NIS2 w Polsce – nowelizacja ustawy o KSC, terminy i obowiązki firm

NIS2 to unijna dyrektywa (UE) 2022/2555 o cyberbezpieczeństwie, którą Polska wdrożyła nowelizacją ustawy o krajowym systemie cyberbezpieczeństwa (KSC) z 23 stycznia 2026 r. Przepisy obowiązują od 3 kwietnia 2026 r. i obejmują podmioty kluczowe oraz ważne (zdefiniowane w ustawie) z 18 sektorów gospodarki. Termin na wniosek o wpis do wykazu podmiotów kluczowych i ważnych minął 3 października 2026 r. Natomiast do 3 kwietnia 2027 r. firmy muszą wdrożyć System Zarządzania Bezpieczeństwem Informacji (SZBI) i zacząć korzystać z systemu S46. W tym artykule omawiamy terminy, obowiązki, kary i zasady zgłaszania incydentów na podstawie tekstu ustawy (Dz.U. 2026 poz. 252).

Czym jest dyrektywa NIS2 i czym jest ustawa o KSC?

Dyrektywa NIS2 określa cele w zakresie cyberbezpieczeństwa dla całej Unii Europejskiej. W przeciwieństwie do unijnych rozporządzeń, aby cele i zasady unijnej dyrektywy obowiązywały państwa członkowskie, musi ona zostać wdrożona do porządku prawnego. W Polsce kwestie cyberbezpieczeństwa reguluje ustawa o krajowym systemie cyberbezpieczeństwa (ksc). To ten akt prawny, czyli ustawa o ksc, wdraża dyrektywę NIS2. To on sprawia, że cele i obowiązki dyrektywy NIS2 dotyczą też bezpośrednio  Twojej firmy.

Dyrektywę NIS2 do polskiej ustawy o ksc wdrożyła nowelizacja, a dokładnie ustawa z dnia 23 stycznia 2026 r. o zmianie ustawy o krajowym systemie cyberbezpieczeństwa oraz niektórych innych ustaw. Sejm uchwalił ją 23 stycznia 2026 r., a prezydent podpisał 19 lutego 2026 r. 2 marca 2026 r. nowelizacja została opublikowana w Dzienniku Ustaw z 2026 r., poz. 252 (Dz.U. 2026 poz. 252). Obowiązuje (weszła w życie) 3 kwietnia 2026 r.

Dyrektywa NIS2 (UE) 2022/2555 – co zmieniła względem NIS1

NIS 2 Directive, czyli dyrektywa (UE) 2022/2555 z 14 grudnia 2022 r., całkowicie przebudowała podejście do bezpieczeństwa cyfrowego w Europie. Zastąpiła ona poprzednią dyrektywę NIS z 2016 r., rozszerzając listę objętych nią podmiotów. Termin na jej wdrożenie we wszystkich państwach członkowskich UE minął 17 października 2024 r. Nowe regulacje wprowadzają surowsze kary za niedostosowanie się do zasad bezpieczeństwa określonych przepisami, bezpośrednią odpowiedzialność zarządów oraz konieczność zabezpieczenia całego łańcucha dostaw przy świadczeniu usług i dostawie towarów.

Ustawa o krajowym systemie cyberbezpieczeństwa – czym jest KSC

KSC to krajowy system cyberbezpieczeństwa, którego ramy prawne wyznacza ustawa z 5 lipca 2018 r. To właśnie w tym akcie prawnym znajdziesz definicje incydentów, kompetencje zespołów CSIRT oraz obowiązki nakładane na podmioty gospodarcze. KSC tworzy architekturę bezpieczeństwa państwa, łącząc sektor publiczny z prywatnym biznesem.

Dlaczego w Polsce stosujesz ustawę o KSC, a nie samą dyrektywę?

