Firma energetyczna z Mazowsza dostaje wezwanie od właściwego organu nadzoru – i odkrywa, że nie ma ani wyznaczonego punktu kontaktowego, ani udokumentowanej polityki zarządzania ryzykiem ICT. Termin transpozycji dyrektywy NIS2 minął 17 października 2024 r. Polska jest zobowiązana do stosowania jej wymogów. Podmioty kluczowe, które zwlekają z wdrożeniem, tracą możliwość przygotowanego, kontrolowanego dostosowania – zamiast tego wchodzą w tryb reagowania kryzysowego pod presją czasu i sankcji.

Dyrektywa NIS2 (Dyrektywa Parlamentu Europejskiego i Rady UE 2022/2555) nakłada na podmioty kluczowe obowiązki w czterech obszarach: zarządzanie ryzykiem cyberbezpieczeństwa, zgłaszanie incydentów, środki techniczne i organizacyjne oraz odpowiedzialność kierownictwa. Termin transpozycji do prawa krajowego upłynął 17 października 2024 roku. Kary dla podmiotów kluczowych mogą sięgać 10 milionów euro lub 2% globalnego obrotu – w zależności od tego, która kwota jest wyższa.

Ten przewodnik przeprowadza przez wdrożenie NIS2 krok po kroku. Omawia harmonogram, koszty, typowe błędy oraz trzy scenariusze biznesowe. Wskazuje też, gdzie polskie przepisy idą dalej niż sama dyrektywa – i co to oznacza w praktyce dla Państwa organizacji.

Kto jest podmiotem kluczowym i jak to sprawdzić?

Status podmiotu kluczowego zależy od dwóch zmiennych: sektora działalności oraz rozmiaru organizacji. NIS2 wymienia jedenaście sektorów kluczowych – energetykę, transport, bankowość, infrastrukturę rynków finansowych, ochronę zdrowia, wodę pitną, ścieki, infrastrukturę cyfrową, zarządzanie usługami ICT, administrację publiczną oraz przestrzeń kosmiczną. Jeśli Państwa firma działa w jednym z tych sektorów i przekracza progi dla dużego przedsiębiorstwa (powyżej 250 pracowników lub roczny obrót powyżej 50 milionów euro), co do zasady jest podmiotem kluczowym.

W Polsce nadzór nad wdrożeniem sprawuje przede wszystkim CSIRT NASK, CSIRT GOV (dla administracji publicznej) oraz właściwe organy sektorowe. Ustawa o Krajowym Systemie Cyberbezpieczeństwa (KSC) – nowelizowana w związku z NIS2 – określa krajowe procedury rejestracji i nadzoru. Podmioty kluczowe muszą dokonać samoidentyfikacji i zarejestrować się we właściwym rejestrze w terminie określonym przez przepisy krajowe. Brak rejestracji to samodzielna podstawa odpowiedzialności.

Trzy scenariusze ułatwią ocenę:

  • Producent energii (Śląsk): duże przedsiębiorstwo, sektor energetyki – podmiot kluczowy bez wątpliwości.
  • Spółka IT świadcząca usługi zarządzane (managed services) dla sektora finansowego: może być kwalifikowana jako podmiot kluczowy w obszarze zarządzania usługami ICT, nawet przy mniejszej skali zatrudnienia.
  • Inwestor zagraniczny (Niemcy) tworzący spółkę córkę w Polsce: rejestracja i obowiązki NIS2 dotyczą podmiotu zarejestrowanego w Polsce – nie wystarczy zgodność z przepisami w kraju macierzystym.

W praktyce – wiele firm o tym zapomina – status podmiotu kluczowego może wynikać nie z własnej oceny, lecz z decyzji właściwego organu. Dlatego samoidentyfikacja powinna być przeprowadzona metodycznie, z dokumentacją procesu decyzyjnego. Zalecamy przygotowanie pisemnej analizy już w ciągu pierwszych 30 dni od podjęcia decyzji o wdrożeniu.

Jakie obowiązki techniczne i organizacyjne nakłada NIS2 na podmioty kluczowe?

NIS2 wymaga wdrożenia środków zarządzania ryzykiem cyberbezpieczeństwa opartych na podejściu proporcjonalnym. Dyrektywa wskazuje minimum dziesięć obszarów: polityki bezpieczeństwa systemów informacyjnych, obsługa incydentów, ciągłość działania i zarządzanie kryzysowe, bezpieczeństwo łańcucha dostaw, bezpieczeństwo w procesie pozyskiwania i utrzymania systemów, polityki i procedury oceny skuteczności środków, praktyki higieny cyberbezpieczeństwa i szkolenia, kryptografia, bezpieczeństwo zasobów ludzkich oraz uwierzytelnianie wieloskładnikowe. To nie jest lista życzeń – to obligatoryjne minimum.

