NIS2 i KSC – kogo dotyczą nowe obowiązki i jak się przygotować?

Czym jest NIS2 i nowelizacja ustawy o KSC?

Nowelizacja ustawy o Krajowym Systemie Cyberbezpieczeństwa, wdrażająca do polskiego prawa dyrektywę NIS2, weszła w życie 3 kwietnia 2026 r. Nowe przepisy znacząco rozszerzyły krąg organizacji objętych wymaganiami w zakresie cyberbezpieczeństwa.

Regulacje dotyczą podmiotów działających w 18 sektorach gospodarki, m.in. energetyce, transporcie, ochronie zdrowia, gospodarce wodno-ściekowej, infrastrukturze cyfrowej i telekomunikacji.

Jakie firmy i organizacje podlegają NIS2?

Ustawa o KSC wyróżnia podmioty kluczowe i ważne. O objęciu organizacji regulacją decydują m.in. sektor działalności oraz kryteria dotyczące jej wielkości, w tym liczby zatrudnionych i danych finansowych.

W określonych ustawą przypadkach wymagania mogą dotyczyć podmiotów niezależnie od ich wielkości. Dlatego jednym z pierwszych działań powinno być sprawdzenie, czy organizacja spełnia kryteria podmiotu kluczowego lub ważnego i jakie obowiązki z tego wynikają.

Wykaz KSC – do kiedy należy dokonać zgłoszenia?

Jednym z ważnych terminów związanych z nowelizacją ustawy o KSC jest 3 października 2026 r.

Podmioty spełniające kryteria ustawy, które podlegają obowiązkowi samodzielnego zgłoszenia, mają 6 miesięcy od wejścia przepisów w życie na złożenie wniosku o wpis do Wykazu podmiotów kluczowych i ważnych KSC. Termin ten upływa 3 października 2026 r.

Część podmiotów może zostać wpisana do Wykazu KSC z urzędu.

Jakie obowiązki wprowadza NIS2?

Nowe regulacje nie sprowadzają się wyłącznie do formalnego wpisu do Wykazu KSC. Wymagania NIS2 dotyczą również zarządzania ryzykiem i bezpieczeństwem informacji, reagowania na incydenty oraz ciągłości działania.

W praktyce przygotowanie organizacji wymaga spojrzenia zarówno na stosowane technologie i zabezpieczenia, jak i na procesy, procedury oraz sposób zarządzania bezpieczeństwem.

Audyt NIS2 i analiza luk – od czego zacząć przygotowania?

Dobrym punktem wyjścia może być audyt bezpieczeństwa i analiza luk pod kątem wymagań NIS2. Pozwalają ocenić obecny poziom bezpieczeństwa, zidentyfikować obszary wymagające zmian i ustalić priorytety dalszych działań.

Z audytów prowadzonych przez INEA wynika, że wyzwania dotyczą zarówno technologii, jak i procesów. Wśród obszarów wymagających uwagi pojawiają się m.in.:

• MFA i zarządzanie dostępami,
• monitoring bezpieczeństwa,
• backup,
• aktualność systemów,
• ciągłość działania,
• zarządzanie dostawcami ICT.

Taka diagnoza pozwala przejść od ogólnego pytania „czy jesteśmy gotowi na NIS2?” do konkretnego planu działań i priorytetów.

Jak INEA wspiera organizacje w przygotowaniu do NIS2?

W INEA przygotowania do NIS2 zaczynamy od oceny obecnego poziomu bezpieczeństwa i analizy luk. Na tej podstawie pomagamy określić priorytety i rekomendujemy działania odpowiadające rzeczywistym potrzebom organizacji.

Wspieramy również we wdrożeniu odpowiednich rozwiązań z zakresu cyberbezpieczeństwa, infrastruktury sieciowej i chmury. Dzięki temu przygotowanie do wymagań NIS2 może być uporządkowanym procesem – od diagnozy, przez rekomendacje, po konkretne działania.

Chcesz sprawdzić, jak przygotować swoją organizację do wymagań NIS2?

Skontaktuj się z nami. Pomożemy ocenić obecną sytuację, wskazać priorytety i zaplanować kolejne działania.