--- title: "Dyrektywa NIS 2 - Przewodnik po nowych wymogach" description: "Dyrektywa NIS 2 rozszerza unijne ramy prawne w celu uszczelnienia systemów ochrony przed zagrożeniami cyfrowymi. Nowe przepisy zastępują i uchylają dotychczasową dyrektywę NIS, wprowadzając rygorystyczne standardy bezpieczeństwa dla szerokiego spektrum podmiotów. Dyrektywa NIS 2 zastępuje NIS 1, wprowadzając surowsze standardy bezpieczeństwa, nowe kategorie podmiotów oraz rygorystyczne terminy raportowania incydentów. Podmioty kluczowe to firmy zatrudniające co" date: 2026-09-03 author: "Piotr Broniewski" url: "https://webporadnik.pl/dyrektywa-nis-2-przewodnik-po-nowych-wymogach/" categories: - "Bezpieczeństwo cyfrowe" - "Firma i biznes" --- Dyrektywa NIS 2 rozszerza unijne ramy prawne w celu uszczelnienia systemów ochrony przed zagrożeniami cyfrowymi. Nowe przepisy zastępują i uchylają dotychczasową dyrektywę NIS, wprowadzając rygorystyczne standardy bezpieczeństwa dla szerokiego spektrum podmiotów. > - Dyrektywa NIS 2 zastępuje NIS 1, wprowadzając surowsze standardy bezpieczeństwa, nowe kategorie podmiotów oraz rygorystyczne terminy raportowania incydentów. > - Podmioty kluczowe to firmy zatrudniające co najmniej 250 pracowników lub osiągające > obrót 50 mln EUR i wyższy, natomiast podmioty ważne to te z 50 pracownikami lub > obrotem od 10 mln EUR. > - W przypadku poważnego incydentu należy wysłać wczesne ostrzeżenie w ciągu 24 godzin, > a pełne zgłoszenie w ciągu 72 godzin. > - Kary finansowe dla podmiotów kluczowych mogą wynieść do 10 mln EUR lub 2% światowego > obrotu, a dla podmiotów ważnych do 7 mln EUR lub 1,4% obrotu. > - Nowelizacja ustawy o Krajowym Systemie Cyberbezpieczeństwa zaczęła obowiązywać w > Polsce 3 kwietnia 2026 roku. > - Członkowie zarządu mogą ponosić osobistą odpowiedzialność finansową za zaniedbania, > sięgającą do 300% ich wynagrodzenia. Zawartość strony - [Czym różnią się dyrektywy NIS i NIS 2?](#czym-roznia-sie-dyrektywy-nis-i-nis-2) - [Jakie są kluczowe różnice między NIS a NIS 2?](#jakie-sa-kluczowe-roznice-miedzy-nis-a-nis-2) - [Kogo obejmuje nowa regulacja i jakie sektory są kluczowe?](#kogo-obejmuje-nowa-regulacja-i-jakie-sektory-sa-kluczowe) - [Jakie są obowiązki operacyjne i zasady raportowania incydentów?](#jakie-sa-obowiazki-operacyjne-i-zasady-raportowania-incydentow) - [Jak wygląda implementacja dyrektywy w Polsce?](#jak-wyglada-implementacja-dyrektywy-w-polsce) - [Konsekwencje finansowe i odpowiedzialność](#konsekwencje-finansowe-i-odpowiedzialnosc) - [Źródła](#zrodla) Czym różnią się dyrektywy NIS i NIS 2? -------------------------------------- Dyrektywa NIS 2 zastępuje i rozszerza dotychczasowe ramy prawne NIS 1, aby lepiej odpowiadać na współczesne zagrożenia cyfrowe. Nowe przepisy mają na celu osiągnięcie wysokiego wspólnego poziomu cyberbezpieczeństwa w całej Unii oraz dostosowanie standardów bezpieczeństwa informatycznego do zmieniającego się krajobrazu zagrożeń. Dyrektywa NIS 2 (2022/2555) nowelizuje przepisy unijne regulowane poprzednio przez dyrektywę 2016/1148. W praktyce oznacza to, że NIS 2 zastępuje i uchyla NIS 1. W procesie wdrażania nowych standardów kluczowe są daty graniczne: - Dyrektywa NIS 1 została przyjęta 6 