Dyrektywa NIS 2 rozszerza unijne ramy prawne w celu uszczelnienia systemów ochrony przed zagrożeniami cyfrowymi. Nowe przepisy zastępują i uchylają dotychczasową dyrektywę NIS, wprowadzając rygorystyczne standardy bezpieczeństwa dla szerokiego spektrum podmiotów.
- Dyrektywa NIS 2 zastępuje NIS 1, wprowadzając surowsze standardy bezpieczeństwa, nowe kategorie podmiotów oraz rygorystyczne terminy raportowania incydentów.
- Podmioty kluczowe to firmy zatrudniające co najmniej 250 pracowników lub osiągające
obrót 50 mln EUR i wyższy, natomiast podmioty ważne to te z 50 pracownikami lub
obrotem od 10 mln EUR.- W przypadku poważnego incydentu należy wysłać wczesne ostrzeżenie w ciągu 24 godzin,
a pełne zgłoszenie w ciągu 72 godzin.- Kary finansowe dla podmiotów kluczowych mogą wynieść do 10 mln EUR lub 2% światowego
obrotu, a dla podmiotów ważnych do 7 mln EUR lub 1,4% obrotu.- Nowelizacja ustawy o Krajowym Systemie Cyberbezpieczeństwa zaczęła obowiązywać w
Polsce 3 kwietnia 2026 roku.- Członkowie zarządu mogą ponosić osobistą odpowiedzialność finansową za zaniedbania,
sięgającą do 300% ich wynagrodzenia.
Czym różnią się dyrektywy NIS i NIS 2?
Dyrektywa NIS 2 zastępuje i rozszerza dotychczasowe ramy prawne NIS 1, aby lepiej odpowiadać na współczesne zagrożenia cyfrowe. Nowe przepisy mają na celu osiągnięcie wysokiego wspólnego poziomu cyberbezpieczeństwa w całej Unii oraz dostosowanie standardów bezpieczeństwa informatycznego do zmieniającego się krajobrazu zagrożeń.
Dyrektywa NIS 2 (2022/2555) nowelizuje przepisy unijne regulowane poprzednio przez dyrektywę 2016/1148. W praktyce oznacza to, że NIS 2 zastępuje i uchyla NIS 1.
W procesie wdrażania nowych standardów kluczowe są daty graniczne:
- Dyrektywa NIS 1 została przyjęta 6 lipca 2016 r. przez Parlament Europejski.
- Dyrektywa NIS 2 weszła w życie 16 stycznia 2023 r.
- Dyrektywa NIS 2 uchyliła NIS 1 z dniem 18 października 2024 r.
Obecnie dyrektywa NIS 1 ma status nieaktualny. Nowe ramy prawne, poprzez zmianę rozporządzenia (UE) nr 910/2014 oraz dyrektywy (UE) 2018/1972, stanowią fundament dla współczesnych wymogów w obszarze cyberbezpieczeństwa, dążąc do wzmocnienia cyberodporności i zapewnienia wysokiego poziomu odpowiedzialności za środki zarządzania ryzykiem.
Jakie są kluczowe różnice między NIS a NIS 2?
Przejście z NIS na NIS 2 oznacza znaczące zaostrzenie wymogów w zakresie podmiotów, obowiązków i sankcji. Nowe przepisy wprowadzają istotne zmiany w strukturze odpowiedzialności oraz rygorystyczne ramy czasowe raportowania incydentów.
Dyrektywa NIS 2 wprowadza podział na podmioty kluczowe oraz podmioty istotne. Takie rozróżnicowanie wpływa bezpośrednio na poziom rygoru, jakiemu podlegają poszczególne organizacje. W przypadku wystąpienia poważnego incydentu nowe przepisy nakładają na firmy konkretne obowiązki czasowe. Wymagane jest przesłanie wczesnego ostrzeżenia w ciągu 24 godzin od powzięcia wiedzy o zdarzeniu. Następnie w ciągu 72 godzin od powzięcia wiedzy o poważnym incydencie musi nastąpić pełne zgłoszenie.
