Newsletter; Dyrektywa NIS2 i nowelizacja ustawy o krajowym systemie cyberbezpieczeństwa – zakres podmiotowy, obowiązki i terminy wdrożenia

Szanowni Państwo,

W dniu 2 marca 2026 r. w Dzienniku Ustaw ogłoszona została ustawa z dnia 23 stycznia 2026 r. o zmianie ustawy o krajowym systemie cyberbezpieczeństwa oraz niektórych innych ustaw (Dz. U. z 2026 r. poz. 252), wdrażająca do polskiego porządku prawnego dyrektywę Parlamentu Europejskiego i Rady (UE) 2022/2555 z dnia 14 grudnia 2022 r. (dyrektywa NIS2). Nowelizacja w istotny sposób przebudowuje ustawę z dnia 5 lipca 2018 r. o krajowym systemie cyberbezpieczeństwa (KSC), zastępując dotychczasowe kategorie „operatora usługi kluczowej” i „dostawcy usługi cyfrowej” nowymi pojęciami – podmiotu kluczowego i podmiotu ważnego – oraz nakładając na nie rozbudowane obowiązki w zakresie zarządzania ryzykiem, rejestracji, zgłaszania incydentów i audytów bezpieczeństwa.

W niniejszym newsletterze przedstawiamy całościowe zestawienie sektorów objętych ustawą (zgodnie z załącznikami nr 1 i nr 2), najważniejszych obowiązków podmiotów kluczowych i podmiotów ważnych oraz terminów wdrożenia wynikających z dyrektywy NIS2 i znowelizowanej ustawy o KSC.

Nowy ważny termin: 3 kwietnia 2027 r. Do tego dnia podmioty, które już na dzień wejścia w życie ustawy (3 kwietnia 2026 r.) spełniały przesłanki uznania za podmiot kluczowy lub podmiot ważny, muszą wdrożyć system zarządzania bezpieczeństwem informacji (SZBI) oraz rozpocząć korzystanie z Systemu S46, w tym raportowanie incydentów – niezależnie od tego, w którym z dziesięciu sektorów kluczowych (załącznik nr 1) lub dziewięciu sektorów ważnych (załącznik nr 2) prowadzą działalność (pełny wykaz sektorów wraz z podsektorami – pkt 2 poniżej). Z dniem 3 kwietnia 2027 r. kończy się okres dostosowawczy przewidziany w ustawie (pkt 1 i 10 poniżej). Przypominamy, że podmioty te były zobowiązane do złożenia wniosku o wpis do Wykazu KSC do 3 października 2026 r. Podmioty, które status podmiotu kluczowego lub podmiotu ważnego uzyskały później lub uzyskają go w przyszłości, składają wniosek w terminie 6 miesięcy od dnia spełnienia przesłanek.

1. Geneza i harmonogram wejścia w życie

Dyrektywa NIS2 (2022/2555)

• 14 grudnia 2022 r. – przyjęcie dyrektywy przez Parlament Europejski i Radę Unii Europejskiej.
• 27 grudnia 2022 r. – publikacja w Dzienniku Urzędowym UE (L 333).
• 16 stycznia 2023 r. – wejście w życie dyrektywy (20 dni po publikacji).
• 17 października 2024 r. – termin transpozycji dyrektywy do prawa krajowego przez państwa członkowskie.
• 18 października 2024 r. – uchylenie dotychczasowej dyrektywy (UE) 2016/1148 (NIS1), którą zastępuje dyrektywa NIS2.

Polska ustawa nowelizująca ustawę o KSC

• 23 stycznia 2026 r. – uchwalenie ustawy nowelizującej ustawę o krajowym systemie cyberbezpieczeństwa.
• 2 marca 2026 r. – ogłoszenie ustawy w Dzienniku Ustaw (Dz. U. poz. 252).
• 3 kwietnia 2026 r. – wejście w życie ustawy, po upływie miesiąca od dnia ogłoszenia (art. 49).
• Odrębne terminy szczegółowe – minister właściwy do spraw informatyzacji tworzy wykaz podmiotów kluczowych i ważnych w terminie miesiąca od wejścia w życie ustawy (art. 34); organy właściwe do spraw cyberbezpieczeństwa ustanawiają CSIRT sektorowe w terminie 18 miesięcy (art. 42); szczegółowy harmonogram rejestracji i uruchomienia systemu teleinformatycznego ogłasza odrębny komunikat ministra.