lipca 2016 r. przez Parlament Europejski. - Dyrektywa NIS 2 weszła w życie 16 stycznia 2023 r. - Dyrektywa NIS 2 uchyliła NIS 1 z dniem 18 października 2024 r. [ZOBACZ TEŻ: Certyfikat SSL. Przed czym chroni SSL?](https://webporadnik.pl/certyfikat-ssl-przed-czym-chroni-ssl/) Obecnie dyrektywa NIS 1 ma status nieaktualny. Nowe ramy prawne, poprzez zmianę rozporządzenia (UE) nr 910/2014 oraz dyrektywy (UE) 2018/1972, stanowią fundament dla współczesnych wymogów w obszarze cyberbezpieczeństwa, dążąc do wzmocnienia cyberodporności i zapewnienia wysokiego poziomu odpowiedzialności za środki zarządzania ryzykiem. Jakie są kluczowe różnice między NIS a NIS 2? --------------------------------------------- Przejście z NIS na NIS 2 oznacza znaczące zaostrzenie wymogów w zakresie podmiotów, obowiązków i sankcji. Nowe przepisy wprowadzają istotne zmiany w strukturze odpowiedzialności oraz rygorystyczne ramy czasowe raportowania incydentów. Dyrektywa NIS 2 wprowadza podział na podmioty kluczowe oraz podmioty istotne. Takie rozróżnicowanie wpływa bezpośrednio na poziom rygoru, jakiemu podlegają poszczególne organizacje. W przypadku wystąpienia poważnego incydentu nowe przepisy nakładają na firmy konkretne obowiązki czasowe. Wymagane jest przesłanie wczesnego ostrzeżenia w ciągu 24 godzin od powzięcia wiedzy o zdarzeniu. Następnie w ciągu 72 godzin od powzięcia wiedzy o poważnym incydencie musi nastąpić pełne zgłoszenie. Za nieprzestrzeganie przepisów grożą wysokie administracyjne kary pieniężne. Dla podmiotów kluczowych sankcje wynoszą do 10 mln EUR lub 2% całkowitego rocznego światowego obrotu. Z kolei dla podmiotów ważnych kary sięgają do 7 mln EUR lub 1,4% całkowitego rocznego światowego obrotu. CechaNIS 1NIS 2ZakresDotychczasowe ramy prawneRozszerzone ramy prawnePodmiotyBrak podziału na kategoriePodmioty kluczowe oraz podmioty istotneObowiązkiDotychczasowe wymogiWczesne ostrzeżenie (do 24 h) oraz zgłoszenie incydentu (do 72 h)KaryBrak szczegółowych danych w zestawieniuDo 10 mln EUR lub 2% obrotu (podmioty kluczowe) oraz do 7 mln EUR lub 1,4% obrotu (podmioty ważne)TerminyBrak danych w zestawieniu24 h na wczesne ostrzeżenie; 72 h na zgłoszenie incydentuKogo obejmuje nowa regulacja i jakie sektory są kluczowe? --------------------------------------------------------- Klasyfikacja na podmioty kluczowe oraz ważne determinuje sposób nadzoru nad organizacjami, a o ich statusie decydują progi wielkości przedsiębiorstwa. Dyrektywa NIS 2 stosuje kryteria zatrudnienia oraz obrotu, aby wyodrębnić dwie kategorie podmiotów: - **Podmioty kluczowe** (essential entities) – obejmują firmy zatrudniające 250 lub więcej pracowników lub osiągające obrót na poziomie 50 mln EUR i wyższym. Podmioty te podlegają stałemu, aktywnemu nadzorowi. - **Podmioty ważne** (important entities) – obejmują firmy zatrudniające 50 lub więcej pracowników lub osiągające obrót na poziomie 10 mln EUR i wyższym. W ich przypadku nadzór ma charakter następczy. [ZOBACZ TEŻ: Atak SSL Stripping. Co to jest, na czym polega, jak się bronić i zabezpieczyć?](https://webporadnik.pl/atak-ssl-stripping-co-to-jest-na-czym-polega-jak-sie-bronic-i-zabezpieczyc/) Zakres regulacji obejmuje 18 sektorów gospodarki, co