Za nieprzestrzeganie przepisów grożą wysokie administracyjne kary pieniężne. Dla podmiotów kluczowych sankcje wynoszą do 10 mln EUR lub 2% całkowitego rocznego światowego obrotu. Z kolei dla podmiotów ważnych kary sięgają do 7 mln EUR lub 1,4% całkowitego rocznego światowego obrotu.
| Cecha | NIS 1 | NIS 2 |
|---|---|---|
| Zakres | Dotychczasowe ramy prawne | Rozszerzone ramy prawne |
| Podmioty | Brak podziału na kategorie | Podmioty kluczowe oraz podmioty istotne |
| Obowiązki | Dotychczasowe wymogi | Wczesne ostrzeżenie (do 24 h) oraz zgłoszenie incydentu (do 72 h) |
| Kary | Brak szczegółowych danych w zestawieniu | Do 10 mln EUR lub 2% obrotu (podmioty kluczowe) oraz do 7 mln EUR lub 1,4% obrotu (podmioty ważne) |
| Terminy | Brak danych w zestawieniu | 24 h na wczesne ostrzeżenie; 72 h na zgłoszenie incydentu |
Kogo obejmuje nowa regulacja i jakie sektory są kluczowe?
Klasyfikacja na podmioty kluczowe oraz ważne determinuje sposób nadzoru nad organizacjami, a o ich statusie decydują progi wielkości przedsiębiorstwa. Dyrektywa NIS 2 stosuje kryteria zatrudnienia oraz obrotu, aby wyodrębnić dwie kategorie podmiotów:
- Podmioty kluczowe (essential entities) – obejmują firmy zatrudniające 250 lub więcej pracowników lub osiągające obrót na poziomie 50 mln EUR i wyższym. Podmioty te podlegają stałemu, aktywnemu nadzorowi.
- Podmioty ważne (important entities) – obejmują firmy zatrudniające 50 lub więcej pracowników lub osiągające obrót na poziomie 10 mln EUR i wyższym. W ich przypadku nadzór ma charakter następczy.
Zakres regulacji obejmuje 18 sektorów gospodarki, co stanowi rozszerzenie względem poprzedniej dyrektywy NIS, która wymieniała 7 sektorów. Do kluczowych obszarów należą:
- administracja publiczna (z wyłączeniem bezpieczeństwa narodowego, publicznego, obronności oraz egzekwowania prawa),
- energetyka,
- transport,
- bankowość i infrastruktura rynków finansowych,
- zdrowie,
- woda pitna i ścieki,
- infrastruktura cyfrowa,
- przestrzeń kosmiczna,
- sektor żywności (produkcja i dystrybucja),
- zarządzanie odpadami,
- usługi pocztowe i kurierskie,
- produkcja chemikaliów,
- usługi cyfrowe,
- przemysł.
Jakie są obowiązki operacyjne i zasady raportowania incydentów?
- Wczesne ostrzeżenie: Podmiot musi przesłać wczesne ostrzeżenie w ciągu 24 godzin od powzięcia wiedzy o poważnym incydencie. Zgłoszenie to należy przekazać bez zbędnej zwłoki.
- Zgłoszenie incydentu: Pełne zgłoszenie w formie szczegółowego raportu wymaga przesłania w ciągu 72 godzin od wykrycia incydentu. Termin ten zapewnia właściwy poziom odniesienia dla obowiązków raportowania.
- Raport końcowy: W ciągu 1 miesiąca od zamknięcia incydentu należy przedłożyć raport końcowy.
Podmioty kluczowe muszą przeprowadzać audyt bezpieczeństwa systemu informacyjnego co najmniej raz na 3 lata. Dyrektywa 2022/2555 określa poziom odniesienia dla środków zarządzania ryzykiem w cyberbezpieczeństwie oraz dla wspomnianych obowiązków dotyczących zgłaszania incydentów.
