3 października 2026 roku minął termin składania wniosków o wpis do wykazu podmiotów kluczowych i ważnych dla firm, które spełniały przesłanki w dniu wejścia w życie znowelizowanej ustawy o krajowym systemie cyberbezpieczeństwa (KSC). Jeżeli Twoja firma jest objęta ustawą i wniosku nie złożyła, to nie powód do paniki, ale powód do działania teraz. Poniżej: kogo dotyczy ustawa, co zrobić po terminie, jakie są kary i od kiedy mogą być nakładane.
Aktualizacja z 23 października 2026: tekst przepisano na stan po upływie terminu. Podstawa prawna: nowelizacja ustawy o KSC, Dz.U. 2026 poz. 252 (tekst w serwisie Sejmu). To informacja ogólna, nie porada prawna.
Kogo dotyczy NIS2 w Polsce
Dyrektywa NIS2 weszła do polskiego porządku prawnego przez nowelizację ustawy o krajowym systemie cyberbezpieczeństwa, obowiązującą od 3 kwietnia 2026 roku. Ustawa dzieli objęte firmy na dwie kategorie: podmioty kluczowe i podmioty ważne. O przypisaniu decydują trzy rzeczy naraz: sektor działalności z załącznika do ustawy, wielkość firmy liczona według definicji MŚP oraz rodzaj świadczonych usług.
Sektory objęte obowiązkiem to między innymi energetyka, transport, bankowość, infrastruktura rynków finansowych, ochrona zdrowia, woda pitna i ścieki, infrastruktura cyfrowa, zarządzanie usługami ICT, administracja publiczna i przestrzeń kosmiczna. Do tego dochodzą sektory z drugiego załącznika: usługi pocztowe i kurierskie, gospodarowanie odpadami, produkcja i dystrybucja chemikaliów, produkcja i dystrybucja żywności, produkcja wyrobów medycznych, komputerów, maszyn i pojazdów, dostawcy usług cyfrowych oraz jednostki naukowe.
Kluczowa pułapka: firma sama musi ocenić, czy podlega ustawie. Część podmiotów, na przykład dawni operatorzy usług kluczowych, jest wpisywana do wykazu z urzędu, ale pozostałe muszą złożyć wniosek same. Przed złożeniem wniosku sprawdź trzy rzeczy: faktyczny profil działalności, prawidłowy kod PKD oraz wielkość przedsiębiorstwa z uwzględnieniem przedsiębiorstw powiązanych i partnerskich. Ten ostatni punkt wywraca wiele kalkulacji, bo mała spółka w grupie kapitałowej potrafi przekroczyć próg, licząc się razem z właścicielem.
Terminy
| Termin | Co dotyczy |
|---|---|
| 3 kwietnia 2026 | wejście w życie znowelizowanej ustawy |
| 3 października 2026 | upłynął termin składania wniosków o wpis do wykazu przez podmioty spełniające przesłanki w dniu wejścia ustawy w życie |
| 3 kwietnia 2027 | koniec 12 miesięcy na realizację obowiązków z rozdziału 3 ustawy, w tym wdrożenie systemu zarządzania bezpieczeństwem informacji (art. 33 ust. 1 ustawy nowelizującej) |
| 3 kwietnia 2028 | koniec 24 miesięcy na pierwszy audyt podmiotów kluczowych (art. 33 ust. 2) i dopiero po tej dacie możliwe pierwsze kary pieniężne (art. 35) |
Firmy, które spełnią przesłanki uznania za podmiot kluczowy lub ważny dopiero po wejściu ustawy w życie, na przykład przez wzrost albo nową działalność, składają wniosek o wpis w terminie 6 miesięcy od dnia spełnienia przesłanek (art. 7c ust. 1). Obowiązki realizują w terminie 12 miesięcy od tego dnia, a podmiot kluczowy przeprowadza pierwszy audyt w terminie 24 miesięcy (art. 16).
Co zrobić, jeśli nie złożyłeś wniosku do 3 października
- Ustal, czy firma jest objęta ustawą: sprawdź PKD wobec obu załączników i policz wielkość firmy razem z podmiotami powiązanymi.
- Jeżeli podlegasz ustawie, złóż wniosek o wpis do wykazu bez dalszej zwłoki w systemie prowadzonym przez ministra właściwego do spraw informatyzacji. Obowiązek nie wygasa z upływem terminu, a ustawa przewiduje kary pieniężne także dla kierownika podmiotu, który nie wykonuje obowiązków związanych z wnioskiem o wpis (art. 73a).
