NIS2 w firmie: sprawdzimy, czy Cię obejmuje, i przygotujemy wdrożenie

Decydują dwie rzeczy: sektor i wielkość. Dyrektywa dzieli firmy na podmioty kluczowe i ważne, a ich lista obejmuje między innymi energetykę, transport, finanse, ochronę zdrowia, wodociągi, usługi IT, wybraną produkcję, żywność i odpady. Zwykle chodzi o średnie i duże firmy, choć są wyjątki niezależne od wielkości. Firma najczęściej sama musi ocenić, czy podlega przepisom, dlatego od tego zaczynamy.

NIS2 to dyrektywa Unii Europejskiej, więc firm nie obowiązuje wprost. W Polsce wdraża ją nowelizacja ustawy o krajowym systemie cyberbezpieczeństwa (Dz.U. 2026 poz. 252), obowiązująca od 3 kwietnia 2026 r. Firmy, które już spełniają kryteria, miały złożyć wniosek o wpis do wykazu do 3 października 2026 r., a wymagane zabezpieczenia i procedury muszą wdrożyć do 3 kwietnia 2027 r. Terminy, które dotyczą Twojej firmy, omawiamy przy pierwszej rozmowie.

Zarządzanie ryzykiem, czyli rozpoznanie zagrożeń i dobranie do nich zabezpieczeń. Do tego procedury wykrywania i zgłaszania incydentów, plany ciągłości działania i odtworzenia po awarii, kontrola dostępu, szyfrowanie, kontrola bezpieczeństwa dostawców oraz szkolenia. Nie chodzi o same dokumenty: przepisy wymagają, żeby te środki działały w praktyce.

Dyrektywa przewiduje kilka etapów: wczesne ostrzeżenie w ciągu 24 godzin od wykrycia poważnego incydentu, zgłoszenie w ciągu 72 godzin i raport końcowy w ciągu miesiąca. Jeśli incydent dotyczy też danych osobowych, osobno obowiązuje zgłoszenie do UODO z RODO. W tym pomaga Inspektor Ochrony Danych.

Tak. Według dyrektywy zarząd zatwierdza środki zarządzania ryzykiem, nadzoruje ich wdrożenie i może za nie odpowiadać. Członkowie zarządu muszą też przejść szkolenie. Dlatego szkolenie zarządu jest stałym elementem naszego wdrożenia.

Dyrektywa przewiduje kary pieniężne liczone w milionach euro albo jako procent rocznego obrotu firmy, wyższe dla podmiotów kluczowych niż dla ważnych. Organ nadzoru może też przeprowadzić kontrolę i nakazać konkretne działania naprawcze. W Polsce kara dla podmiotu kluczowego może sięgnąć 10 mln euro albo 2% przychodów, a dla podmiotu ważnego 7 mln euro albo 1,4% przychodów.

Nie, ale to dobry punkt wyjścia. RODO chroni dane osobowe, a NIS2 dotyczy bezpieczeństwa wszystkich systemów i ciągłości usług firmy. Analiza ryzyka, procedura naruszeń i umowy z dostawcami z dokumentacji RODO przydadzą się przy wdrożeniu, ale trzeba je rozszerzyć.