Firma logistyczna z Pomorza dowiaduje się z pisma CERT Polska, że zakwalifikowano ją jako podmiot kluczowy w sektorze transportu. Termin na wdrożenie środków bezpieczeństwa – minął. Kara administracyjna za brak zgodności może sięgnąć 10 000 000 EUR lub 2% całkowitego rocznego obrotu. Zarząd nie wiedział, że dyrektywa NIS2 w ogóle ich dotyczy.

Dyrektywa NIS2 (Dyrektywa Parlamentu Europejskiego i Rady UE 2022/2555) nakłada na podmioty kluczowe i ważne obowiązki z zakresu cyberbezpieczeństwa, zarządzania ryzykiem i raportowania incydentów. Termin transpozycji do prawa polskiego upłynął 17 października 2024 roku. Polska nie uchwaliła jeszcze pełnej ustawy implementującej – co nie zwalnia podmiotów z obowiązku przygotowania się do wymogów dyrektywy, ponieważ ich zakres wynika bezpośrednio z tekstu NIS2.

Ten materiał analizuje, kogo NIS2 dotyczy jako podmiot kluczowy, jakie obowiązki nakłada w praktyce, jak polska implementacja wpisuje się w szerszy kontekst regulacji cyfrowych – AI Act, DORA, RODO – oraz jaką strategię wdrożenia warto przyjąć, by uniknąć nieodwracalnych konsekwencji prawnych i operacyjnych.

Kogo NIS2 uznaje za podmiot kluczowy i dlaczego to rozróżnienie ma znaczenie?

NIS2 dzieli podmioty na dwie kategorie: kluczowe i ważne. Różnica nie jest kosmetyczna – decyduje o rygorze nadzoru i wysokości potencjalnych kar. Podmiot kluczowy podlega nadzorowi ex ante, czyli regulatorowi wolno przeprowadzić kontrolę bez uprzedniego incydentu. Podmiot ważny odpowiada ex post – kontrolę wyzwala dopiero naruszenie lub skarga.

Do podmiotów kluczowych zaliczają się duże przedsiębiorstwa działające w sektorach: energetyka, transport, bankowość, infrastruktura rynków finansowych, ochrona zdrowia, woda pitna i ścieki, infrastruktura cyfrowa (w tym dostawcy usług DNS, rejestry nazw TLD, centra danych), zarządzanie usługami ICT oraz administracja publiczna. Próg wielkości – co do zasady – to co najmniej 250 pracowników lub obrót powyżej 50 000 000 EUR i suma bilansowa powyżej 43 000 000 EUR. Jednak dyrektywa przewiduje wyjątki: niezależnie od wielkości podmiot może zostać zakwalifikowany jako kluczowy, jeśli jego zakłócenie wywołałoby znaczące skutki systemowe.

W praktyce oznacza to, że mniejszy operator infrastruktury krytycznej – regionalny dostawca energii, szpital powiatowy, operator węzła internetowego – może zostać objęty pełnym reżimem podmiotów kluczowych. CERT Polska i właściwe organy sektorowe (Urząd Regulacji Energetyki, Komisja Nadzoru Finansowego, Urząd Komunikacji Elektronicznej) uczestniczą w procesie identyfikacji. Brak formalnej notyfikacji ze strony organu nie oznacza, że podmiot jest poza zakresem dyrektywy – obowiązek samoidentyfikacji spoczywa na samym podmiocie.

Z perspektywy regulacji cyfrowych, NIS2 tworzy fundament, na którym nadbudowują się DORA dla sektora finansowego i AI Act dla dostawców systemów sztucznej inteligencji. Podmiot kluczowy działający jednocześnie w sektorze finansowym musi spełniać wymogi obu reżimów – co wymaga skoordynowanego podejścia do zarządzania ryzykiem ICT. Więcej o wymogach DORA znajdą Państwo w naszej analizie: DORA – kto musi wdrożyć i do kiedy.

Jakie obowiązki nakłada NIS2 na podmiot kluczowy w Polsce?

Obowiązki podmiotów kluczowych można podzielić na cztery bloki: zarządzanie ryzykiem cyberbezpieczeństwa, raportowanie incydentów, bezpieczeństwo łańcucha dostaw oraz odpowiedzialność organów zarządzających. Każdy z tych bloków ma konkretne terminy i wymagania proceduralne.

Zarządzanie ryzykiem to nie jednorazowy projekt, lecz ciągły proces. NIS2 wymaga wdrożenia polityk analizy ryzyka, polityk bezpieczeństwa systemów informacyjnych, procedur obsługi incydentów, planów ciągłości działania i zarządzania kryzysowego, a także polityk dotyczących kryptografii i szyfrowania. Podmiot kluczowy musi udokumentować każdy z tych elementów. Organy nadzorcze mogą zażądać dokumentacji w każdej chwili.

