Punkt przewodnika: terminy, sankcje i test obronności wdrożenia. Poziom: podsumowujący. Materiał dobry na spotkanie z zarządem.
Ten artykuł zamyka przewodnik i pełni w nim rolę mapy z legendą. Wcześniej rozkładaliśmy wdrożenie na etapy; teraz układamy je na jednej osi czasu i pokazujemy, co jest po drugiej stronie każdego terminu – bo dopiero konsekwencje porządkują priorytety.
Jedno zdanie na wstępie, które warto powiedzieć wprost. Największym ryzykiem nie jest to, że czegoś nie zbudujesz. Największym ryzykiem jest to, że zbudujesz wszystko, a nie będziesz w stanie tego udowodnić – albo że przegapisz jedną godzinę z terminu liczonego od incydentu.
Czego się nauczysz
- Jak wygląda pełna oś czasu wdrożenia.
- Co dokładnie dzieje się w każdym z trzech kamieni milowych.
- Ile wynoszą kary i czym różnią się dla podmiotu kluczowego i ważnego.
- Które uchybienia są karalne same w sobie.
- Czym różni się nadzór ex-ante od ex-post w praktyce.
- Dlaczego jedno opóźnienie w reżimie 24 i 72 godzin waży najwięcej.
- Jak zorganizować wdrożenie w grupie spółek.
- Jak skorzystać z dobrowolnej wymiany informacji o zagrożeniach.
- Jak samodzielnie sprawdzić, czy Twoje wdrożenie jest obronne.
1. Pełna oś czasu wdrożenia
Cała historia mieści się na jednej osi. Warto ją znać w tej formie, bo pokazuje jedną rzecz, którą trudno dostrzec w rozproszonych terminach: całe wdrożenie mieści się do drugiego kwartału 2027 r., a rok 2028 to już nie budowa, lecz weryfikacja.
| Okres | Co się dzieje |
| 07-08.2026 | Krok 1: weryfikacja statusu – samoidentyfikacja (NIS2Tester). Krok 2: audyt luki – mapa 27 grup luk |
| 08-09.2026 | Uchwała zarządu (J2), rejestracja w Wykazie KSC (J3), osoby kontaktowe (J4), konto S46 (J10) |
| 09-12.2026 | Procedura incydentowa (J9) jako priorytet, pierwsze szkolenie kierownika (J11), decyzja SOC albo MSSP (J6) |
| Q1.2027 | Wdrożenie 14 środków (J7) w kolejności z gap analysis, dokumentacja normatywna i operacyjna (J8), łańcuch dostaw (J12) – budowa zakończona |
| Q2.2027 | Puszczenie wdrożenia: mierniki skuteczności, testy planów ciągłości, zbieranie dowodów operacyjnych, stabilizacja |
| do 3.04.2028 | Pierwszy audyt bezpieczeństwa – tylko podmiot kluczowy (J13) |
| od 3.04.2028 | Pełny reżim: kary pieniężne aktywne |
Dwie rzeczy, które w tej tabeli łatwo przeoczyć, a które decydują o realnym harmonogramie.
Procedura incydentowa nie stoi w kolejce. Obowiązek zgłaszania incydentów poważnych powstaje z chwilą objęcia podmiotu ustawą, co do zasady od wpisu do Wykazu KSC – niezależnie od okresu przejściowego na budowę systemu i niezależnie od moratorium na kary. Dlatego w tabeli stoi przed czternastoma środkami, choć intuicja podpowiadałaby odwrotnie.
Drugi kwartał 2027 r. to nie zapas czasu. To okres, w którym system ma zacząć wytwarzać dowody. Organizacja, która 3.04.2027 r. kończy pisanie dokumentów, wchodzi w 2028 r. bez ani jednego rocznego cyklu dowodowego za sobą.
Rekap: budowa do 3.04.2027 r., ruch od drugiego kwartału 2027 r., weryfikacja w 2028 r. Procedura incydentowa idzie pierwsza.
Zrób teraz: przenieś tę tabelę do swojego harmonogramu i przy każdym wierszu wpisz nazwisko właściciela. Wiersze bez nazwiska to Twoje najbliższe ryzyko terminowe.