Jako przedsiębiorca działający w Polsce, podlegasz polskim przepisom. Dyrektywa nakazuje państwu członkowskiemu Unii osiągnięcie określonego rezultatu, ale to znowelizowana ustawa o KSC precyzuje, jak dokładnie masz się zachować, gdzie złożyć wniosek i w jakich terminach. Dlatego zgodność swojej działalności operacyjnej musisz weryfikować z polską ustawą. Jeśli potrzebujesz wsparcia, sprawdź doradztwo prawne w zakresie NIS2 i KSC naszej kancelarii LO:ME z Gdyni.

Co zmienia nowelizacja ustawy o krajowym systemie cyberbezpieczeństwa?

Nowelizacja ustawy o krajowym systemie cyberbezpieczeństwa przede wszystkim zmienia metodykę określania, czy Twoja firma podlega pod nowe rygory. Ma to ogromne konsekwencje prawne. Może też mieć konsekwencje finansowe.

Nowelizacja KSC z 23 stycznia 2026 r. – Dz.U. 2026 poz. 252

Nowelizacja ksc odeszła od modelu, w którym to administracja państwowa miała za zadanie identyfikować i kwalifikować operatorów usług kluczowych. Model zmienił się całkowicie wraz w obowiązkiem samoidentyfikacji.

Samoidentyfikacja zamiast decyzji organu

Obecnie ustawa o cyberbezpieczeństwie opiera się na mechanizmie samoidentyfikacji. Oznacza to, że to na Tobie ciąży obowiązek weryfikacji, czy Twoja firma spełnia kryteria podmiotu kluczowego lub ważnego. Jeśli po przeprowadzonym audycie odpowiedź będzie twierdząca, musisz samodzielnie zgłosić firmę do odpowiedniego rejestru, bez czekania na wezwanie organu.

Odpowiedzialność kierownika podmiotu

Jedną z najbardziej dotkliwych zmian jest wprowadzenie osobistej odpowiedzialności zarządu. Kierownik podmiotu, w rozumieniu ustawy, odpowiada finansowo za niedopełnienie obowiązków w zakresie cyberbezpieczeństwa. Nie mówimy tu tylko o karach nakładanych na spółkę, ale o sankcjach uderzających bezpośrednio w majątek członków zarządu.

Dostawca wysokiego ryzyka – polski dodatek do NIS2

Polska ustawa idzie o krok dalej niż dyrektywa NIS 2 (NIS2). Wprowadza procedurę uznania dostawcy sprzętu lub oprogramowania za dostawcę wysokiego ryzyka.

Jak działa ten mechanizm? Decyzję uznającą danego producenta sprzętu, oprogramowania lub usługodawcy chmurowego za dostawcę wysokiego ryzyka wydaje Minister Cyfryzacji. Akt ten rodzi natychmiastowe i trudne skutki dla podmiotów ważnych i kluczowych objętych ustawą o KSC.  Od momentu wydania decyzji firma nie może kupować, instalować ani wdrażać żadnych nowych produktów ani usług od  producenta objętego decyzją. Ustawa nakłada obowiązek całkowitego usunięcia i zastąpienia dotychczas wykorzystywanego sprzętu lub oprogramowania w wyznaczonym terminie. Zaś proces wycofania i zastąpienia technologii inną infrastrukturą odbywa się na koszt samej firmy. Przepisy nie przewidują automatycznych odszkodowań od Skarbu Państwa za konieczność przedwczesnej wymiany sprawnego sprzętu.

Ponieważ mechanizm ten budzi wątpliwości, zwłaszcza w zakresie ochrony interesów firm, które legalnie nabyły oprogramowanie, Prezydent RP podpisał ustawę 19 lutego 2026 r., kierując jednocześnie przepisy dotyczące dostawców wysokiego ryzyka do Trybunału Konstytucyjnego w trybie kontroli następczej.