Raportowanie incydentów przebiega trójstopniowo. Wczesne ostrzeżenie trafia do właściwego CSIRT (w Polsce: CERT Polska lub sektorowy CSIRT) w ciągu 24 godzin od wykrycia incydentu. Powiadomienie o incydencie następuje w ciągu 72 godzin – z oceną jego powagi i wstępnymi wskaźnikami. Sprawozdanie końcowe składa się w ciągu 30 dni. Niedotrzymanie terminu 24-godzinnego grozi sankcjami niezależnie od tego, czy incydent spowodował realne szkody.

Bezpieczeństwo łańcucha dostaw to obszar, który w polskiej praktyce jest najczęściej niedoceniany. NIS2 wymaga, by podmiot kluczowy oceniał poziom cyberbezpieczeństwa swoich dostawców i podwykonawców. Umowy z dostawcami oprogramowania, usług chmurowych i outsourcingu IT muszą zawierać klauzule dotyczące wymogów bezpieczeństwa. W praktyce – wiele firm o tym zapomina – ryzyko pochodzi nie od własnych systemów, lecz od zewnętrznych integratorów.

Odpowiedzialność organów zarządzających to novum NIS2. Dyrektywa wprost wymaga, by zarząd zatwierdzał środki zarządzania ryzykiem cyberbezpieczeństwa i nadzorował ich wdrożenie. Członkowie zarządu mogą ponosić odpowiedzialność osobistą za naruszenia wynikające z zaniechania. W kontekście polskim – przy równoległym stosowaniu art. 293 § 1 k.s.h. dotyczącego odpowiedzialności członka zarządu za szkodę wyrządzoną spółce – zaniedbanie obowiązków NIS2 może stanowić podstawę roszczenia odszkodowawczego ze strony samej spółki.

Jak polska implementacja NIS2 wypada na tle regulacji DORA, AI Act i RODO?

Polska nie uchwaliła do dnia publikacji tego materiału ustawy w pełni implementującej NIS2. Projekt nowelizacji ustawy o krajowym systemie cyberbezpieczeństwa (u.k.s.c.) jest procedowany, jednak prace legislacyjne trwają. Termin transpozycji – 17 października 2024 r. – minął. Komisja Europejska może wszcząć postępowanie o naruszenie Traktatu wobec Polski, co jest ryzykiem dla państwa, ale nie dla podmiotów prywatnych bezpośrednio.

Dla podmiotów kluczowych brak krajowej implementacji nie oznacza braku obowiązków. Dyrektywa NIS2 zawiera wymagania na tyle szczegółowe, że podmioty mogą – i powinny – budować programy zgodności na jej tekście bezpośrednio. Właściwe organy krajowe (CERT Polska, organy sektorowe) stosują wymogi dyrektywy w praktyce nadzorczej już teraz.

Nakładanie się regulacji cyfrowych tworzy złożony obraz. RODO (Rozporządzenie UE 2016/679) nakłada obowiązki w zakresie ochrony danych osobowych, w tym zgłaszania naruszeń do UODO w ciągu 72 godzin – termin zbieżny z NIS2, lecz adresowany do innego organu. Incydent cyberbezpieczeństwa dotyczący danych osobowych uruchamia oba reżimy jednocześnie. Podmiot kluczowy musi mieć procedurę, która rozdziela raportowanie do CERT Polska i do UODO.

DORA (Rozporządzenie UE 2022/2554), w życie od 17 stycznia 2025 r., stosuje się do podmiotów sektora finansowego nadzorowanych przez KNF. Podmiot finansowy będący jednocześnie podmiotem kluczowym NIS2 działa pod podwójnym reżimem zarządzania ryzykiem ICT. Co istotne, DORA jest rozporządzeniem – stosuje się bezpośrednio, bez transpozycji. AI Act (Rozporządzenie UE 2024/1689), obowiązujący od 1 sierpnia 2024 r., nakłada dodatkowe wymogi na dostawców i operatorów systemów AI wysokiego ryzyka, co może dotyczyć podmiotów kluczowych stosujących automatyczne systemy decyzyjne w infrastrukturze krytycznej.

Spójność tych regulacji wymaga jednego rejestru ryzyk, który obsługuje jednocześnie NIS2, DORA i RODO. Budowanie oddzielnych silosów compliance dla każdej regulacji to błąd kosztowy i operacyjny. Uważamy, że bezpieczniejszym rozwiązaniem jest jedno zintegrowane podejście do zarządzania ryzykiem cyfrowym – z mapą pokrywania się wymogów i jednym właścicielem procesu w zarządzie.

