NIS2 i ustawa KSC. Czy to dotyczy właśnie Ciebie?

Obowiązek rejestracji dotyczy podmiotów kluczowych i ważnych w rozumieniu ustawy KSC. Status zależy od sektora, w którym działa firma, oraz od jej wielkości (liczba zatrudnionych lub roczny obrót). Jeśli działasz w jednym z ponad 18 sektorów wymienionych w załącznikach nr 1 i 2 do ustawy i przekraczasz próg średniego przedsiębiorcy, najprawdopodobniej masz obowiązek złożenia wniosku o wpis do wykazu podmiotów kluczowych lub ważnych.

Termin: 6 miesięcy od spełnienia przesłanek — dla większości firm to 3 października 2026 r.

Podmiot kluczowy działa w sektorze z załącznika nr 1 (m.in. energetyka, transport, bankowość, ochrona zdrowia, infrastruktura cyfrowa) i zatrudnia ponad 250 osób lub osiąga obrót powyżej 50 mln euro. Podmiot ważny to firma z załącznika nr 1 lub 2 spełniająca progi średniego przedsiębiorcy (50–249 pracowników, obrót 10–50 mln euro).

Różnica ma znaczenie praktyczne: podmioty kluczowe podlegają nadzorowi prewencyjnemu, muszą przeprowadzać audyty co 3 lata i grożą im wyższe kary (do 10 mln euro). Podmioty ważne podlegają nadzorowi następczemu i niższemu progowi kar (do 7 mln euro).

Termin wynosi 6 miesięcy od dnia spełnienia przesłanek. Dla podmiotów, które spełniały kryteria już w dniu wejścia ustawy w życie (3 kwietnia 2026 r.), termin upływa 3 października 2026 r.

Jeśli firma przekroczyła progi wielkości lub rozpoczęła działalność w regulowanym sektorze po tej dacie, termin liczy się od momentu spełnienia przesłanek — nie od daty wejścia ustawy w życie. Wniosek składa się wyłącznie elektronicznie z kwalifikowanym podpisem.

Tak — ustawa KSC nie wymaga, aby działalność z załącznika nr 1 lub 2 była działalnością przeważającą. Każdy zarejestrowany kod PKD odpowiadający sektorowi z ustawy może samodzielnie triggerować obowiązki. Podmiot z wieloma kodami PKD wykazuje odrębnie każdą kwalifikującą działalność we wniosku o wpis do wykazu.

Wyjątek: w sektorze gospodarowania odpadami i zaopatrzenia w wodę ustawa wymaga, aby dana działalność stanowiła istotną lub podstawową część ogólnej działalności firmy.

Kary finansowe sięgają do 10 mln euro lub 2% rocznego przychodu dla podmiotów kluczowych i do 7 mln euro lub 1,4% przychodu dla podmiotów ważnych (stosuje się wyższą z kwot). W szczególnych przypadkach kara może wynieść do 100 mln zł.

Kierownik odpowiada osobiście — do 300% miesięcznego wynagrodzenia w podmiocie prywatnym, nawet jeśli powierzył obowiązki innej osobie. Organ może też wstrzymać działalność lub wydać zakaz pełnienia funkcji zarządczych.

Polska implementacja zawiera szereg wymagań niemających odpowiednika w samej dyrektywie. Najważniejsze różnice to: formalny rejestr podmiotów z wnioskiem składanym pod rygorem odpowiedzialności karnej, obowiązkowe coroczne szkolenia kierownictwa z dokumentacją, weryfikacja niekaralności kluczowych pracowników w KRK, mechanizm uznania dostawcy za „dostawcę wysokiego ryzyka” oraz Połączone Centrum Operacyjne Cyberbezpieczeństwa (PCOC).

Sama znajomość dyrektywy NIS2 nie wystarczy — polskie przepisy są bardziej rygorystyczne w kilku kluczowych obszarach i wymagają osobnej analizy zgodności z uKSC.

Tak. Określone podmioty publiczne podlegają ustawie niezależnie od progów wielkości — m.in. organy administracji rządowej, jednostki samorządu terytorialnego i podmioty im podległe. Ustawa przewiduje mechanizm wspólnego wykonywania obowiązków przez JST na podstawie porozumień między jednostkami.

Wyłączone ze standardowego reżimu są służby specjalne i podmioty podległe Ministrowi Obrony Narodowej.

SZBI — System Zarządzania Bezpieczeństwem Informacji — to zestaw polityk, procedur i środków technicznych wdrożonych w systemach informacyjnych wykorzystywanych do świadczenia usługi. Ustawa KSC określa jego minimalny zakres: systematyczne szacowanie ryzyka, polityki bezpieczeństwa, zarządzanie aktywami i dostępem, bezpieczeństwo fizyczne, kryptografia, bezpieczeństwo HR, plany ciągłości działania i odtwarzania po awarii, monitoring ciągły oraz bezpieczeństwo łańcucha dostaw — w tym ocena dostawców i wyniki postępowań dotyczących dostawców wysokiego ryzyka.

Termin wdrożenia SZBI: 12 miesięcy od spełnienia przesłanek — dla większości podmiotów to 3 kwietnia 2027 r.

Tester NIS2 RED INTO GREEN to jedyne bezpłatne narzędzie na polskim rynku, które weryfikuje status organizacji na podstawie danych pobieranych automatycznie z rejestrów publicznych — wystarczy podać NIP. Nie interpretujesz przepisów samodzielnie.
W odróżnieniu od ogólnych checklist dostępnych w sieci, Tester uwzględnia pełną treść polskiej ustawy KSC z 3 kwietnia 2026 r. — nie samą dyrektywę NIS2. Sprawdza sektor na podstawie zaciągniętych kodów PKD, weryfikuje progi wielkości przedsiębiorcy, uwzględnia wyjątki od progów oraz wyłączenia podmiotowe. Wynik to nie ogólna odpowiedź „tak/nie” — to określenie konkretnego statusu (podmiot kluczowy, ważny lub poza zakresem), właściwego organu nadzorczego i CSIRT oraz terminu, w którym Twoja organizacja musi złożyć wniosek o rejestrację.
Po otrzymaniu wyniku zespół RED INTO GREEN odpowiada na pytania i wspiera w analizie sytuacji. Jeśli organizacja potrzebuje pełnego wdrożenia SZBI, zarządzania incydentami lub audytu zgodności, platforma RIG NIS stanowi naturalny kolejny krok.
Wynik otrzymujesz w postacie wyświetlonego komunikatu na stronie, a pełny raport w pliku PDF, który możesz analizować ze swoim zespołem jest przesyłany na maila podanego przy rejestracji.