NIS2 wchodzi do Polski. Nawrocki podpisał ustawę, firmy muszą działać natychmiast – kary sięgną 10 mln euro!

• Polska wchodzi w nowy reżim cyberbezpieczeństwa
• UE już wdraża przepisy. Polska wchodzi w fazę egzekwowania
• Co firmy muszą zrobić, by uniknąć kar
• 24 godziny na zgłoszenie incydentu. Nowe realia dla firm
• Czym jest dyrektywa NIS2 i co zmienia w polskim prawie?
• Czy Twoja organizacja podlega NIS2?

Polska wchodzi w nowy reżim cyberbezpieczeństwa

Karol Nawrocki, Prezydent RP, podpisał nowelizację ustawy o krajowym systemie cyberbezpieczeństwa wdrażającą dyrektywę NIS2 do polskiego porządku prawnego, jednocześnie kierując wybrane przepisy dotyczące dostawców wysokiego ryzyka do kontroli następczej przez Trybunał Konstytucyjny. Oznacza to formalne wejście Polski w nowy, zaostrzony reżim odpowiedzialności za cyberbezpieczeństwo – z nowymi obowiązkami i dotkliwymi karami finansowymi. Nowelizacja przewiduje surowe sankcje. Na podmioty kluczowe mogą zostać nałożone kary sięgające 10 mln euro lub do 2 proc. rocznych przychodów.

NIS2 to odpowiedź Unii Europejskiej na gwałtowny wzrost liczby i skali cyberataków, które coraz częściej paraliżują działalność operacyjną firm, uderzają w łańcuchy dostaw i generują wielomilionowe straty dla firm. Polska znajduje się dziś w czołówce państw europejskich pod względem liczby zgłaszanych incydentów cyberbezpieczeństwa, co czyni temat regulacyjny nie tylko formalnym wymogiem, ale strategiczną koniecznością.

UE już wdraża przepisy. Polska wchodzi w fazę egzekwowania

Większość państw członkowskich Unii Europejskiej zakończyła już proces implementacji NIS2 lub znajduje się na jego finalnym etapie, a organy nadzorcze w wielu jurysdykcjach przechodzą z fazy legislacyjnej do fazy egzekucyjnej, przygotowując się do wzmożonych kontroli. Polska pozostawała dotychczas w tyle za częścią rynku europejskiego, jednak podpis Prezydenta RP zamyka etap krajowych prac legislacyjnych i wprowadza regulację w fazę operacyjną.

Skierowanie wybranych przepisów do Trybunału Konstytucyjnego nie zawiesza obowiązywania ustawy ani nie wstrzymuje przygotowań do jej egzekwowania. Z perspektywy zarządczej odkładanie działań związanych z cyberbezpieczeństwem zwiększa ryzyko regulacyjne i odpowiedzialność po stronie organizacji oraz jej kierownictwa.

„Podpisanie nowelizacji KSC [ustawa o krajowym systemie cyberbezpieczeństwa] to moment przełomowy dla zarządów. Cyberbezpieczeństwo przestaje być kwestią techniczną, a staje się elementem odpowiedzialności korporacyjnej i nadzoru właścicielskiego. W warunkach rosnącej liczby ataków brak systemowego podejścia do ryzyka cyfrowego to dziś ryzyko strategiczne” – podkreśla Mateusz Masiak, CEO Quantifier.

Co firmy muszą zrobić, by uniknąć kar

NIS2 rozszerza katalog podmiotów objętych regulacją i wprowadza wyraźną odpowiedzialność kierownictwa najwyższego szczebla za system zarządzania ryzykiem cyberbezpieczeństwa. Oznacza to konieczność weryfikacji, czy organizacja kwalifikuje się jako podmiot kluczowy lub ważny, przeprowadzenia analizy luk w obszarze polityk, procedur i zabezpieczeń technicznych oraz wdrożenia skutecznych mechanizmów reagowania na incydenty i raportowania w krótkich terminach.

Szczególne znaczenie ma również bezpieczeństwo łańcucha dostaw. „Największe ryzyka często znajdują się poza organizacją, u dostawców i partnerów. NIS2 wymusza podejście systemowe – od zarządzania ryzykiem, przez dokumentację, po stałe monitorowanie zgodności. To nie jest projekt jednorazowy, lecz proces ciągły” – wskazuje Weronika Czaplewska, wiceprezeska Quantifier.

