Usługi wdrożeniowe
Dyrektywa NIS2 i ustawa o krajowym systemie cyberbezpieczeństwa
NIS2 to dyrektywa (UE) 2022/2555 w sprawie wysokiego wspólnego poziomu cyberbezpieczeństwa. Skrót NIS pochodzi od Network and Information Security. Sama dyrektywa nie obowiązuje firm bezpośrednio: w Polsce robi to ustawa o krajowym systemie cyberbezpieczeństwa, znowelizowana ustawą z 23 stycznia 2026 roku, która weszła w życie 3 kwietnia 2026 roku. To jej terminy trzeba pilnować, nie unijnych.
Najbliższy termin: 3 października 2026
Podmioty, które w dniu wejścia w życie nowelizacji spełniały ustawowe kryteria, mają obowiązek wpisać się do Wykazu KSC do 3 października 2026 roku. To samoidentyfikacja: nikt nie przyśle zawiadomienia, że firma podlega przepisom. Obowiązek ustalenia własnego statusu leży po stronie przedsiębiorcy, a jego niedopełnienie jest osobnym naruszeniem, niezależnym od tego, czy reszta wymogów została wdrożona.
Czy Twoja firma w ogóle podlega
Kwalifikacja wynika z dwóch rzeczy naraz: wielkości firmy i sektora. Nigdy z samego sektora.
- Próg wielkości: co najmniej 50 pracowników albo roczny obrót lub suma bilansowa na poziomie co najmniej 10 mln euro.
- Sektor: firma musi działać w jednym z sektorów wymienionych w załączniku nr 1 albo nr 2 do ustawy.
- Duże przedsiębiorstwo z załącznika nr 1 to podmiot kluczowy.
- Średnie przedsiębiorstwo z załącznika nr 1 oraz średnie i duże z załącznika nr 2 to podmiot ważny.
- Nazwa „sektory kluczowe” przy załączniku nr 1 nie oznacza, że każdy podmiot z tego załącznika jest kluczowy. To częste nieporozumienie, które prowadzi do złej kwalifikacji.
Pozostałe terminy
Ustawa rozkłada wdrożenie na kilka lat, licząc od dnia wejścia w życie nowelizacji, czyli od 3 kwietnia 2026 roku:
- Do 3 października 2026: wpis do Wykazu KSC dla podmiotów spełniających kryteria w dniu wejścia w życie.
- Do 3 kwietnia 2027: wdrożenie obowiązków z rozdziału 3 ustawy, czyli systemu zarządzania bezpieczeństwem informacji, obsługi incydentów i zarządzania ryzykiem w łańcuchu dostaw.
- Do 3 kwietnia 2028: pierwszy audyt bezpieczeństwa dla podmiotów kluczowych.
Obowiązek, o którym najłatwiej zapomnieć: szkolenie kierownictwa
Ustawa nakłada obowiązek szkolenia nie tylko na zespół techniczny. Kierownik podmiotu kluczowego lub ważnego oraz osoba, której powierzono obowiązki w zakresie cyberbezpieczeństwa, przechodzą szkolenie raz w roku kalendarzowym. To obowiązek imienny, nie organizacyjny, a jego wykonanie trzeba umieć udokumentować. Prowadzimy takie szkolenia w ramach osobnej usługi, zob. szkolenia z cyberbezpieczeństwa.
Kary
Dla podmiotu kluczowego kara może sięgnąć 10 mln euro albo 2% rocznego obrotu, dla podmiotu ważnego 7 mln euro albo 1,4%. Traktujemy te liczby jak informację o skali ryzyka, nie jak argument sprzedażowy: dużo większym problemem w praktyce jest to, że firma nie wie, czy w ogóle podlega przepisom, i dowiaduje się o tym po terminie.
Co dostajesz
- Pisemną ocenę kwalifikacji: czy firma jest podmiotem kluczowym, ważnym, czy nie podlega przepisom, wraz z uzasadnieniem.
