Prezydent RP Karol Nawrocki podpisał nowelizację ustawy o krajowym systemie cyberbezpieczeństwa. Dla tysięcy polskich firm to sygnał, którego nie można zignorować - NIS2 w Polsce stało się obowiązującym prawem. Pytanie nie brzmi już „czy", ale „jak szybko" organy nadzorcze rozpoczną kontrole.

Dla osób odpowiedzialnych za compliance i ład korporacyjny w firmach ten moment ma szczególne znaczenie. NIS2 przenosi cyberbezpieczeństwo z domeny IT na poziom zarządu — i tworzy nowy punkt styku z obowiązkami, które wiele organizacji już realizuje w ramach ESG i CSRD.

‍

Podpisanie nowelizacji KSC - fakty, które mają znaczenie

Nowelizacja ustawy o krajowym systemie cyberbezpieczeństwa to polski sposób wdrożenia dyrektywy NIS2 (Directive (EU) 2022/2555), której pełny tekst dostępny jest w Dzienniku Urzędowym UE. Polska znacząco przekroczyła pierwotny termin transpozycji wyznaczony na 17 października 2024 roku — ustawa wpłynęła do Sejmu dopiero w listopadzie 2025, a podpis prezydenta zamknął proces legislacyjny na początku 2026 roku.

Jednocześnie Prezydent skierował do Trybunału Konstytucyjnego przepisy dotyczące dostawców wysokiego ryzyka — ale w trybie kontroli następczej. To kluczowy szczegół: ustawa obowiązuje w całości, a wynik kontroli TK nie wstrzymuje wejścia w życie pozostałych przepisów. Jak szczegółowo opisał Niebezpiecznik w analizie procesu legislacyjnego KSC2, czekanie na rozstrzygnięcie Trybunału nie jest strategią compliance.

Status wdrożenia dyrektywy NIS2 w poszczególnych krajach UE - w tym w Polsce - monitoruje Komisja Europejska na dedykowanej stronie.

‍

Kogo dotyczą nowe obowiązki - podmioty kluczowe i ważne

Nowelizacja KSC obejmuje regulacją znacznie szerszy krąg organizacji niż dotychczasowe przepisy. Podział jest dwupoziomowy:

Podmioty kluczowe - sektory o najwyższej krytyczności: energetyka, transport, bankowość, infrastruktura rynków finansowych, ochrona zdrowia, woda pitna, ścieki, infrastruktura cyfrowa, zarządzanie usługami ICT, administracja publiczna, przestrzeń kosmiczna.

Podmioty ważne - pozostałe sektory krytyczne: usługi pocztowe i kurierskie, gospodarowanie odpadami, produkcja (chemikalia, wyroby medyczne, elektronika, maszyny), dostawcy cyfrowi (platformy, wyszukiwarki), produkcja i dystrybucja żywności, organizacje badawcze.

Klasyfikacja opiera się na regule wielkości - co do zasady NIS2 obejmuje wszystkie średnie i duże firmy (powyżej 50 pracowników i 10 mln EUR obrotu) działające we wskazanych sektorach. Szacuje się, że w Polsce pod regulację trafi kilkanaście tysięcy podmiotów.

Ważne: brak formalnego potwierdzenia statusu nie zwalnia z odpowiedzialności. Organizacja, która powinna się zakwalifikować, a tego nie zrobiła, ponosi konsekwencje jak podmiot objęty regulacją.

‍

Odpowiedzialność zarządu - dlaczego NIS2 zmienia reguły gry

To jest punkt, w którym NIS2 fundamentalnie różni się od wcześniejszych regulacji cyberbezpieczeństwa. Dotychczas odpowiedzialność za bezpieczeństwo IT de facto spoczywała na dziale technicznym. NIS2 zmienia tę dynamikę:

Zarząd ma obowiązek nadzorować wdrożenie polityki bezpieczeństwa, zatwierdzać środki zarządzania ryzykiem, odbywać regularne szkolenia z cyberbezpieczeństwa (minimum raz w roku) oraz podejmować decyzje strategiczne w tym obszarze.

Konsekwencje osobiste - w przypadku rażących naruszeń członkom zarządu mogą grozić osobiste kary finansowe, a w skrajnych przypadkach zakaz pełnienia funkcji zarządczych w innych organizacjach.

Dla compliance officerów i członków zarządu to zmiana o fundamentalnym znaczeniu. Cyberbezpieczeństwo dołącza do ESG, AML i ochrony danych osobowych jako obszar bezpośredniej odpowiedzialności kierownictwa — ze wszystkimi tego konsekwencjami.

‍

NIS2 a ESG - synergia, która daje przewagę

Wiele polskich firm już realizuje obowiązki związane z dyrektywą CSRD i raportowaniem ESG. Wdrożenie NIS2 nie musi oznaczać budowania compliance od zera — wręcz przeciwnie, istnieją naturalne punkty styku:

Łańcuch dostaw - NIS2 wymaga oceny bezpieczeństwa dostawców i monitorowania zgodności. CSRD wymaga due diligence w łańcuchu wartości pod kątem ESG. Firmy, które zintegrują oba procesy, unikną podwójnej pracy i zyskają spójny obraz ryzyk swoich partnerów biznesowych.

Ład korporacyjny (Governance) - zarówno NIS2, jak i filar „G" w ESG, wymagają przejrzystych struktur zarządzania ryzykiem, odpowiedzialności na poziomie zarządu i udokumentowanych procesów decyzyjnych. Organizacja, która ma dojrzały system governance ESG, ma solidną bazę do spełnienia wymogów NIS2.

