NIS2 checklista: kogo dotyczy i co wdrożyć w firmie

Czym jest NIS2 i po co checklista

NIS2 to druga unijna dyrektywa o bezpieczeństwie sieci i systemów informatycznych. Zastępuje pierwszą dyrektywę NIS i znacznie poszerza krąg firm, które muszą w uporządkowany sposób zarządzać ryzykiem cyberbezpieczeństwa i zgłaszać poważne incydenty.

Dyrektywa nie działa bezpośrednio. Każde państwo przenosi ją do własnego prawa. W Polsce zrobiono to nowelizacją ustawy o krajowym systemie cyberbezpieczeństwa, czyli ustawy o KSC. Podstawowe obowiązki pochodzą jednak z dyrektywy i są takie same w całej UE.

Ta checklista prowadzi przez te podstawy: kogo dotyczy NIS2, jakie są obszary zabezpieczeń, jak wygląda zgłaszanie incydentów, jaka jest rola zarządu i dlaczego pytania dostają także mali dostawcy. Wiążące brzmienie obowiązków znajdziesz zawsze w polskiej ustawie.

NIS2 kogo dotyczy: sektor, wielkość, wyjątki

O tym, czy firma podlega NIS2, decydują dwa pytania. Po pierwsze: czy działa w sektorze z załącznika I lub II dyrektywy? Po drugie: czy jest średnim lub dużym przedsiębiorstwem? Próg to co najmniej 50 pracowników albo ponad 10 mln euro rocznego obrotu lub sumy bilansowej, liczone według unijnej definicji MŚP.

Załącznik I obejmuje m.in. energetykę, transport, bankowość, infrastrukturę rynków finansowych, ochronę zdrowia, wodę pitną, ścieki, infrastrukturę cyfrową, administrację publiczną i przestrzeń kosmiczną. Załącznik II obejmuje m.in. usługi pocztowe i kurierskie, gospodarkę odpadami, chemikalia, żywność, produkcję, dostawców usług cyfrowych i badania naukowe. Dyrektywa dzieli objęte podmioty na „kluczowe” i „ważne”.

Niezależnie od wielkości NIS2 może objąć także małą firmę, jeśli:

• jest jedynym w danym państwie dostawcą usługi niezbędnej do utrzymania kluczowej działalności społecznej lub gospodarczej,
• zakłócenie jej usługi mogłoby mieć istotne skutki transgraniczne,
• jest kwalifikowanym dostawcą usług zaufania, rejestrem domen najwyższego poziomu lub dostawcą usług DNS,
• dostarcza publiczne sieci lub usługi łączności elektronicznej powyżej określonych progów,
• państwo uznało ją za krytyczną z określonych powodów krajowych.

Terminy: UE i wdrożenie w Polsce

Państwa członkowskie miały wdrożyć NIS2 do 17 października 2024 r. Polska nie zdążyła. Według dostępnych informacji nowelizacja ustawy o KSC weszła w życie 3 kwietnia 2026 r. Przewidziano okres na samodzielną rejestrację podmiotów, który miał trwać do 3 października 2026 r., oraz czas do 3 kwietnia 2027 r. na pełne wdrożenie systemu zarządzania bezpieczeństwem informacji.

Inne kraje są dalej w tyle. 8 lipca 2026 r. Komisja Europejska skierowała do Trybunału Sprawiedliwości UE skargi przeciwko Irlandii, Hiszpanii, Francji i Holandii za brak wdrożenia dyrektywy. Jeśli działasz także za granicą, sprawdź prawo każdego kraju osobno.

Dziesięć obszarów zarządzania ryzykiem (art. 21)

Art. 21 dyrektywy wymaga odpowiednich i proporcjonalnych środków technicznych, operacyjnych i organizacyjnych. Proporcjonalnych, czyli dopasowanych do skali: zakład produkcyjny z 80 pracownikami nie musi mieć programu jak duży bank, ale potrzebuje jasnych zasad i działającej techniki.

Oto dziesięć obszarów prostym językiem, z przykładem z firmy średniej wielkości:

• Polityki analizy ryzyka i bezpieczeństwa systemów informatycznych: spisane kluczowe systemy, główne ryzyka i osoby odpowiedzialne.
• Obsługa incydentów: krótka procedura, kto co robi, gdy coś się wydarzy.
• Ciągłość działania i zarządzanie kryzysowe, w tym kopie zapasowe i odtwarzanie po awarii: przetestowane backupy i plan pracy bez systemów.
• Bezpieczeństwo łańcucha dostaw: wiedza, którzy dostawcy mają dostęp do Twoich systemów i czego od nich wymagasz.
• Bezpieczeństwo przy zakupie, rozwoju i utrzymaniu systemów, w tym obsługa i ujawnianie podatności: aktualizacje, bezpieczna konfiguracja, adres do zgłaszania luk.
• Polityki i procedury oceny skuteczności środków: okresowe przeglądy, testy lub audyty.
• Podstawowa higiena cyfrowa i szkolenia: aktualizacje, silne hasła, rozpoznawanie phishingu przez wszystkich pracowników.
• Zasady stosowania kryptografii i, tam gdzie to zasadne, szyfrowania: np. szyfrowane laptopy i połączenia.
• Bezpieczeństwo kadr, kontrola dostępu i zarządzanie aktywami: aktualna lista urządzeń i kont, natychmiastowe odbieranie dostępów odchodzącym osobom.
• Uwierzytelnianie wieloskładnikowe lub ciągłe, zabezpieczona łączność głosowa, wideo i tekstowa oraz zabezpieczona łączność awaryjna, tam gdzie to zasadne.