- Wyznacz osobę, która podpisze wniosek, i przygotuj pełnomocnictwo, o ile podpisuje pełnomocnik.
- Zrób inwentaryzację systemów i danych. Bez niej nie da się napisać analizy ryzyka, a na niej stoi cały system zarządzania bezpieczeństwem.
- Zaplanuj wdrożenie systemu zarządzania bezpieczeństwem informacji do 3 kwietnia 2027 roku i audyt z wyprzedzeniem. W 2028 roku kolejka do audytorów może być długa.
Kary za brak zgodności z NIS2
Widełki są ustawione tak, żeby bolały większe podmioty, ale dolny próg uderza też w mniejsze.
- Podmiot kluczowy: do 10 mln euro albo 2 procent rocznego przychodu, przy czym stosuje się kwotę wyższą, nie mniej niż 20 tysięcy złotych.
- Podmiot ważny: do 7 mln euro albo 1,4 procent rocznego przychodu, nie mniej niż 15 tysięcy złotych.
- Kara do 100 mln złotych: gdy naruszenie przepisów powoduje bezpośrednie i poważne cyberzagrożenie dla obronności, bezpieczeństwa państwa, bezpieczeństwa i porządku publicznego lub życia i zdrowia ludzi albo zagrożenie wywołania poważnej szkody majątkowej lub poważnych utrudnień w świadczeniu usług.
- Odpowiedzialność kierownika: do 300 procent jego wynagrodzenia, a w podmiocie publicznym do 100 procent. Organ może też zakazać kierownikowi pełnienia funkcji zarządczych w podmiocie kluczowym do czasu usunięcia uchybień.
Zgodnie z przepisami przejściowymi kary pieniężne mogą być po raz pierwszy nałożone po upływie dwóch lat od wejścia w życie ustawy, czyli po 3 kwietnia 2028 roku. To nie znaczy, że do tego czasu można nic nie robić. Wdrożenie systemu zarządzania bezpieczeństwem informacji zajmuje od kilku do kilkunastu miesięcy, a termin na realizację obowiązków mija rok wcześniej, w kwietniu 2027.
Najczęstsze pytania
Czy mała firma podlega pod NIS2?
Co do zasady ustawa obejmuje firmy średnie i duże, ale są wyjątki, w których wielkość nie ma znaczenia, na przykład dostawcy usług zaufania, rejestry nazw domen czy podmioty administracji publicznej. Liczenie wielkości uwzględnia przedsiębiorstwa powiązane, więc mała spółka w grupie może zostać uznana za średnią.
Kto kontroluje zgodność z NIS2?
Nadzór i kontrolę sprawują organy właściwe do spraw cyberbezpieczeństwa, czyli właściwi ministrowie sektorowi. Zespoły CSIRT NASK, GOV i MON przyjmują zgłoszenia incydentów i koordynują reagowanie, ale nie są organami nadzoru ani kontroli. Kontrola może obejmować dokumentację systemu zarządzania bezpieczeństwem, zgłaszanie incydentów i wyniki audytu.
Czy brak wpisu do wykazu oznacza natychmiastową karę?
Nie. Ustawa przewiduje kary pieniężne, ale zgodnie z przepisami przejściowymi mogą one być nałożone po raz pierwszy po upływie dwóch lat od wejścia w życie ustawy, czyli po 3 kwietnia 2028 roku. To nie powód do zwłoki: obowiązek wpisu i terminy wdrożenia biegną niezależnie od terminu, od którego możliwe są kary.
Czy mamy jeszcze czas na złożenie wniosku?
Obowiązek złożenia wniosku nie wygasa z upływem terminu. Jeżeli firma jest objęta ustawą, a wniosku nie złożyła, powinna zrobić to jak najszybciej. Nowe podmioty składają wniosek w terminie 6 miesięcy od dnia spełnienia przesłanek uznania za podmiot kluczowy lub ważny. W szczegółowych sprawach warto skonsultować się z prawnikiem.
Jeżeli chcesz sprawdzić własną gotowość bez czytania całej ustawy, skorzystaj z bezpłatnego testu gotowości na testnis2.pl oraz z kalkulatora kar NIS2. Monitoringiem zgodności i wykrywaniem incydentów zajmuje się u nas agent Wartownik NIS2, część Tarczy Archaios. Zakres wsparcia we wdrożeniu opisuje oferta Archaios.ai, a wycena następuje po rozmowie.