Harmonogram uruchomienia Wykazu KSC i systemu S46

Rejestracja podmiotów kluczowych i ważnych oraz zgłaszanie incydentów odbywają się za pośrednictwem dwóch elementów infrastruktury teleinformatycznej: Wykazu KSC (odrębnej aplikacji webowej dostępnej pod adresem wykaz-ksc.gov.pl, w której składa się wnioski o wpis, zmianę wpisu i wykreślenie z wykazu w postaci elektronicznej, opatrzone podpisem elektronicznym) oraz Systemu S46, służącego m.in. do raportowania incydentów i komunikacji z właściwymi organami. Harmonogram ich uruchomienia przedstawia się następująco:

• 13 kwietnia 2026 r. – uruchomienie Wykazu KSC, czyli wykazu podmiotów kluczowych i podmiotów ważnych.
• 13 kwietnia – 6 maja 2026 r. – w tym okresie Minister Cyfryzacji dokonuje wpisów z urzędu, obejmujących dotychczasowych operatorów usług kluczowych, dostawców usług zaufania, przedsiębiorców telekomunikacyjnych oraz podmioty publiczne.
• 7 maja – 3 października 2026 r. – okno samorejestracji: podmioty, które nie zostały objęte wpisem z urzędu, były zobowiązane do złożenia wniosku o wpis do Wykazu KSC we własnym zakresie.
• 12 czerwca 2026 r. – uruchomienie możliwości korzystania z Systemu S46 dla nowych podmiotów; od tej daty podmioty kluczowe i ważne mogą rozpocząć realizację obowiązków ustawowych za pośrednictwem systemu, w szczególności raportowanie incydentów.
• 3 kwietnia 2027 r. – koniec okresu dostosowawczego: ostateczny termin na rozpoczęcie korzystania z Systemu S46 oraz wdrożenie pełnego zakresu obowiązków ustawowych przez podmioty, które na dzień wejścia w życie nowelizacji spełniały przesłanki uznania za podmiot kluczowy lub podmiot ważny.
• 3 kwietnia 2028 r. – upływa termin na przeprowadzenie pierwszego audytu SZBI przez podmioty kluczowe, które nie były dotychczas operatorami usług kluczowych, a także dzień, od którego mogą być po raz pierwszy nakładane kary pieniężne (2 lata od wejścia w życie ustawy).

2. Kogo dotyczą przepisy – pełny wykaz sektorów kluczowych i ważnych

Nowelizacja utrzymuje podział na dwa załączniki do ustawy – sektory kluczowe (załącznik nr 1) oraz sektory ważne (załącznik nr 2). Pełny wykaz obu grup sektorów przedstawia się następująco:

Sektory kluczowe (załącznik nr 1):

• Energia – wydobywanie kopalin, energia elektryczna, gaz, energetyka jądrowa, wodór.
• Transport – transport lotniczy, kolejowy, wodny, drogowy.
• Bankowość i infrastruktura rynków finansowych
• Ochrona zdrowia – udzielanie świadczeń zdrowotnych i zdrowie publiczne; produkcja i dystrybucja substancji czynnych, produktów leczniczych i wyrobów medycznych.
• Zaopatrzenie w wodę pitną i jej dystrybucja
• Zbiorowe odprowadzanie ścieków
• Infrastruktura cyfrowa – obejmuje m.in. dostawców punktów wymiany ruchu internetowego, dostawców usług DNS, rejestry nazw domen najwyższego poziomu (TLD), dostawców chmury obliczeniowej, dostawców usług centrum przetwarzania danych, dostawców sieci dostarczania treści (CDN), dostawców usług zaufania, podmioty świadczące usługi rejestracji nazw domen oraz przedsiębiorców komunikacji elektronicznej.
• Zarządzanie usługami ICT – obejmuje dostawców usług zarządzanych (MSP) oraz dostawców usług zarządzanych w zakresie cyberbezpieczeństwa (MSSP), czyli podmioty świadczące outsourcing informatyczny, administrację infrastrukturą klienta lub usługi SOC.
• Przestrzeń kosmiczna
• Podmioty publiczne – wskazane wprost w załączniku nr 1.

