Nowe przepisy unijne wprowadzają rewolucyjne zmiany w zarządzaniu strukturami przedsiębiorstw. Zagadnienie takie jak cyberbezpieczeństwo w świetle dyrektywy NIS2 przestaje być jedynie domeną wewnętrznych działów IT, przekształcając się w kluczowy element odpowiedzialności organizacyjnej i regulacyjnej najwyższych władz spółek. Nowe regulacje obejmują nie tylko bezpośrednie obowiązki podmiotów kluczowych i ważnych, ale w praktyce wpływają również na dostawców, partnerów biznesowych oraz całe łańcuchy dostaw wielu firm w Polsce.
Dyrektywa NIS2 ustanawia ramy służące zapewnieniu wysokiego wspólnego poziomu cyberbezpieczeństwa w Unii Europejskiej. Zastąpiła wcześniejszą dyrektywę NIS1, rozszerzając zakres regulacji, doprecyzowując obowiązki w obszarze zarządzania ryzykiem i raportowania incydentów oraz wzmacniając znaczenie bezpieczeństwa łańcucha dostaw. Termin jej implementacji do prawa krajowego upłynął 17 października 2024 roku.
W Polsce wdrożenie NIS2 następuje poprzez nowelizację ustawy o krajowym systemie cyberbezpieczeństwa, która została podpisana przez Prezydenta 19 lutego 2026 roku, choć jednocześnie skierowana do kontroli następczej przez Trybunał Konstytucyjny. Nowe przepisy weszły w życie z początkiem kwietnia 2026 roku.
Celem dyrektywy NIS2 jest podniesienie wspólnego poziomu cyberbezpieczeństwa w UE przez rozszerzenie zakresu sektorów objętych regulacją, wprowadzenie bardziej jednoznacznych obowiązków bezpieczeństwa, lepsze raportowanie incydentów, większy nacisk na bezpieczeństwo łańcucha dostaw oraz silniejszy nadzór i egzekwowanie przepisów.
Podmioty objęte regulacjami
Dyrektywa NIS2 dotyczy przede wszystkim podmiotów kluczowych oraz podmiotów ważnych. Co do zasady obejmuje średnie i duże organizacje działające w określonych sektorach, jednak część podmiotów może zostać objęta regulacją niezależnie od swojej wielkości. Państwa członkowskie mają również możliwość wskazania mniejszych podmiotów, jeżeli ich znaczenie jest istotne albo wiąże się z podwyższonym profilem ryzyka.
Do sektorów objętych NIS2 należą m.in. sektory wysokiej krytyczności, takie jak:
energia,
transport,
ochrona zdrowia,
woda pitna,
ścieki,
infrastruktura cyfrowa,
zarządzanie usługami ICT,
administracja publiczna.
W polskiej nowelizacji oficjalnie wskazano rozszerzenie systemu m.in. o ICT, przestrzeń kosmiczną, pocztę, produkcję, chemikalia, żywność oraz gospodarowanie ściekami. W praktyce istotne znaczenie ma również objęcie regulacją znacznej części sektora publicznego.
Wpływ pośredni na mniejsze podmioty
Nowelizacja ustawy wprowadza również zasadę współodpowiedzialności za bezpieczeństwo w łańcuchu dostaw. Oznacza to, że podmioty objęte regulacją odpowiadają nie tylko za ochronę własnych systemów i danych, ale również za poziom bezpieczeństwa swoich dostawców i partnerów biznesowych.
W praktyce duże organizacje, chcąc spełnić wymogi znowelizowanej ustawy o KSC i uniknąć sankcji, będą zobowiązane do systematycznej weryfikacji oraz monitorowania ryzyka wynikającego ze współpracy z podmiotami trzecimi. Zagadnienia związane z cyberbezpieczeństwem staną się tym samym integralnym elementem relacji kontraktowych, obejmując m.in. wymagania dotyczące stosowania określonych polityk, procedur i zabezpieczeń technicznych.
W efekcie także przedsiębiorstwa formalnie nieobjęte zakresem ustawy o KSC będą musiały dostosować swoje systemy i procesy bezpieczeństwa, jeżeli chcą zachować konkurencyjność i utrzymać współpracę z większymi partnerami.