Element	Do 2.04.2026	Od 3.04.2026
Kto podlega	operatorzy usług kluczowych wskazani decyzją organu	podmioty kluczowe i ważne – firma sama sprawdza, czy spełnia przesłanki
Rejestracja	wykaz operatorów usług kluczowych	wykaz podmiotów kluczowych i ważnych, wniosek składany przez stronę http://wykaz-ksc.gov.pl
Zgłoszenie incydentu	dotychczasowe zasady	24 h / 72 h / miesiąc (art. 11 ust. o ksc)
Odpowiedzialność	podmiot	podmiot + osobiście kierownik (art. 8d, 73a ust. o ksc)
Szkolenie kierownika	brak obowiązku	raz w roku kalendarzowym (art. 8e)

Kogo obejmuje NIS2 w Polsce – podmioty kluczowe i ważne

Krajowy system cyberbezpieczeństwa ustawa rozszerza na tysiące nowych firm, dzieląc je na dwie główne kategorie: podmioty kluczowe i podmioty ważne. Przynależność zależy głównie od branży i rozmiaru przedsiębiorstwa.

Sektory z załączników nr 1 i 2 do ustawy

Nowe przepisy, implementujące NIS2 Polska, wskazują 18 sektorów gospodarki podlegających regulacji. Załącznik nr 1 do ustawy wymienia sektory kluczowe (np. energetyka, bankowość, transport, zdrowie). Z kolei załącznik nr 2 zawiera listę sektorów ważnych (np. produkcja żywności, gospodarowanie odpadami, usługi pocztowe).

Sektory kluczowe: energia, transport (lotniczy, kolejowy, wodny, drogowy), bankowość i infrastruktura rynków finansowych, ochrona zdrowia, zaopatrzenie w wodę pitną, zbiorowe odprowadzanie ścieków, infrastruktura cyfrowa, zarządzanie usługami ICT, przestrzeń kosmiczna, podmioty publiczne.

Sektory ważne: usługi pocztowe, inwestycje energetyki jądrowej, gospodarowanie odpadami, chemikalia, wybrane działy produkcji

Progi wielkości: średnie i duże przedsiębiorstwa

Jeśli działasz w jednym z wymienionych sektorów, musisz sprawdzić wielkość swojej firmy. Ustawa obejmuje średnie i duże przedsiębiorstwa. Średnia firma to taka, która zatrudnia od 50 pracowników lub której roczny obrót i suma bilansowa przekraczają 10 mln euro. Duża firma zatrudnia od 250 pracowników albo przekracza 50 mln euro obrotu i 43 mln euro sumy bilansowej.

Kto podlega ustawie niezależnie od wielkości?

Zasada dotycząca progów wielkości ma swoje wyjątki. Niektóre instytucje podlegają pod wymogi KSC niezależnie od tego, ilu pracowników zatrudniają. Dotyczy to między innymi dostawców usług zaufania, rejestrów nazw domen najwyższego poziomu (TLD) oraz dostawców usług DNS.

Kryterium	Podmiot kluczowy	Podmiot ważny
Sektory	załącznik nr 1 (np. energia, transport, bankowość, ochrona zdrowia, infrastruktura cyfrowa)	załącznik nr 1 (średnie firmy) i załącznik nr 2 (np. usługi pocztowe, odpady, żywność, produkcja, badania)
Typowa wielkość	duże przedsiębiorstwo	średnie przedsiębiorstwo
Nadzór	ex ante – kontrole planowe	ex post – po sygnale o naruszeniu
Audyt	obowiązkowy, co najmniej co 3 lata	na żądanie organu
Maks. kara	10 mln euro lub 2% rocznych przychodów	7 mln euro lub 1,4% rocznych przychodów

• Więcej w tym temacie znajdziesz w naszym artykule: NIS2 – kogo dotyczy

Jak wygląda wpis do wykazu KSC i co, jeśli termin już minął?