Warto w tym kontekście zwrócić uwagę na wymogi dotyczące ochrony sygnalistów, które od 25 września 2024 r. obejmują wszystkich pracodawców zatrudniających ponad 50 pracowników. Podmiot kluczowy powinien upewnić się, że jego kanał zgłoszeń wewnętrznych obejmuje również incydenty bezpieczeństwa IT. Szczegóły dotyczące polityki ochrony sygnalistów opisujemy w odrębnym materiale: Polityka ochrony sygnalistów – jak napisać zgodnie z ustawą.

Jakie są praktyczne pułapki wdrożenia NIS2 i jak je ominąć?

Operator centrum danych z Mazowsza zidentyfikował się jako podmiot ważny, nie kluczowy – i zbudował program zgodności pod niższy reżim. Po audycie organu nadzorczego okazało się, że obsługuje infrastrukturę DNS dla trzech operatorów telekomunikacyjnych, co automatycznie kwalifikuje go jako podmiot kluczowy. Koszt dostosowania programu do wyższego reżimu – kilkanaście miesięcy pracy i wydatki rzędu kilkuset tysięcy złotych.

Pierwsza pułapka to błędna samoidentyfikacja. Podmioty zbyt wąsko interpretują definicję sektora lub wielkości przedsiębiorstwa. Rekomendujemy przeprowadzenie formalnej analizy kwalifikacyjnej z udziałem prawnika i eksperta technicznego – nie wystarczy lektura listy sektorów z dyrektywy.

Druga pułapka to traktowanie NIS2 jako projektu IT. Zarząd deleguje całość do działu bezpieczeństwa i uważa temat za zamknięty. Tymczasem dyrektywa wymaga aktywnego zaangażowania organów zarządzających. Zarząd musi nie tylko zatwierdzić polityki, lecz regularnie uczestniczyć w przeglądach ryzyka. Brak udokumentowanego zaangażowania zarządu to jeden z pierwszych punktów kontrolnych podczas audytu.

Trzecia pułapka to zaniedbanie łańcucha dostaw. Podmiot wdraża wzorowe procedury wewnętrzne, ale nie weryfikuje dostawców chmury, oprogramowania ERP ani firm outsourcingowych. NIS2 wymaga, by umowy z dostawcami zawierały konkretne wymogi bezpieczeństwa – nie ogólne klauzule, lecz zobowiązania do certyfikacji, audytów i raportowania incydentów.

Czwarta pułapka to brak procedury testowania. Dyrektywa wymaga regularnego testowania środków bezpieczeństwa – w tym testów penetracyjnych i ćwiczeń reagowania na incydenty. Podmiot, który wdroży polityki bez ich przetestowania, spełni literę wymagań, ale nie ich cel. Organy nadzorcze oceniają skuteczność, nie tylko istnienie dokumentów.

Co przygotować – lista kontrolna:

  • Formalna analiza kwalifikacyjna (podmiot kluczowy czy ważny) z dokumentacją uzasadnienia
  • Rejestr ryzyk cyberbezpieczeństwa zatwierdzony przez zarząd – aktualizowany co najmniej raz w roku
  • Procedura raportowania incydentów z rozdziałem na CERT Polska i UODO oraz terminami 24h/72h/30 dni
  • Klauzule bezpieczeństwa w umowach z dostawcami ICT, chmury i outsourcingu
  • Plan testów bezpieczeństwa – testy penetracyjne co najmniej raz w roku, ćwiczenia kryzysowe co najmniej raz na dwa lata

Jaka strategia wdrożenia NIS2 minimalizuje ryzyko dla podmiotu kluczowego w Polsce?

Firma produkcyjna z Wielkopolski, działająca w sektorze energetycznym jako operator małej instalacji OZE, uruchomiła program zgodności NIS2 na 18 miesięcy przed spodziewanym wejściem w życie krajowej ustawy. W momencie publikacji tego materiału ma pełną dokumentację, przeszkolony zarząd i przetestowane procedury reagowania. Jej konkurent, który czekał na krajową ustawę, jest o 14 miesięcy z tyłu.

Strategia wdrożenia dla podmiotu kluczowego powinna przebiegać w czterech fazach. Faza pierwsza – kwalifikacja i ocena luk (gap analysis) – trwa od 4 do 8 tygodni. Jej wynikiem jest mapa różnic między obecnym stanem bezpieczeństwa a wymogami NIS2. Faza druga – budowa dokumentacji i polityk – trwa od 8 do 16 tygodni. Faza trzecia – wdrożenie techniczne i szkolenia zarządu – od 3 do 6 miesięcy. Faza czwarta – testy, audyt wewnętrzny i certyfikacja – co najmniej 2 miesiące.

Łączny czas wdrożenia dla podmiotu kluczowego bez wcześniejszego programu cyberbezpieczeństwa wynosi od 9 do 18 miesięcy. Podmioty, które nie zaczęły, tracą ten czas nieodwracalnie. Kara administracyjna za brak zgodności może sięgnąć 10 000 000 EUR lub 2% całkowitego rocznego obrotu – i jest nakładana na podmiot, nie na dział IT.