- Przygotowanie i złożenie wpisu do Wykazu KSC, jeśli obowiązek występuje.
- Analizę różnic między stanem obecnym a wymogami rozdziału 3 ustawy, z listą braków uszeregowaną według ryzyka.
- Komplet dokumentacji systemu zarządzania bezpieczeństwem informacji, dopasowany do skali firmy, nie skopiowany z szablonu dla korporacji.
- Procedurę obsługi i zgłaszania incydentów wraz z terminami wymaganymi przez ustawę.
- Plan przygotowania do pierwszego audytu, jeśli firma jest podmiotem kluczowym.
Przebieg współpracy
Etap 1
Kwalifikacja
Ustalamy status firmy na podstawie wielkości, sektora i profilu działalności. Jeżeli firma nie podlega ustawie, mówimy to wprost i na tym kończymy.
Etap 2
Wpis do Wykazu KSC
Przygotowanie i złożenie wpisu w terminie. Ten etap jest pilny: dla firm spełniających kryteria w dniu wejścia w życie nowelizacji termin upływa 3 października 2026.
Etap 3
Analiza różnic
Porównanie tego, co firma już robi, z wymogami rozdziału 3 ustawy. Efektem jest lista braków z priorytetami, nie zbiór ogólnych zaleceń.
Etap 4
Wdrożenie i przygotowanie do audytu
Dokumentacja, procedury, szkolenie kierownictwa i zespołu, ustalenie trybu obsługi incydentów. Dla podmiotów kluczowych dochodzi przygotowanie do audytu wymaganego do 3 kwietnia 2028.
Zapytaj o wycenę
Wycena jest indywidualna i zależy od zakresu. Po wypełnieniu formularza odzywamy się z pytaniami uzupełniającymi albo od razu z propozycją zakresu.
Sprawdź swój status w NIS2
Pierwsze pytanie, na które trzeba odpowiedzieć, brzmi: czy firma w ogóle podlega ustawie. Te pola wystarczą, żeby zacząć.
Zgłoszenie przyjęte.
Odezwiemy się z pytaniami potrzebnymi do ustalenia statusu firmy albo od razu z oceną kwalifikacji.
Najczęściej zadawane pytania
Jesteśmy małą firmą. Czy NIS2 nas dotyczy?
Co do zasady nie, jeśli firma nie osiąga progu średniego przedsiębiorstwa, czyli 50 pracowników albo 10 mln euro obrotu lub sumy bilansowej. Ustawa przewiduje jednak wyjątki, w których podmiot podlega przepisom niezależnie od wielkości, na przykład ze względu na szczególną rolę w danym sektorze. Dlatego kwalifikację robimy pisemnie, a nie na podstawie samego zatrudnienia.
Czy wpis do Wykazu KSC to już wszystko?
Nie, to dopiero pierwszy z trzech terminów. Wpis potwierdza, że firma zidentyfikowała się jako podmiot objęty ustawą. Merytoryczne obowiązki z rozdziału 3 trzeba wdrożyć do 3 kwietnia 2027, a podmioty kluczowe mają dodatkowo obowiązek pierwszego audytu do 3 kwietnia 2028.
Mamy ISO 27001. Czy to załatwia sprawę?
Nie automatycznie, ale bardzo pomaga. Wdrożony system zarządzania bezpieczeństwem informacji pokrywa dużą część wymogów rozdziału 3, więc praca sprowadza się zwykle do uzupełnienia różnic, głównie w obszarze zgłaszania incydentów w terminach ustawowych, zarządzania ryzykiem w łańcuchu dostaw i obowiązków imiennych kierownictwa.
Czy jesteście organem, który prowadzi Wykaz KSC?
Nie. Ai Act jest firmą doradczą. Wykaz prowadzi właściwy organ państwowy, a my jedynie pomagamy ustalić status firmy i złożyć wpis w terminie. Nie wydajemy decyzji i nie potwierdzamy zgodności w imieniu państwa.