KSC i NIS2 w Polsce w 2026 roku – obowiązki firm i audyt

Dyrektywa NIS2 została wdrożona w Polsce przez nowelizację ustawy o krajowym systemie cyberbezpieczeństwa. Nowe przepisy obowiązują od 3 kwietnia 2026 roku i wprowadzają konkretne terminy dla podmiotów kluczowych oraz ważnych.

W tym poradniku wyjaśniamy, jak wstępnie ocenić, czy firma podlega KSC, jakie działania trzeba zaplanować i czym różni się ustawowy audyt od praktycznej oceny bezpieczeństwa IT.

Materiał ma charakter informacyjny i techniczny. Nie jest opinią prawną ani potwierdzeniem statusu firmy na gruncie KSC.

NIS2 i KSC – jaka jest różnica?

NIS2 jest dyrektywą Unii Europejskiej. Obowiązki działających w Polsce organizacji wynikają przede wszystkim ze znowelizowanej ustawy o KSC, która wdraża dyrektywę do polskiego prawa.

Dlatego firma nie powinna poprzestawać na ogólnej „checkliście NIS2”. Trzeba sprawdzić polskie przepisy, właściwy sektor, wielkość przedsiębiorstwa, podmioty powiązane, wykorzystywane systemy i rodzaj świadczonych usług.

Aktualny tekst nowelizacji znajduje się w Dzienniku Ustaw, a praktyczne terminy publikuje Ministerstwo Cyfryzacji.

Kogo obejmuje znowelizowana ustawa KSC?

Ustawa rozróżnia podmioty kluczowe i podmioty ważne. O klasyfikacji nie decyduje wyłącznie liczba pracowników.

Załączniki obejmują między innymi energetykę, transport, ochronę zdrowia, infrastrukturę cyfrową, administrację publiczną, usługi pocztowe, gospodarowanie odpadami, produkcję i dystrybucję żywności oraz wybrane branże produkcyjne.

Istnieją wyjątki niezależne od wielkości firmy. Przy ustalaniu statusu mogą mieć też znaczenie przedsiębiorstwa partnerskie i powiązane. Z tego powodu proste stwierdzenie „NIS2 dotyczy każdej firmy zatrudniającej co najmniej 50 osób” jest nieprecyzyjne.

Co sprawdzić na początku?

• rzeczywisty zakres działalności i właściwy załącznik do ustawy,
• liczbę pracowników, obrót i sumę bilansową,
• strukturę grupy i podmioty powiązane,
• systemy wykorzystywane do świadczenia usług,
• wpis lub obowiązek wpisu do Wykazu KSC,
• ewentualne decyzje właściwego organu.

Jeżeli wynik ma przesądzać o obowiązkach prawnych organizacji, klasyfikację warto potwierdzić z prawnikiem specjalizującym się w KSC.

Najważniejsze terminy w 2026–2028

Dla podmiotów spełniających kryteria w dniu wejścia w życie nowelizacji najważniejsze są następujące daty:

Podmioty, które zaczną spełniać przesłanki później, liczą własne terminy zgodnie z ustawą. Aktualne wyjaśnienia publikuje Ministerstwo Cyfryzacji.

Jakie obowiązki trzeba wdrożyć?

KSC nie sprowadza cyberbezpieczeństwa do zakupu programu antywirusowego. Organizacja powinna wdrożyć i utrzymywać system zarządzania bezpieczeństwem informacji oraz środki adekwatne do ryzyka.

W praktyce obejmuje to między innymi:

• zarządzanie ryzykiem i odpowiedzialnością,
• inwentaryzację systemów, urządzeń, usług i danych,
• zarządzanie podatnościami i aktualizacjami,
• kontrolę dostępów, kont uprzywilejowanych i MFA,
• bezpieczeństwo sieci, serwerów, stacji roboczych i poczty,
• kopie zapasowe oraz regularne testy odtwarzania,
• monitorowanie, logowanie i obsługę incydentów,
• ciągłość działania oraz odtwarzanie po awarii,
• bezpieczeństwo dostawców i łańcucha dostaw,
• szkolenia pracowników i osób zarządzających,
• dokumentację, dowody wykonania oraz ciągłe doskonalenie.

