NIS2 w Polsce 2026 — obowiązki zarządu, terminy KSC i kary

Dla kogo: zarządy spółek, dyrektorzy IT i bezpieczeństwa, działy prawne, compliance i zakupów

Stan prawny: 20 sierpnia 2026 r.

Czas czytania: ok. 18 minut

Najważniejsze w 30 sekund

• Polska nowelizacja ustawy o krajowym systemie cyberbezpieczeństwa wdrażająca NIS2 obowiązuje od 3 kwietnia 2026 r. Nie jest już projektem.
• Podmioty spełniające kryteria w dniu wejścia ustawy powinny co do zasady złożyć wniosek o wpis do Wykazu KSC do 3 października 2026 r., wdrożyć SZBI i rozpocząć korzystanie z S46 do 3 kwietnia 2027 r.
• Statusu nie ustala samo PKD ani liczba pracowników. Trzeba zbadać faktycznie świadczoną usługę, załącznik nr 1 lub 2, wielkość z uwzględnieniem podmiotów partnerskich i powiązanych, wyjątki oraz przepisy sektorowe.
• Rdzeń obowiązków podmiotów kluczowych i ważnych jest wspólny, lecz różnią się nadzór, audyt, środki organu i pułapy kar.
• Kierownik odpowiada za wykonanie obowiązków także po powierzeniu zadań CISO lub dostawcy. W organie wieloosobowym brak wskazania odpowiedzialnej osoby może oznaczać odpowiedzialność wszystkich członków.
• Incydent poważny uruchamia sekwencję 24 godziny, 72 godziny i miesiąc. Równolegle trzeba ocenić RODO, DORA, obowiązki sektorowe i umowne.

Cyberbezpieczeństwo po nowelizacji KSC jest zadaniem zarządczym, finansowym i dowodowym, a nie wyłącznie technicznym. Spółka powinna umieć wykazać, dlaczego podlega albo nie podlega ustawie, jaki zakres systemów objęła SZBI, które ryzyka zaakceptował kierownik oraz jak działa procedura raportowania poza godzinami pracy.

Odpowiedzialność kierownictwa wymaga decyzji, budżetu, nadzoru, szkoleń i dowodów wykonania obowiązków KSC.

Co obowiązuje w Polsce 20 sierpnia 2026 r.?

Ustawa z 23 stycznia 2026 r. o zmianie ustawy o krajowym systemie cyberbezpieczeństwa oraz niektórych innych ustaw została ogłoszona w Dz.U. 2026 poz. 252 i weszła w życie 3 kwietnia 2026 r. Dyrektywa NIS2 pozostaje źródłem europejskim, lecz obowiązki polskich spółek wynikają dziś przede wszystkim z ustawy KSC.

Jeżeli podmiot spełni przesłanki później, terminy liczy od tego zdarzenia: zasadniczo sześć miesięcy na wniosek o wpis, dwanaście miesięcy na obowiązki rozdziału 3 i dwadzieścia cztery miesiące na pierwszy audyt podmiotu kluczowego. Wpis nie tworzy statusu — obowiązki wynikają ze spełnienia przesłanek. Zmianę danych objętych wpisem zgłasza się w ustawowym terminie, zasadniczo 14 dni.

Czy spółka jest podmiotem kluczowym albo ważnym?

Krok 1: faktyczna działalność i usługa

Najpierw należy zmapować usługę i rolę spółki według załączników nr 1 i 2 do KSC. Sam kod PKD, nazwa branży lub obecność klienta z sektora regulowanego nie przesądzają wyniku. Załącznik nr 1 obejmuje sektory kluczowe, m.in. energię, transport, bankowość, infrastrukturę rynków finansowych, zdrowie, wodę, ścieki, infrastrukturę cyfrową, zarządzanie usługami ICT, administrację i przestrzeń kosmiczną. Załącznik nr 2 obejmuje m.in. pocztę, odpady, chemikalia, żywność, określoną produkcję, dostawców usług cyfrowych i badania.

Krok 2: wielkość przedsiębiorstwa z całą grupą

Wielkość ustala się według reguł załącznika I do rozporządzenia 651/2014, a więc również z uwzględnieniem przedsiębiorstw partnerskich i powiązanych. Prosta tabela zatrudnienia i obrotu jednej spółki może dać błędny wynik. Ustawa KSC przewiduje ponadto szczególne reguły dotyczące niezależności systemów oraz wspólnego świadczenia usług.

