NIS2 weszło w życie - co musisz wiedzieć jako właściciel firmy

3 kwietnia 2026 weszła w życie nowelizacja ustawy o krajowym systemie cyberbezpieczeństwa (Dz.U. 2026 poz. 252) - polska implementacja dyrektywy NIS2 (2022/2555). To największa zmiana w polskim prawie cyberbezpieczeństwa od co najmniej dekady, zarówno pod kątem liczby objętych podmiotów, jak i realnego ciężaru wymagań technicznych.

Wcześniej ustawa obejmowała około 400 podmiotów. Teraz to około 38 tysięcy podmiotów, w tym blisko 11 tysięcy firm prywatnych - pozostałe to sektor publiczny. Jeżeli działasz w sektorze wskazanym w załączniku nr 1 lub nr 2 do ustawy i przekraczasz progi wielkościowe, prawdopodobnie podlegasz. Jeżeli jesteś dostawcą IT dla takiej firmy, obowiązki mogą dotrzeć do Ciebie pośrednio, przez klauzule w umowach.

Kogo dotyczy ustawa?

Ustawa dzieli podmioty na kluczowe i ważne. Sektory kluczowe wymienia załącznik nr 1: energia, transport, bankowość i infrastruktura rynków finansowych, ochrona zdrowia, zaopatrzenie w wodę pitną, ścieki, infrastruktura cyfrowa, zarządzanie usługami ICT, przestrzeń kosmiczna oraz podmioty publiczne. Sektory ważne wymienia załącznik nr 2: usługi pocztowe, gospodarowanie odpadami, chemikalia, żywność, produkcja (wyroby medyczne, elektronika, maszyny, pojazdy), dostawcy usług cyfrowych i badania naukowe.

Podlegasz, jeżeli spełniasz przynajmniej jeden z warunków:

• Działasz w sektorze z załącznika nr 1 i przewyższasz próg średniego przedsiębiorstwa - czyli zatrudniasz co najmniej 250 osób albo przekraczasz oba progi finansowe (50 mln EUR obrotu i 43 mln EUR sumy bilansowej). Wtedy jesteś podmiotem kluczowym.
• Działasz w sektorze z załącznika nr 1 lub nr 2 i spełniasz próg średniego przedsiębiorcy - czyli zatrudniasz co najmniej 50 osób albo Twój roczny obrót przekracza 10 mln EUR. Wtedy jesteś podmiotem ważnym.
• Jesteś dostawcą firmy objętej ustawą. Nie podlegasz wtedy bezpośrednio, ale Twój klient ma ustawowy obowiązek zarządzania bezpieczeństwem łańcucha dostaw ICT (art. 8 ust. 1 pkt 2 lit. e), więc przeniesie wymagania na Ciebie umową.

Trzy wyjątki od progów wielkościowych, o których łatwo się potknąć:

• Niezależnie od wielkości podmiotami kluczowymi są dostawcy usług DNS, rejestry domen najwyższego poziomu, podmioty świadczące usługi rejestracji nazw domen, kwalifikowani dostawcy usług zaufania oraz podmioty publiczne z załącznika nr 1 (art. 5 ust. 1 pkt 4). Jednoosobowy rejestr TLD jest w zakresie.
• Dostawcy usług zarządzanych w zakresie cyberbezpieczeństwa są podmiotami kluczowymi już od progu małego przedsiębiorcy, czyli od 10 pracowników (art. 5 ust. 1 pkt 3). To znacznie niższy próg niż w pozostałych sektorach - jeżeli prowadzisz MSSP na 15 osób, podlegasz.
• Przedsiębiorcy komunikacji elektronicznej od progu średniego są kluczowi, a jako mikro- lub mali przedsiębiorcy są ważni (art. 5 ust. 1 pkt 2 i ust. 2 pkt 4). Dla operatora telekomunikacyjnego nie ma progu, poniżej którego ustawa go nie dotyczy.

