Jak sprawdzić status wobec NIS2 – i czy jest mi to potrzebne? 

Punkt przewodnika: kontekst prawny – NIS2 i ustawa o KSC. Poziom: start – nie musisz nic wiedzieć o ustawie, żeby przejść ten materiał do końca. 

Zanim wydasz pierwszą złotówkę na wdrożenie, odpowiedz na jedno pytanie: czy przepisy w ogóle Cię dotyczą, a jeśli tak – w której kategorii. To jak remont domu bez sprawdzenia, gdzie przebiega granica działki. Możesz postawić piękny mur w złym miejscu. 

W tym materiale przechodzimy tę granicę krok po kroku: który akt prawny naprawdę Cię obowiązuje, czym różni się podmiot kluczowy od ważnego, jak liczyć wielkość organizacji w grupie kapitałowej, jakie trzy daty wpisać do kalendarza i jak udokumentować wynik tak, żeby obronił się przed organem. 

Czego się nauczysz 

1. Dlaczego mówimy „NIS2”, a stosujemy ustawę o KSC. 

2. Co realnie zmienia klasa podmiotu: kluczowy czy ważny. 

3. Jak czytać sektory i progi wielkości, żeby nie pomylić kategorii. 

4. Jak nie wpaść w pułapkę grup kapitałowych. 

5. Które trzy daty musisz znać na pamięć. 

6. Dlaczego „mamy czas do 2028” to mit. 

7. Jak przeprowadzić samoidentyfikację i zamknąć ją dowodem. 

1. NIS2 a KSC – dlaczego mówimy NIS2, a stosujemy polską ustawę 

Pomyśl o dyrektywie jak o zamówieniu, które Unia Europejska składa u polskiego ustawodawcy: „chcemy takiego efektu”. Dyrektywa NIS2 (2022/2555) nie działa w firmie wprost – żeby zaczęła obowiązywać, państwo członkowskie musi przenieść ją do prawa krajowego. W Polsce zrobiła to nowelizacja ustawy o krajowym systemie cyberbezpieczeństwa. Ty czytasz i wdrażasz to, co ustawodawca dostarczył, nie samo zamówienie. 

W praktyce mówimy więc „NIS2”, ale stosujemy ustawę o KSC. To ona jest aktem, z którego organizacja jest rozliczana: podstawa prawna to ustawa z dnia 5 lipca 2018 r. o krajowym systemie cyberbezpieczeństwa (t.j. Dz.U. 2026 poz. 20) w brzmieniu nadanym ustawą z dnia 23 stycznia 2026 r. wdrażającą dyrektywę NIS2 (Dz.U. 2026 poz. 252), obowiązującą od 3.04.2026 r. 

Ma to dwie bardzo praktyczne konsekwencje. Pierwsza: w rozmowie z organem, w dokumentacji i w umowach powołujesz się na artykuły ustawy o KSC, a nie na motywy dyrektywy. Druga: część branż ma własny reżim – sektor finansowy stosuje rozporządzenie DORA zamiast części KSC, a dostawcom infrastruktury cyfrowej i usług zaufania środki oraz progi incydentów precyzuje rozporządzenie wykonawcze CIR 2024/2690. 

Rekap: NIS2 to źródło, KSC to narzędzie. Cytujesz ustawę. 

Zrób teraz: otwórz aktualny tekst ustawy o KSC i zapisz link w jednym miejscu, do którego będzie sięgał cały zespół. Każde późniejsze uzasadnienie decyzji będzie się do niego odwoływać. 

2. Dwie klasy podmiotów: kluczowy vs. ważny – czym się różnią w praktyce 

Ustawa dzieli objęte organizacje na dwie klasy: podmioty kluczowe i podmioty ważne. Najprostsza analogia to kontrola biletów. Podmiot kluczowy podlega nadzorowi prewencyjnemu i następczemu – w skrócie ex-ante – więc organ może prowadzić kontrolę, w tym doraźną, w każdym czasie, jak bramka przy wejściu na peron. Podmiot ważny podlega nadzorowi następczemu (ex-post), w szczególności w przypadku uzasadnionego podejrzenia naruszenia przepisów – kontroler pojawia się, gdy coś zwróci jego uwagę. Podstawą jest art. 53 ust. 2 i 3. 

