3 kwietnia 2026 roku ustawa o cyberbezpieczeństwie oficjalnie weszła w życie. Nie za rok. Nie „kiedyś”. Dzisiaj. W ciągu ostatnich dwóch tygodni odebrałem więcej telefonów niż zwykle. Właściciele firm pytają to samo: „Czy mnie to dotyczy? Co muszę zrobić? Ile mam czasu?”
Odpowiadam im to samo, co napiszę Ci teraz: nie panikuj, ale nie odkładaj. Oto 5 rzeczy, które powinieneś zrobić w tym tygodniu.
W skrócie
NIS2 dotyczy bezpośrednio firm powyżej 50 osób w kluczowych sektorach. Ale jeśli dostarczasz IT firmie objętej ustawą, klient zapyta o Twoje zabezpieczenia, nawet przy 5 osobach. Co zrobić teraz: sprawdź działający backup, włącz MFA, spisz, kto ma do czego dostęp, zrób aktualizacje i zapisz to na papierze. Pierwszy termin rejestracji to 3 października 2026.
Chcesz, żebym sprawdził to w Twojej firmie? Zadzwoń: +48 22 266 21 23 albo napisz. Pierwsza rozmowa jest bezpłatna.
Firma produkcyjna, 45 osób
Zeszły piątek. Dzwoni klient: „Michał, ten NIS2 wchodzi w tym tygodniu, prawda? Mój księgowy mówi, że dostanę karę.” Spokojnie, nie dostajesz kary za brak backupu w pierwszym tygodniu. Ale za rok już tak. I ten rok leci szybciej, niż myślisz.
Zanim cokolwiek zrobisz, sprawdź, czy to Cię dotyczy
NIS2 dotyczy bezpośrednio firm powyżej 50 pracowników w kluczowych sektorach (energetyka, zdrowie, IT, produkcja, żywność, część transportu bez firm przewozowych i spedycji). Ale jest haczyk, o którym mało kto mówi:
Jeśli dostarczasz sprzęt, oprogramowanie albo usługi IT firmie objętej NIS2, ustawa każe jej zadbać o bezpieczeństwo także w relacji z Tobą. Klient będzie pytał o Twoje zabezpieczenia, nawet jeśli masz 5 osób.
Pracuję z firmami każdej wielkości. Połowa moich klientów nie podlega NIS2 bezpośrednio, ale ich klienci tak. I już dostaję pytania: „Nasz partner handlowy przysłał ankietę o bezpieczeństwie IT. Nie mam pojęcia, co odpowiedzieć.”
5 rzeczy do zrobienia w tym tygodniu
- 1
Sprawdź, czy masz backup i czy on DZIAŁA
Nie „czy masz dysk z kopiami”. Czy ktoś w ciągu ostatnich 30 dni sprawdził, że te kopie da się odtworzyć? Bo mam klientów, którzy przez 2 lata myśleli, że mają backup, aż serwer padł i okazało się, że kopie były puste.
- 2
Włącz MFA na wszystkich kontach firmowych
MFA to podwójne logowanie: hasło plus kod z telefonu. 90% ataków phishingowych odpada przy włączonym MFA. To 15 minut konfiguracji na osobę. Jeśli Twój Microsoft 365, poczta firmowa albo ERP nie mają włączonego MFA, to jest Twój priorytet numer jeden.
- 3
Zrób listę: kto ma dostęp do czego
Zeszły miesiąc. Klient, biuro rachunkowe, 8 osób. Okazało się, że praktykant sprzed roku nadal ma dostęp do wszystkich skrzynek mailowych. Nikt go nie wylogował. Nikt nie sprawdził. To nie jest złośliwość, to brak procedury. Weź kartkę i wypisz: kto ma konto w poczcie, kto w ERP, kto zna hasło do Wi-Fi, kto ma klucz do serwerowni.
Jeśli na tej liście jest ktoś, kto u Ciebie już nie pracuje, masz problem.
- 4
Sprawdź aktualizacje systemów, routera i antywirusa
Windows Server bez aktualizacji od 6 miesięcy to otwarte drzwi. Router z hasłem „admin/admin” to zaproszenie. Nie chodzi o wielkie wdrożenia, chodzi o to, żeby podstawy działały. Jeden wieczór na aktualizacje teraz to tygodnie mniej problemów później.
- 5
Zapisz to. Na papierze. Dla siebie i dla kontroli
NIS2 wymaga dokumentacji. Nie musisz pisać 200-stronicowej polityki bezpieczeństwa. Ale musisz mieć zapisane: co robisz, kiedy robisz backup, kto ma dostęp i co zrobisz, gdy coś pójdzie nie tak. Jeśli nie masz tego na papierze, nie masz tego wcale.
Terminy: ile faktycznie masz czasu
NIS2 nie wymaga wszystkiego od razu. Ale terminy są konkretne i nieodwołalne:
3 kwietnia 2026
Ustawa obowiązuje
Zacznij od 5 punktów powyżej.
3 października 2026
Samookreślenie i rejestracja
Musisz wiedzieć, czy podlegasz ustawie, i zarejestrować się w rejestrze.