Rejestracja, czyli wpis do wykazu podmiotów kluczowych i podmiotów ważnych, to pierwszy krok, jaki musisz wykonać. Jeśli spełniasz przesłanki ustawowe, musisz zgłosić ten fakt państwu. Wniosek składasz wyłącznie w formie elektronicznej przez platformę https://wykaz-ksc.gov.pl. Czynność tę wykonuje kierownik podmiotu lub wyznaczony pełnomocnik. Składając dokumenty, podpisujesz oświadczenie o prawdziwości danych pod rygorem odpowiedzialności karnej z art. 233 § 6 Kodeksu karnego.

Termin 3 października 2026 r. i 6 miesięcy dla nowych podmiotów

Dla podmiotów, które spełniały przesłanki w dniu wejścia w życie nowelizacji (3 kwietnia 2026 r.), termin na złożenie wniosku minął 3 października 2026 r. (art. 33 ust. 3, art. 34 ust. 3 ustawy zmieniającej). Jeśli Twoja firma zacznie spełniać warunki ustawowe później, na wpis masz 6 miesięcy od dnia, w którym te przesłanki wystąpią (art. 7c ust. 1).

Wpis z urzędu i obowiązek aktualizacji danych w 14 dni

Przegapiłeś termin 3 października 2026 r.? Złóż wniosek niezwłocznie. Organ nadzorczy ma prawo wpisać Cię do wykazu z urzędu na podstawie własnych informacji. Jednak za brak zgłoszenia organ może ukarać Cię karą dopiero od 3 kwietnia 2028 r. (na podstawie z art. 73 ust. 1a pkt 1 ustawy o ksc).

Pamiętaj również, że musisz zaktualizować w systemie każdą zmianę danych objętych wpisem w ciągu 14 dni od jej zaistnienia (art. 7c ust. 3).

• Więcej przeczytasz w naszym artykule: wykaz podmiotów kluczowych i ważnych.

Jakie terminy wynikają z NIS2 i ustawy o KSC?

Terminy, do kiedy musisz podjąć konkretne działania organizacyjne, aby spełnić wymogi cyberbezpieczeństwa, są już precyzyjnie określone. Warto je znać.

Terminy dla firm objętych ustawą od 3 kwietnia 2026 r.

Znowelizowane przepisy obowiązują od 3 kwietnia 2026 r. Czas na samoidentyfikację już upłynął, lecz organ nie będzie jeszcze nakładał kary za niespełnienie tego obowiązku. Dlatego trzeba go dopełnić jak najszybciej.

Zobowiązane firmy mają czas do 3 kwietnia 2027 r., żeby:

• wdrożyć nowe procedury zarządzania bezpieczeństwem (SZBI),
• wdrożyć system S46 i procedury incydentów (art. 33 ust. 1 ustawy zmieniającej).

Pierwszy audyt dla podmiotów kluczowych musi zostać zakończony do 3 kwietnia 2028 r. (art. 33 ust. 2 ustawy zmieniającej).

Terminy dla firm, które spełnią przesłanki później

Firmy, które urosną lub wejdą na nowe rynki i spełnią przesłanki w przyszłości, już dziś mają określone zasady. Od dnia zakwalifikowania się do KSC mają 6 miesięcy na wpis do wykazu, 12 miesięcy na realizację pełnych obowiązków oraz 24 miesiące na przeprowadzenie pierwszego audytu (jeśli są podmiotem kluczowym).

Data	Co się dzieje	Podstawa
23.01.2026	Sejm uchwala nowelizację ustawy o KSC	Dz.U. 2026 poz. 252
2.03.2026	publikacja w Dzienniku Ustaw	Dz.U. 2026 poz. 252
3.04.2026	wejście w życie (miesiąc od ogłoszenia)	art. 49 ustawy zmieniającej
7.05.2026	start wniosków w wykazie (wykaz-ksc.gov.pl)	komunikat MC z 8.04.2026
3.10.2026	koniec terminu na wniosek o wpis (podmioty spełniające przesłanki 3.04.2026) – MINĄŁ	art. 33 ust. 3, art. 34 ust. 3 ustawy zmieniającej + komunikat MC
3.04.2027	wdrożenie obowiązków z rozdziału 3 ustawy o ksC (SZBI, zarządzanie ryzykiem, obsługa incydentów) i korzystanie z system S46	art. 33 ust. 1 ustawy zmieniającej; art. 46 ust. 4 ustawy o KSC
3.04.2028	pierwszy audyt podmiotu kluczowego; od tego dnia możliwe kary z art. 73 ust. 1–4 i art. 73a–73c	art. 33 ust. 2 i art. 35 ustawy zmieniającej

Jakie obowiązki nakłada NIS2?