Krok 3: podstawowa kwalifikacja i wyjątki

• podmiot z załącznika nr 1 przewyższający progi średniego przedsiębiorstwa jest co do zasady podmiotem kluczowym;
• średni podmiot z załącznika nr 1, który nie jest kluczowy, jest co do zasady podmiotem ważnym;
• co najmniej średni podmiot z załącznika nr 2 jest co do zasady podmiotem ważnym;
• dla określonych usług DNS, TLD, usług zaufania, telekomunikacji, podmiotów krytycznych i publicznych oraz innych kategorii obowiązują reguły szczególne, także niezależne od wielkości;
• organ może w ustawowych przypadkach objąć decyzją podmiot mniejszy, jeżeli ma szczególne znaczenie systemowe lub krajowe.

Krok 4: DORA i inne przepisy szczególne

Dla bankowości i infrastruktury rynków finansowych art. 8i KSC wyłącza znaczną część krajowych obowiązków SZBI i raportowania, ponieważ w tych obszarach stosuje się DORA. Nie oznacza to wyłączenia całej ustawy KSC. Osobno trzeba ustalić, które przepisy pozostają właściwe, jaki organ nadzoruje podmiot i który reżim wyznacza terminy incydentowe.

Podmiot kluczowy a ważny — najważniejsze różnice

Wpis do Wykazu KSC i S46

Samorejestracja w Wykazie KSC jest dostępna w systemie S46. Wniosek składa kierownik lub osoba upoważniona. Część podmiotów jest wpisywana z urzędu i następnie uzupełnia dane. Przed wysłaniem należy ustalić co najmniej:

• podstawę kwalifikacji, sektor, podsektor i rodzaj podmiotu;
• dane kontaktowe, administratora konta oraz osoby odpowiedzialne za kontakt z KSC;
• adresy IP, domeny i pozostałe wymagane dane techniczne;
• status wielkościowy i sposób jego wyliczenia;
• organ właściwy oraz docelowy CSIRT.

Co do zasady wyznacza się co najmniej dwie osoby kontaktowe; dla mikro- i małego przedsiębiorcy oraz wskazanego podmiotu publicznego ustawa dopuszcza jedną. Trzeba również zapewnić użytkownikowi możliwość zgłoszenia cyberzagrożenia, incydentu lub podatności związanych ze świadczoną usługą.

Co musi obejmować SZBI według art. 8 KSC?

Środki muszą być adekwatne i proporcjonalne, uwzględniać aktualny stan wiedzy, koszty, wielkość podmiotu oraz prawdopodobieństwo i skutki incydentu. „Proporcjonalność” nie jest zwolnieniem, lecz wymaga udokumentowanego uzasadnienia. SZBI, jego zakres i zmiany powinny być wersjonowane oraz zatwierdzane.

Do realizacji obowiązków z art. 8–13 podmiot powołuje wewnętrzne struktury cyberbezpieczeństwa albo zawiera umowę z dostawcą usług zarządzanych w zakresie cyberbezpieczeństwa. Nieformalne przypisanie całego tematu działowi IT nie zastępuje tego modelu ani nadzoru kierownika.

Obowiązki kierownika i zarządu

Art. 8c–8e KSC tworzą konkretny model odpowiedzialności. W spółce kapitałowej kierownikiem jest co do zasady zarząd w rozumieniu odesłania do ustawy o rachunkowości, a nie automatycznie prezes, dyrektor IT albo CISO.

• kierownik odpowiada za realizację wskazanych obowiązków KSC;
• przy organie wieloosobowym brak wskazania osoby odpowiedzialnej może oznaczać odpowiedzialność wszystkich członków;
• powierzenie zadań pracownikowi lub dostawcy nie zwalnia kierownika;
• kierownik podejmuje decyzje o SZBI, zapewnia adekwatne finansowanie, przydziela zadania i nadzoruje wykonanie;
• kierownik oraz osoba, której powierzono jego obowiązki cyberbezpieczeństwa, odbywają udokumentowane szkolenie raz w każdym roku kalendarzowym.

Pakiet dowodowy zarządu powinien obejmować uchwałę albo formalny podział odpowiedzialności, zatwierdzenie zakresu SZBI, budżet, dashboard ryzyk, protokoły przeglądów, decyzje o ryzyku rezydualnym, wyniki testów, szkolenia i działania po incydentach. Delegacja wykonania nie jest delegacją odpowiedzialności.

Wymagania wobec personelu

Osoby wykonujące zadania z art. 8 lub 11 KSC przedstawiają przed ich rozpoczęciem informację z KRK potwierdzającą niekaralność za przestępstwa przeciwko ochronie informacji. Ustawa przewiduje ponowne sprawdzenie przy uzasadnionym podejrzeniu skazania i możliwość zastąpienia informacji odpowiednim poświadczeniem bezpieczeństwa. Proces musi mieć określoną podstawę, zakres dostępu i retencję danych o wyrokach.