3 kwietnia 2027
Zabezpieczenia i procedury
Wdrożone zabezpieczenia techniczne i procedury reagowania na incydenty.
3 kwietnia 2028
Pierwszy audyt
Pierwszy obowiązkowy audyt bezpieczeństwa.
Czego NIE robić
Nie kupuj „pakietu NIS2” w ciemno
Nie kupuj go od firmy, która Ci tego nie wyjaśni po ludzku. Widziałem oferty za 30 000 zł, które dają Ci 200 stron dokumentów, których nikt nie przeczyta.
Nie ignoruj tematu
Nie zbywaj go hasłem „mnie to nie dotyczy”. Jeśli masz choć jednego dużego klienta, w ciągu roku on Cię o to zapyta.
Nie rób tego sam z YouTube'a
Konfiguracja MFA, backup, firewall: to godzina pracy dla kogoś, kto to robi codziennie. Dla Ciebie to tydzień prób i błędów.
Co robię moim klientom w pierwszym miesiącu
Każdy klient jest inny, ale schemat się powtarza. Oto co robię w firmie, która „nigdy nie miała informatyka na stałe”:
| Tydzień | Obszar | Co robię |
|---|---|---|
| Tydzień 1 | Audyt | Sprawdzam, co masz, co działa, co jest tykającą bombą |
| Tydzień 2 | Backup | Konfiguruję automatyczne kopie, testuję odtwarzanie |
| Tydzień 3 | MFA i dostępy | Zamykam otwarte konta, włączam podwójne logowanie |
| Tydzień 4 | Dokumentacja | Spisuję, co jest, co zrobiłem i co dalej |
Po 4 tygodniach masz firmę, która spełnia podstawowe wymagania NIS2, i śpisz spokojnie. Nie dlatego, że masz papier. Dlatego, że Twoje IT faktycznie działa. Jak wygląda taka współpraca na co dzień, opisałem w tekście jak wygląda outsourcing IT.
Nie musisz tego robić sam
Ten artykuł to skrót tego, co musisz zrobić TERAZ. Pełne wyjaśnienie NIS2 (kogo dotyczy, jakie są kary, czego dokładnie wymaga ustawa) znajdziesz w moim wcześniejszym przewodniku: NIS2 w praktyce: pełny przewodnik.
Przegląd bezpieczeństwa IT
Sprawdzę w godzinę, co jest OK, co wymaga naprawy i ile to będzie kosztować. Bezpłatnie, bez zobowiązań.
Zakres usługNajczęstsze pytania
Kogo dotyczy NIS2?
Bezpośrednio firm powyżej 50 pracowników w kluczowych sektorach: energetyka, zdrowie, IT, produkcja, żywność i część transportu (bez firm przewozowych i spedycji). Ale jest haczyk: jeśli dostarczasz IT firmie objętej NIS2, klient będzie pytał o Twoje zabezpieczenia, nawet jeśli masz 5 osób.
Co muszę zrobić w pierwszej kolejności?
Pięć rzeczy: sprawdź, czy masz backup i czy on naprawdę działa (czy da się odtworzyć kopie), włącz MFA na wszystkich kontach firmowych, zrób listę, kto ma dostęp do czego, sprawdź aktualizacje systemów, routera i antywirusa oraz zapisz wszystko na papierze. Bez dokumentacji w oczach NIS2 tego nie ma.
Ile mam czasu na dostosowanie się do NIS2?
Ustawa obowiązuje od 3 kwietnia 2026. Do 3 października 2026 musisz wiedzieć, czy podlegasz ustawie, i zarejestrować się w rejestrze. Do 3 kwietnia 2027 wdrożyć zabezpieczenia techniczne i procedury reagowania na incydenty. Pierwszy obowiązkowy audyt bezpieczeństwa to 3 kwietnia 2028.
Co zrobić, gdy partner handlowy przysłał ankietę o bezpieczeństwie IT?
To często znak, że Twój klient podlega NIS2 albo ma własne zasady dla dostawców. Jeśli nie wiesz, co odpowiedzieć, najprościej zacząć od przeglądu IT: w godzinę sprawdzam, co masz, co działa i co wymaga naprawy, bezpłatnie i bez zobowiązań.
Źródła
- [1] Dyrektywa UE 2022/2555 (NIS2), EUR-Lex
- [2] gov.pl: Nowe przepisy wzmocnią ochronę przed cyberzagrożeniami (ustawa o KSC wdrażająca NIS2)
- [3] Biznes.gov.pl: NIS2 w Polsce, nowe obowiązki firm w ustawie o KSC
- [4] NASK Cyberpolicy: Dyrektywa NIS2
- NIS2
- cyberbezpieczeństwo
- KSC
- checklist
Autor
Michał Pietruczyk
Ponad 12 lat w IT, od banku, przez Kancelarię Prezydenta RP, do własnej firmy. Outsourcing IT dla firm, które nie mogą sobie pozwolić na przestoje. Na co dzień obsługuję informatycznie firmy w Warszawie i okolicach.
Poznaj mnie lepiej