2. Trzy kamienie milowe
3.10.2026 – rejestracja w Wykazie KSC. Termin wynika z harmonogramu ogłaszanego przez ministra w komunikacie (art. 33 ust. 3 ustawy zmieniającej w zw. z art. 34 ust. 3 pkt 1), a sam wniosek składasz na zasadach z art. 7c i 7d – w systemie teleinformatycznym z art. 46 ust. 1, z jednym z dopuszczonych podpisów i oświadczeniem kierownika (art. 7c ust. 5), podając dane z art. 7 ust. 2 pkt 1-18. To brama wejściowa całego systemu: od wpisu jesteś widoczny dla organów, a obowiązki incydentowe działają.
3.04.2027 – pełne wdrożenie SZBI (art. 33 ust. 1). Do tego dnia mają działać: czternaście środków bezpieczeństwa z art. 8, dokumentacja normatywna i operacyjna z art. 10 oraz procedura incydentowa. To koniec etapu budowy.
3.04.2028 – pierwszy audyt i start kar (art. 33 ust. 2 oraz art. 35 ustawy zmieniającej). Dwie rzeczy w jednej dacie: termin pierwszego obowiązkowego audytu podmiotu kluczowego (art. 15 ust. 1) oraz moment, od którego kary pieniężne stają się aktywne.
Do tego dwie daty pomocnicze, które ratują harmonogram: system S46 jest dostępny od 12.06.2026 r., a obowiązki z rozdziału 3 ustawy realizuje się w terminie 12 miesięcy, a pierwszy audyt zapewnia w terminie 24 miesięcy – od dnia spełnienia przesłanek uznania za podmiot kluczowy lub ważny (art. 16 pkt 1 i 2). Podmioty objęte ustawą już 3.04.2026 r. liczą te terminy od wejścia nowelizacji w życie (art. 33 ust. 1 i 2 ustawy zmieniającej). Punktem odniesienia nie jest więc data wpisu do wykazu.
Warto zwrócić uwagę na jedną subtelność, bo bywa źródłem nieporozumień w rozmowach. Data 3.10.2026 r. nie jest „datą z ustawy” w takim sensie jak dwie pozostałe – wynika z komunikatu ministra ogłaszającego harmonogram (art. 34 ust. 3 pkt 1). Ma to dwie konsekwencje: harmonogram wskazuje terminy dla poszczególnych rodzajów podmiotów (ust. 4) i może być zmieniony z powodów technicznych lub organizacyjnych (ust. 5). Sprawdź w nim swoją kategorię, a w dokumentacji wskaż harmonogram, nie sam przepis.
Rekap: 3.10.2026 rejestracja z harmonogramu ministra, 3.04.2027 gotowy SZBI, 3.04.2028 audyt i kary.
Zrób teraz: wpisz trzy daty do kalendarza organizacji z przypomnieniem 90 dni wcześniej i przypisanym właścicielem. Data bez właściciela jest ciekawostką.
3. Kary pieniężne – ile i dla kogo
Od 3.04.2028 r. sankcje stają się aktywne. Ustawa różnicuje ich wysokość według klasy podmiotu i odrębnie traktuje odpowiedzialność kierownika.
| Adresat | Maksymalna kara | Podstawa |
| Podmiot kluczowy | do 10 mln EUR lub 2% rocznego przychodu | art. 73 ust. 3 |
| Podmiot ważny | do 7 mln EUR lub 1,4% rocznego przychodu | art. 73 ust. 4 |
| Kierownik podmiotu | do 300% wynagrodzenia | art. 73a ust. 4 |
Trzy wnioski, które warto z tej tabeli wyciągnąć.
Podmiot ważny nie jest podmiotem „lżejszym”. Owszem, górna granica kary jest niższa, ale wymogi merytoryczne obu klas są zbliżone – te same czternaście środków, ta sama dokumentacja, te same terminy incydentowe. Różnica dotyczy intensywności nadzoru, obowiązkowego audytu i wysokości sankcji, nie zakresu pracy.
