NIS-2 w Polsce 2026 – kogo dotyczy nowa ustawa o cyberbezpieczeństwie i jak się przygotować

Aktualizacja: 7 maja 2026

NIS-2 to unijna dyrektywa o cyberbezpieczeństwie wdrożona w Polsce nowelizacją ustawy o krajowym systemie cyberbezpieczeństwa – obowiązuje od 3 kwietnia 2026 roku. Pod nowe przepisy podpada szerszy krąg firm niż pod starą NIS z 2016: poza energetyką i finansami także średnie firmy z produkcji żywności, gospodarki odpadami, chemii i dostawcy cyfrowi. Ustawa daje konkretne terminy: 6 miesięcy na samoocenę i wpis do wykazu, 12 miesięcy na wdrożenie obowiązków bezpieczeństwa.

Co to jest NIS-2 i dlaczego pojawiła się w polskim prawie

NIS-2 (dyrektywa UE 2022/2555) zastąpiła dyrektywę NIS z 2016 roku. Poprzednia regulacja obejmowała głównie operatorów infrastruktury krytycznej, a realne ryzyko dotyka też dostawców cyfrowych, producentów żywności i firm transportowych. Polska wdrożyła nową dyrektywę nowelizacją ustawy o krajowym systemie cyberbezpieczeństwa (KSC) – według biznes.gov.pl obowiązuje od 3 kwietnia 2026 roku.

Kogo obowiązuje NIS-2 – sektory i progi wielkości firmy

Ustawa dzieli adresatów na dwie grupy. Podmioty kluczowe – sektory, w których awaria oznacza konsekwencje publiczne: energia, transport (lotniczy, kolejowy, wodny, drogowy), bankowość i rynki finansowe, ochrona zdrowia, woda pitna i ścieki, infrastruktura cyfrowa, zarządzanie usługami ICT, przestrzeń kosmiczna, wybrane podmioty publiczne.

Podmioty ważne – sektory o niższym priorytecie, ale wciąż istotne dla gospodarki: usługi pocztowe, gospodarka odpadami, produkcja chemikaliów, produkcja żywności, produkcja wyrobów medycznych i urządzeń elektrycznych, dostawcy usług cyfrowych, badania naukowe, regionalne podmioty publiczne.

Drugi filtr to wielkość firmy. Według progów UE 651/2014 ustawa obejmuje firmy średnie i duże – co najmniej 50 pracowników lub roczny obrót min. 10 mln EUR. Mikro i mała firma spoza sektorów zwykle nie podlega NIS-2 – z wyjątkami dla dostawców DNS, rejestratorów domen i podmiotów świadczących usługi zaufania, którzy łapią się niezależnie od wielkości.

Jak sprawdzić, czy Twoja firma podlega – i co zrobić jeśli tak

Pierwszy krok nie wymaga prawnika: porównaj profil działalności z listą sektorów oraz progi zatrudnienia i przychodu. Jeśli oba kryteria są spełnione – firma podlega samodzielnie i musi wpisać się do wykazu w systemie S46. Termin: 6 miesięcy od momentu spełnienia przesłanek (według biznes.gov.pl).

Firmy, które chcą szybko ocenić skalę pracy do wykonania, sięgają po wdrożenie i audyt NIS-2 – taki audyt pokazuje, gdzie polityki bezpieczeństwa, dokumentacja i procesy zarządzania incydentami wymagają uzupełnienia, zanim trafią pod kontrolę organu nadzorczego. W praktyce firmy zaczynające dostosowanie odkrywają, że formalnie mają politykę bezpieczeństwa, ale brakuje procedury zgłaszania incydentów, rejestru aktywów IT albo testów odtwarzania backupów.

Po wpisie do S46 firma ma 12 miesięcy na wdrożenie pełnego SZBI, procedur zgłaszania incydentów do CSIRT-u i zarządzania bezpieczeństwem łańcucha dostaw ICT.

Kluczowe terminy – czego trzymać się od kwietnia 2026

Trzy daty do kalendarza zarządu (źródło: biznes.gov.pl):

• 6 miesięcy od spełnienia przesłanek – wpis do wykazu w systemie S46;
• 12 miesięcy – wdrożenie SZBI, polityk i procedur;
• 24 miesiące – pierwszy audyt zgodności (podmioty kluczowe).

Dla firmy, która spełniała przesłanki już 3 kwietnia 2026: wpis do października 2026, wdrożenie do kwietnia 2027.