Incydent poważny — procedura 24/72/miesiąc

Terminy biegną od wykrycia, dlatego procedura musi wskazywać, kto i jak utrwala tę chwilę. Nie czeka się na pełną analizę przed ostrzeżeniem — przekazuje się informacje znane i później je uzupełnia. Do czasu gotowości właściwego CSIRT sektorowego stosuje się kanał wynikający z przepisów przejściowych i komunikatów operacyjnych.

Tabela pokazuje zasadniczy model. Ustawa przewiduje wyjątki, m.in. zmodyfikowany reżim dla podmiotu ważnego będącego podmiotem publicznym oraz szczególny termin dla dostawcy usług zaufania. Przed wpisaniem sekwencji do procedury trzeba więc potwierdzić kategorię podmiotu i właściwe przepisy sektorowe.

Jeden incydent może uruchomić kilka zegarów. KSC nie zastępuje zgłoszenia naruszenia danych do Prezesa UODO na podstawie art. 33 RODO. DORA ma własny reżim dla podmiotów finansowych. Dodatkowo mogą działać obowiązki wobec klientów, ubezpieczyciela, operatora infrastruktury i organu sektorowego.

Informowanie użytkowników

Podmiot powinien przekazać użytkownikom informacje o możliwych środkach zapobiegawczych przy poważnym cyberzagrożeniu oraz o incydencie poważnym, jeżeli niekorzystnie wpływa on na świadczenie usług. Komunikat wymaga koordynacji prawnej, technicznej i operacyjnej, ale nie może opóźniać ustawowego raportowania do CSIRT.

Audyt cyberbezpieczeństwa

Podmiot kluczowy przeprowadza audyt co najmniej raz na trzy lata. Dla podmiotu spełniającego przesłanki 3 kwietnia 2026 r. pierwszy termin przypada 3 kwietnia 2028 r., z uwzględnieniem szczególnych przepisów dla dotychczasowych operatorów. Podmiot ważny nie ma analogicznego powszechnego cyklu, lecz organ może nakazać mu audyt w ustawowych przypadkach.

Raport z audytu podmiot kluczowy przekazuje organowi w ciągu trzech dni roboczych od otrzymania. Audytor musi spełniać wymagania niezależności; osoba realizująca w podmiocie zadania z art. 8 i 9–13 w poprzednim roku nie powinna następnie badać własnej pracy.

Nadzór i kary — od kiedy realnie?

Ustawa przewiduje dla podmiotu kluczowego karę do wyższej z 10 mln euro albo 2% właściwego przychodu, nie mniej niż 20 tys. zł. Dla podmiotu ważnego limit to wyższa z 7 mln euro albo 1,4% właściwego przychodu, nie mniej niż 15 tys. zł. W kwalifikowanym przypadku poważnego zagrożenia lub szkody kara może sięgnąć 100 mln zł. Za opóźnienie w wykonaniu decyzji możliwa jest okresowa kara za każdy dzień.

Kierownik może otrzymać odrębną karę do 300% wynagrodzenia liczonego według zasad ekwiwalentu urlopowego, a w podmiocie publicznym zasadniczo do 100%. Kara może dotyczyć także jednorazowego zaniechania, jeżeli przemawia za tym jego czas, zakres lub charakter, i może zostać nałożona obok kary podmiotu.

Przepis przejściowy odracza pierwsze stosowanie nowych kar do upływu dwóch lat od wejścia nowelizacji, czyli po 3 kwietnia 2028 r. Nie odracza to kwalifikacji, rejestracji ani przygotowania i terminowego wdrożenia obowiązków.

Łańcuch dostaw — co wpisać do umów?

• konkretne wymagania bezpieczeństwa i standard utrzymania;
• obowiązek szybkiego informowania o incydencie, cyberzagrożeniu i podatności;
• czasy współpracy pozwalające klientowi dotrzymać 24 i 72 godzin;
• dowody zgodności, testy, prawo audytu i zasady usuwania niezgodności;
• wymagania wobec podwykonawców oraz kontrolę zmian łańcucha;
• aktualizacje, podatności, koniec wsparcia i bezpieczne wycofanie produktu;
• BCP/DR, kopie, lokalizację i zasady zwrotu lub usunięcia danych;
• exit plan, ciągłość po rozwiązaniu i współpracę z organami.

