Moduł 9 · 9.1
NIS2 a ustawa o krajowym systemie cyberbezpieczeństwa
Moduł 9: Przepisy i organizacja · Czas czytania: 11 minut
Cel lekcji: Po tej lekcji będą Państwo potrafili wyjaśnić, co reguluje dyrektywa NIS2 i jej krajowe wdrożenie, kogo dotyczy i co oznacza to dla małych firm działających w łańcuchu dostaw.
Pojęcia kluczowe: NIS2, ustawa o krajowym systemie cyberbezpieczeństwa (KSC), podmiot kluczowy i ważny, sektor, wielkość, obowiązek należytej staranności, obowiązek zgłaszania (24 godziny, 72 godziny, 1 miesiąc), obowiązek rejestracji, łańcuch dostaw, samoocena
Od europejskiej dyrektywy do przepisów krajowych
NIS2 to europejska dyrektywa z 2022 roku (dyrektywa (UE) 2022/2555), która ma zwiększyć odporność cyfrową ważnych organizacji w całej UE. Dyrektywa nie obowiązuje bezpośrednio: każde państwo wdraża ją we własnej ustawie. W Polsce wdrożenie NIS2 następuje poprzez nowelizację ustawy o krajowym systemie cyberbezpieczeństwa (KSC). Nowelizacja ustawy o KSC wdrażająca NIS2 obowiązuje od 3 kwietnia 2026 r. Kto podlega tym przepisom, musi je spełniać od tego dnia.
Dla porównania: w Niderlandach dyrektywę NIS2 wdrożono w Cyberbeveiligingswet (Cbw), która weszła w życie 15 sierpnia 2026 roku, bez okresu przejściowego, równocześnie z ustawą o odporności podmiotów krytycznych. Zgodnie z danymi niderlandzkiego NCSC przepisom tym podlega ponad 8000 organizacji w Niderlandach. To niewielka część wszystkich firm. Dla większości małych przedsiębiorców najważniejsze pytanie brzmi więc nie "czy ja muszę coś zrobić z powodu tej ustawy?", lecz "czego będą ode mnie wymagać moi klienci, ponieważ to oni podlegają tym przepisom?". Do tego wrócimy za chwilę.
Instytucją kontaktową dla organizacji objętych tymi przepisami w Polsce jest właściwy organ oraz krajowy zespół reagowania na incydenty bezpieczeństwa, CERT Polska (NASK), https://cert.pl/.
Czy Państwa firma podlega tym przepisom? Sektor i wielkość
To, czy organizacja podlega wymogom wynikającym z wdrożenia NIS2, zależy od dwóch pytań. Poniżej opisujemy to na przykładzie niderlandzkiej Cbw, aby pokazać ogólną logikę takich przepisów; szczegóły krajowego wdrożenia mogą się różnić.
1. Czy działają Państwo w sektorze wymienionym w przepisach? Dyrektywa wyróżnia dwie grupy sektorów.
| Załącznik 1 (11 sektorów) | Załącznik 2 (7 sektorów) |
|---|---|
| energia, transport, bankowość, woda pitna, infrastruktura cyfrowa, zarządzanie usługami ICT, przestrzeń kosmiczna, infrastruktura rynków finansowych, ochrona zdrowia, ścieki, administracja publiczna | dostawcy usług cyfrowych, usługi pocztowe i kurierskie, gospodarka odpadami, produkcja żywności, substancje chemiczne, badania naukowe, produkcja przemysłowa |
Dla niektórych sektorów obowiązują dodatkowe warunki określane przez właściwe ministerstwo. Nie każda organizacja, która zajmuje się na przykład "produkcją żywności", automatycznie podlega tym przepisom.
2. Czy firma jest wystarczająco duża? Organizacja jest brana pod uwagę, jeśli:
- zatrudnia 50 lub więcej pracowników (w przeliczeniu na pełne etaty), lub
- zatrudnia mniej niż 50 pracowników, ale jej roczny obrót i suma bilansowa przekraczają 10 milionów euro.
Pod uwagę brane są także przedsiębiorstwa partnerskie i powiązane. Firma zatrudniająca 20 osób, należąca do grupy liczącej 200 pracowników, może więc jednak podlegać tym przepisom.
Wyjątki: niezależnie od wielkości. Kilka rodzajów organizacji podlega tym przepisom zawsze, niezależnie od swojej wielkości: dostawcy usług DNS, rejestry domen najwyższego poziomu, dostawcy publicznych sieci i usług łączności elektronicznej, dostawcy usług zaufania oraz organy administracji publicznej. Rejestracji muszą dokonać także dostawcy usług rejestracji nazw domen.
