Dyrektywa NIS2 tworzy wspólne ramy cyberbezpieczeństwa dla 18 sektorów istotnych dla funkcjonowania państwa i gospodarki w Unii Europejskiej. Polska ustawa określa szczegółowo sektory, podsektory i rodzaje podmiotów objętych regulacjami, a ponadto uwzględnia inwestycje energetyki jądrowej.
Dyrektywa NIS2 – krajowy system cyberbezpieczeństwa
Polska nowelizacja ustawy o krajowym systemie cyberbezpieczeństwa, wdrażająca dyrektywę NIS2, weszła w życie 3 kwietnia 2026 r. Od 7 maja przedsiębiorcy mogą składać wnioski o wpis do wykazu podmiotów kluczowych i ważnych (określa je ustawa), prowadzonego w ramach Krajowego Systemu Cyberbezpieczeństwa (KSC).
NIS2 nakłada na zarząd odpowiedzialność za cyberbezpieczeństwo. Zarząd musi nadzorować zarządzanie ryzykiem w tym obszarze.
Kogo obejmie NIS2
Ustawa obejmuje sektory kluczowe takie jak: energia, transport, bankowość, infrastruktura rynków finansowych, ochrona zdrowia, zaopatrzenie w wodę pitną i jej dystrybucja, zbiorowe odprowadzanie ścieków, infrastruktura cyfrowa, zarządzanie usługami ICT, przestrzeń kosmiczna i podmioty publiczne.
Podmioty, które spełniały ustawowe kryteria w dniu wejścia w życie nowych przepisów, mają czas na złożenie wniosku do 3 października 2026 r. Według danych Ministerstwa Cyfryzacji nowe regulacje mogą objąć około 38 tys. podmiotów, w tym około 11 tys. niepublicznych. Nie oznacza to jednak, że wszystkie firmy z tej grupy są zobowiązane do samodzielnej rejestracji – część może zostać wpisana do wykazu z urzędu (m.in. podmioty publiczne, przedsiębiorcy telekomunikacyjni, dostawcy usług zaufania, podmioty krytyczne). Pozostałe podmioty spełniające ustawowe wymogi muszą wystąpić o wpis do wykazu. Firma, która zacznie spełniać warunki uznania jej za podmiot kluczowy lub ważny już po wejściu w życie ustawy, będzie miała od tego momentu sześć miesięcy na wystąpienie o wpis.
Nowe obowiązki mogą objąć również część firm handlowych, w tym przedsiębiorstwa zajmujące się hurtową dystrybucją żywności, firmy produkujące lub dystrybuujące chemikalia, a także operatorów internetowych platform handlowych. Regulacja nie dotyczy jednak automatycznie wszystkich sklepów. O obowiązku wpisu do wykazu KSC decydują m.in. rodzaj prowadzonej działalności, wielkość przedsiębiorstwa, jego powiązania kapitałowe oraz wyjątki wskazane w ustawie.
Co do zasady regulacje dotyczą średnich i dużych podmiotów. W niektórych przypadkach ustawa obejmuje jednak organizacje niezależnie od ich wielkości lub ze względu na szczególne znaczenie świadczonej usługi. Sama obecność branży na liście nie przesądza więc jeszcze o obowiązku wpisu, ale powinna być sygnałem do szybkiej weryfikacji statusu firmy – mówi Maciej Ostaszewski z firmy eFaktor, specjalizującej się w finansowaniu małych i średnich przedsiębiorstw.
Do 3 października 2026 r. wniosek o wpis muszą złożyć podmioty uznane w ustawie za kluczowe lub ważne, jeśli spełniały kryteria 3 kwietnia 2026 r. i nie zostały wpisane z urzędu do wykazu Krajowego Systemu Cyberbezpieczeństwa.
