Jak działa zakres NIS2
Rozstrzygają trzy pytania (dyrektywa (UE) 2022/2555, art. 2-3):
- Sektor. Czy rodzaj Twojego podmiotu jest wymieniony w załączniku I (energetyka, transport, bankowość, infrastruktura rynków finansowych, ochrona zdrowia, woda pitna i ścieki, infrastruktura cyfrowa, zarządzanie usługami ICT, administracja publiczna, przestrzeń kosmiczna) lub w załączniku II (usługi pocztowe, odpady, chemikalia, żywność, produkcja wyrobów medycznych, elektroniki, urządzeń elektrycznych, maszyn, pojazdów i innego sprzętu transportowego, dostawcy usług cyfrowych, badania naukowe)?
- Wielkość. Czy jesteś co najmniej średnim przedsiębiorstwem w rozumieniu zalecenia 2003/361/WE?
- Wyjątki. Niektóre podmioty podlegają przepisom niezależnie od wielkości, a państwa członkowskie mogą dodać kolejne.
Progi wielkości
| Kategoria | Zatrudnienie | i obrót | lub suma bilansowa | Skutek w NIS2 (jeśli podmiot jest w sektorze z załącznika) |
|---|---|---|---|---|
| Mikro | < 10 | ≤ EUR 2 mln | ≤ EUR 2 mln | Poza zakresem, chyba że niezależnie od wielkości |
| Małe | < 50 | ≤ EUR 10 mln | ≤ EUR 10 mln | Poza zakresem, chyba że niezależnie od wielkości |
| Średnie | < 250 | ≤ EUR 50 mln | ≤ EUR 43 mln | Ważny (załączniki I i II) |
| Duże | Przekracza pułapy średnich przedsiębiorstw | Kluczowy (załącznik I), ważny (załącznik II) | ||
Pułap zatrudnienia obowiązuje zawsze; w przypadku kwot wystarczy mieścić się w pułapie albo obrotu, albo sumy bilansowej. Firma z 40 pracownikami, obrotem EUR 12 mln i sumą bilansową EUR 8 mln jest nadal mała. Firma z 40 pracownikami i EUR 12 mln w obu wartościach jest średnia i objęta zakresem, jeśli jej sektor jest wymieniony. Kategoria zmienia się dopiero po przekroczeniu pułapów w dwóch kolejnych okresach obrachunkowych (art. 4 ust. 2 załącznika).
Objęci zakresem niezależnie od wielkości
- Zawsze kluczowe: kwalifikowani dostawcy usług zaufania, rejestry nazw domen najwyższego poziomu (TLD) i dostawcy usług DNS (art. 3 ust. 1 lit. b); podmioty administracji rządowej szczebla centralnego (art. 3 ust. 1 lit. d); podmioty krytyczne w rozumieniu dyrektywy CER (art. 3 ust. 1 lit. f).
- Objęci zakresem w każdej wielkości: dostawcy publicznych sieci lub usług łączności elektronicznej (kluczowi od wielkości średniej, art. 3 ust. 1 lit. c) oraz niekwalifikowani dostawcy usług zaufania (art. 2 ust. 2 lit. a).
- Wyznaczeni przez państwo członkowskie: jedyni dostawcy usługi kluczowej lub podmioty, których zakłócenie wpłynęłoby na bezpieczeństwo publiczne, bezpieczeństwo lub zdrowie, stworzyłoby ryzyko systemowe albo ma szczególne znaczenie na poziomie krajowym lub regionalnym (art. 2 ust. 2 lit. b-e).
- Usługi rejestracji nazw domen są objęte w zakresie obowiązków dotyczących danych rejestracyjnych z art. 28 (art. 2 ust. 4).
Kluczowy czy ważny: co się zmienia
Obie kategorie muszą stosować środki zarządzania ryzykiem z art. 21, zapewnić ich zatwierdzenie i nadzór przez organ zarządzający (art. 20) oraz zgłaszać znaczące incydenty (art. 23). Różnica dotyczy nadzoru i kar. Podmioty kluczowe podlegają nadzorowi proaktywnemu (art. 32) i karom w wysokości co najmniej do EUR 10 mln lub 2 % całkowitego rocznego światowego obrotu; podmioty ważne podlegają nadzorowi następczemu (art. 33), z karami co najmniej do EUR 7 mln lub 1,4 % (art. 34). Podmioty finansowe objęte DORA stosują DORA w zakresie ryzyka ICT i zgłaszania incydentów (art. 4).
Poza zakresem, a mimo to pytają
Art. 21 ust. 2 lit. d czyni podmioty NIS2 odpowiedzialnymi za bezpieczeństwo ich łańcucha dostaw. Spodziewaj się kwestionariuszy bezpieczeństwa, klauzul umownych i praw do audytu od klientów objętych zakresem, zwłaszcza jeśli dostarczasz usługi IT, oprogramowanie, hosting lub komponenty. Udokumentowane polityki, status ISO 27001 i proces obsługi incydentów oszczędzają dni pracy przy każdym kwestionariuszu.
Uwagi krajowe
- Niderlandy: Cyberbeveiligingswet obowiązuje od 15 sierpnia 2026 r. (Rijksoverheid); rejestracja przez MijnNCSC; oficjalny test własny NCSC. Szczegóły: Valt mijn organisatie onder de Cbw?
- Włochy: D.Lgs. 138/2024, obowiązujący od 16 października 2024 r., z dodatkowymi kategoriami w załącznikach III i IV; coroczna rejestracja na portalu ACN między 1 stycznia a 28 lutego. Szczegóły: La NIS2 si applica alla mia azienda?
- Belgia: ustawa NIS2 z 26 kwietnia 2024 r., obowiązująca od 18 października 2024 r., pod nadzorem CCB; podmioty kluczowe miały pierwszy termin oceny zgodności 18 kwietnia 2026 r. (ścieżka CyFun lub ISO/IEC 27001).
- Niemcy: NIS2UmsuCG (BGBl. 2025 I Nr. 301) obowiązuje od 6 grudnia 2025 r.; rejestracja w BSI; zobacz FAQ BSI.
Co może się zmienić
20 stycznia 2026 r. Komisja zaproponowała ukierunkowane zmiany NIS2, w tym kategorię „małych średnich spółek” (small mid-cap; poniżej 750 pracowników i obrót do EUR 150 mln lub suma bilansowa do EUR 129 mln), których przedstawiciele mogliby być co najwyżej podmiotami ważnymi. Według stanu na 1 października 2026 r. jest to wniosek w trakcie procedury legislacyjnej; kalkulator stosuje obecną dyrektywę.
Tylko orientacyjnie, nie stanowi porady prawnej. Krajowe przepisy wdrażające mogą dodawać sektory lub podmioty, a o wyznaczeniu i rejestracji decyduje Twój właściwy organ.