Podmiot kluczowy czy ważny
Organizacje objęte tymi przepisami dzielą się na podmioty kluczowe i podmioty ważne. W uproszczeniu: duże organizacje z sektorów z załącznika 1 oraz kilka rodzajów organizacji wskazanych niezależnie od wielkości to podmioty kluczowe; reszta to podmioty ważne. Różnica dotyczy przede wszystkim nadzoru: w przypadku podmiotów kluczowych właściwy organ może prowadzić kontrole z własnej inicjatywy, na przykład inspekcje i audyty; w przypadku podmiotów ważnych interweniuje przede wszystkim po fakcie, gdy są przesłanki wskazujące na nieprawidłowości. Same obowiązki są w dużej mierze takie same. Czy dana organizacja jest podmiotem kluczowym, czy ważnym, ustala się za pomocą samooceny.
Samodzielna weryfikacja
W Niderlandach Rijksinspectie Digitale Infrastructuur (RDI, niderlandzki urząd nadzoru nad infrastrukturą cyfrową) udostępnia bezpłatną samoocenę NIS2 na stronie https://regelhulpenvoorbedrijven.nl/NIS-2-NL/ (źródło niderlandzkie). Odpowiada się tam na szereg pytań dotyczących sektora, wielkości i świadczonych usług i otrzymuje wynik. W razie wątpliwości, na przykład gdy firma należy do grupy lub działa w kilku krajach, pomocne mogą być wytyczne właściwego organu dla złożonych modeli biznesowych. W Polsce proszę zwrócić się w tej sprawie do właściwego organu lub do CERT Polska.
Czego wymagają przepisy
Jeśli organizacja podlega tym przepisom, obowiązują ją trzy rodzaje obowiązków.
Obowiązek rejestracji
Organizację zgłasza się do odpowiedniego wykazu lub rejestru podmiotów objętych krajowym systemem cyberbezpieczeństwa. Dzięki temu właściwy organ wie, kto podlega przepisom, i może się skontaktować w razie zagrożenia.
Obowiązek należytej staranności
Należy sporządzić analizę ryzyka i na jej podstawie wdrożyć odpowiednie i proporcjonalne środki zabezpieczające systemy sieciowe i informacyjne. Niderlandzki NCSC wymienia co najmniej dziesięć obszarów, z którymi zetknęli się Państwo w trakcie tego kursu:
- analiza ryzyka (lekcja 1.1 i 9.3);
- obsługa incydentów wraz z planem postępowania (lekcja 8.1);
- przygotowanie na wypadek awarii: kopie zapasowe, plany odtworzenia, zarządzanie kryzysowe (moduł 6);
- bezpieczeństwo łańcucha dostaw, w tym ryzyka związane z dostawcami (lekcja 7.2);
- cyberhigiena i szkolenia (lekcja 9.2);
- bezpieczne pozyskiwanie, tworzenie i utrzymywanie systemów, w tym aktualizacje (lekcja 5.1);
- personel, polityka dostępu oraz zarządzanie sprzętem i oprogramowaniem (lekcja 7.1);
- passkeye lub uwierzytelnianie wieloskładnikowe oraz bezpieczna komunikacja (moduł 2);
- polityka kryptograficzna (szyfrowanie);
- ocena skuteczności wdrożonych środków, na przykład poprzez okresowe testy (lekcja 6.3 i 9.3).
Odpowiedzialny jest zarząd: zatwierdza on środki bezpieczeństwa i nadzoruje ich wdrażanie. Zgodnie z dyrektywą europejską członkowie zarządu powinni również odbyć szkolenie dotyczące ryzyk cybernetycznych. Cyberbezpieczeństwo przestaje więc być drobną sprawą zleconą informatykowi.
Obowiązek zgłaszania
Istotny incydent zgłasza się właściwemu organowi lub krajowemu zespołowi reagowania na incydenty bezpieczeństwa, zgodnie z procedurą obowiązującą w danym kraju. Chodzi o incydent, który poważnie zakłóca świadczenie usług, powoduje szkody finansowe lub może wyrządzić poważną szkodę innym podmiotom; dokładne progi różnią się w zależności od sektora. Terminy liczy się od chwili, gdy organizacja dowiaduje się o incydencie:
| Termin | Co należy przesłać |
|---|---|
| W ciągu 24 godzin | Wczesne ostrzeżenie: czy incydent ma prawdopodobnie charakter celowy, czy ma skutki transgraniczne, kto jest osobą kontaktową |
| W ciągu 72 godzin | Zgłoszenie incydentu: aktualizacja z pierwszą oceną powagi i skutków |
| W ciągu 1 miesiąca od zgłoszenia | Raport końcowy: co się wydarzyło, jaka była przyczyna i jakie środki zastosowano (jeśli incydent trwa dłużej: raport z postępu) |
Jedno zgłoszenie dociera zarówno do zespołu reagowania na incydenty (CSIRT), jak i do właściwego organu nadzorczego. Ponadto zgodnie z dyrektywą organizacja powinna w razie potrzeby informować odbiorców swoich usług o istotnych incydentach, które mogą ich dotyczyć.