Podmioty kluczowe to zwykle duże organizacje z sektorów o najwyższej krytyczności: m.in. energia, transport, bankowość, ochrona zdrowia, woda, infrastruktura cyfrowa. Podmioty ważne to z reguły średnie i duże organizacje z pozostałych sektorów. 

Tu pojawia się najczęstsze nieporozumienie: ludzie zakładają, że „ważny” znaczy „lżejszy reżim”. Nie znaczy. Wymogi merytoryczne obu klas są zbliżone – te same 14 środków bezpieczeństwa, ta sama dokumentacja, te same terminy zgłaszania incydentów. Różni się intensywność nadzoru oraz kilka obowiązków. Najważniejszy z nich: obowiązkowy audyt bezpieczeństwa co najmniej raz na 3 lata, na własny koszt, dotyczy wyłącznie podmiotów kluczowych (art. 15 ust. 1), pierwszy do 3.04.2028 r., a raport trafia do organu w 3 dni robocze od dnia jego otrzymania przez podmiot (art. 15 ust. 1a). 

Dwie sytuacje przesądzają klasę niezależnie od Twoich wyliczeń. Byli operatorzy usługi kluczowej (OUK, status z wersji ustawy sprzed 3.04.2026 r.) stali się podmiotami kluczowymi z mocy prawa, z dniem wejścia nowelizacji w życie (art. 22 ust. 1 ustawy zmieniającej). Tak samo podmiot krytyczny jest podmiotem kluczowym niezależnie od wielkości (art. 5 ust. 1 pkt 4 lit. c). 

Rekap: klasa zmienia intensywność nadzoru i obowiązek audytu, nie zmienia zakresu środków. 

Zrób teraz: dopisz do notatki jedno zdanie: „Jeśli wyjdzie kluczowy, dochodzi umowa z niezależnym audytorem i audyt do 3.04.2028 r.” To jedyna pozycja, którą warto zarezerwować w budżecie już na etapie kwalifikacji. 

3. Sektory i progi wielkości – kto podlega, a kto nie 

Kwalifikacja opiera się na dwóch niezależnych filtrach, które trzeba przejść w tej kolejności. 

Filtr pierwszy: sektor. Ustawa zawiera załączniki z listami sektorów (załączniki 1-2) – i właśnie od nich zaczyna się każda samoidentyfikacja. Twoim zadaniem nie jest ocena, czy „czujesz się” krytyczny, ale znalezienie swojej działalności na liście. Jeśli jej tam nie ma, dalsze liczenie przychodów jest bezcelowe. 

Filtr drugi: wielkość. Dopiero gdy sektor się zgadza, sprawdzasz progi: przychód i liczbę pracowników. Podstawą nie są własne liczby w ustawie, lecz definicje z art. 2 ust. 1 załącznika I do rozporządzenia 651/2014/UE: podmiotem kluczowym jest zwykle organizacja z załącznika 1, która przewyższa wymogi dla średniego przedsiębiorcy, a podmiotem ważnym ta, która je spełnia (załącznik 1) albo spełnia lub przewyższa (załącznik 2). Konkretne wartości odczytujesz więc z tego rozporządzenia, a nie z pamięci, prezentacji konferencyjnej czy artykułu w internecie. Zapisujesz odczyt razem ze wskazaniem miejsca, z którego pochodzi. To zapis, który za dwa lata obroni Twoją decyzję – lub jej nie obroni. 

Trzy pułapki, które psują ten etap najczęściej: 

• Liczenie „na oko” z danych z pamięci. Gdy status zależy od wielkości, przesłanki bada się według stanu na dzień sporządzenia sprawozdania finansowego (art. 5 ust. 5) – tę datę wpisujesz do arkusza razem z liczbami. 

• Pominięcie podmiotów powiązanych. O tym cała następna sekcja – i to tu najczęściej zapada zmiana wyniku. 

• Zatrzymanie się na wyniku „poza zakresem” bez zapisania go. Wynik negatywny to też wynik i też wymaga dowodu. Jeśli organ zapyta, dlaczego nie ma Cię w Wykazie KSC, odpowiedzią jest dokument, nie wspomnienie rozmowy. 