Sektory ważne (załącznik nr 2):

• Usługi pocztowe
• Inwestycje energetyki jądrowej
• Gospodarowanie odpadami – zbieranie odpadów, transport odpadów, przetwarzanie odpadów (w tym sortowanie) wraz z nadzorem nad tymi działaniami oraz późniejsze postępowanie z miejscami unieszkodliwiania odpadów, a także działania w charakterze sprzedawcy odpadów lub pośrednika w obrocie odpadami.
• Produkcja, wytwarzanie i dystrybucja chemikaliów
• Produkcja, przetwarzanie i dystrybucja żywności
• Produkcja – wyrobów medycznych i wyrobów medycznych do diagnostyki in vitro; komputerów, wyrobów elektronicznych i optycznych; urządzeń elektrycznych; maszyn i urządzeń (gdzie indziej niesklasyfikowana); pojazdów samochodowych, przyczep i naczep; pozostałego sprzętu transportowego.
• Dostawcy usług cyfrowych – internetowe platformy handlowe, wyszukiwarki internetowe oraz platformy usług sieci społecznościowych.
• Badania naukowe – organizacje badawcze prowadzące działalność badawczo-rozwojową z wykorzystaniem systemów informacyjnych.
• Podmioty publiczne – wskazane wprost w załączniku nr 2.

Obowiązki mogą dotyczyć danego podmiotu również pośrednio – jako dostawcy sprzętu, oprogramowania lub innych usług ICT w łańcuchu dostaw podmiotu kluczowego lub ważnego, niezależnie od branży, w której sam działa. Kontrahenci objęci ustawą są bowiem zobowiązani oceniać bezpieczeństwo swoich dostawców ICT oraz ogólną jakość dostarczanych produktów i usług (art. 8 ust. 1 pkt 2 lit. e oraz ust. 2 ustawy), co w praktyce przekłada się na wymogi kontraktowe i audytowe narzucane dostawcom niebędącym samodzielnie podmiotami kluczowymi lub ważnymi.

3. Kwalifikacja jako podmiot kluczowy lub podmiot ważny – progi wielkości

• Podmiot kluczowy – co do zasady podmiot wskazany w załączniku nr 1, który przewyższa progi średniego przedsiębiorstwa określone w art. 2 ust. 1 załącznika I do rozporządzenia Komisji (UE) nr 651/2014 (tj. co najmniej 250 zatrudnionych lub obrót powyżej 50 mln EUR i suma bilansowa powyżej 43 mln EUR).
• Podmiot ważny – podmiot z załącznika nr 1 mieszczący się w progach średniego przedsiębiorcy (niższy niż próg podmiotu kluczowego) albo podmiot z załącznika nr 2, który spełnia lub przewyższa progi średniego przedsiębiorcy.
• Wyjątki niezależne od wielkości – niezależnie od wielkości podmiotem kluczowym jest zawsze m.in. dostawca usług DNS, kwalifikowany dostawca usług zaufania, rejestr TLD, podmiot świadczący usługi rejestracji nazw domen, podmiot krytyczny oraz wskazane wprost w załączniku podmioty publiczne.
• Niższy próg dla dostawców usług zarządzanych w zakresie cyberbezpieczeństwa (MSSP) – dostawca usług zarządzanych w zakresie cyberbezpieczeństwa (MSSP) jest podmiotem kluczowym już od progu małego lub średniego przedsiębiorcy (art. 5 ust. 1 pkt 3 ustawy) – a więc niższego niż próg wymagany dla pozostałych podmiotów z sektorów kluczowych.
• Mikro- i mali przedsiębiorcy – poza wskazanymi wyżej wyjątkami co do zasady pozostają poza zakresem ustawy, chyba że są jedynym dostawcą danej usługi w kraju, podmiotem krytycznym lub podlegają innym szczególnym przesłankom wskazanym w art. 5 ustawy.