Najczęstsze błędy w przygotowaniu do NIS-2

1. Założenie, że firmy nie obejmuje, bo „nie jest infrastrukturą krytyczną”. Lista sektorów ważnych jest długa – produkcja żywności, gospodarka odpadami, chemia, dostawcy cyfrowi. Średnia firma z tej listy podlega tak samo jak elektrownia.
2. Traktowanie NIS-2 jako jednorazowego projektu IT. Wdrożenie SZBI to początek, nie koniec – cykliczne testy, aktualizacje polityk i raportowanie incydentów to proces ciągły.
3. Pomijanie łańcucha dostaw ICT. Odpowiedzialność obejmuje też dostawców i podwykonawców. Jeśli zewnętrzny serwis padnie po ataku, organ nadzorczy zapyta firmę objętą NIS-2, a nie hostingodawcę.
4. Brak dokumentacji procesów. Przy kontroli liczy się to, co spisane w polityce, instrukcji, rejestrze – nie to, co „wszyscy w firmie wiedzą”.
5. Skupienie na technologii zamiast procedurach. Firewall i EDR nie zastąpią opisanych ról, eskalacji i procesu zgłaszania incydentów do CSIRT-u w wymaganym ustawą czasie.

Kary – ile może kosztować zaniechanie

Według biznes.gov.pl dla podmiotów kluczowych maksymalna kara administracyjna to 10 mln EUR lub 2% rocznego przychodu (kwota wyższa), min. 20 000 zł. Dla podmiotów ważnych – 7 mln EUR lub 1,4% przychodu, min. 15 000 zł. W razie poważnego incydentu firma niezgłoszona do wykazu i bez SZBI ma znacznie gorszą pozycję wobec organu nadzorczego.

Kiedy NIS-2 nie dotyczy Twojej firmy

Większość mikro i małych firm spoza sektorów ważnych i kluczowych nie podlega NIS-2 bezpośrednio. Firma z mniej niż 50 osobami, przychodem poniżej 10 mln EUR i spoza sektorów dyrektywy nie ma obowiązku wpisu do S46 ani wdrażania SZBI.

Mała firma może jednak wpaść w obszar NIS-2 pośrednio – jako element łańcucha dostaw klienta podlegającego ustawie. Duzi klienci coraz częściej wymagają od dostawców minimum bezpieczeństwa kontraktowo: polityki haseł, procedury reakcji na incydent, potwierdzenia audytu. Ignorowanie tematu może oznaczać utratę kontraktu, nawet bez ryzyka kary administracyjnej.

FAQ

Co to jest NIS-2?

Unijna dyrektywa o cyberbezpieczeństwie (2022/2555), która zastąpiła dyrektywę NIS z 2016. Polska wdrożyła ją nowelizacją ustawy o KSC, obowiązuje od 3 kwietnia 2026.

Kiedy NIS-2 wchodzi w Polsce?

NIS-2 obowiązuje w Polsce od 3 kwietnia 2026. Firmy objęte regulacją mają 6 miesięcy na wpis do wykazu i 12 miesięcy na wdrożenie SZBI.

Kto podlega NIS-2?

Podmioty kluczowe (energia, transport, finanse, zdrowie, woda, infrastruktura cyfrowa) i podmioty ważne (produkcja żywności, chemia, odpady, usługi pocztowe, dostawcy cyfrowi). Próg: minimum 50 pracowników lub 10 mln EUR przychodu rocznego.

Jakie kary grożą za niedostosowanie?

Według biznes.gov.pl podmioty kluczowe – do 10 mln EUR lub 2% przychodu (min. 20 000 zł). Podmioty ważne – do 7 mln EUR lub 1,4% przychodu (min. 15 000 zł).

Co zrobić w pierwszej kolejności

Sprawdzić, czy firma podlega ustawie – to kwestia godziny pracy. Jeśli „tak”, najsensowniej zacząć od audytu zgodności, który pokaże realne luki. Wdrażanie polityk pod presją kontroli jest dużo droższe niż uporządkowanie tematu teraz, w pierwszych miesiącach obowiązywania ustawy.

Źródła

• Biznes.gov.pl (Ministerstwo Rozwoju i Technologii), biznes.gov.pl, dane z kwietnia 2026;
• Ministerstwo Cyfryzacji RP, gov.pl, dane z 2026;
• Cyberpolicy NASK (zespół ds. polityki cyberbezpieczeństwa), cyberpolicy.nask.pl, dane z 2026.