Samo wpisanie do rejestru to dopiero początek. Twoja firma musi aktywnie chronić swoje zasoby. Aby spełnić wymagania NIS2, konieczne jest wdrożenie konkretnych procedur operacyjnych oraz systemów zabezpieczeń.

SZBI i zarządzanie ryzykiem (art. 8)

Zgodnie z art. 8 ustawy o KSC musisz wdrożyć System Zarządzania Bezpieczeństwem Informacji (SZBI). Wymaga to ciągłej identyfikacji zagrożeń, analizy ryzyka i wdrożenia technicznych, organizacyjnych oraz prawnych środków chroniących Twoją sieć. To serce całego systemu – musisz wiedzieć, gdzie są Twoje luki i jak je łatać.

Obowiązki kierownika i szkolenie raz w roku (art. 8d, 8e)

Zarząd nie może już delegować odpowiedzialności wyłącznie na dział IT. Kierownik podmiotu (np. prezes zarządu) zatwierdza analizę ryzyka oraz politykę cyberbezpieczeństwa i nadzoruje ich stosowanie (art. 8d). Dodatkowo art. 8e nakłada na niego obowiązek odbycia dedykowanego szkolenia z cyberbezpieczeństwa co najmniej raz w roku kalendarzowym.

Bezpieczeństwo łańcucha dostaw

Musisz kontrolować swoich partnerów i dostawców usług IT. Ustawa wymaga, abyś zarządzał ryzykiem, które generują dla Ciebie firmy zewnętrzne mające dostęp do Twoich systemów. Oznacza to audyty dostawców, klauzule bezpieczeństwa w umowach i regularne weryfikacje ich podatności.

Audyt podmiotu kluczowego co 3 lata (art. 15)

Jeśli jesteś podmiotem kluczowym, przepisy wymuszają na Tobie regularną kontrolę wykonywaną przez zewnętrznych audytorów. Zgodnie z art. 15 ustawy o KSC, musisz przeprowadzać audyt bezpieczeństwa systemu informacyjnego co najmniej raz na 3 lata. Pierwszy taki proces musi zakończyć się maksymalnie do 3 kwietnia 2028 r. Podmioty ważne nie mają z góry narzuconego obowiązku cyklicznych audytów. Wykonują go na wyraźne żądanie organu nadzorczego.

W jakim terminie trzeba zgłaszać incydenty?

Właściwa reakcja na naruszenie zabezpieczeń to podstawa ustawy o KSC. Incydenty bezpieczeństwa wymagają zgłoszenia ich do odpowiednich służb.

Wczesne ostrzeżenie, zgłoszenie i sprawozdanie końcowe

Ustawa wprowadza trzystopniowy mechanizm zgłaszania incydentów poważnych (art. 11 ust. 1). Wczesne ostrzeżenie wysyłasz niezwłocznie – masz na to maksymalnie 24 godziny od wykrycia ataku. Pełne zgłoszenie incydentu z opisem jego skutków i wskaźnikami kompromitacji (IoC) przekazujesz w ciągu 72 godzin od momentu wykrycia. Z kolei kompleksowe sprawozdanie końcowe wysyłasz po opanowaniu sytuacji, najpóźniej w ciągu miesiąca.