Jeżeli podmiot spełnia jednocześnie przesłanki dla podmiotu kluczowego i podmiotu ważnego, ustawa nakazuje traktować go jako podmiot kluczowy (art. 5 ust. 4). Przy ocenie progów wielkości uwzględnia się także zasady dotyczące przedsiębiorstw powiązanych i partnerskich, z zastrzeżeniem możliwości wyłączenia tych zasad, jeżeli system informacyjny podmiotu jest w praktyce niezależny od systemów tych przedsiębiorstw (art. 5 ust. 6–7).

4. Obowiązek rejestracji w wykazie podmiotów kluczowych i podmiotów ważnych

• Termin zgłoszenia – wniosek o wpis do wykazu składa się w terminie 6 miesięcy od dnia spełnienia przesłanek uznania za podmiot kluczowy lub podmiot ważny (art. 7c ust. 1).
• Zakres danych – nazwa, adres i aktualne dane kontaktowe, odpowiedni sektor i podsektor, zakresy publicznych adresów IP wykorzystywanych w sposób ciągły, domeny internetowe wykorzystywane w sposób ciągły oraz informacja o państwach członkowskich UE, w których podmiot świadczy usługi objęte ustawą.
• Aktualizacja danych – w terminie 14 dni od dnia zmiany danych podlegających wpisowi.
• Forma wniosku – wniosek podpisuje elektronicznie kierownik podmiotu (kwalifikowany podpis elektroniczny, podpis zaufany, podpis osobisty lub kwalifikowana pieczęć elektroniczna) wraz z oświadczeniem o świadomości odpowiedzialności karnej za złożenie fałszywego oświadczenia (art. 233 § 6 Kodeksu karnego).
• System teleinformatyczny – wniosek o wpis, zmianę wpisu lub wykreślenie z wykazu składa się wyłącznie za pośrednictwem Wykazu KSC – odrębnej aplikacji webowej prowadzonej przez ministra właściwego do spraw informatyzacji, dostępnej pod adresem wykaz-ksc.gov.pl (art. 46); podmioty wpisywane z urzędu (dotychczasowi operatorzy usług kluczowych, dostawcy usług zaufania, przedsiębiorcy telekomunikacyjni, podmioty publiczne) zostały ujęte w wykazie automatycznie w okresie 13 kwietnia – 6 maja 2026 r., natomiast pozostałe podmioty były zobowiązane zarejestrować się samodzielnie w oknie od 7 maja do 3 października 2026 r.; podmioty uzyskujące status w przyszłości składają wniosek w terminie 6 miesięcy od spełnienia przesłanek

Niedopełnienie obowiązku rejestracji lub aktualizacji danych w wykazie jest samodzielną podstawą do nałożenia kary pieniężnej zarówno na podmiot, jak i – w określonych przypadkach – na jego kierownika.

5. System zarządzania bezpieczeństwem informacji (SZBI) – obowiązki merytoryczne

Podmiot kluczowy lub ważny wdraża system zarządzania bezpieczeństwem informacji (SZBI) w systemie informacyjnym wykorzystywanym w procesach wpływających na świadczenie usługi (art. 8 ustawy), obejmujący w szczególności:

• Szacowanie i zarządzanie ryzykiem – systematyczna ocena ryzyka wystąpienia incydentu oraz zarządzanie tym ryzykiem.
• Politykę bezpieczeństwa – politykę szacowania ryzyka i bezpieczeństwa systemu informacyjnego, w tym polityki tematyczne.
• Bezpieczeństwo cyklu życia systemu – bezpieczeństwo w procesie nabywania, rozwoju, utrzymania i eksploatacji systemu informacyjnego, w tym jego testowanie.
• Bezpieczeństwo fizyczne i zasobów ludzkich – kontrolę dostępu, bezpieczeństwo środowiskowe oraz politykę bezpieczeństwa personalnego.
• Bezpieczeństwo łańcucha dostaw – bezpieczeństwo i ciągłość łańcucha dostaw produktów ICT, usług ICT i procesów ICT, z uwzględnieniem relacji z bezpośrednim dostawcą sprzętu lub oprogramowania.
• Ciągłość działania – plany ciągłości działania, plany awaryjne i plany odtworzenia działalności po incydencie.
• Monitorowanie i ocenę skuteczności – ciągłe monitorowanie systemu informacyjnego oraz okresową ocenę skuteczności wdrożonych środków.
• Cyberhigienę i edukację – edukację personelu z zakresu cyberbezpieczeństwa, podstawowe zasady cyberhigieny, politykę kryptografii i szyfrowania oraz stosowanie bezpiecznych środków komunikacji, w tym uwierzytelniania wieloskładnikowego.
• Zarządzanie aktywami i dostępem – zarządzanie aktywami oraz politykę kontroli dostępu.

Podmiot ma ponadto obowiązek opracowania, wdrożenia, aktualizowania i przechowywania dokumentacji dotyczącej bezpieczeństwa systemu informacyjnego oraz zapewnienia nad nią odpowiedniego nadzoru (art. 10 ustawy).

• Dwa poziomy dokumentacji SZBI – dokumentacja dzieli się na normatywną (opisującą świadczoną usługę, systemy, infrastrukturę i zasady bezpieczeństwa informacji) oraz operacyjną (potwierdzającą faktyczne wykonywanie czynności opisanych w dokumentacji normatywnej, w tym logi generowane automatycznie). Podmioty, które wdrożyły już system zarządzania bezpieczeństwem informacji według uznanych norm, mogą wykorzystać i dostosować istniejącą dokumentację – nie trzeba tworzyć jej od zera.
• Gotowa dokumentacja „pod NIS2” to za mało – samo posiadanie zakupionej lub wzorcowej dokumentacji zgodności z NIS2, podpisanej przez zarząd, nie oznacza spełnienia wymogów ustawy o KSC. Konieczne jest realne wdrożenie: świadomość własnych aktywów, ryzyk i cyberzagrożeń, dobór adekwatnych środków technicznych i organizacyjnych oraz faktyczne stosowanie i testowanie procedur zarządzania incydentami.
• Brak obowiązku posiadania SOC – ustawa nie narzuca konkretnych rozwiązań technicznych czy organizacyjnych w zakresie monitorowania (np. Security Operations Center). To podmiot kluczowy lub ważny decyduje, czy zapewni tę funkcję siłami własnymi, w ramach grupy kapitałowej, czy korzystając z zewnętrznych usług komercyjnych – decyzja powinna być jednak adekwatna do skali i charakteru prowadzonej działalności.

6. Obowiązki zgłaszania incydentów – terminy 24h / 72h / 1 miesiąc

• Wczesne ostrzeżenie – niezwłocznie, nie później niż w ciągu 24 godzin od momentu wykrycia incydentu poważnego – do właściwego CSIRT sektorowego (lub CSIRT MON/NASK/GOV).
• Zgłoszenie incydentu poważnego – niezwłocznie, nie później niż w ciągu 72 godzin od momentu jego wykrycia.
• Sprawozdanie okresowe – na wniosek właściwego CSIRT sektorowego, zawierające aktualizację statusu obsługi incydentu.
• Sprawozdanie końcowe – nie później niż w ciągu miesiąca od dnia zgłoszenia incydentu poważnego.
• Dostawcy usług zaufania – obowiązuje skrócony, jednolity termin zgłoszenia w ciągu 24 godzin od wykrycia.
• Informowanie użytkowników – obowiązek poinformowania użytkowników usług o poważnym cyberzagrożeniu oraz o incydencie poważnym mającym niekorzystny wpływ na świadczenie usług.