Odpowiedzialność kierownika jest odrębna i osobista. Nie jest to część kary podmiotu ani jej alternatywa. Kierownik odpowiada nadal, gdy obowiązki powierzono innej osobie za jej zgodą – działowi IT albo zewnętrznemu dostawcy (art. 8c ust. 3). Jeśli kierownikiem jest organ wieloosobowy i nie wskazano osoby odpowiedzialnej, odpowiedzialność ponoszą wszyscy członkowie tego organu (art. 8c ust. 2).
Procent liczy się od przychodu, nie od zysku. Dla organizacji o niskiej marży to różnica, która zmienia skalę rozmowy o budżecie na zgodność.
Rekap: kluczowy do 10 mln EUR lub 2%, ważny do 7 mln EUR lub 1,4%, kierownik do 300% wynagrodzenia – odrębnie i osobiście.
Zrób teraz: policz właściwy dla siebie procent przychodu i zapisz tę liczbę na pierwszym slajdzie materiału dla zarządu. Reszta prezentacji będzie już tylko doprecyzowaniem.
4. Samodzielne podstawy kary
Większość uchybień wychodzi na jaw przy okazji – kontroli albo incydentu. Dwa są jednak karalne same w sobie, niezależnie od tego, czy cokolwiek się stało.
Niekorzystanie z systemu S46 przy obowiązkach incydentowych – kara dla podmiotu (art. 73 ust. 1 pkt 13). Zgłoszenie wysłane inną drogą, gdy wymagany jest S46, jest uchybieniem, choćby treść zgłoszenia była wzorowa i wysłana w terminie.
Brak własnych struktur bezpieczeństwa i brak umowy z dostawcą usług zarządzanych bezpieczeństwem – kara dla kierownika podmiotu (art. 73a ust. 1 pkt 13, w powiązaniu z art. 14). Ustawa wymaga wybrania jednego z dwóch modeli. Niewybranie żadnego jest samodzielnym uchybieniem, także w organizacji, która nie miała jeszcze ani jednego incydentu.
Praktyczny wniosek jest tani i konkretny: dwa zadania, które zamykają całą tę kategorię ryzyka, to aktywne konto w S46 z przeszkolonymi osobami kontaktowymi oraz udokumentowana decyzja o modelu operacyjnym – uchwała ze schematem organizacyjnym albo umowa z dostawcą. Oba są wykonalne w kilka tygodni i oba są tańsze niż jakakolwiek dyskusja o ich braku.
Rekap: brak S46 przy incydentach obciąża podmiot, brak SOC albo umowy z dostawcą obciąża kierownika. Oba niezależnie od incydentu.
Zrób teraz: sprawdź dwie rzeczy – czy konto S46 jest aktywne i czy istnieje dokument, który wskazuje wybrany model: własne struktury albo umowa z dostawcą.
5. Nadzór ex-ante i ex-post w praktyce
Klasa podmiotu przekłada się przede wszystkim na tryb nadzoru (art. 53).
Podmiot kluczowy – nadzór prewencyjny i następczy (w skrócie ex-ante). Organ może prowadzić kontrole, w tym doraźne, w każdym czasie, bez wcześniejszego podejrzenia naruszenia. Analogia to bramka biletowa przy wejściu na peron.
Podmiot ważny – nadzór następczy (ex-post). Organ wkracza w szczególności w przypadku uzasadnionego podejrzenia naruszenia przepisów. Analogia to kontroler, który pojawia się w pociągu, gdy coś zwróciło jego uwagę.
Co ta różnica oznacza operacyjnie, a nie tylko formalnie:
Dla podmiotu kluczowego liczy się stała gotowość dowodowa. Kontrola może przyjść w dowolnym momencie, więc dowody muszą być odtwarzalne w każdej chwili, a nie kompletowane po zawiadomieniu.
Dla podmiotu ważnego liczy się to, co wywołuje podejrzenie. Najczęstsze wyzwalacze są przewidywalne: incydent zgłoszony z opóźnieniem lub niezgłoszony, brak wpisu w wykazie, nieaktualne dane rejestrowe, skarga użytkownika, sygnał od organu innego państwa. Innymi słowy – obowiązki zdarzeniowe i rejestrowe są dla podmiotu ważnego najkrótszą drogą do kontroli.
