Czym jest NIS 2?
NIS 2 to dyrektywa Parlamentu Europejskiego i Rady (UE) 2022/2555 z 14 grudnia 2022 roku w sprawie środków na rzecz wysokiego wspólnego poziomu cyberbezpieczeństwa na terytorium Unii. Zastępuje pierwszą dyrektywę NIS z 2016 roku. Obejmuje znacznie więcej podmiotów, ujednolica wymagania w całej Unii i zaostrza nadzór oraz kary. Państwa członkowskie miały przenieść ją do prawa krajowego do 17 października 2024 roku.
W Polsce dyrektywę wdraża ustawa z 23 stycznia 2026 roku o zmianie ustawy o krajowym systemie cyberbezpieczeństwa oraz niektórych innych ustaw (Dz.U. 2026 poz. 252), która obowiązuje od 3 kwietnia 2026 roku. Dla polskiej firmy wiążąca jest ustawa. To ona określa obowiązki, terminy wpisu do wykazu podmiotów kluczowych i ważnych, właściwe zespoły CSIRT oraz organy właściwe do spraw cyberbezpieczeństwa w poszczególnych sektorach.
Kogo dotyczy?
Ustawa dzieli objęte nią firmy i instytucje na podmioty kluczowe i podmioty ważne. Różnią się one intensywnością nadzoru i wysokością kar. Sektory ustawa wymienia w dwóch załącznikach. Załącznik nr 1 to sektory kluczowe: energia, transport, bankowość i infrastruktura rynków finansowych, ochrona zdrowia, zaopatrzenie w wodę pitną i jej dystrybucja, zbiorowe odprowadzanie ścieków, infrastruktura cyfrowa, zarządzanie usługami ICT, przestrzeń kosmiczna i podmioty publiczne. Załącznik nr 2 to sektory ważne: usługi pocztowe, inwestycje energetyki jądrowej, gospodarowanie odpadami, wytwarzanie i dystrybucja chemikaliów, produkcja i dystrybucja żywności, produkcja (między innymi wyrobów medycznych oraz komputerów i elektroniki), dostawcy usług cyfrowych, badania naukowe i podmioty publiczne.
O kategorii decydują sektor i wielkość firmy (art. 5 ustawy). Duża firma z sektora kluczowego jest podmiotem kluczowym, a średnia firma z tego sektora jest podmiotem ważnym. Średnie i duże firmy z sektorów ważnych są podmiotami ważnymi. Średnia firma zatrudnia co najmniej 50 osób albo ma ponad 10 mln euro zarówno rocznego obrotu, jak i sumy bilansowej (rozporządzenie Komisji (UE) nr 651/2014). Część podmiotów ustawa obejmuje bez względu na wielkość, na przykład dostawców usług DNS, rejestry nazw domen najwyższego poziomu, kwalifikowanych dostawców usług zaufania i podmioty krytyczne. Mniejsze firmy odczuwają wymagania pośrednio, bo ich klienci objęci ustawą muszą zadbać o bezpieczeństwo łańcucha dostaw.
Najważniejsze obowiązki
Rdzeniem dyrektywy są art. 21 o środkach zarządzania ryzykiem i art. 23 o zgłaszaniu poważnych incydentów. W ustawie o krajowym systemie cyberbezpieczeństwa odpowiadają im przede wszystkim art. 8 o systemie zarządzania bezpieczeństwem informacji oraz art. 11 i 12 o obsłudze i zgłaszaniu incydentów.
- System zarządzania bezpieczeństwem informacji (art. 8 ustawy) obejmuje systematyczne szacowanie ryzyka i zarządzanie incydentami. Wśród środków ustawa wymienia polityki bezpieczeństwa, bezpieczeństwo nabywania, rozwoju i eksploatacji systemów, bezpieczeństwo fizyczne i zasobów ludzkich, łańcuch dostaw, plany ciągłości działania, monitorowanie w trybie ciągłym, ocenę skuteczności środków, edukację i cyberhigienę, kryptografię, uwierzytelnianie wieloskładnikowe, zarządzanie aktywami i kontrolę dostępu.
- Zgłaszanie incydentów poważnych do właściwego CSIRT sektorowego przez system S46: wczesne ostrzeżenie do 24 godzin od wykrycia, zgłoszenie do 72 godzin od wykrycia i sprawozdanie końcowe w ciągu miesiąca od zgłoszenia (art. 11 ustawy).
- Odpowiedzialność kierownika podmiotu: zarząd podejmuje decyzje o systemie zarządzania bezpieczeństwem informacji, nadzoruje jego wdrożenie i odpowiada osobiście, nawet wtedy, gdy powierzy obowiązki innej osobie (art. 8c i 8d ustawy o KSC).
- Szkolenie z cyberbezpieczeństwa raz w roku kalendarzowym dla kierownika podmiotu i osoby, której powierzył obowiązki, z udokumentowanym udziałem (art. 8e ustawy), oraz edukacja personelu (art. 8 ustawy).
