NIS2 w Polsce

Co to jest dyrektywa NIS2, kogo dotyczy i jakie terminy wynikają z nowelizacji ustawy o krajowym systemie cyberbezpieczeństwa. Przeczytaliśmy tekst ustawy w Dzienniku Ustaw i komunikaty Ministerstwa Cyfryzacji, stan na 30 października 2026.

W skrócie:

NIS2 wdraża w Polsce nowelizacja ustawy o KSC (Dz.U. 2026 poz. 252). Obowiązuje od 3 kwietnia 2026 r.
Ustawa dzieli objęte firmy i instytucje na podmioty kluczowe i podmioty ważne. Decydują sektor i wielkość, a w kilku przypadkach sam rodzaj działalności.
Podmioty same składają wniosek o wpis do wykazu KSC. Termin dla podmiotów spełniających przesłanki od początku minął 3 października 2026 r.
Na wdrożenie obowiązków (system zarządzania bezpieczeństwem informacji, zgłaszanie incydentów, podłączenie do systemu S46) jest czas do 3 kwietnia 2027 r.

Co to jest NIS2

NIS2 to dyrektywa Parlamentu Europejskiego i Rady (UE) 2022/2555. Zastąpiła pierwszą dyrektywę NIS z 2016 r., którą Polska wdrożyła ustawą o krajowym systemie cyberbezpieczeństwa z 2018 r. Poprzednia ustawa dotyczyła głównie operatorów usług kluczowych wyznaczanych decyzją. NIS2 obejmuje znacznie więcej sektorów, a firmy muszą same ocenić, czy podlegają przepisom, i same się zgłosić.

Dyrektywa wymaga od objętych podmiotów trzech rzeczy: zarządzania ryzykiem (środki techniczne i organizacyjne), zgłaszania poważnych incydentów w krótkich terminach i odpowiedzialności kierownictwa za cyberbezpieczeństwo.

Kalendarz

Data	Co się stało albo stanie	Podstawa
23 stycznia 2026	Sejm uchwalił nowelizację ustawy o KSC (druk nr 1955), 407 głosów za	przebieg prac w Sejmie
19 lutego 2026	Prezydent podpisał ustawę	przebieg prac w Sejmie
2 marca 2026	Ogłoszenie w Dzienniku Ustaw, poz. 252	Dz.U. 2026 poz. 252
3 kwietnia 2026	Wejście ustawy w życie	art. 49
7 maja 2026	Start samorejestracji w wykazie podmiotów kluczowych i ważnych	komunikat Ministerstwa Cyfryzacji
3 października 2026	Koniec terminu na wniosek o wpis dla podmiotów, które spełniały przesłanki w dniu wejścia ustawy w życie	harmonogram ministra, komunikat gov.pl
3 kwietnia 2027	Wdrożenie obowiązków z rozdziału 3 ustawy (m.in. SZBI, zgłaszanie incydentów) i podłączenie do systemu S46	art. 33 ust. 1
3 kwietnia 2028	Pierwszy audyt podmiotów kluczowych; od tego dnia można nakładać kary z art. 73 ust. 1-4 i art. 73a-73c	art. 33 ust. 2, art. 35

Artykuły 33, 35 i 49 to przepisy ustawy zmieniającej (Dz.U. 2026 poz. 252). Termin 3 października 2026 r. podaje Ministerstwo Cyfryzacji na gov.pl.

Kogo dotyczy

Ustawa ma dwa załączniki z sektorami. Załącznik nr 1 to m.in. energia, transport, bankowość, ochrona zdrowia, woda pitna, ścieki, infrastruktura cyfrowa, zarządzanie usługami ICT, przestrzeń kosmiczna i podmioty publiczne. Załącznik nr 2 to m.in. usługi pocztowe, odpady, chemikalia, żywność, produkcja, dostawcy usług cyfrowych i badania naukowe.

Podmiot kluczowy: przede wszystkim duże firmy z załącznika nr 1, a niezależnie od wielkości m.in. dostawcy usług DNS, rejestry domen TLD, firmy rejestrujące domeny, kwalifikowani dostawcy usług zaufania i podmioty krytyczne.
Podmiot ważny: średnie firmy z załącznika nr 1, średnie i duże z załącznika nr 2, mali przedsiębiorcy komunikacji elektronicznej, część jednostek samorządowych.

Sprawdzenie krok po kroku, z progami zatrudnienia i obrotu, jest na stronie kogo dotyczy NIS2.

Co trzeba zrobić

Wpis do wykazu w systemie S46 przez aplikację Wykaz KSC. Nowe podmioty mają 6 miesięcy od spełnienia przesłanek, zmiany danych zgłasza się w 14 dni.
System zarządzania bezpieczeństwem informacji (SZBI) z szacowaniem ryzyka, ciągłością działania, kontrolą dostępu, uwierzytelnianiem wieloskładnikowym, szkoleniami i bezpieczeństwem łańcucha dostaw. Lista na stronie SZBI i obowiązki.
Zgłaszanie incydentów poważnych: wczesne ostrzeżenie w 24 godziny, zgłoszenie w 72 godziny, sprawozdanie końcowe w miesiąc. Szczegóły w zgłaszaniu incydentów.
Odpowiedzialność kierownika: kierownik podmiotu odpowiada za wykonanie obowiązków i co roku przechodzi szkolenie.
Audyt dla podmiotów kluczowych co najmniej raz na 3 lata.