24 godziny na zgłoszenie incydentu. Nowe realia dla firm

Wejście w życie dyrektywy NIS2 Directive oznacza też jakościową zmianę w podejściu do cyberbezpieczeństwa – z obszaru technicznego wsparcia IT do poziomu odpowiedzialności strategicznej i nadzorczej. Szczególnie widoczny jest rozdźwięk pomiędzy realiami rynkowymi a wymaganiami regulacyjnymi: globalne raporty wskazują, że średni czas wykrycia incydentu nadal liczony jest w tygodniach, a często miesiącach, podczas gdy NIS2 wymaga bardzo szybkiego działania i wstępnego zgłoszenia incydentu w ciągu 24 godzin od jego wykrycia.

To oznacza konieczność budowy systemów wczesnego ostrzegania, formalnych ścieżek eskalacyjnych, jasnych progów istotności incydentu oraz regularnych testów procedur.

Jednocześnie dyrektywa jednoznacznie przenosi ciężar odpowiedzialności na poziom zarządu – organy zarządzające mają obowiązek zatwierdzać środki zarządzania ryzykiem cyber oraz nadzorować ich wdrażanie. W praktyce wymusza to formalne przypisanie właściciela ryzyka cyber, regularne raportowanie do zarządu oraz podnoszenie kompetencji członków najwyższego kierownictwa.

Największym błędem byłoby jednak traktowanie NIS2 jako checklisty do „odhaczenia”. Regulacja wymaga systemowego podejścia: prowadzenia rejestru aktywów, przeprowadzania analiz wpływu na biznes (BIA), cyklicznej oceny ryzyka, nadzoru nad bezpieczeństwem łańcucha dostaw oraz gromadzenia dowodów realnego stosowania polityk i procedur. Regulator będzie oceniał nie tylko istnienie dokumentów, lecz ich faktyczne funkcjonowanie w organizacji.

Tym samym NIS2 staje się impulsem do budowy dojrzałego modelu governance w obszarze cyberbezpieczeństwa – z mierzalnymi wskaźnikami, nadzorem zarządczym i audytowalnym śladem decyzyjnym – a dla firm, które podejdą do tego strategicznie, może stać się nie tylko obowiązkiem, lecz także elementem przewagi konkurencyjnej.

Czym jest dyrektywa NIS2 i co zmienia w polskim prawie?

NIS2 zastąpiła poprzednią dyrektywę NIS z 2016 r., która okazała się zbyt wąska zakresowo i zbyt różnie interpretowana przez poszczególne państwa – co przekładało się na nierówny poziom ochrony na jednolitym rynku cyfrowym.

Nowa dyrektywa ujednolica minimalne standardy w całej Unii: obejmuje więcej sektorów, więcej podmiotów i wyraźnie przypisuje odpowiedzialność za cyberbezpieczeństwo organom zarządzającym, nie działom IT. Polska wdrożyła ją z opóźnieniem: unijny termin transpozycji upłynął w październiku 2024 r., ustawa wchodzi w życie 3 kwietnia 2026 r. Przy podpisaniu Prezydent RP skierował wybrane przepisy – dotyczące obowiązków nakładanych na przedsiębiorców w związku z procedurą uznawania dostawców wysokiego ryzyka – do kontroli następczej przez Trybunał Konstytucyjny, co nie wstrzymuje obowiązywania ustawy.

Dyrektywa NIS2 i jej implementacja do polskiego prawa – ważne dla firm

Czy Twoja organizacja podlega NIS2?

W praktyce wiele firm dopiero w najbliższych miesiącach będzie weryfikować, czy nowe przepisy obejmują ich działalność. Kluczowe znaczenie ma nie tylko sektor, ale również wielkość organizacji oraz jej rola w łańcuchach dostaw podmiotów objętych regulacją.

Zdaniem ekspertów pierwszym krokiem powinno być przeprowadzenie wstępnej oceny kwalifikacji do NIS2 oraz identyfikacja obszarów wymagających dostosowania – od zarządzania ryzykiem cyber, przez procedury raportowania incydentów, po nadzór nad dostawcami.