2 dni temu
Cyberbezpieczeństwo przestało być wyłącznie zadaniem działu IT. Od 3 kwietnia 2026 r. obowiązuje w Polsce nowelizacja ustawy o krajowym systemie cyberbezpieczeństwa (KSC), która wdraża unijną dyrektywę NIS2. Nowe przepisy znacząco rozszerzyły krąg przedsiębiorców objętych obowiązkami w zakresie cyberbezpieczeństwa i zwiększyły odpowiedzialność kadry zarządzającej.
Dla części firm oznacza to konieczność zbudowania praktycznie od podstaw systemu zarządzania cyberbezpieczeństwem. Co istotne, przedsiębiorca nie powinien czekać na decyzję organu informującą go, iż podlega nowym regulacjom. W wielu przypadkach to sama firma musi ustalić, czy spełnia kryteria przewidziane w ustawie, a następnie dokonać odpowiedniego wpisu i rozpocząć wdrażanie wymaganych zabezpieczeń.
Kogo dotyczą nowe obowiązki?
Nowe regulacje obejmują znacznie więcej podmiotów niż wcześniejsze przepisy. Nowelizacja ustawy wprowadziła dwie podstawowe kategorie: podmioty kluczowe oraz podmioty ważne.
Regulacja może dotyczyć przedsiębiorców działających m.in. w sektorach energii, transportu, bankowości, ochrony zdrowia, infrastruktury cyfrowej, usług ICT, zaopatrzenia w wodę, gospodarki ściekowej, usług pocztowych, gospodarowania odpadami, produkcji i dystrybucji żywności oraz chemikaliów, wybranych rodzajów działalności produkcyjnej, usług cyfrowych czy badań naukowych.
Samo prowadzenie działalności w jednym z tych sektorów nie zawsze wystarczy. Co do zasady znaczenie ma również wielkość przedsiębiorstwa. Regulacją objęte są przede wszystkim przedsiębiorstwa co najmniej średnie, a więc zasadniczo firmy zatrudniające co najmniej 50 osób lub przekraczające określone progi finansowe. Przy ustalaniu wielkości przedsiębiorstwa trzeba jednak uwzględniać również zasady dotyczące przedsiębiorstw powiązanych i partnerskich. Istnieją też przypadki, w których ustawa ma zastosowanie niezależnie od wielkości podmiotu – przykładem są przedsiębiorcy telekomunikacyjni.
Dlatego pierwszym krokiem każdej firmy działającej w sektorze wskazanym w ustawie powinna być formalna analiza, czy jest ona podmiotem kluczowym albo ważnym.
Co adekwatnie zmienia NIS2 i KSC?
Najważniejsza zmiana polega na odejściu od traktowania cyberbezpieczeństwa jako wyłącznie technicznego problemu informatycznego. Nowe przepisy wymagają, aby firma zarządzała ryzykiem cyberbezpieczeństwa na poziomie całej organizacji.
Przedsiębiorca objęty ustawą powinien wdrożyć system zarządzania bezpieczeństwem informacji, regularnie identyfikować zagrożenia i podatności oraz dobierać do nich odpowiednie zabezpieczenia techniczne, organizacyjne i operacyjne. Obowiązki dotyczą również ciągłości działania, tworzenia kopii zapasowych i odtwarzania systemów, reagowania na incydenty, bezpieczeństwa dostawców oraz usług ICT wykorzystywanych przez organizację.
Szczególnie istotny jest właśnie łańcuch dostaw. Firma nie może ograniczyć się do zabezpieczenia własnych komputerów i serwerów. Powinna również ocenić ryzyko związane z dostawcami chmury, oprogramowania, hostingu, usług informatycznych czy innych rozwiązań mających dostęp do jej systemów.
Zmienia się także rola zarządu i innych osób kierujących organizacją. Kierownictwo odpowiada za zapewnienie realizacji obowiązków w zakresie cyberbezpieczeństwa oraz powinno posiadać odpowiednie kompetencje pozwalające nadzorować ten obszar. Cyberbezpieczeństwo staje się więc jednym z elementów odpowiedzialności zarządczej, podobnie jak finanse, compliance czy ochrona danych osobowych.
Incydent? Na reakcję mogą być tylko 24 godziny
Jednym z kluczowych elementów nowych regulacji jest obowiązek sprawnego reagowania na incydenty.
Firma musi posiadać mechanizmy umożliwiające ich wykrywanie, ocenę i obsługę. W przypadku poważnego incydentu pierwsze ostrzeżenie powinno zostać przekazane adekwatnemu zespołowi CSIRT co do zasady w ciągu 24 godzin od wykrycia zdarzenia. Pełniejsze zgłoszenie należy przekazać w ciągu 72 godzin, a następnie – co do zasady -przygotować sprawozdanie końcowe.
W praktyce oznacza to, iż procedury trzeba przygotować wcześniej. Dopiero po wystąpieniu ataku ransomware, przejęciu kont administratora albo poważnej awarii systemów będzie już za późno na ustalanie, kto w organizacji podejmuje decyzję, kto kontaktuje się z CSIRT i jakie informacje należy zebrać.
Co powinien zrobić przedsiębiorca?