Strona internetowa a NIS2

Ustawa nie wymienia konkretnych produktów. W art. 8 wśród środków bezpieczeństwa są jednak monitorowanie systemu informacyjnego w trybie ciągłym, plany ciągłości działania i środki ograniczające wpływ incydentów, w tym czasowe ograniczenie ruchu przychodzącego. Dla strony internetowej i usług dostępnych z internetu oznacza to w praktyce ochronę przed atakami DDoS, filtr ruchu WAF i logi, z których da się odtworzyć przebieg incydentu. Sprawozdanie końcowe składa się do miesiąca po zgłoszeniu incydentu, więc logi z ostatniej godziny zwykle nie wystarczą. Ile czasu przechowują je usługi ochrony, porównaliśmy poniżej.

Plan WEDOS	Cena	Przechowywanie logów	Co zawiera
Free	0 zł	1 godzina	DDoS L3/L4, zarządzany WAF, domena i 1 subdomena
NoLimit	33 zł miesięcznie (396 zł za rok, 99 €)	1 tydzień	subdomeny wildcard, API, 3 administratorów, analityka 30 dni
NIS2 Standard "Ważne"	958 zł miesięcznie (199 €)	6 miesięcy	DDoS, WAF, anycast DNS, CDN, SLA 100 %, wsparcie 24/7, raporty miesięczne
NIS2 Standard "Kluczowe"	1 925 zł miesięcznie (400 €)	18 miesięcy	jak Ważne oraz blokowanie GeoIP, raporty tygodniowe, proaktywne powiadamianie o incydentach
Managed EU	4 199 zł miesięcznie przy płatności rocznej (1 000 €)	bez ograniczeń	imienny analityk bezpieczeństwa, monitoring 24/7, dzienny raport incydentów

Ceny z cenników WEDOS Protection i WEDOS Web Protection, sprawdzone 30 października 2026. Plany NIS2 Standard są na stronie Web Protection opisane jako ceny netto. Strona NIS2 WEDOS podaje te same kwoty "z VAT" i 12 miesięcy logów dla planu Essential, więc przed zamówieniem sprawdź warunki w umowie. Cennik WEDOS Protection nie mówi, czy kwoty zawierają VAT. Linki partnerskie: jeśli kupisz, dostaniemy prowizję, cena dla Ciebie się nie zmienia.

Najczęstsze pytania

Co to jest NIS2?

NIS2 to dyrektywa Unii Europejskiej (UE) 2022/2555 o środkach na rzecz wysokiego wspólnego poziomu cyberbezpieczeństwa. Nakłada na firmy i instytucje z wybranych sektorów obowiązki zarządzania ryzykiem, zgłaszania incydentów i odpowiedzialność kierownictwa. Dyrektywa nie działa bezpośrednio: każde państwo wprowadza ją własną ustawą.

Od kiedy NIS2 obowiązuje w Polsce?

Od 3 kwietnia 2026 r. Wtedy weszła w życie nowelizacja ustawy o krajowym systemie cyberbezpieczeństwa (Dz.U. 2026 poz. 252), ogłoszona 2 marca 2026 r. Na wdrożenie obowiązków podmioty, które spełniały przesłanki w dniu wejścia ustawy w życie, mają 12 miesięcy, czyli do 3 kwietnia 2027 r.

Jaka ustawa wdraża NIS2 w Polsce?

Ustawa z dnia 23 stycznia 2026 r. o zmianie ustawy o krajowym systemie cyberbezpieczeństwa oraz niektórych innych ustaw. Nie jest to osobna "ustawa NIS2", tylko nowelizacja ustawy o KSC z 2018 r. Szczegóły na stronie ustawa o KSC.

Czy NIS2 dotyczy małych firm?

Z reguły nie. Obejmuje średnie i duże podmioty z sektorów wymienionych w załącznikach do ustawy. Niezależnie od wielkości obejmuje m.in. dostawców usług DNS, rejestry domen najwyższego poziomu, firmy rejestrujące domeny, kwalifikowanych dostawców usług zaufania i część podmiotów publicznych. Polska ustawa obejmuje też małych dostawców usług zarządzanych w zakresie cyberbezpieczeństwa. Sprawdź na stronie kogo dotyczy NIS2.

Kiedy grożą kary?

Ustawa przewiduje kary do 10 mln euro albo 2 % przychodów dla podmiotów kluczowych i do 7 mln euro albo 1,4 % dla ważnych. Według art. 35 ustawy zmieniającej większość tych kar można nałożyć po raz pierwszy po upływie 2 lat od wejścia ustawy w życie, czyli od 3 kwietnia 2028 r.

Źródła: Dz.U. 2026 poz. 252 w ELI API Sejmu i tekst ustawy (PDF); przebieg prac nad drukiem nr 1955; komunikat o samorejestracji i obowiązki podmiotów na gov.pl.

To nie jest porada prawna. Streszczamy przepisy własnymi słowami; wiążący jest tekst ustawy w Dzienniku Ustaw.