Pilne · Nowe przepisy
NIS2 i KSC - diagnoza, wdrożenie, spokojny sen zarządu
Od 3 kwietnia 2026 roku w Polsce obowiązuje nowelizacja ustawy o Krajowym Systemie Cyberbezpieczeństwa, która wdraża unijną dyrektywę NIS2 (Network and Information Systems Directive 2). Obecne przepisy wprowadzają podobne standardy dla wszystkich państw członkowskich UE i zobowiązują podmioty do podjęcia rzeczywistych działań, np. związanych z zarządzaniem ryzykiem czy łańcuchem dostaw. Poszerzają też znacznie krąg podmiotów objętych wymaganiami. Określone podmioty prywatne objęte są obowiązkiem samoidentyfikacji. Rejestracja w Wykazie KSC zakończyła się 3 października 2026 roku. Jeśli prowadzisz firmę produkcyjną, jesteś dostawcą dla większego podmiotu albo zarządzasz infrastrukturą lokalną, sprawdz czy nie przeoczyłeś tego terminu i jak najszybciej uzupełnij rejestrację jeśli Cię to dotyczy.
Termin wdrożenia SZBI
3 kwietnia
2027
Wdrożenie SZBI
jest obowiązkiem ustawowym
Ustawy o krajowym systemie cyberbezpieczeństwa
Kogo dotyczy ustawa
Czy Twoja firma podlega pod KSC 2.0?
Ustawa klasyfikuje podmioty według rozmiaru i sektora działalności oraz nakłada na nie odrębne obowiązki. Dla określonych podmiotów prywatnych samoidentyfikacja jest co do zasady obowiązkowa - nikt nie przyśle Ci pisma z informacją, że podlegasz nowym przepisom. To Ty musisz to sprawdzić, najlepiej zanim sprawdzi to za Ciebie organ nadzoru. Przeoczyłeś termin 3 października 2026 r.? Obowiązek wpisu do Wykazu KSC nie znika - zarejestruj się jak najszybciej. W uproszczeniu ustawa klasyfikuje podmioty w 2 kategoriach wg wskazań poniżej, ale dla ostatecznej kwalifikacji kluczowe znaczenie mają kryteria szczegółowe.
Sektor
kluczowy/ważny
≠
Podmiot
kluczowy/ważny
Załącznik nr 1
np. energia, transport, ochrona zdrowia, woda pitna, infrastruktura cyfrowa, komunikacja elektroniczna
Załącznik nr 2
np. produkcja (chemia, żywność, maszyny, elektronika, pojazdy), gospodarka odpadami, usługi pocztowe
Średnie przedsiębiorstwo
Do 249 pracowników oraz
obrót do 50 mln EUR lub
suma bilansowa do 43 mln EUR
Duże przedsiębiorstwo
250 lub więcej pracowników,
lub jednocześnie obrót powyżej 50 mln EUR
i suma bilansowa powyżej 43 mln EUR
Kryteria wielkości obliczane są zgodnie z rozporządzeniem UE 651/2014 i co do zasady uwzględniają w różnym zakresie dane przedsiębiorstw powiązanych oraz partnerskich. Sama liczba pracowników nie zawsze przesądza o statusie, bo zatrudnienie to nie tylko umowy o pracę - ważne są roczne jednostki pracy. Warto też pamiętać, że wielkość to nie wszystko: mała firma może podlegać ustawie niezależnie od progów, na przykład jako dostawca DNS. Więcej o zasadach liczenia wielkości i wyjątkach od progów napisałam w artykule Czy moja firma podlega pod ustawę o KSC?
Następczy - audyt na polecenie organu, np. po poważnym incydencie lub naruszeniu
Do 7 mln EUR lub 1,4% rocznego przychodu
Prewencyjny i następczy - audyt co najmniej raz na 3 lata, pierwszy w ciągu 24 miesięcy
Do 10 mln EUR lub 2% rocznego przychodu (wyższa z kwot)
Trzy daty, które warto znać
3 października 2026
Termin złożenia wniosku
o wpis do Wykazu KSC (S46)
3 kwietnia 2027
Pełne wdrożenie
obowiązków SZBI
3 kwietnia 2028
Pierwszy obowiązkowy audyt
(podmioty kluczowe)
Wdrożenie SZBI trwa od kilku miesięcy do pół roku - warto zacząć zanim presja terminów da się we znaki. Więcej o samej rejestracji w systemie S46 piszę w artykule jak złożyć wniosek do Wykazu KSC krok po kroku.