Dla podmiotów kluczowych szczególne znaczenie ma odpowiedzialność organów zarządzających. Kierownictwo musi zatwierdzać środki bezpieczeństwa, uczestniczyć w szkoleniach i może ponosić osobistą odpowiedzialność za naruszenia. To bezpośrednie przełożenie na praktykę zarządczą – cyberbezpieczeństwo przestaje być wyłącznie sprawą działu IT.

Harmonogram wdrożenia dla podmiotu kluczowego można podzielić na cztery fazy:

  • Faza 1 (0–30 dni): analiza luk (gap analysis), identyfikacja statusu, powołanie osoby odpowiedzialnej.
  • Faza 2 (30–90 dni): opracowanie polityk bezpieczeństwa, inwentaryzacja aktywów ICT, analiza łańcucha dostaw.
  • Faza 3 (90–180 dni): wdrożenie środków technicznych, szkolenia dla kierownictwa, testy procedur incydentowych.
  • Faza 4 (180+ dni): audyt wewnętrzny, rejestracja we właściwym organie, utrzymanie i doskonalenie.

Koszty wdrożenia są zróżnicowane. Dla średniej organizacji (200–500 pracowników) szacuje się je na poziomie od 150 000 do 400 000 PLN – w zależności od stanu wyjściowego i zakresu luk. Przy tym nakład ten rozkłada się na dwa lata: pierwsza faza jest najdroższa, kolejne to głównie utrzymanie i doskonalenie. Warto porównać ten koszt z potencjalną karą do 10 milionów euro.

Uważamy, że bezpieczniejszym rozwiązaniem jest zlecenie gap analysis zewnętrznemu doradcy – wewnętrzna ocena często pomija obszary, które organ nadzoru sprawdza w pierwszej kolejności. Dotyczy to szczególnie bezpieczeństwa łańcucha dostaw i uwierzytelniania wieloskładnikowego.

Związek z innymi regulacjami jest tu oczywisty. RODO (Rozporządzenie UE 2016/679) nakłada obowiązki ochrony danych osobowych, które w dużej mierze pokrywają się z wymogami NIS2 dotyczącymi bezpieczeństwa systemów. Dokumentacja RODO może stanowić punkt wyjścia do analizy luk NIS2. Podobnie DORA (Rozporządzenie UE 2022/2554), które od 17 stycznia 2025 r. obowiązuje podmioty finansowe – szczegółowy opis wymagań DORA znajdą Państwo w naszej analizie: DORA – kto musi wdrożyć i do kiedy.

Jak wygląda procedura zgłaszania incydentów i jakie są terminy?

Procedura zgłaszania incydentów to jeden z najbardziej konkretnych i egzekwowalnych obowiązków NIS2. Podmiot kluczowy musi działać w ściśle określonych oknach czasowych. Wczesne ostrzeżenie (early warning) do właściwego CSIRT – w ciągu 24 godzin od wykrycia znaczącego incydentu. Zgłoszenie incydentu (incident notification) – w ciągu 72 godzin. Raport końcowy – nie później niż miesiąc po zgłoszeniu incydentu. To terminy absolutne, niezależne od tego, czy incydent został już opanowany.

Czym jest „znaczący incydent"? NIS2 definiuje go jako incydent, który powoduje lub może spowodować poważne zakłócenie świadczenia usług lub straty finansowe dla podmiotu, albo dotknął lub może dotknąć inne osoby fizyczne lub prawne. W Polsce właściwe CSIRT (NASK lub GOV, w zależności od sektora) są punktem zgłoszeniowym. Procedura krajowa może wprowadzać dodatkowe wymogi formalne.

W praktyce największym problemem nie jest sama treść zgłoszenia, lecz brak gotowych procedur wewnętrznych. Firma z sektora transportowego z Pomorza, która w 2024 r. doświadczyła ataku ransomware, straciła nie tylko dane – straciła 11 dni na ustalenie, kto i jak powinien dokonać zgłoszenia. Przy 24-godzinnym oknie na wczesne ostrzeżenie to katastrofa proceduralna. Każda organizacja powinna mieć gotowy „playbook incydentowy" – dokument opisujący krok po kroku, kto robi co, w ciągu ilu godzin i z jaką dokumentacją.

Warto też pamiętać o relacji z RODO. Jeśli incydent narusza bezpieczeństwo danych osobowych, równolegle biegnie 72-godzinny termin zgłoszenia do PUODO (Urząd Ochrony Danych Osobowych). Oba obowiązki mogą dotyczyć tego samego zdarzenia. Koordynacja tych dwóch ścieżek powinna być ujęta w procedurach wewnętrznych – zanim dojdzie do incydentu, nie w jego trakcie.