W wymiarze cross-border: podmiot kluczowy działający w kilku państwach UE podlega nadzorowi organu w państwie swojej głównej siedziby. Dla polskich firm z oddziałami w Niemczech, Czechach lub krajach bałtyckich oznacza to, że polska implementacja NIS2 będzie miała zastosowanie do całej grupy. Koordynacja z lokalnymi prawnikami w każdej jurysdykcji jest niezbędna – wymogi krajowe mogą być surowsze niż minimalne standardy dyrektywy.

Z perspektywy strategicznej – regulacja wyprzedza rynek. Podmioty, które zbudują dojrzały program cyberbezpieczeństwa teraz, uzyskają przewagę konkurencyjną przy przetargach publicznych, negocjacjach z ubezpieczycielami cyber i due diligence inwestorów. Zgodność NIS2 staje się elementem wartości firmy, nie tylko kosztem compliance.

Konkretna sytuacja Państwa firmy – sektor, wielkość, struktura IT, dostawcy – determinuje zakres i koszt wdrożenia. Opóźnienie oznacza nie tylko ryzyko kary, lecz nieodwracalne luki w dokumentacji, które trudno naprawić po rozpoczęciu postępowania nadzorczego.

Jeśli Państwa spółka działa w sektorze objętym NIS2 i nie przeprowadziła jeszcze analizy kwalifikacyjnej – przeprowadzimy ocenę statusu, analizę luk i plan wdrożenia: info@kordeckipartners.com.

Często zadawane pytania

P: Czy brak polskiej ustawy implementującej NIS2 zwalnia nasz podmiot z obowiązków?

O: Nie. Termin transpozycji upłynął 17 października 2024 roku. Organy krajowe – w tym CERT Polska i organy sektorowe takie jak Urząd Regulacji Energetyki czy Komisja Nadzoru Finansowego – stosują wymogi dyrektywy bezpośrednio w praktyce nadzorczej. Podmiot kluczowy, który czeka na krajową ustawę, ryzykuje wszczęcie postępowania kontrolnego bez możliwości powołania się na brak krajowego aktu wykonawczego. Rekomendujemy budowanie programu zgodności na tekście dyrektywy już teraz.

P: Jak długo trwa i ile kosztuje wdrożenie NIS2 dla podmiotu kluczowego?

O: Pełne wdrożenie dla podmiotu bez wcześniejszego programu cyberbezpieczeństwa trwa od 9 do 18 miesięcy. Koszty zależą od wielkości organizacji, złożoności infrastruktury IT i liczby dostawców w łańcuchu dostaw – mieszczą się zazwyczaj w przedziale od kilkuset tysięcy do kilku milionów złotych dla dużych podmiotów. Najkosztowniejszym błędem jest rozpoczynanie wdrożenia po wszczęciu postępowania nadzorczego, gdy terminy są narzucone z zewnątrz.

P: Czy podmiot kluczowy objęty DORA musi wdrażać NIS2 oddzielnie?

O: Tak, ale oba reżimy można zintegrować w jeden program zarządzania ryzykiem ICT. DORA jako rozporządzenie stosuje się bezpośrednio i ma pierwszeństwo w sektorze finansowym w zakresach, które reguluje szczegółowo. NIS2 uzupełnia DORA w obszarach, których rozporządzenie nie obejmuje – zwłaszcza w zakresie bezpieczeństwa łańcucha dostaw i raportowania do CSIRT. Zintegrowany rejestr ryzyk obsługujący oba reżimy jednocześnie jest rozwiązaniem efektywniejszym niż dwa równoległe programy compliance.

KORDECKI & Partners to kancelaria prawna z siedzibą w Warszawie i Krakowie, doradzająca klientom biznesowym w 30 jurysdykcjach. Zespół łączy doświadczenie w prawie polskim i międzynarodowym z praktycznym podejściem do regulacji cyfrowych, cyberbezpieczeństwa i ochrony danych. Pracujemy z polskimi przedsiębiorcami, inwestorami zagranicznymi i działami prawnymi korporacji w zakresie wdrożeń NIS2, DORA, AI Act i RODO. W sprawie Państwa sytuacji: info@kordeckipartners.com.

Zastrzeżenie: Niniejsza publikacja służy wyłącznie celom informacyjnym i nie stanowi porady prawnej. Informacje zawarte w materiale nie powinny być traktowane jako substytut profesjonalnej porady prawnej dostosowanej do konkretnych okoliczności. KORDECKI & Partners nie ponosi odpowiedzialności za działania podjęte lub zaniechane na podstawie treści tego materiału. W sprawie porady dotyczącej Państwa konkretnej sytuacji prosimy o kontakt: info@kordeckipartners.com.