Zgłoszenie na podstawie przepisów o cyberbezpieczeństwie a zgłoszenie na podstawie RODO: dwie różne sprawy
Przypomina to obowiązek zgłaszania naruszeń ochrony danych osobowych wynikający z RODO (lekcja 8.2), a termin "72 godziny" występuje w obu przypadkach. Mimo to są to dwa odrębne obowiązki.
| Przepisy wdrażające NIS2 | RODO (naruszenie danych) | |
|---|---|---|
| Dla kogo | Organizacje objęte przepisami krajowymi wdrażającymi NIS2 | Każdy, kto przetwarza dane osobowe, także osoba prowadząca jednoosobową działalność gospodarczą |
| Czego dotyczy | Istotne incydenty związane ze świadczonymi usługami | Naruszenia bezpieczeństwa danych osobowych |
| Do kogo | Właściwy organ lub krajowy zespół reagowania na incydenty | Prezes Urzędu Ochrony Danych Osobowych (UODO) |
| Terminy | 24 godziny, 72 godziny, 1 miesiąc | Bez zbędnej zwłoki, w miarę możliwości w ciągu 72 godzin |
Atak ransomware na organizację objętą przepisami o cyberbezpieczeństwie, w wyniku którego skradziono także dane klientów, należy więc zgłosić w obu trybach. A mała firma, która nie podlega przepisom o cyberbezpieczeństwie, nadal ma obowiązek zgłoszenia naruszenia do UODO, jeśli dojdzie do wycieku danych osobowych.
Jeśli firma nie podlega tym przepisom: łańcuch dostaw
Dla większości czytelników tego kursu odpowiedź na pierwsze pytanie brzmi: nie, moja firma nie podlega przepisom wdrażającym NIS2. Piekarnia zatrudniająca dwanaście osób, biuro rachunkowe zatrudniające pięć osób, jednoosobowy twórca stron internetowych. Wtedy nie mają Państwo żadnych ustawowych obowiązków wynikających z tych przepisów: żadnej rejestracji, żadnego obowiązku zgłaszania incydentów właściwemu organowi, żadnego nadzoru.
Przepisy mogą jednak dotrzeć do Państwa firmy za pośrednictwem klientów. Organizacje objęte tymi przepisami muszą zabezpieczyć swój łańcuch dostaw: muszą uwzględniać podatności swoich bezpośrednich dostawców i usługodawców. Niderlandzki NCSC wyjaśnia, że przepisy same w sobie nie nakładają obowiązków na dostawców, ale że organizacje objęte nimi mogą stawiać wymagania dotyczące bezpieczeństwa cyfrowego swoim dostawcom. Takie wymagania trafiają wówczas do umowy lub do kwestionariusza.
Przykład. Mała firma informatyczna zatrudniająca sześciu pracowników zarządza laptopami i siecią średniej wielkości firmy transportowej zatrudniającej 140 osób. Firma transportowa podlega przepisom wdrażającym NIS2 (sektor transportu, wystarczająca wielkość). Sama firma informatyczna nie podlega tym przepisom: "zarządzanie usługami ICT" wprawdzie znajduje się w załączniku 1, ale firma jest zbyt mała. Mimo to otrzymuje kwestionariusz: czy mają Państwo uwierzytelnianie dwuskładnikowe w narzędziach do zarządzania, kto ma dostęp do naszych systemów, jak szybko zgłaszają Państwo nam incydent, gdzie przechowywane są kopie zapasowe?
Co na ten temat mówi niderlandzki NCSC i co to oznacza dla Państwa:
- Wymagania muszą być proporcjonalne. Klient powinien patrzeć na ryzyko, jakie Państwa usługa dla niego stwarza. Dostawca mający dostęp do systemów otrzyma surowsze wymagania niż firma dostarczająca lunch.
- Chodzi o bezpośrednich dostawców. Dostawcy Państwa dostawców nie są objęci tymi przepisami.
- Certyfikat nie jest obowiązkowy. Przepisy nie narzucają żadnego znaku jakości. Certyfikat może ułatwić rozmowę, ale nie stanowi gwarancji ani wymogu prawnego.
