lub osiągają roczny obrót albo sumę bilansową powyżej 10 mln EUR.
• Dużych przedsiębiorstw – które co do zasady są kwalifikowane jako podmioty kluczowe, jeśli zatrudniają ponad 250 pracowników lub osiągają obrót powyżej 50 mln EUR / sumę bilansową powyżej 43 mln EUR.

Małe firmy (poniżej 50 pracowników i poniżej 10 mln EUR obrotu), a zwłaszcza mikroprzedsiębiorstwa, są co do zasady wyłączone – ale istnieją istotne wyjątki.

Kiedy mała firma mimo wszystko podlega NIS2?

Dyrektywa przewiduje sytuacje, w których progi wielkości nie mają znaczenia. Samo działanie w danym sektorze nie gwarantuje objęcia przepisami — liczy się też rola, jaką pełni dany podmiot. Twoja firma może podlegać NIS2 niezależnie od liczby pracowników, jeśli:

• Jest jedynym dostawcą usługi kluczowej w danym państwie członkowskim.
• Jej zakłócenie miałoby znaczący wpływ na bezpieczeństwo publiczne lub gospodarkę.
• Jest dostawcą usług zaufania (np. elektronicznych usług certyfikacyjnych).
• Jest rejestratorem nazw domenowych najwyższego poziomu.
• Polska samodzielnie ją wskaże jako podmiot kluczowy lub ważny na mocy krajowych przepisów KSC; państwa członkowskie mogą też identyfikować kluczowe podmioty niezależnie od standardowych progów, jeśli przemawia za tym bezpieczeństwo państwa lub bezpieczeństwa publicznego.

Polski ustawodawca w nowelizacji ustawy o KSC może rozszerzyć listę podmiotów ponad minimalne wymagania dyrektywy – warto śledzić finalne brzmienie przepisów krajowych i w razie wątpliwości skonsultować swoją sytuację z doradcą.

Kryterium 3: czy jesteś dostawcą dla firmy objętej NIS2?

To kwestia najczęściej pomijana przez firmy spoza Załączników I i II. NIS2 wprowadza tu nowe obowiązki dotyczące także łańcucha dostaw, więc mogą one wpływać również na podmioty formalnie nieobjęte dyrektywą. W praktyce oznacza to:

• Twój klient objęty NIS2 może wymagać od Ciebie dokumentacji bezpieczeństwa, wyników audytów lub wdrożenia odpowiednich środków technicznych, np. polityk dostępowych albo potwierdzeń, że dbasz o bezpieczeństwo sieci po stronie dostawcy.
• Umowy B2B coraz częściej zawierają klauzule zgodności z NIS2 jako warunek współpracy.
• Brak zgodności po stronie dostawcy może oznaczać utratę kontraktu – bez żadnego postępowania administracyjnego.

Jeśli świadczysz usługi IT, logistyczne, produkcyjne lub serwisowe dla firm z sektora energetyki, finansów, zdrowia lub infrastruktury cyfrowej – sprawdź wymagania swoich klientów, nawet jeśli Twoja firma jest poniżej progów NIS2.

Szybka checklista: czy podlegasz NIS2?

1. Sprawdź branżę: czy Twoja firma działa w jednym z sektorów z Załącznika I lub II? (patrz sekcje wyżej)
2. Sprawdź wielkość: czy zatrudniasz ≥ 50 osób lub Twój obrót przekracza 10 mln EUR rocznie? Na tym etapie podmioty muszą samodzielnie ocenić swoje kryteria kwalifikacji.
3. Sprawdź wyjątki: czy jesteś jedynym dostawcą kluczowej usługi, dostawcą usług zaufania lub podmiotem wskazanym przez polskie przepisy?
4. Sprawdź łańcuch dostaw: czy Twoi klienci objęci NIS2 wymagają od Ciebie zgodności jako warunku współpracy?

NIS2 wprowadza zasadę samookreślenia podmiotów oraz mechanizm samoidentyfikacji dla podmiotów kluczowych i ważnych w obszarze spraw cyberbezpieczeństwa.

Jeśli na pytania 1 i 2 odpowiedziałeś TAK – z dużym prawdopodobieństwem podlegasz NIS2. Jeśli TAK tylko na pytanie 3 lub 4 – powinieneś to zweryfikować z prawnikiem lub doradcą IT. Rejestracja podmiotów odbywa się elektronicznie do właściwego rejestru prowadzonego przez organ właściwy, a brak zgłoszenia mimo spełniania kryteriów może skutkować sankcjami.

Co grozi za nieprzestrzeganie NIS2?

Dyrektywa wprowadza dwa poziomy sankcji – zależne od kategorii podmiotu:

• Podmioty kluczowe: kara do 10 mln EUR lub 2% całkowitego rocznego obrotu (wyższa z kwot).
• Podmioty ważne: kara do 7 mln EUR lub 1,4% całkowitego rocznego obrotu (wyższa z kwot).

