NIS2 w Polsce: po terminie wpisu do Wykazu KSC obowiązki od 3 kwietnia 2027 r.
Nowelizacja ustawy o KSC obowiązuje od 3 kwietnia 2026 r. Termin wpisu do Wykazu KSC minął 3 października 2026 r.; obowiązki od 3 kwietnia 2027 r.
Polska wdrożyła NIS2, nowelizując ustawę o krajowym systemie cyberbezpieczeństwa (KSC). Ustawa z dnia 23 stycznia 2026 r. została ogłoszona w Dzienniku Ustaw 2 marca 2026 r. (Dz.U. 2026 poz. 252) i według Ministerstwa Cyfryzacji obowiązuje od 3 kwietnia 2026 r. Pierwszy termin, wpis do wykazu, minął 3 października 2026 r. Kolejny to 3 kwietnia 2027 r.
Kogo dotyczy
Ustawa obejmuje podmioty kluczowe i ważne z sektorów wymienionych w załącznikach. Każda organizacja sama ocenia, czy spełnia kryteria, w szczególności art. 5 oraz załączniki nr 1 i 2. Podmioty publiczne, przedsiębiorcy telekomunikacyjni, dostawcy usług zaufania i dotychczasowi operatorzy usług kluczowych są wpisywani do Wykazu KSC z urzędu. Pozostali musieli złożyć wniosek o wpis w aplikacji Wykaz KSC do 3 października 2026 r.
Najważniejsze terminy
- 3 października 2026 r.: wniosek o wpis do Wykazu KSC (termin minął).
- 3 kwietnia 2027 r.: podłączenie do systemu S46 oraz realizacja obowiązków z rozdziału 3 ustawy, m.in. obsługa i zgłaszanie incydentów do zespołów CSIRT, system zarządzania bezpieczeństwem informacji (SZBI) i osoby kontaktowe.
- 3 kwietnia 2028 r.: pierwszy obowiązkowy audyt cyberbezpieczeństwa dla podmiotów kluczowych, które nie były operatorami usług kluczowych; kolejne co najmniej raz na trzy lata.
Terminy te dotyczą podmiotów, które spełniały kryteria w dniu 3 kwietnia 2026 r.
Zgłaszanie incydentów i kary
Incydent poważny wymaga wczesnego ostrzeżenia w ciągu 24 godzin od wykrycia, zgłoszenia w ciągu 72 godzin i sprawozdania końcowego w ciągu miesiąca od zgłoszenia. Kary sięgają 10 000 000 euro lub 2% przychodów, przy czym zastosowanie ma kwota wyższa, dla podmiotów kluczowych oraz 7 000 000 euro lub 1,4% przychodów dla podmiotów ważnych. Ministerstwo podkreśla, że w przypadku większości obowiązków kary będą mogły być nakładane dopiero po 3 kwietnia 2028 r.
Co zrobić teraz
Jeśli podlegasz ustawie i nie złożyłeś wniosku o wpis, zrób to teraz. Pięć miesięcy do 3 kwietnia 2027 r. wykorzystaj na wdrożenie SZBI, środków bezpieczeństwa i procedury obsługi incydentów.
Dazr Compliance zamienia środki z art. 21 NIS2 w cykliczne zadania z właścicielami i dowodami, obejmuje ISO 27001 dla systemu zarządzania, a rejestr incydentów odlicza terminy 24 godzin, 72 godzin i jednego miesiąca. Interfejs jest dostępny po polsku.
Źródła
- Dziennik Ustaw 2026 poz. 252: ustawa z dnia 23 stycznia 2026 r. o zmianie ustawy o krajowym systemie cyberbezpieczeństwa oraz niektórych innych ustaw
- Ministerstwo Cyfryzacji: Nowelizacja ustawy o krajowym systemie cyberbezpieczeństwa zaczyna obowiązywać
- Ministerstwo Cyfryzacji: obowiązki podmiotów kluczowych i ważnych
- Samorzad.gov.pl: Miesiąc na samorejestrację w Wykazie KSC. Termin mija 3 października (3 września 2026)
Wyłącznie w celach informacyjnych, nie stanowi porady prawnej. Ostatnia aktualizacja: 7 listopada 2026.
Dostępne także w języku: English