Uwaga na częsty błąd: nie cała infrastruktura cyfrowa jest zwolniona z progów. Zwolnienie obejmuje DNS, rejestry domen i kwalifikowane usługi zaufania. Hosting, chmura obliczeniowa, centra danych i CDN podlegają zwykłym progom wielkościowym - firma hostingowa na 30 osób nie jest objęta ustawą z tego tytułu.

Jakie są terminy?

• 3 października 2026 - termin złożenia wniosku o wpis do wykazu podmiotów kluczowych i ważnych. Samorejestracja ruszyła 7 maja 2026 zgodnie z harmonogramem z komunikatu Ministra Cyfryzacji. Obowiązek spoczywa na podmiocie, nie na organie - nikt Ci o nim nie przypomni.
• 3 kwietnia 2027 - koniec dwunastomiesięcznego terminu na wdrożenie obowiązków z rozdziału 3 ustawy, w tym systemu zarządzania bezpieczeństwem informacji (art. 33 ust. 1 ustawy zmieniającej). Zegar biegnie od wejścia ustawy w życie, a nie od dnia rejestracji.
• 3 kwietnia 2028 - pierwszy audyt podmiotu kluczowego (art. 33 ust. 2) oraz pierwszy dzień, w którym mogą zostać nałożone kary pieniężne (art. 35). Karencja karna obniża presję, ale nie zmienia terminu wdrożenia.
• 24 godziny - wczesne ostrzeżenie o poważnym incydencie do właściwego CSIRT (NASK, GOV lub MON zależnie od sektora).
• 72 godziny - zgłoszenie właściwe z oceną wpływu i klasyfikacją.
• 1 miesiąc - sprawozdanie końcowe. O tym terminie najczęściej się zapomina.

Jakie kary grożą?

W Polsce obowiązuje ustawa o KSC, nie sama dyrektywa - i to jej przepisy karne mają zastosowanie. Kary określa art. 73 i następne:

• Podmiot kluczowy: do 10 mln EUR albo 2% przychodu, w zależności od tego, która kwota jest wyższa, nie mniej niż 20 000 zł
• Podmiot ważny: do 7 mln EUR albo 1,4% przychodu, nie mniej niż 15 000 zł
• Kierownik podmiotu odpowiada osobiście do 300% swojego wynagrodzenia (art. 73a ust. 4). W podmiotach publicznych do 100%. To nie jest odpowiedzialność działu IT ani administratora - to odpowiedzialność osoby kierującej podmiotem, niezależnie od tego, kto realnie konfigurował systemy.
• Do 100 mln zł przy bezpośrednim poważnym zagrożeniu dla obronności, bezpieczeństwa państwa albo życia i zdrowia (art. 73 ust. 5)

Brak wniosku o wpis do wykazu jest objęty sankcją wprost, na podstawie art. 73 ust. 1a pkt 1. Samo niezarejestrowanie się jest karalne, niezależnie od stanu zabezpieczeń.

Co musisz wdrożyć technicznie? (art. 8 ustawy)

Art. 8 ust. 1 ustawy o KSC wymaga wdrożenia systemu zarządzania bezpieczeństwem informacji. To nie jest lista życzeń, tylko obowiązek ustawowy. Poniżej dziesięć obszarów wraz z tym, jak wyglądają w praktyce w 50-osobowej firmie z jednym administratorem.