stanowi rozszerzenie względem poprzedniej dyrektywy NIS, która wymieniała 7 sektorów. Do kluczowych obszarów należą: - administracja publiczna (z wyłączeniem bezpieczeństwa narodowego, publicznego, obronności oraz egzekwowania prawa), - energetyka, - transport, - bankowość i infrastruktura rynków finansowych, - zdrowie, - woda pitna i ścieki, - infrastruktura cyfrowa, - przestrzeń kosmiczna, - sektor żywności (produkcja i dystrybucja), - zarządzanie odpadami, - usługi pocztowe i kurierskie, - produkcja chemikaliów, - usługi cyfrowe, - przemysł. Jakie są obowiązki operacyjne i zasady raportowania incydentów? --------------------------------------------------------------- 1. Wczesne ostrzeżenie: Podmiot musi przesłać wczesne ostrzeżenie w ciągu 24 godzin od powzięcia wiedzy o poważnym incydencie. Zgłoszenie to należy przekazać bez zbędnej zwłoki. 2. Zgłoszenie incydentu: Pełne zgłoszenie w formie szczegółowego raportu wymaga przesłania w ciągu 72 godzin od wykrycia incydentu. Termin ten zapewnia właściwy poziom odniesienia dla obowiązków raportowania. 3. Raport końcowy: W ciągu 1 miesiąca od zamknięcia incydentu należy przedłożyć raport końcowy. Podmioty kluczowe muszą przeprowadzać audyt bezpieczeństwa systemu informacyjnego co najmniej raz na 3 lata. Dyrektywa 2022/2555 określa poziom odniesienia dla środków zarządzania ryzykiem w cyberbezpieczeństwie oraz dla wspomnianych obowiązków dotyczących zgłaszania incydentów. Należy dostosować procedury wewnętrzne tak, aby umożliwić raportowanie incydentów w ciągu 24 i 72 godzin. Jak wygląda implementacja dyrektywy w Polsce? --------------------------------------------- Wdrażanie unijnych wymogów do polskiego porządku prawnego odbyło się poprzez następujące etapy legislacyjne: Termin transpozycji dyrektywy NIS 2 do prawa krajowego upłynął 17 października 2024 r. Prace nad krajowymi przepisami przebiegały według następującego harmonogramu: - 21 października 2025 r. – polski rząd przyjął projekt nowelizacji ustawy o Krajowym Systemie Cyberbezpieczeństwa. - 13 stycznia 2026 r. – nowelizacja ustawy o KSC została uchwalona. - 2 marca 2026 r. – nowelizacja została opublikowana w Dzienniku Ustaw. - 3 kwietnia 2026 r. – nowe przepisy zaczęły obowiązywać. Regulator wskazuje, że nowelizacja ustawy o KSC weszła w życie 3 kwietnia 2026 r. Choć inne źródła podawały termin z pierwszej połowy 2026 r., oficjalne rejestry potwierdzają początek kwietnia. Kolejnym krokiem było uruchomienie 7 maja 2026 r. możliwości wpisu do Wykazu KSC w ramach procedury samorejestracji. [ZOBACZ TEŻ: CryptoLocker Ransomware](https://webporadnik.pl/cryptolocker-ransomware/) Należy monitorować proces legislacyjny i przygotować się na wejście w życie nowych przepisów KSC w kwietniu 2026 r. Konsekwencje finansowe i odpowiedzialność ----------------------------------------- Niedopełnienie obowiązków wynikających z dyrektywy NIS 2 wiąże się z dotkliwymi sankcjami finansowymi oraz osobistą odpowiedzialnością osób zarządzających. Administracyjne kary pieniężne zależą od kategorii podmiotu, do której należy przedsiębiorstwo. W przypadku podmiotów kluczowych wysokość kary może sięgać 10 mln EUR lub 2% całkowitego rocznego światowego obrotu firmy. Dla