Komu zgłaszasz incydent poważny – CSIRT sektorowy i system S46

Gdzie trafiają te powiadomienia? Każde wczesne ostrzeżenie oraz pełne zgłoszenie incydentu do CSIRT kierujesz drogą elektroniczną. Wymianę informacji koordynują Zespoły Reagowania na Incydenty (CSIRT NASK, GOV, MON lub powołany dla Twojej branży CSIRT sektorowy). Informacje przesyłasz wyłącznie poprzez scentralizowany system teleinformatyczny S46.

Etap	Termin	Do kogo
Wczesne ostrzeżenie	niezwłocznie, najpóźniej 24 h od wykrycia	CSIRT sektorowy
Zgłoszenie incydentu poważnego	niezwłocznie, najpóźniej 72 h od wykrycia	CSIRT sektorowy
Sprawozdanie okresowe	na wniosek CSIRT sektorowego	CSIRT sektorowy
Sprawozdanie końcowe	najpóźniej miesiąc od zgłoszenia (72 h)	CSIRT sektorowy

(Wyjątek: dostawca usług zaufania zgłasza incydent poważny w 24 h – art. 11 ust. 1a. Przykład: wykrywasz incydent w piątek o 22:00 → wczesne ostrzeżenie wysyłasz do soboty 22:00, a zgłoszenie do poniedziałku 22:00.)

Jakie kary przewiduje ustawa o KSC?

Nowelizacja daje organom arsenał narzędzi, które mają motywować firmy do realnych inwestycji w bezpieczeństwo, a nie tylko obligować je do tworzenia dokumentacji. Najsilniejszym z tych narzędzi są kary finansowe. Ale takie, które mają się firmie naprawdę nie opłacać.

Kary dla podmiotu kluczowego i ważnego

Kary za NIS2 są zróżnicowane w zależności od statusu Twojej firmy. Dla podmiotu kluczowego maksymalna grzywna wynosi aż 10 000 000 euro lub 2% przychodów osiągniętych w roku poprzednim (zastosowanie ma kwota wyższa) przy minimum ustawowym na poziomie 20 000 zł. Podmioty ważne mogą zapłacić karę do 7 000 000 euro lub 1,4% przychodów, a stawka minimalna wynosi w ich przypadku 15 000 zł (art. 73).

Kara dla kierownika – do 300% wynagrodzenia

Ustawa uderza bezpośrednio w osoby decyzyjne. Zgodnie z art. 73a ust. 4, na kierownika podmiotu niepublicznego organ nadzorczy może nałożyć karę pieniężną wynoszącą do 300% jego miesięcznego wynagrodzenia obliczonego za miesiąc, w którym popełniono naruszenie. Dla kierowników podmiotów publicznych jest to maksymalnie 100% wynagrodzenia (art. 73a ust. 5).

Od kiedy organ może nałożyć karę?

Art. 35 ustawy zmieniającej określa okres ochronny dla nakładania kar. Kary z art. 73 ust. 1–4 i kary osobiste dla zarządu (art. 73a–73c) mogą być nakładane dopiero po upływie 2 lat od dnia wejścia nowelizacji w życie, czyli po 3 kwietnia 2028 r. Z tego parasola ochronnego wyłączone są naruszenia, które powodują bezpośrednie, poważne zagrożenie dla KSC z art. 73 ust. 5. Za takie naruszenie organ może nałożyć karę do 100 000 000 zł w trybie natychmiastowym.

Kto	Maksimum	Minimum
Podmiot kluczowy	10 000 000 euro lub 2% przychodów z roku poprzedniego – stosuje się kwotę wyższą	20 000 zł
Podmiot ważny	7 000 000 euro lub 1,4% przychodów	15 000 zł
Naruszenie powodujące poważne zagrożenie	do 100 000 000 zł (art. 73 ust. 5)	–
Kierownik podmiotu	do 300% wynagrodzenia (art. 73a ust. 4)	–
Kierownik podm. publiczn.	do 100% wynagrodzenia (art. 73a ust. 5)	–

Jak NIS2 łączy się z DORA, CRA, RODO i AI Act?

