NIS2 — jak przygotować firmę? Od analizy do działania

NIS2 to jedna z tych regulacji, o których wielu właścicieli firm słyszało kątem ucha, ale nie wie, czy ich to dotyczy. Odpowiedź brzmi: częściej, niż się wydaje — katalog objętych branż jest szeroki, przepisy już obowiązują, a pierwszy termin — na wpis do wykazu podmiotów — upłynął 3 października 2026 r. Sprawdźmy, co warto wiedzieć i od czego zacząć.

Czym właściwie jest NIS2

NIS2 to unijna dyrektywa o cyberbezpieczeństwie. W Polsce wdraża ją nowelizacja ustawy o krajowym systemie cyberbezpieczeństwa (KSC) z 23 stycznia 2026 r. (Dz.U. 2026 poz. 252), która obowiązuje od 3 kwietnia 2026 r. Nakłada ona konkretne obowiązki na firmy z wielu sektorów gospodarki — od zarządzania ryzykiem, przez zgłaszanie incydentów, po wpis do wykazu podmiotów kluczowych i ważnych.

To nie jest kolejna „papierowa” regulacja do odhaczenia. Chodzi o realne porządki w zabezpieczeniach, procedurach i odpowiedzialności za cyberbezpieczeństwo firmy.

Kogo dotyczy NIS2 — podmioty kluczowe i ważne

Przepisy obejmują 18 sektorów gospodarki i dzielą firmy na podmioty kluczowe oraz podmioty ważne. Katalog mocno się rozszerzył — obok energetyki czy ochrony zdrowia weszły między innymi:

• zarządzanie usługami ICT (dostawcy usług zarządzanych, np. firmy prowadzące outsourcing IT),
• produkcja,
• żywność,
• chemikalia,
• gospodarka odpadami,
• ścieki i woda,
• usługi pocztowe.

O tym, czy jesteś podmiotem kluczowym czy ważnym, decydują sektor i wielkość firmy — i to właśnie od tej analizy trzeba zacząć, zanim zaplanuje się cokolwiek dalej. Co do zasady przepisy obejmują firmy co najmniej średnie w rozumieniu unijnej definicji MŚP (w uproszczeniu: od 50 pracowników albo obrót roczny i suma bilansowa powyżej 10 mln euro). Są wyjątki, w których wielkość nie ma znaczenia albo próg jest niższy — dlatego analizę warto zrobić indywidualnie.

Dwa powody, dla których to może dotyczyć także Ciebie

Po pierwsze, firmy wsparcia IT i dostawcy usług zarządzanych sami mogą być objęci przepisami — jeśli są co najmniej średnimi przedsiębiorcami, a dostawcy usług zarządzanych w zakresie cyberbezpieczeństwa już od wielkości małej firmy. Po drugie, jeśli obsługujesz klienta z sektora objętego regulacją, coraz częściej będzie on prosił Cię o potwierdzenie zgodności w ankietach dla dostawców. Warto być na to gotowym z wyprzedzeniem, zamiast tłumaczyć się w ostatniej chwili.

Kluczowe terminy NIS2

Regulacja ma twarde daty w kalendarzu (stan na październik 2026):

• 3.04.2026 — przepisy weszły w życie;
• 7.05–3.10.2026 — samorejestracja w wykazie podmiotów kluczowych i ważnych (system wykaz-ksc.gov.pl) dla firm, które spełniały przesłanki już w dniu wejścia ustawy w życie; ten termin już minął;
• 6 miesięcy — tyle ma na złożenie wniosku o wpis firma, która zacznie spełniać przesłanki później (np. po przekroczeniu progu wielkości);
• 3.04.2027 — realizacja obowiązków z ustawy, m.in. system zarządzania bezpieczeństwem, obsługa i zgłaszanie incydentów;
• 3.04.2028 — pierwszy audyt podmiotów kluczowych (dalej co najmniej raz na 3 lata); dopiero po upływie 2 lat od wejścia ustawy w życie, czyli po 3.04.2028, mogą też być po raz pierwszy nakładane przewidziane w niej kary pieniężne.

Terminy wynikają z nowelizacji ustawy o krajowym systemie cyberbezpieczeństwa, a harmonogram wpisów do wykazu określił Minister Cyfryzacji w komunikacie z 8 kwietnia 2026 r. Przepisy bywają doprecyzowywane, dlatego zanim zaczniesz działać, warto potwierdzić aktualny stan prawny dla swojej konkretnej sytuacji — nie działaj na domysłach.

Od analizy do działania — jak to ogarnąć krok po kroku

Najwięcej stresu bierze się z tego, że firmy nie wiedzą, od czego zacząć. W praktyce ścieżka wygląda tak:

1. Analiza przynależności

Ustalasz, czy Twoja firma w ogóle podlega pod NIS2 i w której kategorii — podmiot kluczowy czy ważny, w którym sektorze. To fundament — bez tego trudno planować cokolwiek dalej.

2. Audyt zgodności

Sprawdzasz procedury, systemy i dokumenty, żeby jasno zobaczyć, gdzie są luki do uzupełnienia — zamiast zgadywać.

3. Przygotowanie do wpisu

Porządkujesz formalności i składasz wniosek o wpis do wykazu podmiotów. Jeśli Twoja firma powinna była to zrobić do 3.10.2026, a wniosek nie został złożony, nie odkładaj tego dłużej.

