19 lutego 2026 roku Prezydent podpisał nowelizację ustawy o Krajowym Systemie Cyberbezpieczeństwa (KSC). To polska implementacja europejskiej dyrektywy NIS2 i dotyczy dużo większej liczby firm, niż myślisz. Nie musisz być ekspertem od prawa, żeby zrozumieć, o co chodzi.
W tym artykule tłumaczę NIS2 tak, jak tłumaczę ją moim klientom: bez paragrafów, za to z konkretną listą rzeczy do zrobienia. Bo w praktyce NIS2 to nie rewolucja, to uporządkowanie tego, co każda firma powinna mieć od dawna.
W skrócie
NIS2 to nowe prawo (polska ustawa o KSC podpisana 19.02.2026), które wymaga, by firma realnie zabezpieczyła swoje IT. Dotyczy bezpośrednio średnich i dużych firm z objętych sektorów, a pośrednio też mniejszych firm, które dostarczają im sprzęt, oprogramowanie lub usługi IT. W praktyce trzeba mieć backup, monitoring, kontrolę dostępu (MFA), dokumentację i przeszkolony zespół, czyli to, co i tak warto mieć. Kary sięgają 10 mln EUR lub 2% obrotu.
Chcesz, żebym sprawdził to w Twojej firmie? Zadzwoń: +48 22 266 21 23 albo napisz. Pierwsza rozmowa jest bezpłatna.
Co to jest NIS2 w trzech zdaniach
NIS2 to nowe europejskie prawo, które mówi jedno: „zabezpiecz swoją firmę albo zapłacisz karę”. Polska właśnie wdrożyła je przez nowelizację ustawy o cyberbezpieczeństwie (KSC). Brzmi groźnie, ale w praktyce chodzi o to, żebyś nie dowiadywał się o dziurach w bezpieczeństwie dopiero wtedy, gdy ransomware zaszyfruje Ci wszystkie dane.[1][2]
UE mówi „zabezpieczcie się”, Polska mówi „macie terminy i kary”. A ja mówię: większość z tego i tak powinieneś mieć.
Kogo dotyczy NIS2?
Duże i średnie firmy z konkretnych branż
Energetyka, transport (lotniczy, kolejowy, wodny, a z drogowego tylko zarządcy dróg i inteligentne systemy transportowe - firm przewozowych i spedycji ustawa nie wymienia), zdrowie, IT, produkcja, żywność, chemia, poczta, odpady: jeśli działasz w jednym z tych sektorów i masz powyżej 50 pracowników lub ponad 10 mln EUR obrotu, NIS2 dotyczy Cię bezpośrednio.
Łańcuch dostaw: tu jest haczyk
Nawet jeśli Twoja firma ma 10 osób, ale dostarczasz sprzęt, oprogramowanie albo usługi IT firmie objętej NIS2, klient będzie pytał o Twoje zabezpieczenia i może wpisać wymagania do umowy. Ustawa każe mu zadbać o bezpieczeństwo łańcucha dostaw IT. Inni dostawcy też mogą dostać ankietę o zabezpieczeniach, ale wtedy to wymóg samego klienta, nie ustawy.
A co z mikro i małymi firmami?
Nawet jeśli formalnie nie podlegasz NIS2, te wymagania to po prostu dobra praktyka. 240 000 incydentów cyberbezpieczeństwa w Polsce w 2025 roku, dwukrotny wzrost rok do roku. Ransomware nie sprawdza, czy masz 5 czy 500 pracowników.
Czy NIS2 dotyczy Twojej firmy?
Uproszczony schemat. Pełną analizę powinien zrobić specjalista.
| Pytanie | Tak | Nie |
|---|---|---|
| Czy masz powyżej 50 pracowników? | Sprawdź sektor | Prawdopodobnie nie podlegasz bezpośrednio |
| Czy Twój roczny obrót przekracza 10 mln EUR? | Sprawdź sektor | Prawdopodobnie nie podlegasz bezpośrednio |
| Czy działasz w sektorze objętym NIS2? | Podlegasz NIS2 | Sprawdź łańcuch dostaw |
| Czy dostarczasz IT (sprzęt, oprogramowanie, usługi) firmie objętej NIS2? | Formalnie nie, ale klient będzie pytał o Twoje zabezpieczenia | Formalnie nie podlegasz, ale i tak warto wdrożyć |
Lista sektorów objętych NIS2 obejmuje 18 kategorii. Pełny wykaz w załączniku do dyrektywy.[2][4]
Terminy: co i kiedy?
19.02.2026
Podpisanie ustawy
Prezydent podpisał nowelizację ustawy o KSC.
03.04.2026
Wejście w życie
Ustawa zaczyna obowiązywać, miesiąc po publikacji w Dzienniku Ustaw.
Październik 2026
Samookreślenie
6 miesięcy na wpisanie się do rejestru podmiotów kluczowych/ważnych.
Kwiecień 2027
Wdrożenie zabezpieczeń
12 miesięcy na wdrożenie środków zarządzania ryzykiem.
