Dyrektywa NIS2 – Kogo dotyczy i jakie są obowiązki? Regulacje cyberbezpieczeństwa

Cyberataki na infrastrukturę krytyczną stały się codziennością. Ransomware paraliżujący szpitale, wycieki danych z platform e-commerce, ataki na łańcuchy dostaw – to nie scenariusze z filmów, ale rzeczywistość europejskiego biznesu. Właśnie dlatego Unia Europejska zdecydowała się na radykalną aktualizację przepisów o cyberbezpieczeństwie.

Nowa dyrektywa NIS2 to nie kosmetyczne zmiany, ale kompletna zmiana zasad gry. Jeśli prowadzisz biznes w UE i myślisz, że cyberbezpieczeństwo to problem tylko wielkich korporacji – ten artykuł zmieni Twoje podejście.

Podsumowanie na start

📋 W skrócie: Dyrektywa NIS 2 to unijna regulacja cyberbezpieczeństwa obowiązująca od 2025 roku, która dotyczy firm średnich i dużych (50+ pracowników lub 10+ mln euro obrotu) z 18 sektorów gospodarki. Za nieprzestrzeganie grożą kary do 10 mln euro lub 2% globalnego obrotu.

Nie jesteś pewien, czy NIS2 dotyczy Twojej firmy? Skorzystaj z naszej bezpłatnej 15-minutowej konsultacji. Nasi eksperci pomogą Ci określić, czy musisz wdrożyć nowe wymogi dotyczące cyberbezpieczeństwa. Kliknij i umów się na bezpłatną konsultację.

Czym jest dyrektywa NIS2?

💡 Dyrektywa NIS2 to unijny akt prawny ustanawiający wspólne standardy cyberbezpieczeństwa dla podmiotów kluczowych i ważnych (ich sieci i systemów informatycznych). Zastępuje pierwotną dyrektywę NIS z 2016 roku, wprowadzając szerszy zakres obowiązków oraz sankcje do 10 mln euro od wejścia w życie dyrektywy.

Pierwsza dyrektywa NIS była jak łatanie dziur w dachu podczas ulewy – pomagała, ale nie rozwiązywała problemu systemowo. NIS2 to już kompleksowa przebudowa, która ma zapewnić rzecz wysokiego wspólnego poziomu cyberbezpieczeństwa państw członkowskich UE.

Dlaczego ta zmiana była konieczna? Pandemia pokazała, jak bardzo jesteśmy uzależnieni od technologii cyfrowych. Jednocześnie cyberprzestępcy stali się bardziej wyrafinowani – ataki na Colonial Pipeline czy SolarWinds udowodniły, że nawet najlepiej zabezpieczone systemy mogą paść ofiarą zaawansowanych grup przestępczych.

Dyrektywa Parlamentu Europejskiego i Rady NIS 2, obowiązująca od 17 października 2024 r., wprowadza fundamentalną zmianę w podejściu do cyberbezpieczeństwa. Zamiast reagować na incydenty, mamy im zapobiegać. Dyrektywa NIS2 zmienia system – zamiast chronić tylko największych graczy, zabezpieczamy cały ekosystem gospodarczy tworząc systemowe wytyczne. To zmiana filozofii z „mam nadzieję, że mnie nie zaatakują” na „jestem przygotowany na atak”.

Kogo dotyczy dyrektywa NIS2?

💡 NIS2 dotyczy firm średnich i dużych z 18 sektorów gospodarki. Podmioty kluczowe to firmy z 250+ pracownikami lub 50+ mln EUR obrotu. Podmioty ważne to firmy z 50+ pracownikami lub 10+ mln EUR obrotu.

Największym zaskoczeniem dla wielu przedsiębiorców jest fakt, że NIS2 znacząco rozszerza krąg podmiotów objętych obowiązkami w zakresie cyberbezpieczeństwa, a przepisy krajowe tego już nie zmienią.

O ile pierwsza dyrektywa NIS koncentrowała się głównie na dużych graczach z sektora energetyki czy bankowości, NIS2 obejmuje praktycznie każdą firmę o istotnym znaczeniu gospodarczym. Startup SaaS ABC, który jeszcze rok temu był małą firmą, dziś może odkryć, że jego platforma obsługująca tysiące użytkowników kwalifikuje go jako podmiot ważny – a to aktualizuje wymagania w zakresie cyberbezpieczeństwa.