I rzecz najważniejsza, wspólna dla obu klas: nadzór nie czeka do 2028 r. Moratorium z art. 35 ustawy zmieniającej dotyczy wyłącznie kar pieniężnych. Kontrole, ostrzeżenia i nakazy działają już teraz na podstawie art. 53 ust. 2, 4 i 5, w tym nakaz audytu ad hoc na własny koszt (art. 15 ust. 1b) oraz polecenie zabezpieczające ministra (art. 67g). Zdanie „mamy czas do 2028” jest prawdziwe tylko wobec grzywny.
Rekap: kluczowy – kontrola w każdym czasie, ważny – po podejrzeniu naruszenia. Nadzór działa dziś, moratorium chroni tylko przed karą pieniężną.
Zrób teraz: odpowiedz na jedno pytanie – gdyby kontrola przyszła w przyszłym tygodniu, jaki dowód znalazłbyś najszybciej, a jakiego nie znalazłbyś wcale.
6. Asymetria ryzyka: 24 i 72 godziny
Wszystkie liczby z tego artykułu sprowadzają się do jednego porównania. Po jednej stronie stoi koszt gotowości: procedura, cztery szablony zgłoszeń, konto w S46, dwie osoby kontaktowe z opisaną osiągalnością, ewentualnie umowa z dostawcą. Po drugiej – ekspozycja z rozdziału trzeciego tego artykułu.
Jedna przegapiona godzina z terminu 72 godzin przy poważnym incydencie wystarcza, by ta druga strona się zmaterializowała. To najbardziej niesymetryczna relacja w całej ustawie.
Trzy powody, dla których terminy zdarzeniowe ważą więcej niż pozostałe obowiązki:
Są zero-jedynkowe. Przy czternastu środkach można dyskutować o stopniu wdrożenia i dojrzałości. Przy zgłoszeniu nie ma stopni: albo wpłynęło w 24 godziny, albo nie.
Są najłatwiejsze do stwierdzenia. Organ nie musi prowadzić analizy – wystarczy porównać dwie daty.
Nie da się ich nadrobić. Dokument napiszesz z opóźnieniem i będzie ważny. Zgłoszenia wysłanego po terminie nie da się złożyć „wcześniej”.
Dlatego w każdej rozmowie o priorytetach obowiązki zdarzeniowe stoją przed obowiązkami budowanymi – i dlatego papier nie wystarcza tu nawet w jednej spółce. Segregator i kalendarz nie wiedzą, że coś się właśnie stało.
Rekap: jedna godzina po terminie waży tyle, ile cała ekspozycja finansowa. Koszt gotowości jest o rzędy wielkości niższy.
Zrób teraz: zmierz jedną rzecz – ile minut zajmuje Twojej osobie dyżurnej wypełnienie i wysłanie wczesnego ostrzeżenia na podstawie samej procedury. To Twój realny margines.
7. Wdrożenie w grupie spółek – model piasta i szprychy
W grupie kapitałowej zmienia się nie treść obowiązków, lecz ich liczba. Punktem wyjścia jest zasada z art. 5 ust. 6-7: wielkość liczy się z uwzględnieniem przedsiębiorstw powiązanych i partnerskich, a spółka wypada z zakresu tylko wtedy, gdy jej system informacyjny jest niezależny od ich systemów albo nie świadczy ona usług wspólnie z nimi. Przy wspólnym IT pierwszy warunek zwykle nie zadziała, drugi trzeba ocenić osobno – samoidentyfikację robisz per spółka, ale werdykt zwykle jest wspólny.
Skaluje się dobrze: dokumentacja normatywna SZBI, metodyka szacowania ryzyka, wzór procedury incydentowej, jedna grupowa umowa z dostawcą usług bezpieczeństwa, jedno coroczne szkolenie zarządów, wspólne osoby kontaktowe, centralny rejestr dostawców ICT, jedna pełna gap analysis dla spółki wzorcowej.
Mnoży się i nie ma efektu skali: rejestracja w Wykazie KSC (osobny wniosek per spółka), uchwały zarządów (odpowiedzialność osobista), zgłaszanie incydentów (jedna awaria wspólnego systemu ERP to nawet kilkadziesiąt równoległych zgłoszeń w reżimie 24 i 72 godzin), audyt co 3 lata (osobny raport per podmiot), konta S46 z fikcją doręczenia na każdym, dokumentacja operacyjna i wszystkie obowiązki cykliczne pomnożone przez liczbę spółek.