podmiotów ważnych sankcje te wynoszą do 7 mln EUR lub 1,4% całkowitego rocznego światowego obrotu przedsiębiorstwa. Regulacja wprowadza mechanizmy uderzające bezpośrednio w kadrę zarządzającą. Dyrektywa NIS 2 nakłada na najwyższe kierownictwo odpowiedzialność za nieprzestrzeganie środków zarządzania ryzykiem w cyberprzestrzeni. Członkowie zarządu mogą ponosić osobistą odpowiedzialność za zaniedbania w obszarze cyberbezpieczeństwa. Kary pieniężne dla kierownictwa mogą sięgać maksymalnie 300% uzyskanego przez nie wynagrodzenia. Zarządy firm powinny uwzględnić ryzyko osobistej odpowiedzialności w planach zarządzania ryzykiem. Źródła ------ - [eur-lex.europa.eu/eli/dir/2022/2555/oj](https://eur-lex.europa.eu/eli/dir/2022/2555/oj) – tekst aktu w oficjalnym rejestrze. - [Dyrektywa – 2022/2555 – PL – EUR-Lex – European Union](https://eur-lex.europa.eu/eli/dir/2022/2555/oj?locale=pl) – tekst aktu w oficjalnym rejestrze. - [eur-lex.europa.eu/eli/dir/2016/1148/oj](https://eur-lex.europa.eu/eli/dir/2016/1148/oj) – tekst aktu w oficjalnym rejestrze. - [Dyrektywa 2022/2555 w sprawie środków na rzecz …](https://sip.lex.pl/akty-prawne/dzienniki-UE/dyrektywa-2022-2555-w-sprawie-srodkow-na-rzecz-wysokiego-wspolnego-poziomu-72101353) – tekst aktu w oficjalnym rejestrze. - [Dyrektywa NIS 2: zabezpieczenie sieci i systemów …](https://digital-strategy.ec.europa.eu/pl/policies/nis2-directive) – materiał regulatora. - [Informacje bieżące – Ministerstwo Infrastruktury – Portal Gov.pl](https://www.gov.pl/web/infrastruktura/informacje-biezace) – materiał regulatora. - [NIS2 w Polsce – nowe obowiązki firm w ustawie o KSC](https://www.biznes.gov.pl/pl/portal/005120) – materiał regulatora. - [gov.pl/web/cyfryzacja/nowelizacja-ustawy-o-krajowym-systemie-cyberbezpieczenstwa-ksc—kogo-obejmuje](https://www.gov.pl/web/cyfryzacja/nowelizacja-ustawy-o-krajowym-systemie-cyberbezpieczenstwa-ksc---kogo-obejmuje) – materiał regulatora. ###### Powiązane wpisy: - [Canva – Co to jest, do czego służy? Canva – pakiet Visual Suite dla każdego.](https://webporadnik.pl/canva-visual-suite/ "Canva – Co to jest, do czego służy? Canva – pakiet Visual Suite dla każdego.") - [Słowa kluczowe w SEO. Co to jest i jaką rolę mają w procesie pozycjonowania (SEO) stron i sklepów internetowych?](https://webporadnik.pl/slowa-kluczowe-w-seo-co-to-jest-i-jaka-role-maja-w-procesie-pozycjonowania-seo-stron-i-sklepow-internetowych/ "Słowa kluczowe w SEO. Co to jest i jaką rolę mają w procesie pozycjonowania (SEO) stron i sklepów internetowych?") - [Cyberbezpieczeństwo. Co to jest i na czym polega ochrona bezpieczeństwa cyfrowego?](https://webporadnik.pl/cyberbezpieczenstwo-co-to-jest-i-na-czym-polega-ochrona-bezpieczenstwa-cyfrowego/ "Cyberbezpieczeństwo. Co to jest i na czym polega ochrona bezpieczeństwa cyfrowego?") - [Kolory w HTML. Podstawowe kolory, paleta kolorów HTML.](https://webporadnik.pl/kolory-w-html-podstawowe-kolory-paleta-kolorow-html/ "Kolory w HTML. Podstawowe kolory, paleta kolorów HTML.") - [Nieautoryzowane zapytanie GraphQL. Co to znaczy i co robić?](https://webporadnik.pl/nieautoryzowane-zapytanie-graphql-co-to-znaczy-i-co-robic/ "Nieautoryzowane zapytanie GraphQL. Co to znaczy i co robić?")