- Wniosek o wpis do wykazu podmiotów kluczowych i ważnych w ciągu 6 miesięcy od spełnienia przesłanek (art. 7c ustawy), wyznaczenie osób do kontaktu (art. 9 ustawy) oraz współpraca z CSIRT i organem właściwym do spraw cyberbezpieczeństwa.
Terminy zgłaszania incydentów krok po kroku
Terminy z art. 11 ustawy dotyczą incydentów poważnych. Progi, od których incydent jest poważny, określa dla sektorów rozporządzenie Rady Ministrów, a dla części dostawców usług cyfrowych i podmiotów infrastruktury cyfrowej rozporządzenie wykonawcze Komisji (UE) 2024/2690. Zegar startuje w chwili wykrycia incydentu. Dlatego procedura musi jasno mówić, kto i na jakiej podstawie uznaje incydent za poważny, także w nocy i w weekend.
- Krok 1. Wczesne ostrzeżenie, do 24 godzin od wykrycia: dane podmiotu i osób do kontaktu, chwila wystąpienia i wykrycia incydentu, czas jego trwania, czy incydent mógł wywołać czyn bezprawny lub działanie w złej wierze oraz czy dotyczy innych państw Unii (art. 12 ust. 1 ustawy).
- Krok 2. Zgłoszenie incydentu poważnego, do 72 godzin od wykrycia: wpływ na świadczenie usługi (której usługi dotyczy, ilu użytkowników, jaki obszar), przyczyny i przebieg incydentu, podjęte działania zapobiegawcze i naprawcze oraz aktualizacja danych z wczesnego ostrzeżenia (art. 12 ust. 3 ustawy).
- Krok 3. Sprawozdanie okresowe z obsługi incydentu, na wniosek właściwego CSIRT sektorowego (art. 11 ust. 1 pkt 4b ustawy).
- Krok 4. Sprawozdanie końcowe, do miesiąca od zgłoszenia: szczegółowy opis incydentu z zakłóceniami i szkodami, rodzaj zagrożenia lub prawdopodobna przyczyna, zastosowane i wdrażane środki ograniczające ryzyko oraz skutki transgraniczne, jeśli wystąpiły (art. 12a ustawy). Jeżeli obsługa incydentu jeszcze trwa, w tym terminie składa się sprawozdanie z postępu, a sprawozdanie końcowe w ciągu miesiąca od zakończenia obsługi (art. 12b ustawy).
- Wszystkie zgłoszenia i sprawozdania trafiają do CSIRT przez system teleinformatyczny S46 (art. 11 ust. 2 ustawy). Dostawca usług zaufania zgłasza incydent poważny w ciągu 24 godzin od wykrycia (art. 11 ust. 1a ustawy).
- Użytkownicy usług: podmiot informuje ich o incydencie poważnym, który niekorzystnie wpływa na świadczenie usług, a przy poważnym cyberzagrożeniu o środkach, które mogą podjąć sami (art. 11 ust. 2a i 2b ustawy).
- Zbieg obowiązków: jeżeli incydent dotyczy danych osobowych, osobno biegnie 72-godzinny termin zgłoszenia naruszenia do Prezesa Urzędu Ochrony Danych Osobowych na podstawie RODO. To dwa odrębne zgłoszenia do dwóch różnych organów.
Kary
Kary nakłada organ właściwy do spraw cyberbezpieczeństwa. Oprócz kary pieniężnej może wydać nakaz usunięcia uchybień. Jeżeli podmiot kluczowy nakazu nie wykona, organ może wstrzymać jego koncesję, zezwolenie albo działalność do czasu usunięcia uchybień (art. 53 ust. 9 ustawy). Tych środków nie stosuje się do podmiotów publicznych.
- Podmiot kluczowy: do 10 mln euro albo 2% przychodów z działalności gospodarczej za poprzedni rok obrotowy, według wyższej kwoty, i nie mniej niż 20 000 zł (art. 73 ust. 3 ustawy).
- Podmiot ważny: do 7 mln euro albo 1,4% przychodów z działalności gospodarczej za poprzedni rok obrotowy i nie mniej niż 15 000 zł (art. 73 ust. 4 ustawy).
- Naruszenie, które powoduje bezpośrednie i poważne cyberzagrożenie dla obronności, bezpieczeństwa państwa, porządku publicznego albo życia i zdrowia ludzi lub grozi poważną szkodą majątkową: kara do 100 mln zł (art. 73 ust. 5 ustawy).
- Kierownik podmiotu: kara do 300% wynagrodzenia, w podmiocie publicznym do 100% (art. 73a ustawy). W podmiocie kluczowym organ może też zakazać kierownikowi pełnienia funkcji zarządczych do czasu usunięcia uchybień (art. 53 ust. 9 pkt 6 ustawy).
NIS 2 a polska ustawa o KSC
Dyrektywa NIS 2 nie nakłada obowiązków na firmy bezpośrednio. Działa przez prawo krajowe, w Polsce przez znowelizowaną ustawę o krajowym systemie cyberbezpieczeństwa, która obowiązuje od 3 kwietnia 2026 roku. Środki zarządzania ryzykiem z art. 21 dyrektywy stały się w niej wymaganiami wobec systemu zarządzania bezpieczeństwem informacji (art. 8 ustawy).