Związek z AI Act (Rozporządzenie UE 2024/1689) jest coraz bardziej realny. Organizacje korzystające z systemów AI wysokiego ryzyka – na przykład w zarządzaniu infrastrukturą krytyczną – powinny uwzględnić wymogi AI Act w analizie ryzyka ICT prowadzonej na potrzeby NIS2. Regulacja wyprzedza rynek, ale w tym przypadku nakładanie się wymogów może być przewagą, a nie dodatkowym ciężarem.

Jakie kary grożą podmiotom kluczowym za naruszenie NIS2?

Sankcje dla podmiotów kluczowych są surowe i mają charakter odstraszający. Maksymalna kara administracyjna wynosi 10 milionów euro lub 2% całkowitego globalnego rocznego obrotu – stosuje się kwotę wyższą. To poziom zbliżony do kar RODO dla poważnych naruszeń. Dla podmiotów ważnych (nie kluczowych) pułap jest niższy: 7 milionów euro lub 1,4% obrotu.

Co ważne, odpowiedzialność może być osobista. Kierownicy wyższego szczebla mogą być tymczasowo odsunięci od pełnienia funkcji, jeśli organ stwierdzi powtarzające się naruszenia i brak reakcji. To nieodwracalna konsekwencja dla reputacji i kariery zawodowej. W połączeniu z odpowiedzialnością zarządu na gruncie k.s.h. (art. 293 § 1 k.s.h.) oraz przepisami podatkowymi tworzy to wielowarstwowe ryzyko dla osób zarządzających.

Organy nadzorcze mogą też stosować środki tymczasowe: nakazy usunięcia naruszeń, zakazy świadczenia usług, a nawet publiczne ostrzeżenia. To ostatnie narzędzie – choć rzadziej stosowane – jest w praktyce dotkliwsze niż kara finansowa, bo uderza w reputację wobec klientów i partnerów biznesowych.

Unikanie kary nie jest jedynym powodem do wdrożenia. Podmioty, które wdrożą NIS2 rzetelnie, zyskują przewagę przetargową w sektorach regulowanych. Zamówienia publiczne, przetargi w energetyce czy kontrakt z dużym podmiotem finansowym – wszędzie tam certyfikat zgodności lub udokumentowany program cyberbezpieczeństwa staje się elementem oceny oferty. Kto nie wdroży NIS2 w terminie, zamknie sobie drogę do istotnych kontraktów.

Szczegółowe informacje o procedurach restrukturyzacyjnych w sytuacjach kryzysowych – w tym pre-pack jako narzędziu zarządzania ryzykiem – znajdą Państwo w naszym opracowaniu: Pre-pack w Polsce – procedura i harmonogram.

Najczęstsze błędy przy wdrożeniu NIS2 i jak ich uniknąć?

Pierwsze i najczęstsze nieporozumienie: traktowanie NIS2 jako projektu IT. To błąd kosztowny w skutkach. NIS2 jest przede wszystkim regulacją zarządczą – wymaga zaangażowania zarządu, rady nadzorczej i działów prawnych, a nie tylko zespołu bezpieczeństwa informatycznego. Organizacje, które delegują wdrożenie wyłącznie do CTO, odkrywają podczas audytu, że brakuje im polityk zatwierdzonych przez kierownictwo i dokumentacji procesów biznesowych.

Drugie błędy dotyczą łańcucha dostaw. NIS2 wymaga oceny bezpieczeństwa dostawców i partnerów. Firma logistyczna z Dolnego Śląska, audytowana wiosną 2025 r., wykazała pełną zgodność w obszarach wewnętrznych – i dostała uwagi wyłącznie za brak umów z dostawcami oprogramowania zawierających klauzule bezpieczeństwa. Kontrakt bez takich klauzul to luka w systemie bezpieczeństwa, niezależnie od tego, jak dobre są wewnętrzne procedury.

Lista kontrolna – co przygotować przed audytem:

  • Pisemna polityka zarządzania ryzykiem cyberbezpieczeństwa zatwierdzona przez zarząd.
  • Inwentaryzacja aktywów ICT z klasyfikacją krytyczności.
  • Procedura zgłaszania incydentów z wyznaczonymi osobami odpowiedzialnymi i terminami.
  • Dokumentacja szkoleń dla kierownictwa (co najmniej raz w roku).
  • Klauzule bezpieczeństwa w umowach z dostawcami ICT.

Trzecia kategoria błędów to zignorowanie wymogu rejestracji. Samoidentyfikacja jako podmiot kluczowy i zgłoszenie do właściwego organu to obowiązek – nie opcja. Brak zgłoszenia jest samodzielną podstawą do wszczęcia postępowania przez organ nadzoru. Termin na dokonanie rejestracji wynika z przepisów krajowych implementujących NIS2 – należy go monitorować na bieżąco, bo Polska jest w trakcie finalizowania nowelizacji ustawy o KSC.