Termin też jest częścią tego etapu. Samoidentyfikację (art. 5, 5a) przeprowadzasz niezwłocznie, a wniosek o wpis składasz w terminie 6 miesięcy od spełnienia przesłanek (art. 7c), a ostateczny termin rejestracji – 3.10.2026 r. – wynika z harmonogramu określonego przez ministra (art. 34 ust. 3). 

Rekap: najpierw sektor, potem progi, zawsze ze wskazaniem źródła danych. 

Zrób teraz: wypełnij trzy pola w arkuszu: sektor wg załącznika, przychód za ostatni zamknięty rok, liczba pracowników na wskazany dzień. Pod każdym dopisz, skąd pochodzi liczba. 

4. Pułapka grup kapitałowych – jak wliczać podmioty powiązane 

Tu przewracają się najbardziej pewne siebie kwalifikacje. Zasada z art. 5 ust. 6-7 jest taka: wielkość liczy się z uwzględnieniem przedsiębiorstw powiązanych i partnerskich (art. 6 ust. 2-4 załącznika I do rozporządzenia 651/2014/UE), a spółka wypada z zakresu tylko wtedy, gdy spełnia jeden z dwóch warunków – jej system informacyjny jest niezależny od systemów tych przedsiębiorstw albo nie świadczy ona usług wspólnie z nimi. 

Analogia jest dosłowna: spółki w grupie potrafią mieć osobne KRS-y i osobne zarządy, ale jeśli dzielą wspólny system krwionośny – jedną domenę, jedno AD, jeden ERP, jeden zespół IT, jedną umowę na łącza – trudno twierdzić, że to osobne organizmy. Przy wspólnym IT pierwszy argument praktycznie odpada, ale zostaje drugi: brak wspólnego świadczenia usług. Warto go ocenić osobno i udokumentować, bo to jedyna realna droga wyjścia w grupie o scentralizowanej infrastrukturze. 

Konsekwencja jest podwójna i warto ją zrozumieć od razu, bo zmienia plan wdrożenia. Formalnie samoidentyfikację robisz osobno dla każdej spółki, bo status jest przypisany do podmiotu, nie do grupy. Praktycznie werdykt zwykle wychodzi wspólny: wszystkie podlegają. Mała spółka handlowa, która samodzielnie nie zbliżyłaby się do progów, wchodzi w zakres, bo liczy się razem z grupą i korzysta z tej samej infrastruktury. 

Dobra wiadomość jest taka, że część pracy skaluje się bardzo dobrze: jedna metodyka szacowania ryzyka, jeden wzór dokumentacji, jedna grupowa umowa z dostawcą usług bezpieczeństwa, jedno coroczne szkolenie zarządów. Zła: rejestracja w Wykazie KSC, uchwały zarządów i zgłoszenia incydentów mnożą się przez liczbę spółek i nie mają efektu skali. Awaria wspólnego ERP to nie jedno zgłoszenie, a nawet kilkadziesiąt równoległych – każde w tym samym reżimie 24 i 72 godzin. 

Rekap: powiązania podnoszą wynik; wspólne IT zamyka drogę do wyjątku; kwalifikacja jest per spółka. 

Zrób teraz: zrób listę wszystkich spółek w grupie i dopisz jedną kolumnę: „czy dzieli z nami system informacyjny (tak/nie)”. Jeśli w kolumnie dominuje „tak”, zaplanuj samoidentyfikację dla całej grupy, a nie dla jednej spółki. 

5. Trzy daty, które trzeba znać na pamięć 

Cała mapa terminów sprowadza się do trzech kamieni milowych. Zapamiętaj je jak trzy bramki na lotnisku: bez pierwszej nie przejdziesz do drugiej. 