Zarządzanie ryzykiem - systematyczna analiza ryzyk, ich dokumentowanie i wdrażanie środków zaradczych to wspólny mianownik NIS2, ISO 27001 i standardów ESRS w raportowaniu ESG.

Więcej o podejściu łączącym cyberbezpieczeństwo, ESG i inne regulacje w jednym systemie przeczytasz w artykule o platformie Quantifier.ai — autonomicznym compliance opartym na AI. Z kolei szczegóły obowiązków CSRD i harmonogram wdrożenia opisujemy w przewodniku Dyrektywa CSRD — kogo dotyczy i od kiedy trzeba raportować.

‍

Kary finansowe - ile kosztuje brak zgodności z NIS2

Dyrektywa NIS2 wprowadza jedne z najwyższych kar w historii regulacji cyberbezpieczeństwa w UE:

Dla podmiotów kluczowych - do 10 mln EUR lub 2% rocznych przychodów globalnych (kwota wyższa), z minimalną karą 20 000 PLN.

Dla podmiotów ważnych - do 7 mln EUR lub 1,4% rocznych przychodów (kwota wyższa), z minimalną karą 15 000 PLN.

Oprócz kar finansowych organy nadzorcze mogą nałożyć nakazy wdrożenia określonych środków naprawczych, zarządzić obowiązkowe audyty, a w skrajnych przypadkach — ograniczyć uprawnienia zarządcze osób odpowiedzialnych.

Koszty braku zgodności wykraczają jednak poza same kary. Utrata zaufania klientów i partnerów, szkody reputacyjne oraz potencjalne roszczenia cywilne mogą wielokrotnie przewyższyć kwoty sankcji administracyjnych.

‍

Harmonogram — kluczowe terminy po wejściu ustawy w życie

Znowelizowane przepisy wchodzą w życie miesiąc po ogłoszeniu w Dzienniku Ustaw. Od tego momentu biegną konkretne terminy — organizacje powinny je uwzględnić w planowaniu:

• 3 miesiące - termin na zgłoszenie się do rejestru podmiotów kluczowych i ważnych
• 6 miesięcy - termin na wdrożenie systemu zarządzania bezpieczeństwem informacji (ISMS) dla podmiotów kluczowych i ważnych
• 12 miesięcy - termin na wdrożenie wymagań dla podmiotów wyznaczonych decyzją organu ds. cyberbezpieczeństwa

Wytyczne wdrożeniowe i dobre praktyki publikuje Europejska Agencja ds. Cyberbezpieczeństwa (ENISA).

‍

Od czego zacząć — perspektywa compliance

Wdrożenie NIS2 w polskiej firmie to projekt, który wymaga koordynacji między działem IT, prawnym, compliance i zarządem. Z perspektywy osoby odpowiedzialnej za zgodność regulacyjną, kluczowe jest podejście systemowe:

Po pierwsze - ustal status. Czy Twoja organizacja jest podmiotem kluczowym, ważnym, czy w ogóle nie podlega pod regulację? Odpowiedź na to pytanie determinuje zakres obowiązków i terminy.

Po drugie - zmapuj, co już masz. Firmy z wdrożonym ISO 27001, funkcjonującym systemem zarządzania ryzykiem ESG czy procedurami RODO mają solidny punkt wyjścia. Gap analysis powinien uwzględnić istniejące zasoby, a nie zakładać start od zera.

Po trzecie - zaangażuj zarząd od początku. NIS2 wymaga formalnego zaangażowania kierownictwa — nie wystarczy informacja post factum. Zarząd musi zatwierdzić politykę bezpieczeństwa, znać ryzyka i podjąć udokumentowane decyzje.

Po czwarte - zadbaj o dostawców. Aktualizacja umów, wprowadzenie klauzul bezpieczeństwa, ocena ryzyka dostawców — to czasochłonne, ale kluczowe. NIS2 traktuje łańcuch dostaw jako integralny element bezpieczeństwa organizacji.

Po piąte - dokumentuj wszystko. Rejestry ryzyk, protokoły z decyzji zarządu, wyniki audytów, dowody szkoleń, testy incydentów — w przypadku kontroli to Twoja główna linia obrony.

Kompleksowe podejście do zarządzania compliance — obejmujące NIS2, ESG, RODO i inne regulacje — umożliwia platforma Envirly / Quantifier.ai, zaprojektowana z myślą o organizacjach, które traktują zgodność regulacyjną jako element strategii, a nie jednorazowy projekt.

‍

Podsumowanie — NIS2 to nowy standard odpowiedzialności

Podpisanie nowelizacji KSC zamknęło wielomiesięczny proces legislacyjny, ale dla firm otwiera etap znacznie ważniejszy — realnego wdrożenia. Organizacje, które potraktują NIS2 wyłącznie jako kolejny obowiązek regulacyjny, przegapią szansę na zbudowanie zintegrowanego systemu zarządzania zgodnością łączącego cyberbezpieczeństwo, ESG i ład korporacyjny.

Firmy, które podejdą do tego strategicznie, zyskają nie tylko ochronę przed karami, ale także większe zaufanie klientów, partnerów i inwestorów. W erze rosnących cyberzagrożeń i zaostrzających się regulacji, compliance przestaje być kosztem — staje się przewagą konkurencyjną.

‍