Należy dostosować procedury wewnętrzne tak, aby umożliwić raportowanie incydentów w ciągu 24 i 72 godzin.
Jak wygląda implementacja dyrektywy w Polsce?
Wdrażanie unijnych wymogów do polskiego porządku prawnego odbyło się poprzez następujące etapy legislacyjne: Termin transpozycji dyrektywy NIS 2 do prawa krajowego upłynął 17 października 2024 r.
Prace nad krajowymi przepisami przebiegały według następującego harmonogramu:
- 21 października 2025 r. – polski rząd przyjął projekt nowelizacji ustawy o Krajowym Systemie Cyberbezpieczeństwa.
- 13 stycznia 2026 r. – nowelizacja ustawy o KSC została uchwalona.
- 2 marca 2026 r. – nowelizacja została opublikowana w Dzienniku Ustaw.
- 3 kwietnia 2026 r. – nowe przepisy zaczęły obowiązywać.
Regulator wskazuje, że nowelizacja ustawy o KSC weszła w życie 3 kwietnia 2026 r. Choć inne źródła podawały termin z pierwszej połowy 2026 r., oficjalne rejestry potwierdzają początek kwietnia. Kolejnym krokiem było uruchomienie 7 maja 2026 r. możliwości wpisu do Wykazu KSC w ramach procedury samorejestracji.
Należy monitorować proces legislacyjny i przygotować się na wejście w życie nowych przepisów KSC w kwietniu 2026 r.
Konsekwencje finansowe i odpowiedzialność
Niedopełnienie obowiązków wynikających z dyrektywy NIS 2 wiąże się z dotkliwymi sankcjami finansowymi oraz osobistą odpowiedzialnością osób zarządzających.
Administracyjne kary pieniężne zależą od kategorii podmiotu, do której należy przedsiębiorstwo. W przypadku podmiotów kluczowych wysokość kary może sięgać 10 mln EUR lub 2% całkowitego rocznego światowego obrotu firmy. Dla podmiotów ważnych sankcje te wynoszą do 7 mln EUR lub 1,4% całkowitego rocznego światowego obrotu przedsiębiorstwa.
Regulacja wprowadza mechanizmy uderzające bezpośrednio w kadrę zarządzającą. Dyrektywa NIS 2 nakłada na najwyższe kierownictwo odpowiedzialność za nieprzestrzeganie środków zarządzania ryzykiem w cyberprzestrzeni. Członkowie zarządu mogą ponosić osobistą odpowiedzialność za zaniedbania w obszarze cyberbezpieczeństwa. Kary pieniężne dla kierownictwa mogą sięgać maksymalnie 300% uzyskanego przez nie wynagrodzenia.
Zarządy firm powinny uwzględnić ryzyko osobistej odpowiedzialności w planach zarządzania ryzykiem.
Źródła
- eur-lex.europa.eu/eli/dir/2022/2555/oj – tekst aktu w oficjalnym rejestrze.
- Dyrektywa – 2022/2555 – PL – EUR-Lex – European Union – tekst aktu w oficjalnym rejestrze.
- eur-lex.europa.eu/eli/dir/2016/1148/oj – tekst aktu w oficjalnym rejestrze.
- Dyrektywa 2022/2555 w sprawie środków na rzecz … – tekst aktu w oficjalnym rejestrze.
- Dyrektywa NIS 2: zabezpieczenie sieci i systemów … – materiał regulatora.
- Informacje bieżące – Ministerstwo Infrastruktury – Portal Gov.pl – materiał regulatora.
- NIS2 w Polsce – nowe obowiązki firm w ustawie o KSC – materiał regulatora.
- gov.pl/web/cyfryzacja/nowelizacja-ustawy-o-krajowym-systemie-cyberbezpieczenstwa-ksc—kogo-obejmuje – materiał regulatora.