Które sektory są objęte dyrektywą NIS2?

NIS2 wprowadza dwa rodzaje sektorów – o wysokim stopniu krytyczności oraz inne sektory krytyczne:

Sektory o wysokim stopniu krytyczności (podmioty kluczowe):

• energia (elektryczność, ropa, gaz, wodór),
• transport (lotniczy, kolejowy, wodny, drogowy),
• bankowość i infrastruktura rynków finansowych,
• sektor zdrowia (szpitale, laboratoria, producenci leków),
• woda pitna i ścieki,
• infrastruktura cyfrowa (IXP, DNS, TLD, cloud computing, data center, sieci CDN),
• zarządzanie usługami ICT dla podmiotów krytycznych,
• administracja publiczna,
• przestrzeń kosmiczna.

Inne sektory krytyczne (podmioty ważne) od 17 października 2024 r:

• usługi pocztowe i kurierskie,
• gospodarowanie odpadami,
• produkcja i dystrybucja chemikaliów,
• produkcja i handel żywnością,
• produkcja wyrobów medycznych, komputerów, elektroniki, maszyn, pojazdów,
• dostawcy usług cyfrowych (marketplace, wyszukiwarki, media społecznościowe),
• instytucje badawcze.

Jakie są dokładne kryteria kwalifikacji pod NIS2?

Aby określić, czy Twoja firma jest objęta dyrektywą, musisz sprawdzić spełnienie następujących kryteriów:

Dla podmiotów kluczowych:

• zatrudnienie co najmniej 250 pracowników, lub
• roczny obrót co najmniej 50 mln euro i suma bilansowa co najmniej 43 mln euro,
• oraz działalność w jednym z sektorów o wysokim stopniu krytyczności.

Dla podmiotów ważnych:

• zatrudnienie co najmniej 50 pracowników, lub
• roczny obrót co najmniej 10 mln euro i suma bilansowa co najmniej 10 mln euro,
• oraz działalność w jednym z wymienionych 18 sektorów.

Ważne wyjątki i szczególne przypadki NIS2

Niektóre podmioty są objęte dyrektywą niezależnie od wielkości:

• dostawcy publicznych sieci łączności elektronicznej,
• dostawcy usług zaufania,
• rejestry nazw domen najwyższego poziomu (TLD),
• podmioty administracji publicznej szczebla centralnego.

Z kolei mikro- i małe przedsiębiorstwa (poniżej 50 pracowników i 10 mln euro obrotu) są co do zasady wyłączone z obowiązków NIS2, chyba że:

• są jedynym dostawcą krytycznej usługi w danym regionie,
• mogą spowodować zagrożenie systemowe dla bezpieczeństwa publicznego,
• zostały wyznaczone przez państwo członkowskie jako krytyczne

– wtedy przepisy dotyczące poziomu cyberbezpieczeństwa na terytorium Unii także ich dotyczą. 

Pro tip: Nie patrzą tylko na formalne kryteria. Jeśli Twoja firma jest kluczowym dostawcą dla podmiotów objętych NIS2 (np. dostarczasz oprogramowanie dla szpitali lub obsługujesz infrastrukturę IT dla banków), NIS2 przewiduje objęcie Cię wymogami poprzez łańcuch dostaw. Lepiej przygotować się zawczasu, niż zostać zaskoczonym wymaganiami od głównego klienta.

Jak sprawdzić status swojej firmy pod NIS2?

Proces weryfikacji wygląda następująco:

1. określ swój główny obszar działalności według PKD,
2. sprawdź, czy mieści się w jednym z 18 sektorów NIS2,
3. zweryfikuj wielkość firmy (pracownicy, obrót, suma bilansowa),
4. oceń znaczenie swojej działalności dla gospodarki i społeczeństwa,
5. przeanalizuj powiązania z innymi podmiotami krytycznymi – także na podstawie prawa krajowego.

Pamiętaj, że ostateczną decyzję o zakwalifikowaniu podmiotu podejmuje organ nadzoru w danym państwie członkowskim. W Polsce, dla polskich operatorów usług, jest to CSIRT NASK we współpracy z organami sektorowymi.

