- FortCyber
- NIS2
NIS2 i ustawa o KSC. Co oznaczają dla Twojej organizacji NIS2 to unijna dyrektywa, którą w Polsce wdraża nowelizacja ustawy o krajowym systemie cyberbezpieczeństwa. Obowiązuje od 3 kwietnia 2026 r. i obejmuje znacznie więcej firm i jednostek publicznych niż poprzednie przepisy.
Stan prawny na 20 października 2026 r. Źródła: ustawa (Dz.U. 2026 poz. 252) i FAQ KSC na cyber.gov.pl.
- Ustawa obowiązuje
Nowelizacja ustawy o KSC weszła w życie.
- Koniec samorejestracji w wykazie
Termin minął, ale wniosek można złożyć nadal. Co zrobić po terminie
- Obowiązki i system S46
SZBI, zgłaszanie incydentów, osoby do kontaktu, szkolenie kierownika.
- Pierwszy audyt i kary
Audyt podmiotów kluczowych. Od tego dnia organ może nakładać kary.
Jeśli podlegasz ustawie, a wniosku o wpis nie ma, złóż go teraz. Wpis następuje z chwilą złożenia, a kary można nakładać dopiero od 3 kwietnia 2028 r.
NIS2, KSC i ISO 27001. Trzy rzeczy, które się mylą
Dyrektywa, ustawa i norma mówią o tym samym: o zarządzaniu bezpieczeństwem informacji. Obowiązki wynikają jednak tylko z ustawy.
NIS2
Unijne minimum dla państw członkowskich. Nie stosuje się jej wprost: każde państwo przenosi ją do swojego prawa. Termin minął 17 października 2024 r.
Punkt odniesienia
Ustawa o KSC
Polska nowelizacja, która wdraża NIS2. Określa, kto podlega, jakie ma obowiązki, w jakich terminach i jakie grożą kary.
To ją stosujesz
ISO 27001
Dobrowolny standard systemu zarządzania bezpieczeństwem informacji. Dobra podstawa SZBI, którego wymaga ustawa, ale certyfikat nie zwalnia z wpisu do wykazu, zgłaszania incydentów ani audytu.
Sposób, żeby to dobrze zorganizować
Kto podlega ustawie
Organ nie wydaje decyzji, że podlegasz. Ustalasz to sam: na podstawie działalności, którą faktycznie prowadzisz, i wielkości organizacji (FAQ 1.1, 1.12, 2.7).
SektoryZałącznik 1 i załącznik 2
Załącznik 1 (sektory kluczowe):
- energia
- transport
- bankowość i rynki finansowe
- ochrona zdrowia
- woda pitna
- ścieki
- infrastruktura cyfrowa
- usługi ICT dla firm
- przestrzeń kosmiczna
- podmioty publiczne
Załącznik 2 (inne sektory krytyczne):
- poczta i kurierzy
- odpady
- chemikalia
- żywność
- produkcja: wyroby medyczne, elektronika, maszyny, pojazdy
- usługi cyfrowe
- badania naukowe
W sektorach woda, ścieki i odpady liczy się tylko działalność główna (FAQ 1.4, 2.8).
WielkośćSektor i wielkość decydują o statusie
- Duże przedsiębiorstwo z załącznika 1kluczowy
- Średnie przedsiębiorstwo z załącznika 1ważny
- Średnie i duże z załącznika 2ważny
- Małe i mikroprzedsiębiorstwaco do zasady nie
Średnie: od 50 osób albo obrót i suma bilansowa powyżej 10 mln EUR. Duże: od 250 osób albo obrót powyżej 50 mln EUR i suma bilansowa powyżej 43 mln EUR. Liczysz razem z przedsiębiorstwami powiązanymi i partnerskimi (art. 5, FAQ 1.5).
Niezależnie od wielkościUsługi, które zawsze podlegają
- DNS, rejestry TLD, rejestratorzy domen, kwalifikowane usługi zaufania, podmioty krytycznekluczowy
- Usługi zarządzane w zakresie cyberbezpieczeństwa (MSSP), od małego przedsiębiorstwakluczowy
- Telekomunikacja: średnia i dużakluczowy
- Telekomunikacja: mikro i mała, niekwalifikowane usługi zaufaniaważny
Organ może też decyzją objąć podmiot spoza progów, np. jedynego dostawcę usługi kluczowej (art. 7l, FAQ 1.2, 1.3).