Ustawa rozstrzyga to, co dyrektywa zostawia państwom. Określa, jak podmioty kluczowe i ważne same rozpoznają swój status i składają wniosek o wpis do wykazu oraz w jakich terminach wykonują obowiązki. Wskazuje też, do którego CSIRT sektorowego zgłaszają incydenty, który organ właściwy do spraw cyberbezpieczeństwa nadzoruje dany sektor i jak wymierza się kary. Zespoły CSIRT poziomu krajowego to CSIRT NASK, CSIRT GOV i CSIRT MON. Dla firmy oznacza to dwie warstwy pracy. Pierwsza to środki bezpieczeństwa, wspólne dla całej Unii. Druga to formalności z ustawy: wpis do wykazu, osoby do kontaktu, zgłoszenia przez system S46 i terminy.
Guardiso odwzorowuje obie warstwy. Moduł zgodności zawiera pełny katalog 261 wymogów ustawy o krajowym systemie cyberbezpieczeństwa, powiązany z zabezpieczeniami ISO/IEC 27001. Praca wykonana w systemie zarządzania bezpieczeństwem informacji od razu zalicza się do wymogów ustawy.
Jak przygotować się w 90 dni
Pełna zgodność z ustawą to praca na miesiące. Fundament, który wytrzyma pierwszą kontrolę i prawdziwy incydent, da się jednak zbudować w trzy miesiące, w etapach po 30 dni. Kolejność ma znaczenie. Najpierw wiedza o własnej sytuacji i odpowiedzialność kierownika podmiotu, potem procesy z twardymi terminami ustawowymi, na końcu dostawcy, szkolenia i sprawdzenie skuteczności.
- Dni od 1 do 30, rozpoznanie i fundament: ustal, czy firma jest podmiotem kluczowym czy ważnym, i złóż wniosek o wpis do wykazu. Zrób analizę luk względem art. 8 ustawy. Przypisz odpowiedzialność: uchwała zarządu przyjmująca plan prac i wyznaczone osoby do kontaktu. Spisz kluczowe usługi, systemy i aktywa.
- Dni od 31 do 60, procesy z twardymi terminami: przyjmij politykę bezpieczeństwa i metodykę szacowania ryzyka, przeprowadź pierwsze szacowanie. Wdróż procedurę obsługi i zgłaszania incydentów z terminami 24 godziny, 72 godziny i miesiąc (progi incydentu poważnego, dyżury, wzory zgłoszeń, dostęp do systemu S46, kontakt do właściwego CSIRT sektorowego). Uporządkuj kopie zapasowe i plan ciągłości działania. Wymuś uwierzytelnianie wieloskładnikowe przy dostępie zdalnym i administracyjnym.
- Dni od 61 do 90, dostawcy, ludzie i sprawdzenie: sklasyfikuj dostawców i dopisz do umów wymagania bezpieczeństwa. Przeszkol kierownika podmiotu i pracowników. Przećwicz zgłoszenie incydentu na scenariuszu i zmierz, czy zespół mieści się w 24 godzinach. Oceń skuteczność środków i przedstaw zarządowi sprawozdanie z planem dalszych działań.
- Po 90 dniach system ma działać w cyklu: powtarzane szacowanie ryzyka, przeglądy uprawnień, testy odtwarzania kopii, szkolenie kierownika raz w roku kalendarzowym i regularne sprawozdania dla zarządu. Podmiot kluczowy przeprowadza też audyt bezpieczeństwa co najmniej raz na 3 lata (art. 15 ustawy). Darmowa samoocena NIS 2 w Guardiso pokazuje stan wyjściowy i listę luk, od której warto zacząć.
Jak pomaga Guardiso?
Guardiso prowadzi przez zgodność z ustawą od ustalenia kategorii podmiotu po codzienną obsługę obowiązków. Darmowy kwalifikator NIS 2 w kilka minut ocenia, czy firma jest podmiotem kluczowym albo ważnym i które obowiązki jej dotyczą. Moduł zgodności zawiera pełny katalog 261 wymogów ustawy o krajowym systemie cyberbezpieczeństwa, powiązany z zabezpieczeniami ISO/IEC 27001, więc istniejący system zarządzania bezpieczeństwem informacji od razu pracuje na zgodność z ustawą.
Dla dostawców usług cyfrowych Guardiso ma osobny moduł rozporządzenia wykonawczego Komisji (UE) 2024/2690, które doprecyzowuje dla nich wymagania techniczne. Obsługa incydentów pilnuje terminów 24 godzin, 72 godzin i miesiąca, ma gotowe formularze zgłoszeń i oś czasu incydentu. Pulpit zgodności pokazuje zarządowi bieżący stan wdrożenia, co pomaga udokumentować nadzór, którego ustawa wymaga od kierownika podmiotu.