3.10.2026 – termin rejestracji w Wykazie KSC. Sama data wynika z harmonogramu ogłaszanego przez ministra w komunikacie (art. 33 ust. 3 ustawy zmieniającej w zw. z art. 34 ust. 3 pkt 1); harmonogram wskazuje terminy dla poszczególnych rodzajów podmiotów i może być zmieniany, więc sprawdź w nim swoją kategorię. Tryb złożenia wniosku daje art. 7c i 7d: składasz go w systemie teleinformatycznym z art. 46 ust. 1 i podajesz dane z art. 7 ust. 2 pkt 1-18 (art. 7c ust. 2), wraz z oświadczeniem kierownika o zgodności danych z prawdą, składanym pod odpowiedzialnością karną (art. 7c ust. 5). Wpis następuje z chwilą złożenia wniosku w systemie i ma charakter deklaratoryjny (art. 7d ust. 1 i 5). Sam wykaz liczy 26 pozycji, ale pozycje 19-26 uzupełnia z urzędu minister właściwy do spraw informatyzacji – m.in. właściwy organ, CSIRT, numer w wykazie, datę wpisu i podstawę prawną. Wniosek opatrujesz kwalifikowanym podpisem elektronicznym, podpisem zaufanym, podpisem osobistym kierownika podmiotu lub osoby przez niego upoważnionej albo kwalifikowaną pieczęcią elektroniczną (art. 7c ust. 6). To brama wejściowa: od wpisu liczy się Twoja obecność w systemie. 

3.04.2027 – pełne wdrożenie SZBI. Do tego dnia działa komplet: 14 środków bezpieczeństwa z art. 8, dokumentacja normatywna i operacyjna z art. 10 oraz procedura incydentowa. 

3.04.2028 – pierwszy audyt podmiotu kluczowego i start kar pieniężnych. Dwie rzeczy w jednej dacie: termin pierwszego obowiązkowego audytu (tylko podmioty kluczowe) i moment, od którego kary stają się aktywne. 

Do tego dwie daty pomocnicze, które ratują harmonogram. System S46 jest dostępny od 12.06.2026 r. – konto zakładasz zawczasu, nie w trakcie incydentu. Warto też znać właściwy punkt odniesienia terminów wdrożeniowych: obowiązki z rozdziału 3 ustawy realizujesz w terminie 12 miesięcy, a pierwszy audyt zapewniasz w terminie 24 miesięcy – w obu przypadkach od dnia spełnienia przesłanek uznania za podmiot kluczowy lub ważny (art. 16 pkt 1 i 2). Podmioty, które przesłanki spełniały już 3.04.2026 r., liczą te same terminy od wejścia nowelizacji w życie (art. 33 ust. 1 i 2 ustawy zmieniającej). Punktem odniesienia nie jest więc data wpisu do wykazu. I rzecz, którą łatwo przeoczyć: obowiązek zgłaszania incydentów poważnych powstaje z chwilą objęcia podmiotu ustawą, co do zasady od wpisu do Wykazu KSC – niezależnie od okresu przejściowego na budowę SZBI. Innymi słowy: procedura incydentowa i konto S46 muszą być gotowe na starcie, a nie na końcu wdrożenia. Byli OUK powinni mieć procedurę gotową już około października 2026 r. 

Rekap: 3.10.2026 rejestracja, 3.04.2027 gotowy SZBI, 3.04.2028 audyt i kary. Obowiązek incydentowy startuje z chwilą objęcia ustawą, nie w 2027 r. 

Zrób teraz: wpisz trzy daty do kalendarza organizacji jako wydarzenia z przypomnieniem 90 dni wcześniej i przypisanym właścicielem. Bez właściciela data jest tylko ciekawostką. 

6. Mit moratorium: kary czekają do 2028, ale kontrole i nakazy działają już teraz 

„Mamy czas do 2028” to najkosztowniejsze zdanie w tej całej historii. Moratorium do 3.04.2028 r. dotyczy wyłącznie kar pieniężnych. Sam nadzór działa już teraz: kontrole, w tym doraźne, ostrzeżenia i nakazy organów opierają się na art. 53 ust. 2, 4 i 5 – łącznie z nakazem audytu na własny koszt (art. 15 ust. 1b w zw. z art. 53 ust. 2 pkt 2) i poleceniem zabezpieczającym ministra (art. 67g). Moratorium na kary wynika z osobnego przepisu – art. 35 ustawy zmieniającej. Czas jest więc na uniknięcie grzywny, nie na uniknięcie nadzoru. 