Powyższe terminy dotyczą podmiotów, które podlegały ustawie już 3 kwietnia 2026 roku, czyli w dniu wejścia w życie nowelizacji. Jeśli Twoja firma zaczęła podlegać ustawie później, obowiązują ją własne terminy liczone od dnia spełnienia przesłanek: 6 miesięcy na wpis do wykazu, 12 miesięcy na wdrożenie obowiązków i 24 miesiące na pierwszy audyt (dla podmiotu kluczowego).
wynagrodzenia kierownika podmiotu
lub czasowy zakaz pełnienia funkcji zarządczych (podmioty kluczowe)
Warto być gotowym zanim kary zaczną być egzekwowane - a wdrożenie trwa na ogół kilka miesięcy.
Odpowiedzialność zarządu
To nie jest już tylko temat dla działu IT
Nowelizacja KSC wprowadza osobistą odpowiedzialność kierownictwa za wdrożenie środków zarządzania ryzykiem cyberbezpieczeństwa. Zarząd musi zatwierdzić politykę cyberbezpieczeństwa, przejść obowiązkowe szkolenie i wziąć odpowiedzialność za zgodność firmy z ustawą.
Od teraz zarząd ponosi konsekwencje osobiście. Czasy gdy to ryzyko było tylko abstrakcją się skończyły. Ustawa przewiduje konkretną sankcję dla kierownika podmiotu prywatnego, jeśli zaniedba te obowiązki: kara finansowa do 300% wynagrodzenia, obliczanego według zasad stosowanych przy ustalaniu ekwiwalentu za urlop - niezależnie od ewentualnej kary nałożonej na sam podmiot.
Jeśli kierownikiem podmiotu jest zarząd wieloosobowy i nie wskazano konkretnej osoby odpowiedzialnej za te obowiązki, odpowiedzialność ponoszą wszyscy członkowie zarządu (art. 8c ust. 2 ustawy o KSC).
W skrajnych przypadkach, gdy podmiot kluczowy zignoruje wcześniejsze ostrzeżenie i formalny nakaz usunięcia uchybień, organ właściwy do spraw cyberbezpieczeństwa może czasowo zakazać kierownikowi pełnienia funkcji zarządczych w tym podmiocie, do czasu usunięcia naruszeń (art. 53 ust. 9 pkt 6 ustawy o KSC).
Piszę więcej o tym, co to oznacza w praktyce, w artykule o osobistej odpowiedzialności zarządu za NIS2.
Przez ponad jedenaście lat wspierałam poszczególne zarządy w nadzorze nad obszarem bezpieczeństwa i ciągłości działania w dużej spółce sektora energetycznego. Wiem, jakich informacji potrzebuje zarząd, żeby podejmować świadome decyzje, jak je udokumentować i jak weryfikować ich realne wdrożenie w organizacji. Wiem, jak tworzyć procedury, które nie są tylko „na papierze", tylko realnie funkcjonują w organizacji, bo są zrozumiałe dla pracowników.
Cennik i pakiety
Transparentny cennik dla NIS2
wiesz, czego możesz się spodziewać
Trudno znaleźć na rynku jasną odpowiedź na pytanie, ile kosztuje NIS2. Większość ofert o tym nie mówi - pozostawia Cię w niepewności i trudno Ci określić, czy Twój budżet to „udźwignie". U mnie wiesz to od razu. Cena za konkretny rezultat jest ustalona z góry - bez niespodzianek na końcu projektu. Każdy pakiet możesz kupić osobno albo zacząć od Rozpoznania i dokupować kolejne kroki, kiedy będziesz gotowy, choć nabycie kilku pakietów razem wiąże się z pewnymi korzyściami (patrz niżej). Pracuję z ograniczoną liczbą klientów jednocześnie, żeby każdej sprawie poświęcić realną uwagę. Jeśli nie mam akurat wolnego miejsca, zaproponuję Ci najbliższy możliwy termin. Ceny dotyczą podmiotów do 250 osób - wynikają wprost z zakresu pakietu. Powyżej 250 osób projekty są zwykle bardziej złożone, dlatego tam wyceniam indywidualnie.
Przeanalizuj zawartość pakietów NIS2 wraz z ich konkretną wyceną i sprawdź, który najbardziej odpowiada Twoim potrzebom.
Nie czekaj - sprawdź Zasady współpracy i ruszamy.
Pakiet
Rozpoznanie
Nie masz pewności, czy w ogóle podlegasz ustawie? Pomogę Ci. Sprawdzam status Twojej firmy - analizuję pod kątem przesłanek dla podmiotu kluczowego/ważnego i biorę odpowiedzialność za rzetelność tej analizy - to bezpieczniejsza opcja niż bazowanie na wyniku ankiety online. Jeśli podlegasz NIS2 - wspieram Cię w złożeniu wniosku w systemie S46. Jeśli nie - przekazuję pisemną analizę, żeby pozostały udokumentowane wnioski na wypadek kontroli.
Pakiet
Diagnoza
Wykonuję audyt wstępny zgodności z NIS2 na podstawie dostarczonej dokumentacji i wywiadów z pracownikami. Sprawdzam, na ile Twoja firma jest zgodna formalnie, a jakich elementów brakuje, bazując na dowodach potwierdzających wdrożenie odpowiednich zabezpieczeń. Nie przeprowadzam testów penetracyjnych (bo to nie mój zakres odpowiedzialności), ale potrafię wskazać, jakie dokumenty operacyjne są wymagane (od polityki dostępu i 2FA, przez segmentację sieci, po log z testów backupu) żeby udowodnić, że dbasz o cyberbezpieczeństwo. To bardzo pomocne dla Twojego zespołu IT: mają jasność, co i jak dokumentować. Sporządzam też raport z analizą formalno-prawną luk w zabezpieczeniach. To nasz punkt wyjścia do ewentualnego kolejnego kroku albo jasna podpowiedź dla Ciebie, gdzie masz „białe plamy" i gdzie powinno się wzmocnić zabezpieczenia.
Odliczam 3000 zł od ceny Spadochronu jeśli zdecydujesz się na wdrożenie w ciagu 30 dni - sprawdź szczegóły w Zasadach współpracy.
Pakiet
Spadochron
Na podstawie wyników Diagnozy opracowujemy na bazie istniejących nieformalnych praktyk brakujące mechanizmy bezpieczeństwa. Opracowujemy konkretne procedury i instrukcje, które m.in. określają uprawnienia i obowiązki, przypisują role i odpowiedzialności czy częstotliwości działań itp. Baza obejmuje ogólne ramy formalno-prawne, jak polityka bezpieczeństwa informacji czy polityka bezpieczeństwa osobowego, oraz wsparcie konsultacyjne w inwentaryzacji aktywów. Do wartości bazowej doliczamy tylko te moduły, których braki faktycznie wykazała Diagnoza - najczęściej są to, np.:
- Zarządzanie Uprawnieniami+5 000 zł
- Ciągłość Backupów+6 000 zł
- Szacowanie Ryzyka+7 000 zł
- Współpraca z Kontrahentami+5 000 zł
Potrzebujesz dodatkowego modułu spoza tej listy (np. Audytu wewnętrznego, Kontroli dostępu, Zarządzania podatnościami czy Zarządzania incydentami)? Każdy dodatkowy moduł wyceniam ryczałtowo na 5 500 zł.
Dokładny zakres i ostateczną cenę ustalamy wspólnie po Diagnozie - dzięki temu wiesz z góry, ile konkretnie zapłacisz.
Pakiet
Gotowość Bojowa
Weryfikacja, czy plan na wypadek kryzysu jest dobry, tzn. wykonalny, jasny, spójny i zadziała w praktyce, gdy będzie potrzebny. Konkretny scenariusz kryzysowy - np. cyberatak, utrata dostawcy, awaria OT - rozegrany z zespołem w czasie rzeczywistym, z mapowaniem zgłoszeń do CSIRT w rygorze 24h i 72h. Po symulacji dostajesz pisemne wnioski: co zadziałało, co wymaga korekty. Dzięki temu nie jesteś uzależniony i ograniczany czasowo przez podmiot zewnętrzny - potrafisz samodzielnie zareagować, bazując na wypracowanych schematach postępowania.
Pakiet
Tarcza dla Zarządu
Warsztat dla kadry kierowniczej z omówieniem zakresu osobistej odpowiedzialności, praktycznych obowiązków, sposobów dokumentowania decyzji zarządczych w obszarze cyberbezpieczeństwa. W ramach warsztatu - Próba Ogniowa: 15-minutowa żywa symulacja kryzysowa z reakcjami w czasie rzeczywistym. Na zakończenie - imienne zaświadczenia szkoleniowe oraz wsparcie w przygotowaniu wymaganych uchwał (np. dot. podziału odpowiedzialności czy analizy ryzyka).
Pakiet
Rentgen
Weryfikacja, czy Twój dostawca IT faktycznie robi to, co deklaruje. Wymagamy dowodów - raportów, logów, dokumentów - na testowanie backupów, zarządzanie dostępem i procedury reagowania na incydenty itp. Dostajesz pisemną ocenę z listą luk między stanem deklarowanym a faktycznym.
Abonament
Opieka Compliance
Stała opieka powdrożeniowa - dla firm, które chcą mieć kogoś czuwającego nad zgodnością na bieżąco i wcześniej nabyły pakiet Diagnoza + Spadochron lub Kompleksowe NIS2.
- monitoring zmian prawnych i wsparcie w aktualizacji dokumentacji
- konsultacje dla zarządu i działu IT (do 6 godzin miesięcznie)
- możliwość priorytetowego kontaktu przy incydencie celem wstępnej oceny prawnej zdarzenia i ewentualnego obowiązku zgłoszenia do CSIRT
- Pakiet Gotowość Bojowa raz w roku bez dopłaty (przy umowie minimum 12 miesięcy)
- maks. 5 firm równolegle
Pełne zasady abonamentu - w Zasadach współpracy.
Pakiet
Ogniwo
Dostałeś aneks od kluczowego klienta z klauzulą NIS2? Sprawdzam, co dokładnie wynika z Twojej umowy, jaki minimalny zestaw dokumentów spełni wymogi kontraktowe i co grozi przy braku zgodności. Węższy zakres niż pełna Diagnoza - inna sytuacja, inne potrzeby. Piszę o tej sytuacji szerzej w artykule co zrobić z aneksem NIS2 od klienta. Podpowiadam też, w jaki sposób taki aneks sformułować, jeśli chcesz zabezpieczyć swój łańcuch dostaw.
Kompleksowe NIS2
Dodatkowe moduły Spadochronu ponad standardowe 4 - w ryczałcie 5 500 zł/moduł.
Zasady współpracy i szczegółynetto · do 250 osób
oszczędzasz 6 000 zł
Łańcuch dostaw
Mniejsza firma, ale dostawca podmiotu kluczowego lub ważnego?
Ustawa NIS2 obejmuje przede wszystkim średnie i duże przedsiębiorstwa działające w sektorach wskazanych w ustawie - ale wielkość to nie jedyne kryterium. Jeśli Twoja firma nie podlega ustawie bezpośrednio, to nie znaczy, że Cię nie dotyczy.
Nawet jeśli Twoja firma sama nie podlega ustawie, możesz być częścią łańcucha dostaw podmiotu regulowanego. Twój duży klient - np. spółka z sektora energetycznego, farmaceutycznego, duży producent albo operator telekomunikacyjny - ma obowiązek weryfikować bezpieczeństwo swoich dostawców. W praktyce oznacza to klauzule NIS2 w umowach i aneksach, które trafiają coraz częściej do dostawców maszyn, integratorów automatyki i firm obsługujących systemy MES, ERP czy SCADA.
Dostałeś taki aneks? Nie wiesz, co z nim zrobić? Opisałam dokładnie, na co zwrócić uwagę, zanim złożysz podpis, w artykule o aneksie z klauzulą NIS2. Masz też dla siebie Pakiet Ogniwo - sprawdzam, co dokładnie wynika z Twojej umowy, jaki minimalny zestaw dokumentów spełni wymogi kontraktowe i co grozi przy braku zgodności.
Granice odpowiedzialności
Gdzie kończy się moja rola
Odpowiadam za warstwę prawną i dokumentacyjną: ocenę statusu firmy, procedury, polityki, szkolenia i przygotowanie zarządu do podejmowania decyzji - wskazuję kierunek i sposób dokumentowania wdrożonych zabezpieczeń. Procedury nie zastąpią realnych działań, ale pomogą je systematyzować.
Procedury dot. tworzenia backupów, zarządzania dostępami czy reagowania na incydenty - to formalne przypisanie odpowiedzialności, zakresu obowiązków i uprawnień. Kto ma obowiązek, co robi, jak często, kto weryfikuje, co się dzieje, gdy coś pójdzie nie tak. To jest warstwa prawna i organizacyjna - ale realizacja działań nie należy do mnie.
Za konfigurację systemów, wdrożenie narzędzi technicznych i zakup sprzętu odpowiada Twój dział IT lub dostawca usług. Procedura mówi, co trzeba robić, ale to narzędzia i ludzie wykonują konkretną pracę, która poprawia bezpieczeństwo. Obie rzeczy są potrzebne - ale to są dwie różne usługi - moja nie obejmuje stricte obszaru IT.
Chcę też jasno zaznaczyć: obowiązek zgłoszenia incydentu do CSIRT spoczywa na Twojej firmie, a nie na Twoim prawniku. Moja rola to przygotowanie Cię tak, żebyś wiedział, co robić, zanim zdążysz się ze mną skontaktować. Teczka Incydentowa i Pakiet Gotowość Bojowa dają Ci konkretne narzędzia do samodzielnego działania.
Ta granica działa też na Twoją korzyść: dzięki jasno określonemu zakresowi mojej usługi wiesz dokładnie, za co odpowiadam ja, a co musisz zabezpieczyć we własnym zakresie lub zlecić zewnętrznemu dostawcy IT - nic nie zostaje przez przypadek poza przypisanym zakresem odpowiedzialności.
Sprawdźmy, na czym stoisz
Napisz do mnie i opisz krótko swoją sytuację: czym zajmuje się firma, ile osób zatrudnia, czy jesteś dostawcą dla większych podmiotów. Odpowiem, czy i w jakim zakresie KSC może Cię dotyczyć i od którego pakietu warto zacząć.
Napisz do mnie Zobacz pakiety