Firmy przygotowujące się do spełnienia wymagań NIS2 bardzo często zadają jedno pytanie: kto właściwie odpowiada za wdrożenie nowych obowiązków? Czy jest to dział IT, kancelaria prawna, specjalista ds. bezpieczeństwa, a może zarząd?

Odpowiedź może zaskoczyć wiele organizacji. Choć wdrożenie NIS2 wymaga współpracy wielu osób, to odpowiedzialność za cyberbezpieczeństwo oraz zgodność z przepisami spoczywa przede wszystkim na organie zarządzającym przedsiębiorstwem. To właśnie dlatego wiele firm rozpoczyna przygotowania od audytu NIS2, który pozwala określić zakres obowiązków, wykryć luki bezpieczeństwa i przygotować plan wdrożenia.

W tym artykule wyjaśnimy:

• kto odpowiada za wdrożenie NIS2,
• jakie obowiązki ma zarząd,
• jaka jest rola działu IT,
• w czym pomaga prawnik,
• jakie sankcje mogą grozić za zaniedbania,
• jak skutecznie wdrożyć wymagania NIS2.

Dlaczego NIS2 nie jest wyłącznie projektem IT w krajowym systemie cyberbezpieczeństwa?

Jednym z najczęściej spotykanych błędów jest przekonanie, że wdrożenie NIS2 to zadanie wyłącznie dla administratorów i działu IT.

W rzeczywistości dyrektywa obejmuje znacznie więcej niż kwestie techniczne. Jako dyrektywa parlamentu europejskiego obowiązuje od 17 października 2024 roku, ale odpowiedzialność za wdrożenie NIS2 w Polsce jest rozproszona. Główną rolę legislacyjną pełni Ministerstwo Cyfryzacji, a nowe przepisy w Polsce mają wejść w życie 3 kwietnia 2026 roku. Oprócz zabezpieczeń infrastruktury organizacja musi zadbać między innymi o obowiązki obejmujące sektory istotne, w tym usługi cyfrowe, oraz o:

• zarządzanie ryzykiem,
• procedury reagowania na incydenty,
• polityki bezpieczeństwa,
• ciągłość działania,
• bezpieczeństwo dostawców,
• szkolenia kadry zarządzającej,
• dokumentację zgodności.

Jeżeli nie masz pewności, czy nowe regulacje dotyczą również Twojej organizacji, sprawdź artykuł kogo dotyczy NIS2 i jakie konsekwencje grożą za brak zgodności.

Kto odpowiada za wdrożenie NIS2?

Formalnie za wdrożenie NIS2 odpowiada kierownictwo organizacji, czyli zarząd lub inny organ zarządzający, a w ujęciu ustawowym także kierownika podmiotu.

Nie oznacza to oczywiście, że członkowie zarządu samodzielnie przygotowują polityki bezpieczeństwa czy konfigurują systemy IT. Ich obowiązkiem jest zapewnienie, że organizacja wdrożyła odpowiednie środki bezpieczeństwa oraz że cały proces jest właściwie nadzorowany, jeśli jest to podmiotu kluczowego lub ważnego, w tym gdy chodzi o podmioty ważne albo podmiot kluczowy w Polsce. Chodzi tu o wykonywanie obowiązków i realizację obowiązków w zakresie cyberbezpieczeństwa, a za ich niewykonanie odpowiada zarząd.

Zarząd powinien:

• zatwierdzać środki bezpieczeństwa,
• akceptować analizę ryzyka,
• monitorować postęp wdrożenia,
• zapewnić odpowiedni budżet,
• nadzorować realizację działań naprawczych,
• uczestniczyć w szkoleniach z cyberbezpieczeństwa.

W praktyce oznacza to, że odpowiedzialność za NIS2 nie może zostać całkowicie przeniesiona na IT Managera, administratora czy kancelarię prawną, bo samo powierzenie zadań innym osobom nie zwalnia kierownika z odpowiedzialności.

Odpowiedzialność zarządu w NIS2

Temat odpowiedzialności kierownictwa jest jednym z najważniejszych elementów całej dyrektywy.

W przeciwieństwie do wielu wcześniejszych regulacji NIS2 wymaga aktywnego zaangażowania kadry zarządzającej w kwestie cyberbezpieczeństwa. W efekcie cyberbezpieczeństwo przestaje być wyłącznie domeną IT i staje się obszarem odpowiedzialności członków organu. Zarząd powinien posiadać wiedzę dotyczącą zagrożeń, rozumieć ryzyka biznesowe związane z cyberatakami i regularnie otrzymywać raporty dotyczące poziomu bezpieczeństwa organizacji, bo ma to kluczowe znaczenie dla nadzoru w obszarze cyberbezpieczeństwa i celu zapewnienia zgodności.

Do najważniejszych obowiązków zarządu należą:

Nadzór nad analizą ryzyka

Organizacja powinna regularnie identyfikować zagrożenia oraz oceniać ich wpływ na działalność biznesową, a nadzór powinien obejmować formalne procedury zarządzania ryzykiem, a nie tylko jednorazową analizę, zwłaszcza gdy chodzi o ryzyka wpływające na działalności gospodarczej organizacji.