Zgłoszeń dokonuje się za pomocą Systemu S46, o którym mowa w art. 46 ustawy – dostępnego dla nowych podmiotów od 12 czerwca 2026 r., z ostatecznym terminem rozpoczęcia korzystania z systemu i pełnego wdrożenia obowiązków do 3 kwietnia 2027 r. Progi uznania incydentu za „poważny” zostaną odrębnie określone w rozporządzeniu Rady Ministrów dla poszczególnych sektorów i podsektorów wskazanych w załącznikach do ustawy.

Dla ułatwienia bieżącej obsługi zgłoszeń przypominamy dane kontaktowe zespołów CSIRT poziomu krajowego: CSIRT GOV (Szef Agencji Bezpieczeństwa Wewnętrznego) – e-mail: , faks: +48 22 58 58 833; CSIRT MON (Minister Obrony Narodowej) – tel.: +48 261 865 333, e-mail: ; CSIRT NASK (Naukowa i Akademicka Sieć Komputerowa – Państwowy Instytut Badawczy) – e-mail: . Jeżeli zgłoszenie trafi do zespołu niewłaściwego dla danego sektora, zespoły CSIRT mają obowiązek przekazać je sobie zgodnie z właściwością – nie trzeba więc zgłaszać tego samego incydentu wielokrotnie do różnych CSIRT sektorowych, nawet jeśli dotyczy on usług świadczonych w kilku sektorach jednocześnie.

7. Audyty bezpieczeństwa

• Obowiązek audytowy – podmioty kluczowe są zobowiązane do audytu bezpieczeństwa systemu informacyjnego, przeprowadzanego na koszt własny co najmniej raz na 3 lata (art. 15 ust. 1 ustawy).
• Przekazanie wyników organowi – kopię raportu z audytu podmiot kluczowy przekazuje w postaci elektronicznej organowi właściwemu do spraw cyberbezpieczeństwa w terminie 3 dni roboczych od jego otrzymania.
• Audyt na żądanie organu – organ właściwy do spraw cyberbezpieczeństwa może w każdym czasie nakazać podmiotowi kluczowemu (a podmiotowi ważnemu – w razie incydentu poważnego lub innego naruszenia ustawy) przeprowadzenie zewnętrznego audytu bezpieczeństwa; decyzja w tym zakresie podlega natychmiastowemu wykonaniu.
• Pierwszy audyt – nowe podmioty kluczowe – podmioty kluczowe, które nie były dotychczas operatorami usług kluczowych, przeprowadzają pierwszy audyt najpóźniej do 3 kwietnia 2028 r. (24 miesiące od dnia wejścia w życie ustawy).
• Ciągłość cyklu audytowego – dotychczasowi operatorzy – podmioty kluczowe będące dotychczasowymi operatorami usług kluczowych nie korzystają z odroczenia: przeprowadzają kolejny audyt zgodnie z dotychczasowym, zachowanym cyklem – co najmniej raz na 3 lata, licząc od dnia sporządzenia i podpisania raportu z ostatniego audytu. Jeżeli termin kolejnego audytu przypada przed 4 kwietnia 2027 r., podmiot przeprowadza go jeszcze według wymagań sprzed nowelizacji.
• Kto może przeprowadzić audyt i wymogi niezależności – audyt przeprowadza jednostka oceniająca zgodność akredytowana we właściwym zakresie, co najmniej dwóch audytorów legitymujących się certyfikatami (m.in. CISA, CISSP, CISM, CIA, certyfikat audytora wiodącego ISO/IEC 27001 lub ISO 22301) bądź odpowiednim doświadczeniem zawodowym, albo właściwy CSIRT sektorowy. Audytu nie może przeprowadzić osoba, która w tym samym podmiocie realizuje lub w ciągu roku poprzedzającego audyt realizowała zadania z zakresu SZBI lub zgłaszania incydentów – co wyklucza całkowitą „samokontrolę” wewnętrznego zespołu ds. cyberbezpieczeństwa.
• Udostępnianie wyników – kopię raportu z przeprowadzonego audytu podmiot przekazuje na żądanie właściwych organów nadzoru.