SamorządyWszystkie urzędy gmin podlegają ustawie
- Urząd gminy, który 1 stycznia zatrudnia co najmniej 50 osób na pełnych etatachkluczowy
- Pozostałe urzędy gminważny
- Starostwo powiatowe, jednostki i zakłady budżetowe województwa (z wyjątkami)kluczowy
- Szkoły, GOPS, zakłady budżetowe, instytucje kultury, spółki komunalneważny
Podmioty publiczne wpisuje do wykazu minister. Ważne podmioty publiczne mają uproszczony SZBI według załącznika 4 (FAQ 1.8, 1.29, 2.3, 3.14).
Poradnik dla JSTJesteś dostawcą firmy lub urzędu objętego ustawą? Sam ten fakt nie oznacza, że podlegasz. Klient wpisze jednak wymagania bezpieczeństwa do umowy (FAQ 3.3, 3.9).
Kluczowy czy ważny: co to zmienia
Obowiązki są te same. Różni się nadzór, audyt i wysokość kar. Gdy organizacja spełnia oba zestawy kryteriów, jest podmiotem kluczowym (art. 5 ust. 4).
| Porównanie | Podmiot kluczowy | Podmiot ważny |
|---|---|---|
| Obowiązki | SZBI, incydenty, osoby do kontaktu, szkolenie kierownika, dostawcy | te same |
| Nadzór | ex ante: organ może kontrolować w każdej chwili | ex post: gdy pojawią się informacje o naruszeniu |
| Audyt | co najmniej raz na 3 lata, na własny koszt; pierwszy do 3.04.2028 | tylko na żądanie organu |
| Kara maksymalna | 10 mln EUR lub 2% przychodów, wyższa z kwot | 7 mln EUR lub 1,4% przychodów |
| Kara minimalna | 20 000 zł | 15 000 zł |
| Podmioty publiczne | pełne obowiązki | uproszczony SZBI (załącznik 4), zgłaszanie tylko incydentu poważnego, jedna osoba do kontaktu |
Na podstawie FAQ KSC 1.11, 3.14, 6.12, 9.1, 12.3 i 12.4.Audyt NIS2
Co ustawa nakazuje zrobić
Sześć obszarów do 3 kwietnia 2027 r. Szczegółowa lista z osobami odpowiedzialnymi i dowodami jest w przewodniku.
- System zarządzania bezpieczeństwem informacji
Szacowanie ryzyka, środki techniczne i organizacyjne, polityki, ciągłość działania, kopie i aktualizacje, uwierzytelnianie wieloskładnikowe tam, gdzie to uzasadnione.
art. 8 · FAQ 3.3 - Dokumentacja
Normatywna, czyli polityki i procedury, oraz operacyjna: rejestry, przeglądy i raporty. Wersjonowana i chroniona.
art. 10 · FAQ 3.5 - Incydenty
Obsługujesz każdy, zgłaszasz poważny: wczesne ostrzeżenie w 24 h, zgłoszenie w 72 h, sprawozdanie końcowe w miesiąc. Przez system S46.
art. 11 · FAQ 6.3, 6.4 - Osoby do kontaktu
Co najmniej dwie. Jedna w mikro i małych przedsiębiorstwach oraz w ważnych podmiotach publicznych.
art. 9 · FAQ 3.17, 3.18 - Kierownik
Odpowiada za wykonanie obowiązków, także tych powierzonych innym. Szkolenie raz w roku kalendarzowym, pierwsze najpóźniej w 2027 r.
art. 8c–8e · FAQ 3.46, 4.3, 4.4 - Dostawcy
Polityka łańcucha dostaw, kryteria wyboru, wymagania bezpieczeństwa w umowach i wykaz bezpośrednich dostawców.
art. 8 · FAQ 3.3, 3.9
Kroki, terminy i dowody dla audytora w jednym miejscu.Przewodnik: co muszę zrobić
Kary i odpowiedzialność kierownika
Kary są wysokie, ale ustawa daje czas: można je nakładać od 3 kwietnia 2028 r. Do tego dnia obowiązki trzeba już spełniać.
Wyższa z tych kwot, nie mniej niż 20 000 zł (art. 73 ust. 3).
Nie mniej niż 15 000 zł (art. 73 ust. 4).
W podmiocie publicznym do 100%. Kierownik odpowiada także za obowiązki powierzone innym (art. 73a, art. 8c).
- Od 3 kwietnia 2028. Wcześniej organ nie nałoży kary, z wyjątkiem kary do 100 mln zł przy bezpośrednim i poważnym zagrożeniu (art. 35, FAQ 12.1).