Przygotowanie do nowych obowiązków warto rozpocząć od kilku konkretnych działań.
Po pierwsze – sprawdzić status firmy. Należy ustalić, czy rodzaj prowadzonej działalności oraz wielkość przedsiębiorstwa powodują zakwalifikowanie go jako podmiotu kluczowego albo ważnego.
Po drugie – zweryfikować wpis do Wykazu KSC. Podmioty, które spełniały kryteria już w dniu wejścia w życie nowych przepisów i nie były wpisywane z urzędu, miały zasadniczo czas na złożenie wniosku do 3 października 2026 r. o ile firma podlega ustawie, a nie wykonała tego obowiązku, nie powinna czekać – należy możliwie gwałtownie uporządkować status i dokonać wymaganych czynności.
Po trzecie – przeprowadzić analizę luk. Trzeba porównać obecne zabezpieczenia, procedury i dokumentację z wymaganiami KSC. Samo posiadanie programu antywirusowego, kopii zapasowych czy usług zewnętrznej firmy IT nie oznacza jeszcze zgodności.
Po czwarte – wdrożyć system zarządzania bezpieczeństwem informacji. Powinien on obejmować m.in. ocenę ryzyka, zarządzanie dostępami, incydentami, podatnościami, ciągłością działania i dostawcami.
Po piąte – przygotować organizację na incydent. Należy określić role i odpowiedzialności, ustalić ścieżkę eskalacji oraz przygotować procedurę pozwalającą dochować krótkich terminów zgłoszeniowych.
Po szóste – zadbać o dowody. W razie kontroli istotne będzie nie tylko to, jakie zabezpieczenia faktycznie funkcjonują, ale również możliwość wykazania ich stosowania. Dokumentacja powinna więc obejmować m.in. analizy ryzyka, polityki bezpieczeństwa, procedury incydentowe i ciągłości działania, informacje o szkoleniach, dokumentację dotyczącą dostawców ICT oraz wyniki testów bezpieczeństwa.
Jakie terminy trzeba zapamiętać?
Pierwszą kluczową datą był 3 kwietnia 2026 r. – wtedy nowe przepisy weszły w życie. 3 października 2026 r. upłynął podstawowy termin na wpis do Wykazu KSC dla podmiotów, które już 3 kwietnia spełniały ustawowe kryteria.
Kolejna istotna data to 3 kwietnia 2027 r. Do tego czasu takie podmioty powinny wdrożyć zasadnicze obowiązki wynikające z nowych regulacji, w tym wymagane środki zarządzania ryzykiem, procedury cyberbezpieczeństwa oraz rozwiązania dotyczące obsługi incydentów.
Dla podmiotów kluczowych istotny jest również 3 kwietnia 2028 r. – jest to termin pierwszego obowiązkowego audytu dla podmiotów, które wcześniej nie posiadały statusu operatora usługi kluczowej. Kolejne audyty będą przeprowadzane co najmniej raz na trzy lata.
Co grozi za brak działania?
Nowe przepisy przewidują bardzo wysokie administracyjne kary pieniężne. W przypadku podmiotów kluczowych maksymalna kara może sięgać równowartości 10 mln euro lub 2% rocznych przychodów, natomiast dla podmiotów ważnych – 7 mln euro lub 1,4% przychodów. W szczególnie poważnych przypadkach ustawa przewiduje również możliwość nałożenia kary do 100 mln zł.
Odpowiedzialność nie ogranicza się przy tym do samej spółki. Przepisy umożliwiają również nałożenie kary bezpośrednio na kierownika podmiotu, w tym w określonych sytuacjach do 300% jego wynagrodzenia.
Warto jednak zaznaczyć, iż dla większości nowych obowiązków przepisy dotyczące nakładania kar zaczną być stosowane od 3 kwietnia 2028 r. Nie oznacza to jednak dodatkowych dwóch lat na rozpoczęcie wdrożenia. Terminy na wykonanie konkretnych obowiązków upływają wcześniej, a organy dysponują szerokimi kompetencjami nadzorczymi i kontrolnymi.
Nie czekaj na pierwszą kontrolę
Najważniejsza zmiana wynikająca z nowych regulacji nie polega na konieczności stworzenia kolejnego dokumentu „do szuflady”. Przedsiębiorca powinien być w stanie wykazać, iż zna swoje ryzyka, adekwatnie nimi zarządza, przygotował organizację na incydent oraz kontroluje bezpieczeństwo własnych systemów i kluczowych dostawców.
Dlatego firmy powinny już teraz odpowiedzieć sobie na trzy pytania: czy podlegamy nowym przepisom, czego brakuje nam do osiągnięcia zgodności i czy potrafilibyśmy dzisiaj wykazać przed organem, jak zarządzamy cyberbezpieczeństwem?
Jeżeli odpowiedź na którekolwiek z tych pytań nie jest jasna, to dobry moment na przeprowadzenie analizy statusu przedsiębiorstwa i przeglądu jego gotowości do NIS2 wdrożonego w KSC – zanim zrobi to organ kontrolny.
W razie pytań, a także pomysłów tematów na kolejne wydania Newsletter’a zapraszamy do kontaktu:
