NIS2 w Polsce 2026: Nowe obowiązki dla firm i kary do 10 mln euro

Źródło: Zachary Delorenzo na Unsplash

Spis treści

• Czym jest dyrektywa NIS2 i dlaczego dotyczy polskich firm
• Które przedsiębiorstwa muszą przestrzegać nowych przepisów
• Konkretne obowiązki wynikające z NIS2
• System kar i sankcji za nieprzestrzeganie przepisów
• Jak przygotować firmę na nowe wymogi
• FAQ

---

Czym jest dyrektywa NIS2 i dlaczego dotyczy polskich firm

Rok 2026 przyniósł polskim przedsiębiorcom nowe wyzwanie w postaci implementacji dyrektywy NIS2 (Network and Information Security). Po podpisaniu ustawy przez prezydenta Nawrockiego, polskie firmy muszą natychmiast dostosować się do nowych wymogów dotyczących cyberbezpieczeństwa.

Dyrektywa NIS2 to unijny przepis, który ma na celu wzmocnienie poziomu cyberbezpieczeństwa w całej Europie. W praktyce oznacza to, że wiele polskich przedsiębiorstw będzie musiało wprowadzić nowe procedury, systemy monitoringu i raportowania incydentów cybernetycznych.

Główny cel dyrektywy

Podstawowym założeniem NIS2 jest ochrona kluczowej infrastruktury cyfrowej przed coraz bardziej wyrafinowanymi cyberatakami. W dobie rosnącego zagrożenia ze strony cyberprzestępców, unia europejska postanowiła ujednolicić standardy bezpieczeństwa we wszystkich krajach członkowskich.

Kluczowe różnice względem poprzedniej wersji

Nowa dyrektywa znacznie rozszerza zakres podmiotów objętych obowiązkami. Podczas gdy pierwotna wersja NIS dotyczyła głównie największych operatorów usług kluczowych, NIS2 obejmuje również średnie przedsiębiorstwa zatrudniające od 50 osób lub osiągające obroty powyżej 10 milionów euro rocznie.

Które przedsiębiorstwa muszą przestrzegać nowych przepisów

Zakres podmiotowy dyrektywy NIS2 jest znacznie szerszy niż mogłoby się wydawać na pierwszy rzut oka. Przepisy dzielą firmy na dwie główne kategorie: podmioty podstawowe i ważne.

Podmioty podstawowe - najwyższe wymogi

Do tej grupy należą firmy działające w najbardziej krytycznych sektorach:

• Energetyka: elektrownie, sieci przesyłowe i dystrybucyjne energii elektrycznej, operatorzy rynku energii
• Transport: linie lotnicze, porty morskie i lotnicze, koleje, transport drogowy towarów niebezpiecznych
• Bankowość: banki, instytucje kredytowe, firmy inwestycyjne
• Infrastruktura rynków finansowych: giełdy, izby rozliczeniowe
• Ochrona zdrowia: szpitale, laboratoria diagnostyczne, apteki
• Woda pitna: dostawcy wody, operatorzy systemów dystrybucji
• Infrastruktura cyfrowa: centra danych, dostawcy usług w chmurze

Podmioty ważne - łagodniejsze przepisy

Druga kategoria obejmuje firmy o średniej wielkości w sektorach:

• Poczta i kurierzy: operatorzy pocztowi, firmy kurierskie
• Gospodarowanie odpadami: przetwarzanie i zagospodarowanie odpadów
• Produkcja: chemikalia, farmaceutyki, maszyny, pojazdy, żywność
• Dostawcy usług cyfrowych: platformy e-commerce, wyszukiwarki internetowe, sieci społecznościowe

Kryteria wielkości przedsiębiorstwa

Aby firma była objęta przepisami NIS2, musi spełniać co najmniej jedno z poniższych kryteriów:

• Zatrudnia 50 lub więcej pracowników (w przeliczeniu na pełne etaty)
• Osiąga roczny obrót przekraczający 10 milionów euro
• Ma sumę bilansową powyżej 10 milionów euro

Konkretne obowiązki wynikające z NIS2

Implementacja dyrektywy NIS2 oznacza dla polskich firm konieczność wprowadzenia szeregu nowych procedur i systemów. Obowiązki można podzielić na kilka głównych kategorii.

Zarządzanie ryzykiem cybernetycznym

Każda firma objęta przepisami musi opracować i wdrożyć kompleksową politykę zarządzania ryzykiem cybernetycznym. Dokumenty te powinny zawierać:

• Analizę zagrożeń: identyfikację potencjalnych wektorów ataków specyficznych dla danej branży
• Ocenę wpływu: określenie skutków ewentualnych incydentów dla funkcjonowania firmy
• Plan działania: konkretne kroki minimalizujące zidentyfikowane ryzyka
• Procedury monitoringu: regularne przeglądy i aktualizacje polityki bezpieczeństwa

Raportowanie incydentów cybernetycznych

Przedsiębiorstwa muszą niezwłocznie informować właściwe organy o wszystkich znaczących incydentach cybernetycznych. Definicja “znaczący incydent” obejmuje sytuacje, które:

• Powodują zakłócenia w świadczeniu usług przez ponad 24 godziny
• Dotykają więcej niż 100 000 użytkowników
• Powodują straty finansowe przekraczające 1 milion euro
• Mogą wpłynąć na bezpieczeństwo narodowe lub porządek publiczny

Raport o incydencie należy złożyć w terminie 24 godzin od jego wykrycia do odpowiedniego CSIRT (Computer Security Incident Response Team).

Środki techniczne i organizacyjne

Dyrektywa wymaga wdrożenia konkretnych rozwiązań technicznych:

• Szyfrowanie danych: wszystkie wrażliwe informacje muszą być odpowiednio zabezpieczone
• Kopie zapasowe: regularne backup danych z możliwością szybkiego odzyskania
• Kontrola dostępu: wielopoziomowy system autoryzacji użytkowników
• Aktualizacje bezpieczeństwa: systematyczne instalowanie łatek i poprawek
• Monitoring: całodobowy nadzór nad systemami IT

System kar i sankcji za nieprzestrzeganie przepisów

Dyrektywa NIS2 przewiduje surowe kary finansowe za nieprzestrzeganie przepisów. Wysokość sankcji zależy od kategorii podmiotu i charakteru naruszenia.

Kary dla podmiotów podstawowych

Firmy zaliczone do kategorii podmiotów podstawowych mogą zostać ukarane grzywną w wysokości:

• Do 10 milionów euro lub 2% rocznego światowego obrotu (wybierana jest wyższa kwota)
• Kary mogą być nakładane zarówno na przedsiębiorstwo, jak i na osoby zarządzające

Kary dla podmiotów ważnych

Średnie firmy z kategorii podmiotów ważnych podlegają łagodniejszym sankcjom:

• Do 7 milionów euro lub 1,4% rocznego światowego obrotu (wybierana jest wyższa kwota)

Dodatkowe sankcje administracyjne

Oprócz kar finansowych, organy nadzorcze mogą zastosować inne środki:

• Nakazy wstrzymania działalności do czasu usunięcia nieprawidłowości
• Czasowe zakazy prowadzenia określonych usług cyfrowych
• Obowiązek przeprowadzenia audytu bezpieczeństwa na koszt firmy
• Publiczne ostrzeżenia mogące wpłynąć na reputację przedsiębiorstwa

Odpowiedzialność osobista zarządu

Jedną z najważniejszych nowości jest wprowadzenie osobistej odpowiedzialności członków zarządu za przestrzeganie przepisów cyberbezpieczeństwa. Menedżerowie mogą ponieść konsekwencje finansowe i karne za zaniedbania w tym obszarze.

Jak przygotować firmę na nowe wymogi

Wdrożenie wymogów dyrektywy NIS2 wymaga systematycznego podejścia i odpowiedniego planowania. Oto praktyczny przewodnik dla polskich przedsiębiorców.

Krok 1: Audyt obecnego stanu bezpieczeństwa

Pierwszym krokiem jest przeprowadzenie kompleksowego audytu obecnych systemów IT i procedur bezpieczeństwa:

• Inwentaryzacja zasobów IT: katalog wszystkich systemów, aplikacji i baz danych
• Identyfikacja luk w zabezpieczeniach: analiza potencjalnych słabości
• Ocena kompetencji zespołu: sprawdzenie wiedzy pracowników o cyberbezpieczeństwie
• Przegląd dokumentacji: weryfikacja aktualności polityk i procedur

Krok 2: Opracowanie planu wdrożenia

Na podstawie wyników audytu należy przygotować szczegółowy harmonogram działań:

• Priorytetyzacja zadań: koncentracja na najbardziej krytycznych obszarach
• Podział budżetu: alokacja środków finansowych na poszczególne działania
• Harmonogram czasowy: realistyczne terminy realizacji kolejnych etapów
• Zespół projektowy: wyznaczenie odpowiedzialnych osób i ich kompetencji

Krok 3: Szkolenia dla pracowników

Ludzie pozostają najsłabszym ogniwem w łańcuchu cyberbezpieczeństwa, dlatego kluczowe są regularne szkolenia:

• Podstawy cyberbezpieczeństwa dla wszystkich pracowników
• Specialized szkolenia dla administratorów IT
• Procedury reagowania na incydenty dla kluczowych pracowników
• Regularne testy phishingowe sprawdzające poziom świadomości

Krok 4: Wdrożenie systemów technicznych

Inwestycja w odpowiednie rozwiązania technologiczne:

• SIEM (Security Information and Event Management): centralized monitoring bezpieczeństwa
• EDR (Endpoint Detection and Response): ochrona stacji roboczych
• Backup i disaster recovery: systemy odzyskiwania danych
• Szyfrowanie: zabezpieczenie wrażliwych informacji

Szacunkowe koszty wdrożenia

Koszty dostosowania do wymogów NIS2 różnią się w zależności od wielkości firmy:

• Małe firmy (50-100 pracowników): 50 000 - 200 000 zł
• Średnie firmy (100-500 pracowników): 200 000 - 800 000 zł
• Duże firmy (powyżej 500 pracowników): 800 000 - 3 000 000 zł

Koszty obejmują zakup licencji, szkolenia, audyty oraz wsparcie zewnętrznych konsultantów.

FAQ

Czy moja firma podlega przepisom NIS2?

Twoja firma podlega NIS2, jeśli działa w jednym z wymienionych w dyrektywie sektorów oraz zatrudnia co najmniej 50 osób lub osiąga roczny obrót powyżej 10 milionów euro. Sprawdź dokładną listę sektorów i skonsultuj się z prawnikiem specjalizującym się w cyberbezpieczeństwie.

Ile czasu mam na dostosowanie się do przepisów?

Przepisy weszły w życie w 2026 roku, więc firmy powinny jak najszybciej rozpocząć proces dostosowania. Organy nadzorcze mogą przeprowadzać kontrole już teraz, dlatego zwlekanie może skutkować wysokimi karami.

Czy małe firmy poniżej 50 pracowników też muszą się dostosować?

Małe firmy poniżej progów określonych w dyrek