- Proszę zacząć rozmowę wcześnie. Proszę sporządzić zestawienie środków, które już Państwo wdrożyli w miejscach styku z klientem, i spisać ustalenia.
Proszę więc nie przesadzać. Przepisy wdrażające NIS2 nie zamieniają małej firmy w organizację "objętą NIS2", a doradca, który twierdzi inaczej, by sprzedać drogą certyfikację, przedstawia tylko część historii. Ale proszę też tego nie bagatelizować: firmy dostarczające usługi większym organizacjom coraz częściej muszą wykazać, że podstawy bezpieczeństwa są uporządkowane. Podstawowe środki omówione w tym kursie to dokładnie to, o co zwykle pyta taki kwestionariusz.
Ta lekcja zawiera ogólne wyjaśnienia i nie stanowi porady prawnej. Proszę sprawdzić aktualne przepisy u właściwego organu lub w CERT Polska, https://cert.pl/. Informacje o niderlandzkim wdrożeniu NIS2 (źródło niderlandzkie) znajdą Państwo na https://www.ncsc.nl/cyberbeveiligingswet-nis2 oraz w tekście ustawy na https://wetten.overheid.nl/BWBR0052872/2026-08-15/0.
Podsumowanie
- Nowelizacja ustawy o krajowym systemie cyberbezpieczeństwa (KSC) stanowi wdrożenie dyrektywy NIS2 i obowiązuje od 3 kwietnia 2026 r.
- Przepisom podlega się przy sektorze z załącznika 1 lub 2 oraz 50 lub więcej pełnych etatów, lub gdy roczny obrót i suma bilansowa przekraczają 10 milionów euro; niektóre rodzaje organizacji (jak dostawcy usług DNS i administracja publiczna) niezależnie od wielkości.
- Obowiązki: rejestracja w odpowiednim wykazie lub rejestrze, obowiązek należytej staranności obejmujący analizę ryzyka i odpowiednie środki pod odpowiedzialnością zarządu, a także zgłaszanie istotnych incydentów w ciągu 24 godzin, 72 godzin i 1 miesiąca.
- Zgłoszenie incydentu właściwemu organowi jest odrębne od zgłoszenia naruszenia danych osobowych do UODO na podstawie RODO; czasem konieczne są oba.
- Mała firma zwykle sama nie podlega tym przepisom, ale za pośrednictwem klientów, którzy im podlegają, może otrzymać odpowiednie wymagania bezpieczeństwa.
Quiz
Zadanie
Zadanie A9.1: Czy to podlega ustawie o krajowym systemie cyberbezpieczeństwa (KSC)? Otrzymają Państwo sześć krótkich opisów organizacji (sektor, liczba pracowników, obrót, suma bilansowa, ewentualnie grupa lub duży klient). Proszę określić dla każdej organizacji: podlega przepisom, nie podlega, ale prawdopodobnie otrzyma wymagania za pośrednictwem klienta, lub nie podlega wcale. Program sprawdzi odpowiedzi i pokaże dla każdej organizacji kroki drzewa decyzyjnego.
Więcej informacji
W bazie wiedzy WebOké nie ma jeszcze artykułu poświęconego przepisom wdrażającym NIS2; proszę korzystać z oficjalnych źródeł.
- Niderlandzki NCSC, Cyberbeveiligingswet (NIS2) [źródło niderlandzkie]: https://www.ncsc.nl/cyberbeveiligingswet-nis2
- Niderlandzki NCSC, Czy moja organizacja podlega Cyberbeveiligingswet (NIS2)? [źródło niderlandzkie]: https://www.ncsc.nl/cyberbeveiligingswet-nis2/valt-mijn-organisatie-onder-de-cyberbeveiligingswet-nis2
- Niderlandzki NCSC, Obowiązek należytej staranności [źródło niderlandzkie]: https://www.ncsc.nl/cyberbeveiligingswet-nis2/zorgplicht
- Niderlandzki NCSC, Obowiązek zgłaszania [źródło niderlandzkie]: https://www.ncsc.nl/cyberbeveiligingswet-nis2/meldplicht
- Niderlandzki NCSC, Cyberbeveiligingswet a dostawcy [źródło niderlandzkie]: https://www.ncsc.nl/cyberbeveiligingswet-nis2/de-cyberbeveiligingswet-en-toeleveranciers
- RDI, samoocena NIS2 [źródło niderlandzkie]: https://regelhulpenvoorbedrijven.nl/NIS-2-NL/
- Tekst niderlandzkiej Cyberbeveiligingswet [źródło niderlandzkie]: https://wetten.overheid.nl/BWBR0052872/2026-08-15/0
- NIS2 i Cyberbeveiligingswet: czy moja firma jest nimi objęta?