- Najpierw ostrzeżenie. Przed karą organ wysyła ostrzeżenie, a przy znikomym, zakończonym naruszeniu może od kary odstąpić (FAQ 12.7, 12.12).
- Kara za każdy dzień. Za niewykonanie decyzji organu: od 500 do 100 000 zł dziennie (art. 76b).
Obowiązek po obowiązku: jak to prowadzimy
Eksperci FortCyber wykonują pracę, a platforma przechowuje dowody. Odpowiedzialność zostaje przy kierowniku, który widzi każdy krok.
- SZBI i ryzykoZespół FortCyberPełnomocnik prowadzi szacowanie ryzyka, plan postępowania i przeglądy.Na platformieRejestr ryzyk, plan i zadania z terminami.
- IncydentyZespół FortCyberPomagamy ocenić, czy incydent jest poważny, i przygotować zgłoszenie do S46.Na platformieRejestr incydentów, terminy 24 h i 72 h, historia działań.
- Szkolenie kierownika i pracownikówZespół FortCyberCoroczne szkolenie kierownictwa, kampanie i testy phishingowe.Na platformieŚcieżki szkoleń i potwierdzenia ukończenia.
- Nadzór kierownikaZespół FortCyberRaport i decyzje do akceptacji z rekomendacją.Na platformiePanel zarządzania: stan, zadania, decyzje.
- Dowody dla audytoraZespół FortCyberPrzygotowanie do audytu i udział w nim.Na platformieHistoria działań i dokumentacja z wersjami.
Agenci, automatyzacje i rola ekspertów.Jak działa platforma
Najczęstsze pytania
Odpowiedzi na podstawie ustawy i FAQ KSC. To nie jest opinia prawna.
Nie ma tu Twojego pytania?Zadzwoń: +48 699 587 011 albo umów spotkanie.
Czy nasza gmina podlega ustawie?
Tak, wszystkie urzędy gmin są objęte. Urząd, który 1 stycznia zatrudnia co najmniej 50 osób w przeliczeniu na pełne etaty na umowę o pracę, jest podmiotem kluczowym, pozostałe są ważne. Szkoły, GOPS i instytucje kultury są podmiotami ważnymi (FAQ 1.8, 1.29, 1.31, 3.36).
Jesteśmy dostawcą IT dla szpitala. Czy podlegamy?
Nie z samego tego powodu. Podlegacie, jeśli sami spełniacie kryteria, np. jako dostawca usług zarządzanych bezpieczeństwa albo średnia lub duża firma z sektora ICT. Szpital wpisze jednak wymagania bezpieczeństwa do umowy (FAQ 3.3, 3.9).
Mamy certyfikat ISO 27001. Czy to wystarczy?
To dobra podstawa SZBI, którego wymaga art. 8. Certyfikat nie zastępuje jednak wpisu do wykazu, zgłaszania incydentów przez S46, osób do kontaktu, szkolenia kierownika ani audytu ustawowego.
Czy musimy mieć SOC?
Ustawa nie wymaga SOC wprost. Wymaga monitorowania w trybie ciągłym i obsługi incydentów, a sposób zależy od ryzyka organizacji (FAQ 3.16).
Kupiliśmy dokumentację „zgodną z NIS2”. Czy jesteśmy zgodni?
Nie. Dokumentacja musi opisywać Waszą organizację i być stosowana w praktyce (FAQ 3.7).
Czy outsourcing przenosi odpowiedzialność na dostawcę?
Nie. Zadania można powierzyć dostawcy usług zarządzanych bezpieczeństwa, ale za ich wykonanie odpowiada kierownik podmiotu (art. 8c, FAQ 3.19, 4.4).
Termin wpisu minął. Co teraz?
Złóżcie wniosek. Samorejestracja działa cały czas, a wpis następuje z chwilą złożenia (FAQ 2.32, 2.48). Szczegóły w poradniku o spóźnionym wpisie.
Źródła: ustawa z 23 stycznia 2026 r. o zmianie ustawy o KSC, Dz.U. 2026 poz. 252 · FAQ KSC, cyber.gov.pl · Ministerstwo Cyfryzacji: najważniejsze terminy. Stan prawny na 20 października 2026 r.
Czytaj dalej
Poradniki i artykuły z naszej bazy wiedzy.
Wszystkie teksty o przepisach.NIS2 i zgodność
Porozmawiajmy o Twojej organizacji
Powiedz, co chcesz uporządkować. Pokażemy platformę i zaproponujemy pakiet dopasowany do Twojej sytuacji.