Zatwierdzanie polityk bezpieczeństwa

Dokumenty mogą zostać opracowane przez specjalistów, ale ich formalne przyjęcie należy do kierownictwa.

Nadzór nad planem ciągłości działania

Zarząd powinien wiedzieć, jak firma będzie funkcjonować podczas awarii, cyberataku lub incydentu bezpieczeństwa.

Kontrola bezpieczeństwa dostawców

NIS2 wymaga uwzględnienia ryzyka związanego z podwykonawcami i dostawcami usług ICT, a w niektórych przypadkach także oceny pod kątem uznania za dostawcę wysokiego ryzyka z perspektywy bezpieczeństwa państwa.

Szkolenia z cyberbezpieczeństwa

Członkowie organów zarządzających powinni raz w roku odbyć udokumentowane szkolenie z cyberbezpieczeństwa, tak aby świadomie podejmować decyzje dotyczące bezpieczeństwa. Obowiązek ten obejmuje także osobę, dla której wskazano osoby odpowiedzialnej za cyberbezpieczeństwo, a gdy powierzono obowiązki kierownika — również taką osobę; dotyczy więc nie tylko tego, kto pełni funkcję członek zarządu, ale także gdy chodzi o kierownik podmiotu kluczowego.

Jeżeli chcesz dokładnie poznać potencjalne konsekwencje dla przedsiębiorstwa i kadry kierowniczej, przeczytaj również artykuł odpowiedzialność zarządu za zgodność z NIS2.

Jaką rolę pełni dział IT?

Dział IT jest jednym z najważniejszych uczestników projektu wdrożeniowego, jednak nie jest jedynym właścicielem procesu.

To właśnie specjaliści IT odpowiadają za wdrożenie technicznych środków bezpieczeństwa, takich jak:

• uwierzytelnianie wieloskładnikowe,
• systemy kopii zapasowych,
• monitoring infrastruktury,
• segmentacja sieci,
• zarządzanie dostępami,
• ochrona stacji roboczych,
• zabezpieczenie środowiska Microsoft 365,
• wykrywanie i reagowanie na incydenty.

Dział IT odpowiada za realizację działań technicznych, jednak za zgodność organizacji jako całości odpowiada kierownictwo.

Jaka jest rola prawnika podczas wdrożenia NIS2?

Prawnik odpowiada za interpretację wymagań regulacyjnych oraz wsparcie organizacji w przygotowaniu formalnej strony projektu.

Zakres jego działań obejmuje najczęściej:

• ocenę obowiązków wynikających z NIS2,
• analizę zgodności z ustawą KSC, czyli z ustawą o krajowym systemie cyberbezpieczeństwa,
• wsparcie przy tworzeniu procedur,
• przegląd umów z dostawcami,
• przygotowanie zapisów dotyczących bezpieczeństwa informacji,
• wsparcie podczas kontroli.

Prawnik pomaga też ocenić obowiązki wynikające z regulacji o krajowym systemie cyberbezpieczeństwa wobec podmiotów publicznych oraz firm objętych ustawą.

Właśnie dlatego najlepsze efekty przynosi współpraca zespołu składającego się z zarządu, działu IT oraz specjalistów prawnych.

Czy można delegować odpowiedzialność za NIS2?

To jedno z najczęściej wyszukiwanych pytań przez członków zarządu.

Można delegować wykonywanie zadań z zakresu cyberbezpieczeństwa oraz dokonać wewnętrznego podziału odpowiedzialności. Nie można natomiast przenieść osobistej odpowiedzialności kierownika ani członka zarządu, w tym jednej wobec spółki i wobec organu nadzoru.

Oznacza to, że:

• firma może zatrudnić zewnętrznych konsultantów,
• może skorzystać z usług audytorów,
• może przekazać obowiązki techniczne działowi IT,
• może wyznaczyć koordynatora projektu.

Nawet gdy obowiązki powierzono innym osobom, nie zwalnia kierownika to z nadzoru nad ich realizacją.

Jednak w przypadku kontroli organ nadzorczy będzie oceniał również skuteczność nadzoru sprawowanego przez kierownictwo organizacji.

Jeżeli dopiero rozpoczynasz przygotowania, warto sprawdzić również artykuł jak wdrożyć NIS2 krok po kroku.

Jakie kary mogą grozić za brak wdrożenia NIS2?

NIS2 przewiduje dotkliwe sankcje finansowe i organizacyjne.

Kary pieniężne dla podmiotów kluczowych mogą sięgać 10 mln EUR lub 2% rocznego obrotu, a ich wymiar zależy od zasad obowiązujących i czasu usunięcia uchybień.

W praktyce kierownik podmiotu ważnego ponosi odpowiedzialność osobistą: kara pieniężna może wynieść do 300% wynagrodzenia kierownika, dla kierowników podmiotów publicznych do 100%, a przy ustalaniu ekwiwalentu pieniężnego pojawiają się też odniesienia do ekwiwalentu pieniężnego.

