Dyrektywa NIS2 w Polsce 2026: kogo dotyczy, terminy, kary

Dyrektywa NIS2 w Polsce: co obowiązuje firmy po nowelizacji KSC (stan na październik 2026)

Dyrektywa NIS2 obowiązuje w Polsce od 3 kwietnia 2026 r. — wtedy weszła w życie znowelizowana ustawa o krajowym systemie cyberbezpieczeństwa (KSC). Pierwszy termin już minął: wniosek o wpis do wykazu podmiotów kluczowych i ważnych trzeba było złożyć do 3 października 2026 r. Przed firmami kolejne daty: 3 kwietnia 2027 r. na wdrożenie systemu zarządzania bezpieczeństwem i 3 kwietnia 2028 r. na pierwszy audyt. Poniżej stan prawny na październik 2026 r.: kogo to dotyczy, co trzeba mieć wdrożone i co grozi za zaniedbania.

AutorMichał SzapielKey Account Manager, mIT group

Opublikowano29.12.2025godz. 08:33

Aktualizacja13.10.2026

Czas czytania8 min

Michał Szapiel

29 gru 2025

Cyberbezpieczeństwo

Mapa artykułu

Spis treści

W skrócie

NIS2 to unijna dyrektywa o cyberbezpieczeństwie. W Polsce wdraża ją nowelizacja ustawy o KSC (Dz.U. 2026 poz. 252).

3 kwietnia 2026 r. — przepisy weszły w życie.
3 października 2026 r. — minął termin wpisu do wykazu.
3 kwietnia 2027 r. — termin na wdrożenie obowiązków, w tym SZBI.
3 kwietnia 2028 r. — pierwszy audyt podmiotów kluczowych.
Kary: do 10 mln euro lub 2% przychodu, a dla kierownika do 300% wynagrodzenia; nakładane od 3 kwietnia 2028 r.

Prowadzisz firmę w Radomiu i nie wiesz, czy NIS2 Cię dotyczy? Obsługa informatyczna firm w Radomiu to u nas osoba na miejscu, dojazd do klienta i stała opieka nad komputerami, serwerami i Microsoft 365. Zobacz outsourcing IT w Radomiu i umów bezpłatny przegląd IT.

Chcesz sprawdzić, czy NIS2 dotyczy Twojej firmy? Skorzystaj z naszej bezpłatnej samoidentyfikacji KSC i NIS2 online — odpowiesz na kilka pytań o firmę i zabezpieczenia, a na koniec dostaniesz raport z obowiązkami i planem zmian.

NIS2 w Polsce: stan prawny na październik 2026

Państwa Unii miały wdrożyć dyrektywę do 17 października 2024 r. Polska tego terminu nie dotrzymała. Projekt nowelizacji trafił do Sejmu w listopadzie 2025 r., ustawa została uchwalona 23 stycznia 2026 r., opublikowana 2 marca jako Dz.U. 2026 poz. 252 i obowiązuje od 3 kwietnia 2026 r. Według informacji przekazanych przez ministra cyfryzacji do nowego systemu ma trafić ponad 65 tys. firm i instytucji.

Najważniejsza zmiana w porównaniu ze starymi przepisami: nikt nie wysyła firmie decyzji, że podlega ustawie. Przedsiębiorca sam ocenia, czy spełnia kryteria, i sam składa wniosek o wpis do wykazu. Jak to zrobić krok po kroku, opisujemy w tekście wykaz KSC: jak wpisać firmę.

Kogo dotyczy NIS2: podmioty kluczowe i ważne

O objęciu przepisami decydują dwie rzeczy naraz: sektor działalności i wielkość firmy.

Kategoria	Przykładowe sektory
Podmioty kluczowe	energia, transport, bankowość i infrastruktura rynków finansowych, ochrona zdrowia, woda pitna i ścieki, infrastruktura cyfrowa, zarządzanie usługami ICT
Podmioty ważne	usługi pocztowe i kurierskie, gospodarka odpadami, chemia, produkcja i dystrybucja żywności, wybrane gałęzie produkcji, dostawcy usług cyfrowych

Uproszczone zestawienie; pełne listy sektorów znajdują się w załącznikach do ustawy