Rekomendowany model to piasta i szprychy. Centrala utrzymuje wzorce, metodykę, rejestr dostawców i umowę z dostawcą usług bezpieczeństwa, a także organizuje szkolenia i audyty pakietowo. Spółki wykonują minimum lokalne: uchwałę, rejestrację, podpis pod swoją instancją dokumentacji, udział kierownika w szkoleniu i akceptację szacowania ryzyka. Zasada jest jedna: co da się zrobić raz, zrób raz i instancjonuj; co jest per podmiot z mocy ustawy, zautomatyzuj i pilnuj systemowo.
Rekap: wzorce centralnie, minimum lokalne w każdej spółce. Wpis, uchwała, konto S46 i dowody zawsze per podmiot.
Zrób teraz: zrób tabelę spółek z czterema kolumnami – uchwała, wpis w wykazie, konto S46, właściciel lokalny. Puste komórki to lista zadań na najbliższy kwartał.
8. Dobrowolna wymiana informacji o zagrożeniach
Art. 8h daje możliwość udziału w wymianie informacji o cyberzagrożeniach na podstawie porozumień. To obowiązek fakultatywny, ale wart uwagi z trzech powodów.
Zasila obszar, który i tak musisz obsłużyć. Zbieranie informacji o cyberzagrożeniach i podatnościach jest wymogiem ustawowym (art. 8 ust. 1 pkt 3). Porozumienia branżowe – w praktyce zespoły wymiany informacji typu ISAC – są jednym z tanich źródeł, obok biuletynów CSIRT i subskrypcji CVE.
Daje dowód dojrzałości. Przystąpienie do porozumienia i ślad korzystania z niego to zapis operacyjny w obszarze, w którym dowody bywają trudne do wytworzenia.
Działa w obie strony. Obok wymiany na podstawie porozumień istnieje ścieżka dobrowolnego przekazywania informacji o incydentach, zagrożeniach i podatnościach do CSIRT (art. 13) – przydatna zwłaszcza wtedy, gdy incydent nie osiąga progu incydentu poważnego, a chcesz mieć ślad zgłoszenia.
Dwie ostrożności, które trzeba wpisać do procedury. Po pierwsze, zasady poufności i oznaczania odbiorców – w praktyce protokół TLP, który określa, komu wolno przekazać otrzymaną informację. Po drugie, wyraźne wskazanie, kto po Twojej stronie ma prawo dzielić się informacją i co stanowi tajemnicę przedsiębiorstwa. Dobra praktyka nie powinna zamienić się w nieświadome ujawnienie.
Rekap: art. 8h to porozumienia branżowe, art. 13 to dobrowolne zgłoszenia do CSIRT. Oba wymagają zasad poufności i oznaczania (TLP).
Zrób teraz: sprawdź, czy w Twoim sektorze działa porozumienie wymiany informacji, i zapisz jedno zdanie o tym, kto w Twojej organizacji miałby prawo przekazywać informacje.
9. Jak sprawdzić, czy Twoje wdrożenie jest obronne
Na koniec test, który możesz przeprowadzić samodzielnie w pół godziny – ten sam, którego logiką posługuje się audyt luki.
Dla dowolnie wybranego wymagania sprawdź trzy warstwy:
- Przepis – potrafisz wskazać konkretny artykuł, ustęp, punkt i literę.
- Dokument normatywny – istnieje polityka, procedura albo standard, który mówi „jak ma być”, z numerem wersji i datą zatwierdzenia.
- Dowód operacyjny – istnieje zapis z ostatnich dwunastu miesięcy, który dowodzi, że tak faktycznie było: log, protokół, lista obecności, raport, rejestr.
Komplet trzech warstw to zgodność obronna. Brak którejkolwiek to luka – i to jest cała reguła.