Pro tip: Nie czekaj na oficjalne wezwanie do wdrożenia NIS2. Jeśli Twoja firma przetwarza dane więcej niż 10 000 użytkowników lub obsługuje krytyczne procesy biznesowe dla innych przedsiębiorstw, już teraz zacznij przygotowania, które zapewnią bezpieczeństwo sieci i systemów informatycznych. 

Jakie są obowiązki wynikające z NIS2?

💡 NIS2 wymaga wdrożenia przez podmiot kluczowy lub ważny 10 środków bezpieczeństwa, procedur reagowania na incydenty, regularnych audytów i osobistej odpowiedzialności zarządu. Incydenty zgłasza się w ciągu 24-72 godzin.

Środki zarządzania ryzykiem w cyberbezpieczeństwie według NIS2 to nie lista życzeń, ale konkretne wymagania, które musisz wdrożyć. Dyrektywa nie mówi dokładnie „jak”, ale bardzo precyzyjnie określa „co” kto ma zrobić, dążąc so zapewnienia wspólnego poziomu cyberbezpieczeństwa na terytorium UE. To daje firmom elastyczność w doborze rozwiązań, ale jednocześnie nie pozostawia miejsca na półśrodki (warto tutaj także sięgnąć do ustawy o krajowym systemie cyberbezpieczeństwa).

Kluczowe obszary, które musisz zabezpieczyć, obejmują nie tylko technologię, ale całą organizację pod kątem wymagań dyrektywy NIS2: 

• polityki bezpieczeństwa i zarządzanie ryzykiem – dokumenty to podstawa, ale muszą być wdrożone w życie,
• bezpieczeństwo łańcucha dostaw – weryfikacja dostawców i podwykonawców,
• ciągłość działania – plany awaryjne i kopie zapasowe,
• zarządzanie podatnościami – regularne aktualizacje i łatanie systemów,
• szyfrowanie i kontrola dostępu – ochrona danych w spoczynku i transmisji.

Nowe obowiązki i restrykcje? Osobista odpowiedzialność kadry zarządzającej. 

Zarząd nie może już delegować cyberbezpieczeństwa wyłącznie na dział IT. Członkowie zarządu mogą ponosić osobistą odpowiedzialność za zaniedbania w obszarze cyberbezpieczeństwa, włącznie z zakazem pełnienia funkcji kierowniczych.

Kiedy i jak zgłaszać incydenty według NIS2?

💡 Poważne incydenty należy zgłosić w trzech etapach: wczesne ostrzeżenie w ciągu 24 godzin, powiadomienie o incydencie w ciągu 72 godzin oraz raport końcowy w ciągu miesiąca od zamknięcia incydentu.

System zgłaszania incydentów w NIS2 został zaprojektowany tak, aby organy nadzoru mogły szybko reagować na zagrożenia. To nie biurokracja dla samej biurokracji – gdy ransomware atakuje jedną firmę, często przygotowuje się do ataku na kolejne. Szybkie powiadomienie może uratować innych przed podobnym losem.

Praktyczny przykład: Sklep internetowy XYZ zauważył nietypową aktywność na serwerach o godzinie 14:00. O 16:00 potwierdzono włamanie. Zgodnie z NIS2, do godziny 14:00 następnego dnia musi wysłać wczesne ostrzeżenie, nawet jeśli nie zna jeszcze pełnego zakresu incydentu.

Jak przygotować firmę na wymogi dotyczące cyberbezpieczeństwa NIS2?

💡 Przygotowanie do NIS2 wymaga przeprowadzenia audytu obecnego stanu bezpieczeństwa, wdrożenia brakujących polityk i procedur, przeszkolenia pracowników oraz aktualizacji umów z dostawcami usług IT.

Wdrożenie NIS2 to maraton, nie sprint. Firmy, które próbują zrobić wszystko na ostatnią chwilę, często przepłacają za usługi konsultingowe i wdrożeniowe. Mądrzejsze podejście to systematyczna praca rozpoczęta odpowiednio wcześnie.

Plan działania powinien obejmować następujące kroki:

• audyt luk w cyberbezpieczeństwie – sprawdzenie co już mamy, a czego brakuje,
• mapowanie procesów krytycznych – identyfikacja najważniejszych systemów,
• aktualizacja dokumentacji – polityki, procedury, instrukcje,
• wdrożenie narzędzi – systemy monitoringu, backup, zarządzanie dostępem,
• szkolenie zespołu – świadomość zagrożeń to podstawa bezpieczeństwa.