Kwiecień 2028
Pierwszy audyt
24 miesiące na przeprowadzenie pierwszego audytu bezpieczeństwa.[4][5][6]
Co NIS2 wymaga technicznie i co ja z tego robię
Ustawa mówi o „środkach zarządzania ryzykiem”. Brzmi jak z urzędu, wiem. Ale w praktyce to po prostu lista rzeczy, które dobry informatyk i tak powinien u Ciebie wdrożyć:[4][5]
Zarządzanie ryzykiem
Wymóg: sprawdzaj regularnie, gdzie masz słabe punkty w IT. Co robię: robię audyt sieci, sprawdzam firewall, testuję konfigurację i daję raport, co poprawić.
Backup i disaster recovery
Wymóg: rób kopie zapasowe i sprawdzaj, czy naprawdę da się z nich odzyskać dane. Co robię: wdrażam backup 3-2-1 (Veeam + NAS + chmura), testuję odtwarzanie co kwartał.
Monitoring i wykrywanie incydentów
Wymóg: miej oko na to, co się dzieje w sieci, żeby nie dowiedzieć się o awarii od klienta. Co robię: stawiam Zabbix, konfiguruję alerty. O awarii dowiadujemy się w 5 minut, nie po tygodniu.
Kontrola dostępu
Wymóg: ogranicz, kto ma dostęp do czego, włącz podwójne logowanie i wymuś silne hasła. Co robię: Active Directory, MFA na wszystkim, VPN zamiast otwartych portów, matryca uprawnień.
Dokumentacja i procedury
Wymóg: spisz zasady bezpieczeństwa i co robić, gdy coś pójdzie nie tak. Co robię: przygotowuję dokumentację IT, procedury na wypadek awarii, listę kontaktów kryzysowych.
Szkolenia pracowników
Wymóg: ucz ludzi, żeby nie klikali w podejrzane linki i nie używali hasła „qwerty”. Co robię: uczę zespół rozpoznawać phishing, tłumaczę, dlaczego hasło „firma123” to zły pomysł.
Kary: ile to kosztuje, gdy nie zrobisz nic
| Kogo dotyczy | Kara maksymalna | Szczegóły |
|---|---|---|
| Podmioty kluczowe | do 10 mln EUR | lub 2% rocznego obrotu, zależnie od tego, co jest wyższe |
| Podmioty ważne | do 7 mln EUR | lub 1,4% rocznego obrotu |
| Przypadki skrajne | do 100 mln PLN | w przypadku powtarzających się naruszeń |
Ale kary to nie jedyne ryzyko. Średni koszt incydentu ransomware dla polskiej firmy to setki tysięcy złotych, włącznie z przestojem, utratą danych i odbudową. Wdrożenie zabezpieczeń kosztuje ułamek tego.[3][7][9]
Cyberbezpieczeństwo w Polsce: twarde dane
240 000+
incydentów w 2025 roku (CERT Polska)[3]
2×
wzrost rok do roku (ze 103 000 w 2024)[3]
29%
firm deklaruje wysoką cyberodporność[9]
66%
firm spodziewa się pogorszenia sytuacji[9]
Checklist: 12 punktów do odhaczenia
Dobra, dość straszenia. Oto konkretna lista. Niezależnie od tego, czy NIS2 dotyczy Twojej firmy bezpośrednio, te 12 punktów to absolutne minimum w 2026 roku:
- 1
Backup 3-2-1
Trzy kopie, dwa nośniki, jedna offsite.
- 2
Testowe odtwarzanie backupu
Minimum raz na kwartał.
- 3
Firewall
Skonfigurowany i aktualizowany.
- 4
MFA na poczcie i VPN
Podwójne logowanie: hasło + kod z telefonu.
- 5
Monitoring infrastruktury
System, który pilnuje, czy serwery i sieć działają, z alertami SMS/mail.
- 6
Centralne zarządzanie kontami
Active Directory z silnymi hasłami (min. 12 znaków).
- 7
Aktualizacje systemów
Windows, serwer, oprogramowanie sprzętowe: regularnie.
- 8
Antywirus/EDR
Zaawansowana ochrona przed zagrożeniami na wszystkich komputerach i serwerze.
- 9
VPN zamiast otwartego pulpitu zdalnego
VPN to szyfrowane połączenie.
- 10
Dokumentacja IT
Schemat sieci, lista urządzeń, hasła w menedżerze.
- 11
Procedura reagowania na incydent
Kto dzwoni, do kogo, co robi.
- 12
Przeszkolenie zespołu
Phishing, hasła, zgłaszanie incydentów.
Z mojej praktyki: trzy historie
Żeby nie było, że tylko straszę paragrafami, oto trzy sytuacje, które sam widziałem. Każda mogła skończyć się inaczej:
Firma handlowa, 40 osób: „u nas się nic nie stanie”
Brak backupu, hasła w Excelu, RDP otwarty na świat. Przyszedł ransomware, zaszyfrował serwer z Optimą. Dane za 5 lat utracone. Odbudowa trwała 3 tygodnie. Gdyby mieli backup 3-2-1 i VPN, przywróciłbym wszystko w 2 godziny.