Warto od razu znać skalę tego, co przychodzi w 2028 r., bo zależy ona od klasy podmiotu. Podmiot kluczowy: kara do 10 mln EUR lub 2% rocznego przychodu (art. 73 ust. 3). Podmiot ważny: do 7 mln EUR lub 1,4% rocznego przychodu (art. 73 ust. 4). Odrębnie odpowiada kierownik podmiotu – do 300% swojego wynagrodzenia (art. 73a ust. 4). Odpowiedzialność kierownika jest osobista i nie znika po powierzeniu zadań komukolwiek: ani działowi IT, ani zewnętrznemu dostawcy (art. 8c ust. 3). 

Dwa uchybienia są karalne same w sobie, bez związku z jakimkolwiek incydentem: niepowołanie własnego SOC ani niezawarcie umowy z dostawcą usług zarządzanych bezpieczeństwem – to podstawa kary dla kierownika podmiotu (art. 73a ust. 1 pkt 13 w zw. z art. 14) – oraz niekorzystanie z systemu S46 przy obowiązkach incydentowych, gdy jest ono wymagane, co obciąża podmiot (art. 73 ust. 1 pkt 13). 

Jest jeszcze mechanizm, który zaskakuje najbardziej, bo działa bez żadnego Twojego udziału. W S46 obowiązuje fikcja doręczenia: pismo uznaje się za doręczone po 14 dniach od wysłania, nawet jeśli nikt go nie otworzył (art. 46b) – a od tej daty biegną terminy. Nieczytana skrzynka nie zatrzymuje zegara. 

Stąd wynika asymetria ryzyka, o której warto rozmawiać z zarządem: największa ekspozycja leży w obowiązkach zdarzeniowych, gdzie terminy są zero-jedynkowe. Jedna przegapiona godzina z terminu 72 godzin przy poważnym incydencie to ryzyko kary do 10 mln EUR lub 2% przychodu przy podmiocie kluczowym i do 7 mln EUR lub 1,4% przy podmiocie ważnym. Koszt narzędzia czy dyżuru jest nieporównywalnie niższy niż ta ekspozycja. 

Rekap: moratorium chroni tylko przed grzywną. Kontrola, nakaz i audyt ad hoc są możliwe dziś. 

Zrób teraz: sprawdź, czy organy nadzoru prowadziły już lub zapowiedziały kontrole w Twoim sektorze, i dopisz ustalenie do notatki dla zarządu. Zapowiedziana kontrola zmienia priorytety szybciej niż każda prezentacja o ryzyku. 

7. Narzędzie NIS2 Tester – jak przeprowadzić samoidentyfikację krok po kroku 

Samoidentyfikacja to obowiązek J1 w naszej sekwencji wdrożenia: podstawa prawna art. 5 i 5a, termin – niezwłocznie, a dowodem jest arkusz kwalifikacji oraz uchwała lub notatka zarządu. Do jej przeprowadzenia i weryfikacji służy narzędzie NIS2Tester; poniższa sekwencja pokazuje, co dzieje się na każdym etapie, niezależnie od tego, czy prowadzisz ją narzędziem, czy metodyką własną opartą na załącznikach 1-2 do ustawy. 

1. Ustal sektor. Znajdź swoją działalność w załącznikach 1-2. Zapisz nazwę sektora i podsektora dosłownie tak, jak brzmi w ustawie – to sformułowanie wróci we wniosku o wpis. 

2. Sprawdź wyjątki, które przesądzają wynik z góry. Byli OUK i podmioty krytyczne wg CER są automatycznie kluczowe. Sektor finansowy sprawdza, czy nie stosuje DORA zamiast części KSC. 

3. Zmierz wielkość. Przychód i liczba pracowników, dane z zamkniętego okresu, z datą odczytu. 

4. Dolicz przedsiębiorstwa powiązane i partnerskie. Następnie oceń oba warunki wyłączenia z art. 5 ust. 6-7: niezależność systemu informacyjnego oraz brak wspólnego świadczenia usług. Przy wspólnym IT pierwszy zwykle nie zadziała. 

5. Ustal klasę. Kluczowy, ważny albo poza zakresem. Zapisz nie tylko wynik, ale i drogę do niego: który filtr zadecydował. 

6. Sporządź arkusz kwalifikacji. Jedna strona: sektor, progi, powiązania, wynik, źródła, data, autor. 

7. Zatwierdź wynik uchwałą lub notatką zarządu. To ten dokument czyni z Twojej analizy decyzję organizacji, a nie prywatną opinię działu IT. 