Sankcja może zostać nałożona także wtedy, gdy zaniechanie miało charakter jednorazowy, a kary za niewykonanie obowiązków mogą wynosić do 600% wynagrodzenia; są one wymierzane niezależnie od kary dla samego podmiotu, na podstawie Kodeksu postępowania administracyjnego.

Jeżeli chcesz poznać szczegóły sankcji przewidzianych przez przepisy, przeczytaj również artykuł kary za brak zgodności z NIS2.

Jak wygląda wdrożenie NIS2 krok po kroku?

Najczęściej proces wygląda następująco.

1. Weryfikacja obowiązków

Sprawdzenie, czy organizacja podlega NIS2, w tym ustalenie, czy jest to podmiotu kluczowego lub ważnego oraz czy działa na terytorium Unii.

2. Audyt zgodności

Ocena obecnego poziomu bezpieczeństwa oraz identyfikacja luk.

W praktyce najskuteczniejszym sposobem rozpoczęcia projektu jest wykonanie audytu NIS2, który pokazuje, które wymagania organizacja już spełnia, a które wymagają dodatkowych działań.

3. Analiza ryzyka

Określenie najważniejszych zagrożeń dla biznesu oraz powiązanie analizy ryzyka z systemem zarządzania bezpieczeństwem informacji w organizacji; podmioty kluczowe powinny wdrożyć SZBI.

4. Opracowanie planu działań

Przygotowanie harmonogramu wdrożenia, który powinien wskazywać adekwatne środki finansowe oraz osoby odpowiedzialne za realizację obowiązków.

5. Wdrożenie środków bezpieczeństwa

Realizacja działań technicznych i organizacyjnych, w tym procedur zgłaszania incydentów do CSIRT przez podmioty kluczowe w określonych terminach, obejmuje także wczesne ostrzeżenie.

6. Dokumentacja i procedury

Przygotowanie wymaganej dokumentacji, w tym także zgłoszenie do wykazu podmiotów kluczowych. Samorejestracja powinna nastąpić w ciągu 6 miesięcy od spełnienia kryteriów – dla podmiotów, które spełniały je w dniu wejścia ustawy, termin minął 3 października 2026 roku; aktualizacja danych wymaga złożenia wniosku o zmianę wpisu.

7. Ciągłe utrzymanie zgodności

Regularna aktualizacja analiz ryzyka oraz testowanie procedur, przy czym utrzymanie zgodności trwa także po wejściu ustawy w życie i obejmuje stały nadzór, jaki sprawuje organ właściwy nad dojrzałością procesów; pełny okres dostosowawczy podmiotów objętych ustawą kończy się 3 kwietnia 2027 roku.

Jeżeli chcesz sprawdzić, jak przygotować organizację do kontroli, przeczytaj również artykuł jak przygotować się do audytu NIS2.

Checklista dla zarządu

Przed rozpoczęciem wdrożenia odpowiedz na poniższe pytania:

• Czy wiemy, czy podlegamy NIS2?
• Czy przeprowadzono audyt zgodności?
• Czy została wykonana analiza ryzyka?
• Czy istnieje plan ciągłości działania?
• Czy opracowano procedurę zgłaszania incydentów?
• Czy zarząd uczestniczył w szkoleniach z cyberbezpieczeństwa co najmniej raz w roku?
• Czy personel zna obowiązki w zakresie cyberbezpieczeństwa?
• Czy oceniono ryzyka związane z dostawcami?
• Czy organizacja posiada aktualną dokumentację bezpieczeństwa?
• Czy wskazano osobę odpowiedzialną za spraw cyberbezpieczeństwa i czy jego obowiązki są udokumentowane?
• Czy wyznaczono właściciela projektu NIS2?

Jeżeli na kilka pytań odpowiedź brzmi „nie”, warto rozpocząć przygotowania od profesjonalnej oceny stanu obecnego.

Podsumowanie

Odpowiedź na pytanie „kto odpowiada za wdrożenie NIS2?” jest jednoznaczna. Za zgodność organizacji odpowiada zarząd, natomiast skuteczne wdrożenie wymaga współpracy działu IT, specjalistów cyberbezpieczeństwa oraz prawników.

Największym ryzykiem nie są obecnie braki technologiczne, lecz brak nadzoru, analizy ryzyka i odpowiedniej dokumentacji. To właśnie te obszary najczęściej stają się problemem podczas kontroli. W Polsce nowelizacja ustawy weszła w życie 3 kwietnia 2026 roku. NIS2 nie przesądza wprost o odpowiedzialności karnej, koncentrując się przede wszystkim na odpowiedzialności administracyjnej i nadzorczej.

Jeżeli chcesz zweryfikować poziom przygotowania swojej organizacji i otrzymać konkretny plan działań, skorzystaj z audytu NIS2. Dzięki temu szybko określisz obowiązki swojej firmy i przygotujesz się do nowych wymagań wynikających z ustawy KSC i dyrektywy NIS2.

Artykuł ma charakter praktyczny i informacyjny – nie jest poradą prawną. Stan prawny: listopad 2026 r.