1. Analiza ryzyka i polityki bezpieczeństwa. Na poziomie technicznym to znaczy: wiesz co masz (inwentaryzacja aktywów - serwery, stacje robocze, aplikacje SaaS, konta uprzywilejowane), wiesz czym to jest chronione i wiesz, gdzie są luki. Polityki formalne są po stronie pełnomocnika BI - ale bez rzetelnej inwentaryzacji każda polityka jest fikcją.
2. Obsługa incydentów. W praktyce - potrzebujesz co najmniej: procedury zgłoszenia (kto, do kogo, w jakiej formie), kontaktu do CSIRT zapisanego na lodówce (nie w intranecie, który akurat może być niedostępny), szablonu zgłoszenia 24h i 72h oraz logów, z których zrekonstruujesz timeline. To ostatnie zwykle spada - logów albo nie ma, albo są porozrzucane po 15 systemach, albo kasują się po 30 dniach.
3. Ciągłość działania. Backup w schemacie 3-2-1 (3 kopie, 2 różne nośniki, 1 offsite) plus realne testy odtwarzania. Backup którego nigdy nie odtwarzałeś jest teoretyczny. Minimum dla MŚP: dwa cykle odtworzenia w roku, udokumentowane, z pomiarem RTO i RPO.
4. Bezpieczeństwo łańcucha dostaw. Twoi dostawcy IT - firma hostingowa, MSP, dostawca ERP, dostawca backupu, integrator - muszą spełniać wymagania. W praktyce: aneks bezpieczeństwa do umowy, prawo do audytu, klauzule incident reporting, zapis o zgłaszaniu zmian personelu z dostępem do Twojej infrastruktury.
5. Bezpieczeństwo systemów i sieci. Hardening (wyłączone niepotrzebne usługi, domyślne hasła, patch management z SLA), segmentacja (VLAN-y i reguły firewall między produkcją, biurem, DMZ), monitoring (SIEM - np. Wazuh jako darmowy collector logów + EDR na endpointach - np. SentinelOne lub alternatywy). W 50-osobowej firmie realistyczna konfiguracja Wazuha obsługuje 30-80 endpointów, wymaga ~4 GB RAM i nie wymaga dedykowanego SOC jeśli reguły alertowe są sensownie ustawione.
6. Ocena skuteczności. Regularne testy - w MŚP zwykle: kwartalny przegląd logów SIEM, roczny vulnerability scan, co 2 lata pentest zewnętrzny (koszt 8-25k PLN). Bez testów nie wiesz, co działa.
7. Cyberhigiena i szkolenia. Szkolenie to nie godzinna prezentacja raz do roku. Minimum: onboarding każdego nowego pracownika, phishing drill raz na kwartał, krótka przypominajka po każdym głośnym incydencie w sektorze. Ludzie klikają w linki - i nic tego nie zmieni; celem jest zmniejszenie wskaźnika klikalności, nie wyzerowanie.
8. Kryptografia i szyfrowanie. Dane w spoczynku: pełna encrypcja dysków (BitLocker/LUKS), szyfrowane kopie zapasowe, szyfrowana baza danych jeśli trzyma dane osobowe. W transmisji: TLS 1.2+, nieaktualne ciphersuite wyłączone, wewnętrzne tunele (WireGuard sprawdza się w MŚP świetnie - szybki, prosty, audytowalny).
9. Kontrola dostępu. Zasada least privilege - konto użytkownika widzi tylko to, co musi. Konta uprzywilejowane (domain admin, root) są używane TYLKO gdy są potrzebne. Codzienna praca z kont standardowych. Audit trail kto, kiedy i co podniósł.
10. MFA (uwierzytelnianie wieloskładnikowe). Nie opcja - obowiązek. Priorytet: VPN, poczta, panele administracyjne, SSO, dostęp zdalny. Klucze sprzętowe (YubiKey) są bezpieczniejsze niż SMS i nieco droższe niż TOTP - ale dla kont admin są warte swojej ceny. TOTP (Authenticator, 1Password) to akceptowalne minimum dla zwykłych użytkowników.