Wielkość: co do zasady przepisy obejmują średnie i duże przedsiębiorstwa, czyli od 50 pracowników albo powyżej 10 mln euro obrotu lub sumy bilansowej. Przy liczeniu progów uwzględnia się firmy powiązane i partnerskie.
Wyjątki od progu wielkości: część podmiotów podlega ustawie niezależnie od rozmiaru, między innymi dostawcy usług DNS, rejestry domen i kwalifikowani dostawcy usług zaufania.
Sektor finansowy: banki podlegają równolegle rozporządzeniu DORA, które zastępuje większość obowiązków technicznych z KSC.
Łańcuch dostaw: firma spoza listy może odczuć przepisy pośrednio, bo podmioty objęte ustawą muszą sprawdzać bezpieczeństwo swoich dostawców. Dotyczy to także firm IT — piszemy o tym w tekście outsourcing IT a NIS2.

Terminy z ustawy o KSC

Data	Co się dzieje
3 kwietnia 2026 r.	wejście w życie nowelizacji
7 maja 2026 r.	start samorejestracji w serwisie wykaz-ksc.gov.pl
3 października 2026 r.	koniec terminu na wniosek o wpis do wykazu (6 miesięcy) — termin minął
3 kwietnia 2027 r.	termin na wdrożenie obowiązków, w tym systemu zarządzania bezpieczeństwem informacji, i podłączenie do systemu S46 (12 miesięcy)
3 kwietnia 2028 r.	pierwszy audyt podmiotów kluczowych (24 miesiące); kolejne co najmniej raz na 3 lata

Daty dla podmiotów, które spełniały kryteria w dniu wejścia ustawy w życie. Firmy, które zaczną je spełniać później, liczą terminy od tego momentu

Podmioty ważne nie mają obowiązku cyklicznego audytu, ale organ nadzorczy może go nakazać decyzją.

Obowiązki firmy: co trzeba mieć wdrożone

Ustawa wymaga systemu zarządzania bezpieczeństwem informacji (SZBI), czyli udokumentowanego sposobu, w jaki firma ocenia ryzyko i je ogranicza. W praktyce składają się na niego:

analiza i ocena ryzyka powtarzana regularnie, nie jednorazowo,
kontrola dostępu i uwierzytelnianie wieloskładnikowe tam, gdzie wynika to z analizy ryzyka,
kopie zapasowe i ciągłość działania z testem odtworzenia — zobacz backup danych dla firm,
monitorowanie i wykrywanie zagrożeń — tu pomaga monitoring IT,
bezpieczeństwo łańcucha dostaw, czyli wymagania wobec dostawców i podwykonawców,
szkolenia pracowników oraz coroczne, udokumentowane szkolenie kierownictwa,
procedura obsługi incydentów z jasnym podziałem odpowiedzialności.

Zgłaszanie incydentów: 24 godziny, 72 godziny, miesiąc

Do 24 godzin od wykrycia incydentu poważnego — wczesne ostrzeżenie.
Do 72 godzin — zgłoszenie incydentu z jego oceną.
Do miesiąca od zgłoszenia — sprawozdanie końcowe.

Zgłoszenia przekazuje się przez system S46 do właściwego zespołu CSIRT. Docelowo mają to być zespoły sektorowe, a w okresie przejściowym zgłoszenia przyjmują CSIRT NASK, CSIRT GOV i CSIRT MON. Tych terminów nie da się dotrzymać bez przygotowanej wcześniej procedury — w dniu incydentu nie ma czasu na ustalanie, kto ma dostęp do systemu i kto podpisuje zgłoszenie.

Kary i odpowiedzialność zarządu

Kogo dotyczy	Maksymalna kara
Podmiot kluczowy	do 10 mln euro lub 2% rocznego przychodu, zależnie od tego, która kwota jest wyższa; nie mniej niż 20 000 zł (art. 73 ust. 3)
Podmiot ważny	do 7 mln euro lub 1,4% rocznego przychodu; nie mniej niż 15 000 zł (art. 73 ust. 4)
Kierownik podmiotu	do 300% wynagrodzenia w firmie prywatnej, do 100% w podmiocie publicznym (art. 73a)
Naruszenia szczególnie groźne	do 100 mln zł, gdy naruszenie powoduje bezpośrednie i poważne zagrożenie m.in. dla bezpieczeństwa państwa albo życia i zdrowia ludzi (art. 73 ust. 5)

Numery artykułów dotyczą ustawy o KSC w brzmieniu po nowelizacji (Dz.U. 2026 poz. 252)