Zgłaszanie incydentów: 24 godziny, 72 godziny, miesiąc (art. 23)

Art. 23 dyrektywy określa etapy zgłaszania poważnych incydentów, czyli takich, które powodują lub mogą powodować poważne zakłócenia działalności albo straty. Zgłoszenia trafiają do podmiotu wskazanego w polskiej ustawie.

Termin liczy się od chwili, gdy dowiesz się o poważnym incydencie, a nie od momentu, gdy wszystko będzie jasne. Dlatego pierwsze zgłoszenie to tylko wczesne ostrzeżenie.

Odpowiedzialność zarządu

NIS2 nie pozwala zostawić cyberbezpieczeństwa wyłącznie informatykowi. Organ zarządzający musi zatwierdzać środki zarządzania ryzykiem, nadzorować ich wdrożenie i może ponosić odpowiedzialność na podstawie prawa krajowego, jeśli firma nie wywiązuje się z obowiązków. Członkowie zarządu powinni też przechodzić szkolenia, aby samodzielnie oceniać ryzyko.

W praktyce prezes lub właściciel podpisuje polityki bezpieczeństwa, regularnie dostaje krótki raport o ryzykach i incydentach i dokumentuje decyzje. Jeśli coś pójdzie źle, datowany zapis, co i dlaczego postanowiono, jest wart więcej niż gruby dokument, którego nikt nie czytał.

Właściwy organ może nadzorować objęte firmy i nakładać kary za naruszenia. Ich wysokość i tryb określa polska ustawa.

Nie podlegasz NIS2? Klienci i tak zapytają

Bezpieczeństwo łańcucha dostaw to jeden z dziesięciu obszarów. Dlatego firmy objęte NIS2 często wysyłają dostawcom ankiety bezpieczeństwa i dopisują wymagania do umów. Dotyczy to także małych firm, które same nie podlegają dyrektywie.

Przykład: dwunastoosobowa agencja internetowa prowadzi sklep online producenta żywności. Klient pyta, czy agencja używa uwierzytelniania wieloskładnikowego, jak robi kopie zapasowe i jak szybko zgłosi incydent. To wymóg umowny klienta, a nie ustawowy obowiązek agencji wynikający z NIS2. Brak odpowiedzi może jednak kosztować kontrakt.

Mały dostawca powinien mieć pod ręką krótki, rzetelny opis zabezpieczeń: jakie systemy używa, jak kontroluje dostęp, jak działają kopie zapasowe i z kim kontaktować się przy incydencie.

Wdrożenie NIS2 w firmie: co zrobić teraz

Krok 1: Sprawdź sektor, wielkość i wyjątki. Zapisz wynik i uzasadnienie.

Krok 2: Ustal w ustawie o KSC i u właściwego organu, jakie obowiązki rejestracyjne i sprawozdawcze Cię dotyczą oraz jakie terminy obowiązują.

Krok 3: Zrób analizę luk według dziesięciu obszarów. Zacznij od tego, co najmocniej ogranicza ryzyko przy najmniejszym wysiłku: uwierzytelnianie wieloskładnikowe, przetestowane kopie zapasowe, przegląd uprawnień, aktualizacje.

Krok 4: Spisz krótką procedurę obsługi incydentów z etapami 24 godziny, 72 godziny i miesiąc, z nazwiskami i kanałem zgłoszeń.

Krok 5: Przedstaw środki zarządowi do zatwierdzenia, zaplanuj szkolenie zarządu i termin pierwszego przeglądu.

Krok 6: Spisz kluczowych dostawców i ustal, czego od nich wymagasz. Jeśli sam jesteś dostawcą, przygotuj opis swoich zabezpieczeń.

Środki techniczne, takie jak kontrola dostępu, logowanie zdarzeń, kopie zapasowe i uwierzytelnianie wieloskładnikowe, muszą działać w systemach, z których firma korzysta na co dzień. Synelo wbudowuje je w asystentów AI, automatyzacje i systemy webowe, które tworzy; nie jest jednostką certyfikującą ani kancelarią.

To informacja ogólna według stanu na październik 2026 r., a nie porada prawna; szczegóły skonsultuj z prawnikiem lub właściwym organem.