Dokumentacja jest potrzebna, ale nie zastąpi działających zabezpieczeń. Dobra ocena powinna więc sprawdzić zarówno procedury, jak i ich rzeczywiste stosowanie.

Ustawowy audyt KSC a techniczna ocena gotowości

Te pojęcia nie są zamienne.

Ustawowy audyt z art. 15 KSC

Okresowy audyt jest obowiązkiem podmiotu kluczowego i odbywa się co najmniej raz na trzy lata. Może go przeprowadzić jednostka oceniająca zgodność posiadająca odpowiednią akredytację, zespół co najmniej dwóch audytorów spełniających wymagania ustawy albo właściwy CSIRT sektorowy.

Audytor nie może jednocześnie wykonywać w audytowanej organizacji wskazanych w ustawie zadań związanych z cyberbezpieczeństwem ani wykonywać ich w okresie roku poprzedzającego audyt.

Podmiot ważny nie ma automatycznego obowiązku takiego okresowego audytu. Właściwy organ może jednak nakazać mu zewnętrzny audyt po poważnym incydencie lub innym naruszeniu ustawy.

Techniczna ocena gotowości

To praktyczny przegląd, którego celem jest znalezienie luk przed audytem formalnym albo niezależna ocena bieżącego bezpieczeństwa. Może obejmować skanowanie, analizę konfiguracji, wywiady, przegląd dokumentacji, testy backupu i ocenę dostawców.

Rezultatem powinny być:

• podsumowanie dla zarządu,
• rejestr ryzyk i dowody techniczne,
• wskazanie brakujących lub nieskutecznych zabezpieczeń,
• odniesienie ustaleń do obszarów KSC/NIS2,
• plan działań na 30, 90 i 180 dni,
• ponowna weryfikacja po wdrożeniu poprawek.

Taki raport pomaga przygotować organizację, ale nie jest ustawowym raportem z art. 15 KSC, certyfikatem zgodności ani opinią prawną.

Jak przygotować firmę krok po kroku?

1. Ustal status i zakres

Sprawdź sektor, wielkość, powiązania kapitałowe, kluczowe usługi i systemy. Ustal, czy firma jest podmiotem kluczowym, ważnym czy pozostaje poza zakresem ustawy.

2. Wykonaj ocenę stanu obecnego

Zbierz dokumentację i dowody, a następnie sprawdź konfigurację infrastruktury, konta, sieć, urządzenia, backup, monitoring, obsługę incydentów i dostawców.

3. Nadaj ryzykom priorytety

Najpierw usuń problemy, które mogą doprowadzić do przerwania działalności, utraty danych lub przejęcia kont. Sam zakup narzędzia nie wystarczy — trzeba je poprawnie skonfigurować, monitorować i testować.

4. Wdróż SZBI i zabezpieczenia

Procedury powinny odpowiadać rzeczywistemu środowisku IT. Każda ważna kontrola powinna mieć właściciela, sposób wykonania i dowód działania.

5. Przetestuj działanie

Sprawdź odtwarzanie kopii, scenariusze incydentowe, dostęp awaryjny, komunikację, ciągłość pracy oraz skuteczność wykrywania zagrożeń.

6. Zaplanuj niezależny audyt formalny

Jeżeli firma jest podmiotem kluczowym albo otrzymała decyzję organu, wybierz odpowiednio uprawniony i niezależny zespół audytorski. Nie zostawiaj przygotowań na ostatnie miesiące przed terminem.

Jak pomaga nex-IT?

nex-IT wykonuje techniczne audyty bezpieczeństwa IT i oceny gotowości do KSC/NIS2. Sprawdzamy, czy zabezpieczenia działają w praktyce, identyfikujemy ryzyka i przygotowujemy priorytetowy plan naprawczy.

Nie przedstawiamy tej usługi jako ustawowego audytu z art. 15 KSC i nie wystawiamy prawnego potwierdzenia zgodności. Jeżeli organizacja potrzebuje formalnego raportu, powinien on zostać sporządzony przez uprawniony i niezależny zespół audytorski.

Porozmawiaj z nami o technicznej ocenie gotowości.