NIS2 w październiku 2026: stan transpozycji

Opublikowano 19 października 2026 · Dazr

Dwa lata po terminie cztery państwa członkowskie stoją przed TSUE, a Niemcy, Niderlandy i Austria stosują już ustawy wdrażające NIS2.

Państwa członkowskie miały czas do 17 października 2024 r. na przeniesienie dyrektywy NIS2 do prawa krajowego. Dwa lata później większość to zrobiła, kilka wciąż nad tym pracuje, a Komisja Europejska skierowała sprawy czterech z nich do Trybunału.

Cztery kraje przed Trybunałem Sprawiedliwości

8 lipca 2026 r. Komisja skierowała do Trybunału Sprawiedliwości UE sprawy Irlandii, Hiszpanii, Francji i Niderlandów, które nie zgłosiły pełnej transpozycji NIS2. Wniosła o sankcje finansowe: ryczałt oraz dzienne kary pieniężne do czasu pełnej transpozycji. Postępowanie rozpoczęło się od wezwań do usunięcia uchybienia 28 listopada 2024 r., a 7 maja 2025 r. wydano uzasadnione opinie.

Ustawy, które już obowiązują

Niemcy: ustawa wdrażająca NIS2 została opublikowana w Dzienniku Ustaw Rzeszy 5 grudnia 2025 r. (BGBl. 2025 I Nr. 301) i obowiązuje od 6 grudnia 2025 r. Podmioty miały trzy miesiące na rejestrację w BSI. BSI wskazuje, że termin minął, i prosi niezarejestrowanych o niezwłoczną rejestrację.
Niderlandy: Cyberbeveiligingswet (Cbw) weszła w życie 15 sierpnia 2026 r., już po skierowaniu sprawy do Trybunału, razem z ustawą o odporności podmiotów krytycznych (Wwke). Zastępuje Wbni, a podmioty muszą zarejestrować się w NCSC.
Austria: NISG 2026 (BGBl. I Nr. 94/2025) obowiązuje od 1 października 2026 r. i zastępuje NISG 2018.
Włochy: dekret ustawodawczy 138/2024 obowiązuje od 16 października 2024 r.

Wciąż w toku

Francja: projekt ustawy o odporności infrastruktury krytycznej i wzmocnieniu cyberbezpieczeństwa, który wdraża NIS2 wraz z dyrektywą CER i dyrektywą DORA, został przyjęty przez Senat w pierwszym czytaniu 12 marca 2025 r. Komisja Zgromadzenia Narodowego przyjęła swój tekst 10 września 2025 r., a proces legislacyjny nie został jeszcze zakończony.
Hiszpania: Rada Ministrów zatwierdziła 14 stycznia 2025 r. wstępny projekt ustawy o koordynacji i zarządzaniu cyberbezpieczeństwem. Dopóki nowa ustawa nie zostanie opublikowana w BOE, obowiązuje Real Decreto-ley 12/2018, który wdrażał pierwszą dyrektywę NIS.
Irlandia: General Scheme ustawy National Cyber Security Bill opublikowano w sierpniu 2024 r. Ustawa nie została jeszcze uchwalona.

Proponowane zmiany

20 stycznia 2026 r. Komisja zaproponowała w pakiecie dotyczącym cyberbezpieczeństwa ukierunkowane zmiany NIS2: prostsze zasady ustalania właściwego państwa, uproszczone gromadzenie danych o atakach ransomware oraz nową kategorię małych spółek o średniej kapitalizacji. Według Komisji ułatwiłoby to przestrzeganie przepisów 28 700 firmom. To propozycje: do czasu ich przyjęcia obowiązują obecna dyrektywa i ustawy krajowe.

Co to oznacza w praktyce

Sprawdź każdy kraj, w którym działasz. Obowiązki rejestracyjne, organy, terminy i kary są ustalane krajowo i się różnią.
Najpierw rejestracja. Tam, gdzie ustawa obowiązuje, rejestracja u krajowego organu jest zwykle pierwszym, często krótkim terminem.
Nie czekaj na spóźnioną ustawę. Obowiązki wynikają z prawa krajowego i zaczynają się, gdy zacznie ono obowiązywać. Klienci i zamawiający publiczni już teraz pytają o środki z art. 21 i o zabezpieczenie łańcucha dostaw, a rozporządzenie wykonawcze (UE) 2024/2690 szczegółowo opisuje te środki dla dostawców usług cyfrowych.

Źródła

Wyłącznie w celach informacyjnych, nie stanowi porady prawnej. Ostatnia aktualizacja: 19 października 2026.

Tematy: NIS2, UE, Transpozycja

Dostępne także w języku: English, Nederlands, Italiano, Deutsch, Français, Español, Português, Română, Čeština, Slovenčina, Dansk, Svenska, Norsk bokmål