8. Nadzór, kontrola i środki naprawcze

• Organy nadzoru – nadzór sprawują organy właściwe do spraw cyberbezpieczeństwa, przypisane sektorowo (m.in. minister właściwy do spraw informatyzacji oraz regulatorzy branżowi).
• Zakres kontroli – kontrola obejmuje w szczególności weryfikację wdrożenia SZBI, dokumentacji bezpieczeństwa oraz sposobu realizacji obowiązków zgłaszania incydentów.
• Środki nadzorcze – w razie stwierdzenia uchybień organ może wystosować pismo z ostrzeżeniem, wydać zalecenia pokontrolne, a w razie ich niewykonania – zastosować dalsze środki nadzorcze, w tym nałożyć karę pieniężną; ustanowiono także instytucję urzędnika monitorującego wykonanie zaleceń.
• Kontrola sądowa – od decyzji organu właściwego do spraw cyberbezpieczeństwa przysługuje skarga do sądu administracyjnego.

9. Kary pieniężne – dla podmiotu i osobiście dla kierownika

• Podmiot kluczowy – kara do równowartości 10 000 000 EUR lub 2% rocznego przychodu z działalności gospodarczej (stosuje się kwotę wyższą), nie mniej jednak niż 20 000 zł.
• Podmiot ważny – kara do równowartości 7 000 000 EUR lub 1,4% rocznego przychodu z działalności gospodarczej (stosuje się kwotę wyższą), nie mniej jednak niż 15 000 zł.
• Naruszenia szczególnie poważne – w przypadku naruszeń powodujących bezpośrednie i poważne zagrożenie dla obronności, bezpieczeństwa państwa, porządku publicznego lub życia i zdrowia ludzi albo groźbę poważnej szkody majątkowej – kara do 100 000 000 zł.
• Kary dla dostawców infrastruktury cyfrowej – odrębne kary (m.in. 50 000 zł) grożą podmiotom świadczącym usługi rejestracji nazw domen, rejestrom TLD niewykonującym obowiązków dotyczących baz danych rejestracyjnych oraz producentom lub dostawcom nieprzekazującym dokumentacji badanego produktu ICT lub usługi ICT na wezwanie CSIRT.
• Odpowiedzialność osobista kierownika – kierownik podmiotu kluczowego lub ważnego odpowiada osobiście karą pieniężną do 300% swojego wynagrodzenia (do 100% w sektorze publicznym) za niewykonanie kluczowych obowiązków – w tym dotyczących SZBI, dokumentacji, zgłaszania incydentów, wyznaczenia osób kontaktowych czy audytu.

10. Przepisy przejściowe – harmonogram wdrożenia dla obecnych podmiotów

• Automatyczna kontynuacja statusu – dotychczasowi operatorzy usług kluczowych stają się podmiotami kluczowymi z mocy prawa z dniem wejścia w życie ustawy (3 kwietnia 2026 r.), bez konieczności odrębnej decyzji.
• 12 miesięcy (do 3 kwietnia 2027 r.) – na wdrożenie obowiązków rozdziału 3 ustawy (w tym SZBI) oraz rozpoczęcie korzystania z Systemu S46 przez podmioty, które w dniu wejścia w życie nowelizacji spełniają przesłanki podmiotu kluczowego lub ważnego – jest to zarazem koniec okresu dostosowawczego.
• 24 miesiące (do 3 kwietnia 2028 r.) – na przeprowadzenie pierwszego audytu bezpieczeństwa przez podmioty kluczowe, które nie były dotychczasowymi operatorami usług kluczowych.
• 6 miesięcy – na zgłaszanie incydentów poważnych według nowych zasad przez dotychczasowych operatorów usług kluczowych.
• Harmonogram rejestracji w Wykazie KSC – wpisy z urzędu (Minister Cyfryzacji) realizowane są w okresie 13 kwietnia – 6 maja 2026 r., a samorejestracja pozostałych podmiotów – w oknie od 7 maja do 3 października 2026 r., zgodnie z harmonogramem ogłoszonym w komunikacie ministra właściwego do spraw informatyzacji (art. 34 ust. 3).
• SZBI przejściowo – do czasu wdrożenia nowego SZBI zgodnego z art. 8 ustawy, dotychczasowi operatorzy usług kluczowych stosują SZBI na dotychczasowych zasadach.

Uwaga – kluczowe zastrzeżenie: kary pieniężne przewidziane w znowelizowanej ustawie (art. 73–73c i 76b) mogą zostać po raz pierwszy nałożone dopiero po upływie 2 lat od dnia jej wejścia w życie, tj. nie wcześniej niż od 3 kwietnia 2028 r. (art. 35 przepisów przejściowych), a każdej decyzji o nałożeniu kary musi poprzedzać pismo z ostrzeżeniem oraz poinformowanie podmiotu o wstępnych ustaleniach organu. Nie oznacza to jednak, że z wdrożeniem obowiązków merytorycznych można czekać – podmioty były zobowiązane do rejestracji w Wykazie KSC do 3 października 2026 r., a wdrożenie SZBI oraz rozpoczęcie korzystania z Systemu S46 muszą zostać zrealizowane najpóźniej do 3 kwietnia 2027 r., niezależnie od okresu karencji w egzekwowaniu sankcji, a same obowiązki wynikające z dyrektywy NIS2 na poziomie unijnym pozostają wiążące od dawna.

11. Co warto rozważyć

• Weryfikację, czy spółka mieści się w katalogu podmiotów kluczowych lub ważnych – w szczególności w sektorach wskazanych w załącznikach nr 1 i nr 2 do ustawy (patrz pkt 2 powyżej) – wraz z analizą progów wielkości z uwzględnieniem przedsiębiorstw powiązanych i partnerskich.
• Przygotowanie i wdrożenie systemu zarządzania bezpieczeństwem informacji (SZBI) zgodnego z art. 8 ustawy, najlepiej w oparciu o uznane normy (np. ISO/IEC 27001), z odpowiednim wyprzedzeniem przed upływem 12-miesięcznego terminu.
• Upewnienie się, że wniosek o wpis do Wykazu KSC został złożony (podmioty kwalifikujące się od 3 kwietnia 2026 r. były do tego zobowiązane do 3 października 2026 r.), oraz bieżąca aktualizacja danych w wykazie (zakresy adresów IP, domeny internetowe, dane kontaktowe) w terminie 14 dni od ich zmiany i wyznaczenie wymaganej liczby osób kontaktowych.
• Wdrożenie procedur wykrywania i zgłaszania incydentów w reżimie 24h / 72h / 1 miesiąc oraz zapewnienie dostępu do systemu teleinformatycznego ministra właściwego do spraw informatyzacji.
• Przegląd umów z klientami i poddostawcami ICT pod kątem obowiązków dotyczących bezpieczeństwa łańcucha dostaw oraz podziału odpowiedzialności za incydenty.
• Zaplanowanie budżetu i harmonogramu na pierwszy audyt bezpieczeństwa systemu informacyjnego, który należy przeprowadzić w terminie 24 miesięcy od wejścia w życie ustawy.
• Przeszkolenie zarządu i kierownictwa w zakresie osobistej odpowiedzialności administracyjnej związanej z naruszeniem przepisów ustawy przez kierownika podmiotu.
• Bieżące śledzenie rozporządzeń wykonawczych (m.in. w sprawie progów uznania incydentu za poważny) oraz komunikatów ministra właściwego do spraw informatyzacji dotyczących harmonogramu wdrożenia.
• Rozważenie udziału w wymianie informacji o cyberzagrożeniach – ustawa dopuszcza zawieranie porozumień między podmiotami kluczowymi i podmiotami ważnymi w sprawie wymiany informacji o cyberzagrożeniach, podatnościach i incydentach (pełniących funkcję analogiczną do ISAC – Information Sharing and Analysis Center), co może być praktycznym narzędziem podnoszenia odporności także dla mniejszych podmiotów korzystających z infrastruktury lub systemów swoich partnerów biznesowych.