Umowa z klientem objętym KSC nie zmienia automatycznie dostawcy w podmiot kluczowy albo ważny. Może jednak nałożyć obowiązki kontraktowe. Zakres klauzul powinien wynikać z ryzyka i krytyczności dostawcy, a nie z mechanicznego kopiowania całej ustawy.

Plan zarządu na najbliższe 90 dni

1. Udokumentuj kwalifikację: usługa, załącznik, wielkość grupy, wyjątki, DORA i organ.
2. Jeżeli podmiot podlega, przygotuj lub sprawdź wpis do Wykazu KSC i osoby kontaktowe.
3. Zatwierdź zakres SZBI, odpowiedzialność, budżet i harmonogram do 3 kwietnia 2027 r.
4. Zmapuj aktywa, procesy krytyczne, dostawców i zależności usług.
5. Przeprowadź analizę luki art. 8 i utwórz plan naprawczy z właścicielami.
6. Uruchom procedurę 24/72/miesiąc i wykonaj ćwiczenie typu tabletop.
7. Przejrzyj krytyczne umowy ICT, terminy zgłoszeń, audyt, BCP i exit.
8. Zaplanuj coroczne szkolenie kierownika i uporządkuj wymagania KRK.
9. Ustal kalendarz audytu i repozytorium dowodów zgodności.
10. Zbuduj równoległą kwalifikację incydentów KSC, RODO, DORA i umów.

Najczęściej zadawane pytania

Czy NIS2 obowiązuje już w Polsce?

Tak. Nowelizacja KSC wdrażająca NIS2 weszła w życie 3 kwietnia 2026 r. Część obowiązków ma terminy przejściowe, ale ustawa nie jest już projektem.

Czy brak wpisu do Wykazu KSC oznacza brak obowiązków?

Nie. Status wynika ze spełnienia przesłanek ustawowych, a wpis ma charakter deklaratoryjny. Brak terminowego wniosku jest odrębnym naruszeniem.

Czy PKD wystarczy do kwalifikacji?

Nie. Trzeba zbadać faktycznie wykonywaną działalność i usługę według załącznika, wielkość z grupą powiązaną, wyjątki i przepisy szczególne.

Czy dostawca spółki NIS2 automatycznie podlega ustawie?

Nie. Może podlegać własnej kwalifikacji albo tylko wymaganiom kontraktowym klienta wynikającym z bezpieczeństwa łańcucha dostaw.

Czy powołanie CISO zwalnia zarząd?

Nie. Można powierzyć wykonanie zadań, ale art. 8c KSC pozostawia odpowiedzialność kierownika. Zarząd musi podejmować decyzje, finansować, nadzorować i dokumentować wykonanie.

Od kiedy liczy się 24 i 72 godziny?

Od wykrycia incydentu poważnego, a nie od zakończenia analizy. Chwilę wykrycia trzeba utrwalić w procedurze i rejestrze.

Czy podmiot ważny musi mieć audyt co trzy lata?

Nie ma takiego ogólnego obowiązku jak podmiot kluczowy. Organ może jednak nakazać audyt podmiotowi ważnemu w ustawowych okolicznościach.

Jak NIS2 łączy się z RODO?

To dwa różne testy i terminy. Jeden incydent może podlegać obu reżimom, ale zgłoszenie do CSIRT nie zastępuje zgłoszenia naruszenia danych do Prezesa UODO.

Czy kary mogą być nakładane już teraz?

Nowe kary wskazane w przepisie przejściowym mogą być nakładane po raz pierwszy po upływie dwóch lat od wejścia nowelizacji, czyli po 3 kwietnia 2028 r. Pozostałe obowiązki i terminy należy realizować wcześniej.

Podstawa prawna i oficjalne źródła

• Ustawa z 23 stycznia 2026 r. o zmianie ustawy o KSC, Dz.U. 2026 poz. 252 — ELI
• Ustawa o krajowym systemie cyberbezpieczeństwa, tekst jedn. Dz.U. 2026 poz. 20 — Dziennik Ustaw
• Ministerstwo Cyfryzacji, obowiązki i terminy — gov.pl
• Ministerstwo Cyfryzacji, kwalifikacja podmiotów — gov.pl
• Dyrektywa (UE) 2022/2555 — EUR-Lex
• Rozporządzenie wykonawcze Komisji (UE) 2024/2690 — EUR-Lex
• Rozporządzenie DORA (UE) 2022/2554 — EUR-Lex
• RODO, rozporządzenie (UE) 2016/679 — EUR-Lex

Sprawdzacie status spółki i harmonogram KSC?

Skontaktuj się z kancelarią, aby uporządkować zakres, terminy i odpowiedzialność dla konkretnej organizacji.