Oprócz kar finansowych dyrektywa przewiduje:

• Osobistą odpowiedzialność członków zarządu – zarządy firm mogą ponosić osobistą odpowiedzialność za brak nadzoru nad wdrożeniem wymagań.
• Możliwość czasowego zawieszenia prawa do pełnienia funkcji kierowniczych, co w praktyce może oznaczać zakaz pełnienia funkcji kierowniczych.
• Publiczne ogłoszenie o naruszeniu – ryzyko reputacyjne.
• Nakaz przeprowadzenia audytu bezpieczeństwa na koszt podmiotu.

Organami nadzoru w Polsce są organy sektorowe właściwe dla danej branży (m.in. CSIRT NASK, UKE, UKNF) – każdy w swoim obszarze kompetencji. Kary są stosowane po postępowaniach kontrolnych i stwierdzeniu naruszeń przez organ właściwy, co pokazuje znaczenie nadzoru i egzekwowania prawa. Postępowania kontrolne wobec podmiotów kluczowych mogą być inicjowane proaktywnie, bez konieczności wcześniejszego incydentu.

Podmiot kluczowy vs podmiot ważny – praktyczna różnica

Obie kategorie mają te same obowiązki techniczne i organizacyjne: m.in. środki zarządzania ryzykiem, zgłaszanie incydentów, polityki bezpieczeństwa, ciągłość działania i działania w zakresie cyberbezpieczeństwa. Różni je sposób nadzoru:

• Podmioty kluczowe – nadzór proaktywny: organy mogą przeprowadzać kontrole bez uprzedniego incydentu, żądać dokumentacji i certyfikatów w dowolnym momencie.
• Podmioty ważne – nadzór reaktywny: kontrola następuje najczęściej po zgłoszeniu incydentu lub skardze.

W praktyce podmioty kluczowe częściej muszą też wykazać prowadzenie regularnych audytów, planów awaryjnych i szkoleń.

W obu przypadkach brak udokumentowanych procedur bezpieczeństwa to ryzyko – niezależnie od tego, kiedy i czy w ogóle przyjdzie kontrola.

Jakie obowiązki w zakresie cyberbezpieczeństwa nakłada NIS2 na objęte firmy?

Jeśli potwierdziłeś, że Twoja firma podlega dyrektywie, musisz wdrożyć m.in.:

• Politykę analizy ryzyka i zarządzania bezpieczeństwem systemów informatycznych, obejmującą identyfikację potencjalne zagrożenia oraz dobór proporcjonalnych środków technicznych.
• Procedury zgłaszania incydentów – regulacje NIS2 przewidują rygorystyczne obowiązki zgłaszania incydentów poważnych i poważnych incydentów, w tym wczesne ostrzeżenie w ciągu 24 godzin od wykrycia incydentu. Dalsze etapy raportowania obejmują kolejne aktualizacje i sprawozdanie końcowe.
• Zarządzanie ciągłością działania – plany backupu, przywracania systemów i zarządzania kryzysowego jako element zarządzania ryzykiem w cyberbezpieczeństwie.
• Bezpieczeństwo łańcucha dostaw – weryfikacja dostawców i podwykonawców pod kątem ryzyka cyberbezpieczeństwa.
• Polityki kryptografii i kontroli dostępu, w tym uwierzytelnianie wieloskładnikowe.
• Szkolenia z cyberbezpieczeństwa dla pracowników i zarządu.
• Regularne audyty bezpieczeństwa potwierdzające skuteczność wdrożonych środków.

Pełne omówienie wymagań technicznych i organizacyjnych znajdziesz w artykule Czy Twoja firma jest gotowa na NIS2?, który opisuje minimalne obowiązki dyrektywy krok po kroku.

Co zrobić, jeśli Twoja firma podlega NIS2?

Pierwszym krokiem powinno być ustalenie faktycznego stanu bezpieczeństwa – nie na podstawie przekonania, że „jakoś to jest”, lecz na podstawie rzetelnej oceny luk względem wymagań dyrektywy. To właśnie robi audyt NIS2: weryfikuje polityki, procedury, systemy i dokumentację, a następnie wskazuje konkretne działania do wdrożenia – z priorytetami i realistycznym planem. Dziś ma to większe znaczenie niż wcześniej, bo w Polsce w lutym 2023 za operatorów usług kluczowych uznano 395 podmiotów, a po wdrożeniu nis 2 przez nowelizację ustawy o KSC regulacja może objąć około 38 tysięcy podmiotów.

Jeśli zastanawiasz się, jak narzędzia, z których już korzystasz, mogą wesprzeć zgodność z NIS2, przeczytaj artykuł jak pakiet Microsoft 365 pomaga spełniać wymagania NIS2.

Nie wiesz, od czego zacząć lub czy w ogóle podlegasz dyrektywie? Skontaktuj się z nami – pomożemy Ci to ustalić i przeprowadzimy audyt NIS2, który da Ci jasny obraz sytuacji i plan działania zamiast listy pytań bez odpowiedzi.

Artykuł ma charakter praktyczny i informacyjny – nie jest poradą prawną. Stan prawny: listopad 2026 r.