Pro tip: Zacznij od tego, co najtrudniejsze – przeglądu umów z dostawcami. Renegocjacje mogą potrwać miesiące, a bez odpowiednich zapisów nie spełnisz wymogu bezpieczeństwa łańcucha dostaw.

Jakie kary grożą za nieprzestrzeganie dyrektywy NIS2?

💡 Za naruszenie przepisów NIS2 grożą kary finansowe do 10 milionów euro lub 2% całkowitego rocznego światowego obrotu przedsiębiorstwa, a także sankcje osobiste dla kadry zarządzającej, włącznie z czasowym zakazem pełnienia funkcji kierowniczych.

Sankcje w NIS2 zostały skalibrowane tak, aby bolały nawet największe korporacje. To nie są symboliczne kary, które można wpisać w koszty działalności. Dla średniej firmy technologicznej kara rzędu 2% obrotu może oznaczać stratę całego rocznego zysku.

NIS2 a inne regulacje – jak zapewnić spójność z RODO, DORA i KSC?

💡 NIS2 uzupełnia istniejące regulacje jak RODO czy DORA, tworząc kompleksowy system ochrony – podczas gdy RODO chroni dane osobowe, a DORA skupia się na sektorze finansowym, NIS2 zabezpiecza szeroko rozumianą infrastrukturę cyfrową i ciągłość działania.

Największym wyzwaniem dla firm jest uniknięcie dublowania procedur. Jeśli już wdrożyłeś RODO, masz solidny fundament – procedury zarządzania incydentami można rozszerzyć o wymogi NIS2. Kluczem jest podejście holistyczne: jeden system zarządzania bezpieczeństwem informacji, który spełnia wymogi wszystkich regulacji.

📌 Dowiedz się więcej! Przeczytaj także poniższe artykuły:

• RODO dla SaaS – Kompletny przewodnik wdrożenia
• Rozporządzenie DORA – kompleksowy przewodnik – czym jest i jak zapewnić zgodność z DORA?

Najczęściej zadawane pytania (FAQ)

Czy startup SaaS z 40 pracownikami podlega NIS2?

Nie, jeśli ma mniej niż 50 pracowników i obrót poniżej 10 mln EUR. Uwaga: jeśli obsługuje podmioty krytyczne, może zostać objęty przez łańcuch dostaw.

Kiedy dokładnie wchodzi NIS2 w Polsce?

Termin transpozycji minął 17.10.2024. Polska ustawa jest w przygotowaniu – i pierwotnie przewidywana była na I kwartał 2025.

Czy za brak wdrożenia NIS2 grożą kary od razu?

Kary nakładane są po kontroli i stwierdzeniu naruszeń. Masz czas na wdrożenie od momentu publikacji polskiej ustawy.

Czy mogę sam wdrożyć NIS2 bez konsultanta?

Tak, jeśli masz wiedzę o cyberbezpieczeństwie i zarządzaniu ryzykiem. Dla większości firm wsparcie eksperta przyspiesza proces i zmniejsza ryzyko błędów.

Czy NIS2 dotyczy firm działających tylko w Polsce?

NIS2 obowiązuje wszystkie podmioty w Unii Europejskiej, niezależnie od zasięgu działania.

Podsumowanie – najważniejsze informacje o NIS2

1. NIS2 dotyczy znacznie szerszej grupy firm niż poprzednia dyrektywa – sprawdź, czy nie dotyczy również Ciebie.
2. Wdrożenie to nie tylko kwestia IT, ale całej organizacji – włącznie z odpowiedzialnością zarządu.
3. Kary za nieprzestrzeganie mogą wynieść nawet 10 mln euro lub 2% globalnego obrotu.
4. Incydenty trzeba zgłaszać w ciągu 24-72 godzin – przygotuj procedury zawczasu.
5. NIS2 współgra z RODO i innymi regulacjami – buduj spójny system compliance.
6. Nie czekaj na ostateczną wersję polskiej ustawy – główne wymogi już są znane.

NIS2 wprowadza nowe obowiązki – czy dotyczą Twojej firmy? Nasi prawnicy-eksperci w trakcie bezpłatnej 15-minutowej konsultacji przeanalizują Twoją sytuację i wskażą konkretne działania, które musisz podjąć. Kliknij i umów się na niezobowiązującą rozmowę.

Zdjęcie dodane przez Daniel Putzer