4. Wdrożenie i opieka

Wdrażasz plan działań i pilnujesz zgodności na bieżąco — najlepiej z kimś, kto zajmie się tym za Ciebie, żebyś Ty mógł zająć się biznesem.

Dlaczego warto zająć się tym teraz, a nie na ostatnią chwilę

Firmy, które odkładają temat NIS2, zwykle robią to z jednego powodu — nie wiedzą, od czego zacząć, więc łatwiej „na razie” o tym nie myśleć. Problem w tym, że analiza przynależności, audyt i przygotowanie wniosku o wpis zajmują czas, a terminy są sztywne.

Jest jeszcze jeden powód, żeby nie czekać. Jeśli obsługujesz klientów z sektorów objętych regulacją, prędzej czy później trafi do Ciebie ankieta dostawcy z pytaniem o zgodność z NIS2. Lepiej mieć na nią gotową odpowiedź, niż tłumaczyć się w trakcie negocjacji kontraktu.

Dobra wiadomość jest taka, że proces da się rozłożyć na sensowne etapy — nie trzeba wszystkiego robić naraz ani samodzielnie. Wystarczy zacząć od ustalenia, czy w ogóle podlegasz i w której kategorii, a resztę planować z tą wiedzą w ręku.

Checklist gotowości — sprawdź, na czym stoisz

Przejrzyj poniższą listę. Jeśli przy którymś punkcie się wahasz, to znak, od czego zacząć:

• Wiesz, czy Twoja firma podlega pod NIS2 i w której kategorii.
• Masz osobę odpowiedzialną za cyberbezpieczeństwo w firmie.
• Masz aktualne polityki i procedury bezpieczeństwa.
• Wiesz, jak i komu zgłaszać incydenty w wymaganym czasie (wczesne ostrzeżenie o incydencie poważnym — do 24 godzin od jego wykrycia, zgłoszenie — do 72 godzin).
• Regularnie robisz i testujesz kopie zapasowe — także strony internetowej i sklepu.
• Masz uporządkowaną pocztę firmową, w tym rekordy SPF, DKIM i DMARC (ustawienia domeny, które utrudniają podszywanie się pod Twoją firmę).
• Sprawdzasz bezpieczeństwo swoich dostawców, w tym dostawców usług IT.
• Złożyłeś wniosek o wpis do wykazu podmiotów albo wiesz, że Twoja firma nie musi tego robić.
• Potrafisz pokazać zgodność klientowi, który o nią pyta.

Jak możemy pomóc

Prowadzimy Cię przez cały proces jako jeden partner — bez żargonu i bez przerzucania między dostawcami. Zaczynamy od tego, co najważniejsze: czy i jako kto podlegasz, a potem porządkujemy resztę — audyt, przygotowanie do wpisu, wdrożenie i bieżącą opiekę.

Zobacz szczegóły na stronie audytu zgodności z NIS2 albo przejrzyj resztę naszej oferty bezpieczeństwa i serwisu IT — a jeśli oprócz NIS2 dotyczy Cię też KSeF, zajrzyj na stronę integracji z KSeF.

Najczęstsze pytania

Skąd mam wiedzieć, czy moja firma podlega pod NIS2?

Decyduje sektor i wielkość firmy. Katalog objętych branż jest szeroki i wiele firm z sektora MŚP nie zdaje sobie sprawy, że już podlega. Na wstępnej analizie ustalamy to za Ciebie — bez zobowiązań i bez zgadywania.

Do kiedy muszę się zgłosić?

Firmy, które spełniały przesłanki w dniu wejścia ustawy w życie, miały czas na samorejestrację w wykazie do 3.10.2026 (stan na październik 2026). Jeśli Twoja firma zacznie spełniać przesłanki później, ma 6 miesięcy od tego momentu. Obowiązki z ustawy trzeba realizować od 3.04.2027, a pierwszy audyt podmiotów kluczowych przeprowadzić do 3.04.2028 (potem co najmniej raz na 3 lata). Jeśli termin na wpis minął, a wniosek nie został złożony, warto zrobić to bez dalszej zwłoki i omówić swoją sytuację z prawnikiem.

Czy jako firma IT też musimy być zgodni z NIS2?

Jeśli świadczysz usługi zarządzane ICT i Twoja firma jest co najmniej średnim przedsiębiorcą — co do zasady tak. Dostawców usług zarządzanych w zakresie cyberbezpieczeństwa przepisy obejmują już od wielkości małej firmy. To dodatkowy powód, by nie zwlekać: klienci z sektorów objętych regulacją coraz częściej będą pytać dostawców o potwierdzenie zgodności.

Ile kosztuje audyt NIS2?

To zależy od wielkości firmy i zakresu prac. Zaczyna się od krótkiej analizy przynależności, a konkretną wycenę podaje się dopiero po niej — kiedy wiadomo, czego naprawdę potrzeba.

Przepisy dotyczące NIS2 mogą się jeszcze zmieniać i doprecyzowywać — przed podjęciem decyzji warto zawsze zweryfikować aktualny stan prawny dla swojej sytuacji. Ten artykuł ma charakter edukacyjny i nie stanowi porady prawnej.