Odpowiedzialności za cyberbezpieczeństwo nie da się przenieść na dział IT ani na dostawcę. Ustawa przypisuje ją kierownikowi podmiotu. Karę na kierownika można nałożyć niezależnie od kary dla samej firmy. Przepisy przejściowe dają czas na dostosowanie: kary po raz pierwszy mogą być nakładane od 3 kwietnia 2028 r., z wyjątkiem naruszeń szczególnie groźnych. Same obowiązki obowiązują jednak już teraz. Do tego dochodzi presja pozaprawna: minister cyfryzacji zapowiedział publiczne wskazywanie firm, które się nie zabezpieczyły — piszemy o tym w tekście państwo wskaże palcem firmy bez zabezpieczeń.

Od czego zacząć, jeśli firma dopiero się orientuje

Ustal status. Sektor, podsektor i wielkość z uwzględnieniem spółek powiązanych. Wynik zapisz — to dowód, że samoocena się odbyła.
Złóż wniosek o wpis, jeśli firma podlega przepisom, a jeszcze tego nie zrobiła.
Zrób przegląd luk. Audyt NIS2 pokazuje, co już jest, a czego brakuje do 3 kwietnia 2027 r. W regionie łódzkim prowadzimy go na miejscu: audyt NIS2 w Łodzi.
Zaplanuj wdrożenie z budżetem i osobą odpowiedzialną po stronie zarządu. Zakres opisujemy na stronie wdrożenie NIS2 i KSC.
Zadbaj o utrzymanie. Zgodność to nie jednorazowy projekt; bieżące zabezpieczenia można oddać w stałą obsługę informatyczną.

Tekst ma charakter informacyjny i nie zastępuje porady prawnej. Przy wątpliwościach co do statusu firmy rozstrzyga treść ustawy.

Najczęstsze pytania o NIS2 w Polsce

Od kiedy NIS2 obowiązuje w Polsce?

Dyrektywę NIS2 wdraża znowelizowana ustawa o krajowym systemie cyberbezpieczeństwa (Dz.U. 2026 poz. 252). Sejm uchwalił ją 23 stycznia 2026 r., a przepisy weszły w życie 3 kwietnia 2026 r.

Kogo dotyczy NIS2 i ustawa o KSC?

Co do zasady średnich i dużych firm z sektorów wymienionych w ustawie jako kluczowe lub ważne, na przykład energii, transportu, ochrony zdrowia, infrastruktury cyfrowej, produkcji czy gospodarki odpadami. Część podmiotów podlega przepisom niezależnie od wielkości, między innymi dostawcy usług DNS i rejestry domen.

Co zrobić, jeśli firma nie zdążyła z wpisem do wykazu?

Termin dla firm, które spełniały kryteria 3 kwietnia 2026 r., minął 3 października 2026 r. Jeśli firma podlega przepisom, a wniosku nie złożyła, powinna zrobić to bez zwłoki i udokumentować samoocenę, na podstawie której ustaliła swój status.

Jakie kary grożą za brak zgodności z NIS2?

Podmiotowi kluczowemu do 10 mln euro lub 2% rocznego przychodu, podmiotowi ważnemu do 7 mln euro lub 1,4%. Kara nie może być niższa niż 20 000 zł dla podmiotu kluczowego i 15 000 zł dla ważnego. Osobno odpowiada kierownik podmiotu: w firmie prywatnej kara może sięgnąć 300% jego wynagrodzenia. Kary mogą być nakładane po raz pierwszy od 3 kwietnia 2028 r.

Ile czasu jest na zgłoszenie incydentu?

Przy incydencie poważnym wczesne ostrzeżenie trzeba przekazać w ciągu 24 godzin od wykrycia, zgłoszenie w ciągu 72 godzin, a sprawozdanie końcowe w ciągu miesiąca od zgłoszenia.

Nie wiesz, czy Twoja firma podlega NIS2 i co ma zrobić do kwietnia 2027?

W ramach bezpłatnej konsultacji pomożemy ustalić status firmy, przejdziemy listę obowiązków i wskażemy, od czego zacząć. Dostaniesz konkretny plan z terminami, bez prawniczego żargonu.

Umów bezpłatną konsultację →

Źródła

Opublikowano: 29 grudnia 2025 · Zaktualizowano: 13 października 2026