Wyniki, które zobaczysz, mieszczą się zwykle w czterech kategoriach: zgodne (wszystkie trzy warstwy), luka dowodowa (dokument jest, dowodów nie ma – najczęstszy wynik w dojrzałych organizacjach), luka normatywna (praktyka działa, ale nie jest opisana) oraz luka pełna (nie ma ani dokumentu, ani praktyki). Rozróżnienie ma wartość praktyczną, bo luka dowodowa bywa kwestią włączenia rejestru, a luka pełna jest projektem.
Zalecamy przeprowadzać ten test raz na kwartał na kilku losowo wybranych wymaganiach – z naciskiem na słowo „losowo”. Test na wymaganiu, które sam wybierasz, mierzy Twoją pamięć, nie stan systemu. I jeszcze jedna wskazówka: wynik testu zapisuj. Wtedy sam test staje się dowodem realizacji oceny skuteczności środków (art. 8 ust. 1 pkt 2 lit. h).
Rekap: przepis, dokument, dowód. Trzy warstwy, jedna ocena, test raz na kwartał na losowej próbce.
Zrób teraz: wybierz losowo jedno wymaganie i poproś o dowód z ostatnich dwunastu miesięcy. Czas, w jakim go dostaniesz, jest najuczciwszą oceną Twojego wdrożenia.
Checklista do samodzielnego wykonania
Tę oś czasu przełożyliśmy na zadania: lista nr 10 w pliku „10 checklist zgodności z ustawą o KSC” zamyka komplet ośmioma punktami – od harmonogramu J1-J13 po test obronności wdrożenia. Dziewięć list przed nią to treść tego harmonogramu, etap po etapie. Razem 70 punktów, każdy z podstawą prawną.
Mini-test – sprawdź się w 6 pytaniach
- Do kiedy trwa etap budowy wdrożenia, a od kiedy system ma działać w ruchu?
- Ile wynosi maksymalna kara dla podmiotu ważnego, a ile dla kluczowego?
- Które dwa uchybienia są karalne same w sobie i kogo obciążają?
- Czym różni się nadzór ex-ante od ex-post?
- Czego dokładnie dotyczy moratorium do 3.04.2028 r.?
- Jakie trzy warstwy sprawdzasz w teście obronności wdrożenia?
Odpowiedzi: 1. Budowa do 3.04.2027 r. (art. 33 ust. 1), ruch od drugiego kwartału 2027 r. 2. Ważny – do 7 mln EUR lub 1,4% przychodu (art. 73 ust. 4); kluczowy – do 10 mln EUR lub 2% przychodu (art. 73 ust. 3). 3. Niekorzystanie z S46 przy obowiązkach incydentowych – kara dla podmiotu (art. 73 ust. 1 pkt 13); brak własnych struktur bezpieczeństwa i brak umowy z dostawcą – kara dla kierownika (art. 73a ust. 1 pkt 13). 4. Nadzór prewencyjny i następczy nad podmiotami kluczowymi oznacza kontrolę w każdym czasie; nad podmiotami ważnymi nadzór jest następczy, w szczególności przy uzasadnionym podejrzeniu naruszenia (art. 53 ust. 3). 5. Wyłącznie kar pieniężnych (art. 35 ustawy zmieniającej); kontrole, ostrzeżenia i nakazy działają już teraz (art. 53 ust. 2, 4 i 5). 6. Przepis, dokument normatywny, dowód operacyjny.
Podsumowanie przewodnika w pięciu zdaniach
Mówimy „NIS2”, wdrażamy ustawę o KSC – a właściwie SZBI.
Kolejność jest stała: weryfikacja statusu, audyt luki, wdrożenie, rytm, audyt.
Obowiązki dzielą się na trzy kategorie: jednorazowe, cykliczne i zdarzeniowe.
Trzy daty organizują cały harmonogram: 3.10.2026, 3.04.2027, 3.04.2028.
Największe ryzyko leży w terminach zdarzeniowych liczonych w godzinach oraz w skali grupy kapitałowej.
Materiał ma charakter informacyjny i nie stanowi porady prawnej. Stan prawny: lipiec 2026 r. Przy wdrożeniu weryfikuj wydawane rozporządzenia wykonawcze, harmonogramy oraz komunikaty Ministerstwa Cyfryzacji.
