Przewodnik NIS2: co musisz zrobić i do kiedy Obowiązki z ustawy o KSC jako lista kroków. Przy każdym: kto to robi, podstawa prawna i dowód, o który zapyta audytor.
- 23 kroki w pięciu obszarach
- terminy do 3 kwietnia 2028
- stan prawny na 20.10.2026
- Organizacja i role0 z 5
- Ryzyko i dokumentacja0 z 4
- Technika i ciągłość działania0 z 5
- Ludzie0 z 3
- Incydenty, dostawcy i audyt0 z 6
Kalendarz terminów
Dla organizacji, które spełniały przesłanki w dniu wejścia ustawy w życie, czyli 3 kwietnia 2026 r.
- Ustawa obowiązuje
Nowelizacja ustawy o KSC weszła w życie.
- Wpis do wykazu
Termin samorejestracji minął. Co zrobić po terminie
- Obowiązki i S46
SZBI, incydenty, osoby do kontaktu, dokumentacja.
- Szkolenie kierownika
Pierwsze coroczne szkolenie (FAQ 3.46).
- Pierwszy audyt i kary
Audyt podmiotów kluczowych. Od tego dnia organ może nakładać kary.
Spełniliście przesłanki później? Na przykład po przekroczeniu progu zatrudnienia. Macie 6 miesięcy na wniosek o wpis, 12 na obowiązki i 24 na pierwszy audyt, licząc od tego dnia (art. 7c, art. 16, FAQ 2.32, 3.32).
Byliście operatorem usługi kluczowej? Incydenty zgłaszacie po nowemu w ciągu 6 miesięcy od wejścia ustawy, a audyty prowadzicie w dotychczasowym cyklu (art. 33 ust. 4, FAQ 9.5).
Checklista obowiązków
Zaznacz to, co już macie. Przy każdym kroku: kto go wykonuje, podstawa prawna i dowód, o który zapyta audytor.
Organizacja i role0 z 5
Ryzyko i dokumentacja0 z 4
Technika i ciągłość działania0 z 5
Ludzie0 z 3
Incydenty, dostawcy i audyt0 z 6
Kto za co odpowiada
Ustawa wskazuje kierownika i osoby do kontaktu. Pozostałe role to sprawdzony podział pracy, który widać też na platformie.
- Kierownik podmiotu
Zatwierdza SZBI i budżet, przydziela zadania, przechodzi coroczne szkolenie. Odpowiada także za obowiązki powierzone innym.
art. 8c–8e · FAQ 4.1–4.4 - Pełnomocnik lub koordynator
Prowadzi ryzyka, dokumentację, przeglądy i audyty wewnętrzne. Raportuje kierownikowi i przygotowuje decyzje.
rola organizacyjna - IT i administratorzy
Zabezpieczenia techniczne, aktualizacje, kopie zapasowe, monitorowanie i pierwsza reakcja na zdarzenie.
rola organizacyjna - Osoby do kontaktu
Kontakt z CSIRT i organem, zgłoszenia w systemie S46.
art. 9 · FAQ 3.17, 3.18 - Właściciele procesów
Wskazują ważne procesy i dane, akceptują ryzyka w swoim obszarze i dostarczają dowody.
rola organizacyjna - Dostawca usług bezpieczeństwa
Może przejąć część zadań, np. jako pełnomocnik albo SOC. Odpowiedzialność zostaje przy kierowniku.
art. 14 · FAQ 3.19
Częste nieporozumienia
Każde z nich rozstrzyga ustawa albo FAQ KSC.
- „Kupiliśmy dokumentację zgodną z NIS2, więc jesteśmy zgodni”
Dokumentacja musi opisywać Waszą organizację i być stosowana w praktyce (FAQ 3.7).
- „Musimy mieć SOC”
Ustawa nie wymaga SOC wprost. Wymaga monitorowania w trybie ciągłym i obsługi incydentów (FAQ 3.16).
- „Dostawca przejmie odpowiedzialność”
Zadania można powierzyć, ale za ich wykonanie odpowiada kierownik podmiotu (art. 8c, FAQ 4.4).
- „Każdy incydent trzeba zgłosić w 24 godziny”
Obsługujecie każdy incydent, a zgłaszacie poważny (FAQ 6.3).
- „Termin wpisu minął, więc jest za późno”
Wniosek można złożyć w każdej chwili, a wpis następuje z chwilą złożenia (FAQ 2.32, 2.48). Co zrobić po terminie
- „Kary są dopiero od 2028, więc mamy czas”
Kary tak, ale obowiązki trzeba spełniać od 3 kwietnia 2027 r. (art. 33 ust. 1, art. 35).
Checklista do wydruku
Rozszerzona wersja listy w PDF, gotowa do pokazania kierownictwu.
- 23 kroki z kolumnami: osoba, termin, status, dowód
- kalendarz terminów i podział ról
- podstawa prawna przy każdym kroku
Wyślemy ją na podany adres.
Dziękujemy, checklista jest w drodze. Możesz ją też pobrać tutaj.
Gdy potrzebujesz wsparcia
Brakuje diagnozy, systemu albo osoby, która to poprowadzi? Każdą z tych sytuacji obsługuje inny pakiet.
Porozmawiajmy o Twojej organizacji
Powiedz, co chcesz uporządkować. Pokażemy platformę i zaproponujemy pakiet dopasowany do Twojej sytuacji.