Czwarty błąd to brak koordynacji między NIS2 a innymi regulacjami. Organizacje objęte jednocześnie RODO, DORA lub AI Act powinny budować zintegrowany system zarządzania zgodnością – nie trzy oddzielne projekty. Oszczędność czasu i kosztów jest istotna, ale ważniejsze jest spójne podejście, które organ nadzoru ocenia jako dowód dojrzałości organizacyjnej. Ochrona danych, bezpieczeństwo ICT i zarządzanie ryzykiem AI to naczynia połączone.

Często zadawane pytania

P: Czy spółka z ograniczoną odpowiedzialnością działająca w sektorze IT jako dostawca usług zarządzanych (MSP) jest automatycznie podmiotem kluczowym?

O: Nie automatycznie. Status podmiotu kluczowego zależy od spełnienia kryterium sektora (zarządzanie usługami ICT jest sektorem kluczowym) i kryterium rozmiaru (ponad 250 pracowników lub obrót powyżej 50 milionów euro). Mniejsze MSP mogą być podmiotami ważnymi – z niższymi karami, ale wciąż z obowiązkami. Każdy przypadek wymaga indywidualnej oceny, najlepiej w formie pisemnej analizy. Dostawcy usług zarządzanych działający wyłącznie w jednym sektorze regulowanym mogą podlegać dodatkowym wymogom sektorowym niezależnie od NIS2.

P: Ile czasu i pieniędzy zajmuje pełne wdrożenie NIS2 dla podmiotu kluczowego?

O: Przy dobrej organizacji prace zajmują od 6 do 12 miesięcy od momentu decyzji o wdrożeniu. Koszty dla organizacji zatrudniającej 200–500 osób mieszczą się orientacyjnie w przedziale 150 000 – 400 000 PLN – zależnie od stanu wyjściowego i zakresu luk. Największa część budżetu przypada na pierwsze 90 dni: gap analysis, opracowanie polityk i wdrożenie środków technicznych. Kolejne lata to głównie utrzymanie, szkolenia i audyty. Wdrożenie zintegrowane z RODO i DORA może obniżyć łączny koszt nawet o 30%.

P: Czy posiadanie certyfikatu ISO 27001 zwalnia z obowiązków NIS2?

O: Nie zwalnia, ale istotnie ułatwia wdrożenie. ISO 27001 pokrywa wiele obszarów wymaganych przez NIS2 – zarządzanie aktywami, kontrolę dostępu, obsługę incydentów, ciągłość działania. Organ nadzoru może traktować certyfikat jako dowód dojrzałości procesów bezpieczeństwa. Jednak NIS2 nakłada dodatkowe wymogi specyficzne dla dyrektywy: obowiązek rejestracji, konkretne terminy zgłaszania incydentów do CSIRT, odpowiedzialność osobista kierownictwa. Certyfikat ISO 27001 nie zastępuje tych obowiązków – jest dobrym punktem wyjścia, nie metą.

Konkretna sytuacja Państwa organizacji – jej sektor, rozmiar, istniejące polityki bezpieczeństwa i obecny stan zgodności – determinuje zakres i harmonogram działań. Zwłoka w tym obszarze jest nieodwracalna: każdy miesiąc bez wdrożenia to miesiąc funkcjonowania jako podmiot niezgodny, narażony na sankcje i wykluczony z przetargów wymagających udokumentowanej zgodności z NIS2.

Jeśli Państwa spółka działa w sektorze kluczowym i nie przeprowadziła jeszcze gap analysis – przeprowadzimy analizę statusu, ocenę luk i opracujemy harmonogram wdrożenia: info@kordeckipartners.com.

KORDECKI & Partners to kancelaria prawna z siedzibą w Warszawie i Krakowie, doradzająca klientom biznesowym w 30 jurysdykcjach. Zespół łączy doświadczenie w prawie polskim i międzynarodowym z praktycznym podejściem do regulacji cyberbezpieczeństwa, ochrony danych i technologii. Pracujemy z polskimi przedsiębiorcami, inwestorami zagranicznymi i działami prawnymi korporacji. W sprawie Państwa sytuacji: info@kordeckipartners.com.

Zastrzeżenie: Niniejsza publikacja służy wyłącznie celom informacyjnym i nie stanowi porady prawnej. Informacje zawarte w materiale nie powinny być traktowane jako substytut profesjonalnej porady prawnej dostosowanej do konkretnych okoliczności. KORDECKI & Partners nie ponosi odpowiedzialności za działania podjęte lub zaniechane na podstawie treści tego materiału. W sprawie porady dotyczącej Państwa konkretnej sytuacji prosimy o kontakt: info@kordeckipartners.com.