Co zwykle zawodzi w MŚP - 5 realnych luk

Po audytach w firmach od produkcji po SaaS jest pięć luk, które powtarzają się prawie wszędzie - i prawie wszędzie można je załatać w pierwszych 4-6 tygodniach projektu:

1. Logi których nie ma albo giną za szybko. Typowy scenariusz: Windows Event Log z retencją 7 dni, brak centralnego collectora, brak alertów, admin „wie co się dzieje” dopóki się nie wydarzy. Fix: Wazuh (darmowy, self-hosted) + polityka retencji 90 dni na krytyczne źródła.
2. MFA na większości, ale nie na VPN admin albo backupie. Atakujący idzie po najsłabsze ogniwo. Fix: audyt wszystkich punktów uwierzytelnienia i doszczelnienie - zwykle 2-3 dni pracy.
3. Backup działa, ale nikt nigdy nie testował odtworzenia. Fix: jeden realny test odtworzenia kluczowego systemu do odseparowanego VLAN-u, z pomiarem czasu. Robi się to w pół dnia.
4. Brak segmentacji - wszystko w jednym VLAN-ie 192.168.1.0/24. Fix: minimum trzy strefy (produkcja, biuro, goście) + reguły firewall domyślnie blokujące. 1-3 dni pracy zależnie od bałaganu.
5. Konta po byłych pracownikach wciąż aktywne. Audit AD / Google Workspace / Microsoft 365 + lista offboardingu wpięta w proces HR. Zero kosztu, jedna zmiana procedury.

Od czego zacząć?

Nie musisz wdrażać wszystkiego naraz. Roadmapa którą zwykle polecam na start:

1. Sprawdź czy podlegasz - nasz darmowy kwalifikator odpowie w 2 minuty. Jeżeli wynik to podmiot kluczowy albo ważny, złóż wniosek o wpis do wykazu - termin mija 3 października 2026.
2. Inwentaryzacja 1-strona. Lista aktywów, lista kont uprzywilejowanych, lista dostawców IT. Nie dokument na 40 stron - jedna tabela w arkuszu, którą da się utrzymać.
3. Wdroż fundament monitoringu. SIEM (Wazuh dla MŚP, Splunk Cloud dla większych) + EDR na endpointach (SentinelOne, CrowdStrike, Bitdefender GravityZone - realnie, wszystkie są w porządku, wybór zależy od stacku i budżetu).
4. MFA wszędzie - priorytetowo na dostępach admin. Poczta, VPN, panele administracyjne, SSO. Klucze sprzętowe dla kont admin.
5. Backup 3-2-1 + realny test odtworzenia. Jeśli nie testowałeś - nie masz backupu.
6. Procedura incydentowa na kartce A4. Kto dzwoni, pod jaki numer, w jakiej kolejności, gdzie jest template zgłoszenia 24h. Wydrukuj i powieś obok serwerowni.

Potrzebujesz pomocy?

AmbroSec zajmuje się techniczną stroną ustawy o KSC: monitorowaniem w trybie ciągłym, ochroną stacji roboczych, hardeningiem sieci, kopiami zapasowymi i odtwarzaniem oraz procedurami incydentowymi. Nie piszę polityk, nie składam za Ciebie wniosku o wpis do wykazu i nie udaję audytora ISO 27001 - to rola pełnomocnika bezpieczeństwa informacji lub kancelarii, a ja współpracuję z zaufanymi partnerami po tej stronie. Wdrażam to, co naprawdę chroni firmę, i zostawiam działającą infrastrukturę, którą utrzymasz sam albo w modelu abonamentowym.

Warto też wiedzieć, czego nie mogę dla Ciebie zrobić: audytu z art. 15 ustawy. Wymaga on akredytowanej jednostki albo co najmniej dwóch audytorów z certyfikatami wskazanymi w rozporządzeniu. Dodatkowo art. 15 ust. 2a wprowadza dwunastomiesięczną karencję - kto wdrażał u Ciebie zabezpieczenia, nie może ich potem audytować. To rozdzielenie ról jest celowe i działa na Twoją korzyść.

Audyt techniczny: od 2 500 PLN, 3-10 dni, raport z konkretnymi lukami i roadmapą. Wdrożenie techniczne: od 15 000 PLN, 4-16 tygodni, stawiam systemy i konfiguruję. Security retainer: od 3 500 PLN/msc, ciągły monitoring, reagowanie na incydenty, kwartalne przeglądy.