Producent, 80 osób, dostawca dużej sieci handlowej
Sieć handlowa zaczęła wymagać od dostawców potwierdzenia zabezpieczeń IT. Mój klient nie miał dokumentacji, monitoringu ani polityki haseł. W 3 miesiące wdrożyliśmy AD, MFA, Zabbix, backup i przygotowaliśmy dokumentację. Audyt przeszedł bez zastrzeżeń.
Biuro rachunkowe, 12 osób: „jesteśmy za mali na ataki”
Phishing na księgową: kliknęła link, podała hasło do poczty. Atakujący miał dostęp do maili 200 klientów biura. RODO, panika, zgłoszenie do UODO. Po incydencie wdrożyliśmy MFA, szkolenie antyphishingowe i filtrowanie maili. Koszt wdrożenia: ułamek kosztów incydentu.
Przykłady z mojej praktyki
- Monitoring Zabbix: o awarii dowiadujemy się w 5 minut
- Disaster Recovery u klienta: powrót ERP skrócony z 3 dni do godziny
Sprawdź bezpieczeństwo swojej firmy
Bezpłatny przegląd bezpieczeństwa IT: sprawdzę backup, firewall, dostępy i monitoring. Powiem Ci, co masz, czego nie masz i co zrobić najpierw. Bez zobowiązań, bez sprzedażowego pitcha. Po prostu lista rzeczy do ogarnięcia.
Najczęstsze pytania
Czy NIS2 dotyczy mojej firmy?
NIS2 dotyczy bezpośrednio średnich i dużych firm (powyżej 50 pracowników lub 10 mln EUR obrotu) z 18 sektorów, m.in. energetyka, zdrowie, IT, produkcja, żywność i część transportu (z drogowego tylko zarządcy dróg i inteligentne systemy transportowe, bez firm przewozowych i spedycji). Mniejsze firmy mogą odczuć ją pośrednio: jeśli dostarczasz IT firmie objętej NIS2, klient będzie pytał o Twoje zabezpieczenia.
Jakie kary grożą za niespełnienie NIS2?
Kary za niespełnienie wymagań NIS2 sięgają do 10 mln EUR lub 2% rocznego obrotu dla podmiotów kluczowych i do 7 mln EUR lub 1,4% obrotu dla podmiotów ważnych. W przypadkach powtarzających się naruszeń kara może wynieść nawet 100 mln PLN.
Co muszę wdrożyć pod NIS2?
NIS2 wymaga wdrożenia: zarządzania ryzykiem IT, backupu i disaster recovery, monitoringu infrastruktury, kontroli dostępu (MFA, Active Directory), dokumentacji bezpieczeństwa i procedur reagowania na incydenty oraz szkoleń pracowników. Firmy mają 12 miesięcy od wejścia ustawy na wdrożenie zabezpieczeń.
Od kiedy obowiązuje NIS2 w Polsce?
Nowelizację ustawy o KSC (polska implementacja NIS2) Prezydent podpisał 19 lutego 2026 roku, a w życie wchodzi 3 kwietnia 2026, miesiąc po publikacji w Dzienniku Ustaw. Potem firmy mają 6 miesięcy na samookreślenie (do października 2026), 12 miesięcy na wdrożenie zabezpieczeń (kwiecień 2027) i 24 miesiące na pierwszy audyt (kwiecień 2028).
Źródła
- [1] Ustawa o zmianie ustawy o krajowym systemie cyberbezpieczeństwa (KSC), Dziennik Ustaw 2026
- [2] Dyrektywa NIS2, EUR-Lex (Parlament Europejski i Rada UE)
- [3] CERT Polska, Raport roczny 2025: 240 000+ incydentów
- [4] Trecom: Ustawa o KSC w 2026, jak polskie prawo wdraża NIS2
- [5] Sisoft: NIS2 Polska, przewodnik dla firm
- [6] Ipso Legal: Nowelizacja UKSC 2026 (NIS2), przewodnik
- [7] T-Mobile Biznes: 7 trendów w cyberbezpieczeństwie na 2026 rok
- [8] Forsal: Cyberbezpieczeństwo firmy w 2026, jak chronić się przed cyberatakami
- [9] PAP Samorząd: Raport, zaledwie 29% firm deklaruje wysoką cyberodporność
- [10] Biuro29: Cyfrowe bezpieczeństwo MŚP, nowe zagrożenia w 2026
- NIS2
- cyberbezpieczeństwo
- KSC
- bezpieczeństwo IT
- compliance
Autor
Michał Pietruczyk
Ponad 12 lat w IT, od banku, przez Kancelarię Prezydenta RP, do własnej firmy. Outsourcing IT dla firm, które nie mogą sobie pozwolić na przestoje. Na co dzień zajmuję się obsługą informatyczną firm w Warszawie i okolicach.
Poznaj mnie lepiej