Przepisy cyfrowe tworzą system naczyń połączonych. Aby zapewnić pełną zgodność prawną (tzw. compliance), musisz analizować obowiązki całościowo, uwzględniając zależności między kilkoma aktami prawa UE.

NIS2 a DORA – sektor finansowy

Jeśli Twoja firma należy do sektora finansowego, ustawa o KSC ustępuje miejsca przepisom branżowym. W tym obszarze główną rolę przejmuje rozporządzenie DORA. Dyrektywa o cyberbezpieczeństwie traktuje banki i instytucje finansowe jako podmioty szczególne, podlegające surowszym i bardziej specyficznym standardom DORA. DORA jest dla nich zatem lex specialis w stosunku do wymogów NIS2 określonych w ustawie o KSC.

NIS2 a Cyber Resilience Act – produkty z elementami cyfrowymi

Podczas gdy ustawa o KSC i dyrektywa chronią organizacje i usługi, Cyber Resilience Act skupia się na samych produktach. CRA nakłada wymogi bezpieczeństwa bezpośrednio na producentów sprzętu (IoT, hardware) i oprogramowania z elementami cyfrowymi. Oznacza to, że kupując narzędzia niezbędne do zabezpieczenia Twojej sieci w ramach NIS2, będziesz w przyszłości korzystał z produktów certyfikowanych zgodnie z CRA.

NIS2 a RODO – dwa zgłoszenia jednego incydentu (CSIRT i UODO)

Wyciek danych osobowych podczas ataku hakerskiego tworzy zbieg dwóch reżimów prawnych. Jeśli hakerzy ukradną bazę klientów, będziesz zmuszony obsłużyć ten incydent podwójnie: zgłosić go w 72 godziny do właściwego CSIRT na mocy ustawy o KSC oraz zgłosić naruszenie prywatności do Prezesa Urzędu Ochrony Danych Osobowych w terminie 72 godzin zgodnie z RODO.

NIS2 a AI Act

Używanie sztucznej inteligencji do ochrony sieci to przyszłość zarządzania ryzykiem. Jeśli Twoje systemy cyberbezpieczeństwa bazują na systemach wysokiego ryzyka AI, musisz dodatkowo wziąć pod uwagę wymogi nałożone przez AI Act.

Od czego zacząć wdrożenie NIS2?

Przejście przez wszystkie obowiązki wynikające z cyber-prawa może wydawać się procesem przytłaczającym. Jednak systematyczne podejście pozwoli Ci na spokojnie ułożyć procesy w firmie tak, aby uniknąć sankcji.

Sprawdź status firmy i wpis w wykazie

Zweryfikuj załączniki nr 1 i 2 do ustawy o KSC. Oblicz średnie roczne zatrudnienie, obroty i sumę bilansową. Jeżeli Twoja firma mieści się w ustawowych progach – koniecznie upewnij się, czy wniosek do wykazu został złożony do 3 października 2026 r. Jeżeli nie, wnieś go niezwłocznie przez dedykowaną stronę internetową.

Analiza luk i plan na 3 kwietnia 2027 r.

Nie czekaj z wdrożeniem do ostatniej chwili. Do 3 kwietnia 2027 r. masz czas na wdrożenie SZBI i polityk wymaganych ustawą oraz integrację z systemem S46. Zweryfikuj, które z niezbędnych dokumentów już posiadasz (np. w ramach wdrożonej normy ISO 27001), i zleć kompleksową analizę luk. Kompleksowy audyt NIS2 przeprowadzony przez zewnętrznego doradcę pomoże ustrukturyzować ten proces.

Potrzebujesz pomocy we wdrożeniu zmian w swojej organizacji? Zespół naszej kancelarii LO:ME Gdyni przeprowadzi Cię przez proces identyfikacji wymogów i zabezpieczy Twój biznes prawnie przed nowymi sankcjami. Skontaktuj się z nami.