Jakie obowiązki nakłada NIS2?
Dyrektywa NIS2 w art. 21 ust. 2 określa minimalny katalog środków bezpieczeństwa, które powinny zostać wdrożone przez podmioty objęte regulacją. Katalog ten ma charakter ramowy, co oznacza, że państwa członkowskie oraz przepisy krajowe mogą go doprecyzowywać lub rozszerzać. Obejmuje on w szczególności:
politykę analizy ryzyka i bezpieczeństwa systemów informatycznych – organizacja powinna mieć zasady identyfikacji i oceny ryzyk, określania priorytetów ochrony oraz sposobu zabezpieczania systemów;
obsługę incydentów – konieczne jest wdrożenie procedur umożliwiających wykrywanie, analizę, reagowanie oraz usuwanie skutków incydentów;
ciągłość działania i zarządzanie kryzysowe – obejmuje to m.in. tworzenie kopii zapasowych, odtwarzanie systemów po awarii oraz zapewnienie ciągłości świadczenia usług w sytuacjach kryzysowych;
bezpieczeństwo łańcucha dostaw – organizacja powinna oceniać ryzyko związane z dostawcami i usługodawcami, w szczególności tymi, od których jest bezpośrednio zależna;
bezpieczeństwo przy nabywaniu, rozwoju i utrzymaniu systemów – dotyczy bezpiecznego wdrażania i utrzymywania systemów, w tym zarządzania podatnościami oraz ich ujawniania;
ocenę skuteczności środków bezpieczeństwa – wymagane jest regularne weryfikowanie, czy stosowane zabezpieczenia są adekwatne i skuteczne;
podstawową cyberhigienę i szkolenia – pracownicy powinni znać podstawowe zasady bezpieczeństwa i uczestniczyć w regularnych szkoleniach;
stosowanie kryptografii i szyfrowania – w uzasadnionych przypadkach organizacja powinna wdrażać odpowiednie środki kryptograficzne;
bezpieczeństwo zasobów ludzkich, kontrolę dostępu i zarządzanie aktywami – obejmuje to zarządzanie uprawnieniami, nadzór nad użytkownikami oraz kontrolę nad sprzętem, oprogramowaniem i danymi;
stosowanie MFA oraz bezpiecznej komunikacji w sytuacjach nadzwyczajnych – w odpowiednich przypadkach wymagane jest stosowanie uwierzytelniania wieloskładnikowego lub ciągłego oraz zabezpieczonych kanałów komunikacji.
W praktyce katalog ten wyznacza minimalny standard organizacyjny i techniczny, który powinien zostać dostosowany do charakteru działalności, skali ryzyka oraz specyfiki środowiska danego podmiotu.
Reagowanie na incydenty
Istotnym elementem nowych obowiązków jest reagowanie na incydenty oraz ich terminowe zgłaszanie. W przypadku incydentów poważnych podmiot kluczowy lub podmiot ważny powinien przekazywać informacje do właściwego CSIRT sektorowego. Ustawa przewiduje następujące etapy raportowania:
wczesne ostrzeżenie – niezwłocznie, nie później niż w ciągu 24 godzin od wykrycia incydentu;
zgłoszenie incydentu poważnego – niezwłocznie, nie później niż w ciągu 72 godzin od wykrycia incydentu;
sprawozdanie końcowe – nie później niż w ciągu 1 miesiąca od dnia dokonania zgłoszenia.
Na wniosek właściwego CSIRT sektorowego podmiot może być również zobowiązany do przekazania sprawozdania okresowego z obsługi incydentu.
BCP i DRP
Podmioty objęte regulacją są zobowiązane do zapewnienia ciągłości działania kluczowych procesów biznesowych również w sytuacjach kryzysowych, takich jak awarie systemów czy incydenty cyberbezpieczeństwa. W praktyce wymaga to opracowania, wdrożenia oraz regularnego testowania dwóch podstawowych dokumentów:
planu ciągłości działania (BCP) – określającego sposób utrzymania kluczowych usług i procesów w warunkach zakłóceń, w tym w przypadku awarii lub cyberataku;
planu odzyskiwania po awarii (DRP) – odnoszącego się do przywracania systemów IT/OT oraz danych w założonym czasie, zgodnie z przyjętymi parametrami odtwarzania.