8. Uruchom kalendarz i wniosek. Trzy daty do kalendarza, a jeśli wynik jest pozytywny – wniosek o wpis do Wykazu KSC w terminie. 

Zapamiętaj jedną rzecz o dowodach: dowodem nie jest wynik na ekranie narzędzia, a arkusz kwalifikacji plus uchwała zarządu. Narzędzie skraca i weryfikuje analizę – podpis zamyka sprawę. 

Rekap: sektor, wyjątki, wielkość, powiązania, klasa, arkusz, uchwała, kalendarz. 

Zrób teraz: przejdź kroki 1-6 dla jednej, najbardziej reprezentatywnej spółki. Będzie wzorcem dla pozostałych. 

„A czy jest mi to w ogóle potrzebne?” 

Wynik „poza zakresem” nie kończy tematu, i to nie jest sprzedażowe zdanie, lecz konsekwencja samej ustawy. Podmioty objęte przepisami mają obowiązek oceniać bezpieczeństwo swojego łańcucha dostaw ICT, prowadzić rejestr dostawców, wpisywać klauzule bezpieczeństwa do umów i uwzględniać podatności dostawcy (art. 8 ust. 1 pkt 2 lit. e, art. 8 ust. 2). Jeśli sprzedajesz oprogramowanie, usługi IT albo utrzymanie systemów podmiotowi kluczowemu, te pytania przyjdą do Ciebie w ankiecie dostawcy – nawet jeśli sam nie podlegasz ustawie. 

Dlatego samoidentyfikacja opłaca się w każdym scenariuszu. Wynik pozytywny daje Ci harmonogram. Wynik negatywny daje Ci gotową, udokumentowaną odpowiedź dla klientów i możliwość świadomej decyzji, ile z tych wymagań spełnić dobrowolnie, żeby nie wypaść z przetargów. 

Checklista do samodzielnego wykonania 

Checklistę do tego etapu – siedem punktów od uchwały zarządu, przez podpis i dane do wniosku, po monitoring skrzynki w S46 – znajdziesz jako listę nr 2 w naszym pliku „10 checklist zgodności z ustawą o KSC”. Jest tam razem z dziewięcioma pozostałymi, ułożonymi w kolejności wdrożenia, więc po zamknięciu rejestracji nie musisz szukać, co dalej: następna lista czeka na tej samej stronie.

Mini-test – sprawdź się w 6 pytaniach 

1. Na który akt prawny powołujesz się w dokumentacji wdrożenia? 

2. Który obowiązek dotyczy wyłącznie podmiotów kluczowych? 

3. Od czego zaczynasz kwalifikację: od sektora czy od progów wielkości? 

4. Kiedy argument o niezależności spółki w grupie praktycznie odpada? 

5. Co dokładnie obejmuje moratorium do 3.04.2028 r.? 

6. Co jest dowodem przeprowadzenia samoidentyfikacji? 

Odpowiedzi: 1. Na ustawę o KSC (dyrektywa NIS2 jest źródłem, nie narzędziem stosowania). 2. Obowiązkowy audyt bezpieczeństwa co 3 lata, pierwszy do 3.04.2028 r. (art. 15). 3. Od sektora – bez trafienia na listę z załączników progi nie mają znaczenia. 4. Gdy spółka dzieli system informacyjny z resztą grupy. 5. Wyłącznie kary pieniężne; kontrole, ostrzeżenia i nakazy działają już teraz. 6. Arkusz kwalifikacji oraz uchwała lub notatka zarządu, nie wynik na ekranie narzędzia. 

Co dalej 

Znasz swój status i masz go na papierze. Następny krok to audyt luki (gap analysis): porównanie stanu obecnego z wymaganiami ustawy i mapa braków do zamknięcia. W naszej metodyce to 135 granularnych wymagań pogrupowanych w 27 grup luk, każda przypięta do konkretnej podstawy prawnej. O tym w kolejnym artykule przewodnika. 

Materiał ma charakter informacyjny i nie stanowi porady prawnej. Stan prawny: lipiec 2026 r. Przy wdrożeniu weryfikuj wydawane rozporządzenia wykonawcze oraz komunikaty Ministerstwa Cyfryzacji.