Skuteczność tych planów zależy nie tylko od ich formalnego przygotowania, lecz także od ich regularnego testowania oraz dostosowywania do rzeczywistych warunków funkcjonowania organizacji.
Dostawca wysokiego ryzyka w UKSC
W polskiej ustawie o krajowym systemie cyberbezpieczeństwa została przewidziana także instytucja „dostawcy wysokiego ryzyka”, która ma służyć eliminowaniu sprzętu, usług ICT lub procesów ICT pochodzących od dostawcy uznanego za zagrożenie dla podstawowego interesu bezpieczeństwa państwa.
Regulacja dotyczy dostawców sprzętu lub oprogramowania wykorzystywanego przez podmioty kluczowe i ważne, a także przez większych przedsiębiorców komunikacji elektronicznej oraz określone podmioty finansowe. Przy ocenie bierze się pod uwagę m.in. zagrożenia dla bezpieczeństwa narodowego, prawdopodobieństwo kontroli dostawcy przez państwo spoza UE lub NATO, strukturę właścicielską, wykryte podatności i incydenty oraz sposób nadzoru nad procesem wytwarzania i dostarczania produktów lub usług.
Decyzję wydaje minister właściwy do spraw informatyzacji, a jej skutki mogą objąć również podmioty z tej samej grupy kapitałowej. W decyzji wskazuje się konkretne produkty ICT, usługi ICT lub procesy ICT, a sama decyzja jest ogłaszana w Monitorze Polskim i Biuletynie Informacji Publicznej oraz podlega natychmiastowemu wykonaniu. Podmioty objęte zakazem nie mogą wprowadzać do użytkowania rozwiązań wskazanych w decyzji, a rozwiązania już używane muszą zostać wycofane.
Co do zasady wycofanie przez przedsiębiorców sprzętu dostawcy uznanego za wysokiego ryzyka powinno nastąpić w terminie 4 lub 7 lat. Jednocześnie do czasu wycofania dopuszczalne pozostaje korzystanie z już posiadanych rozwiązań.
Cyberbezpieczeństwo w świetle dyrektywy NIS2 – podsumowanie
Dyrektywa NIS2 oraz jej implementacja do polskiego porządku prawnego znacząco podnoszą wymagania w zakresie zarządzania cyberbezpieczeństwem i rozszerzają krąg podmiotów objętych regulacją. Nowe przepisy wprowadzają bardziej kompleksowe podejście, obejmujące zarówno środki techniczne, jak i organizacyjne, a także większy nacisk na zarządzanie ryzykiem i ciągłość działania. Szczególne znaczenie ma uwzględnienie bezpieczeństwa łańcucha dostaw, które powoduje, że wpływ regulacji wykracza poza podmioty formalnie nią objęte.
W praktyce oznacza to konieczność systematycznego monitorowania ryzyka, wdrażania procedur oraz dostosowywania relacji kontraktowych do nowych wymogów. Istotnym elementem jest również rozwój mechanizmów reagowania na incydenty oraz obowiązków raportowych, które mają zwiększyć przejrzystość i skuteczność działań w sytuacjach kryzysowych. W efekcie NIS2 należy postrzegać nie tylko jako regulację prawną, lecz jako impuls do budowy dojrzałych i odpornych organizacji.
Źródła:
Dyrektywa (UE) 2022/2555 (NIS 2), Dz.U. UE L 333 z 27.12.2022, https://eur-lex.europa.eu/eli/dir/2022/2555/oj?locale=pl
Ustawa z dnia 23 stycznia 2026 roku o zmianie ustawy o krajowym systemie cyberbezpieczeństwa oraz niektórych innych ustaw, Dz.U. 2026 poz. 252, https://isap.sejm.gov.pl/isap.nsf/DocDetails.xsp?id=WDU20260000252
