Strona główna/Obsługa IT/NIS2
OBOWIĄZUJEod 3 kwietnia 2026
Ustawa o krajowym systemie cyberbezpieczeństwa po nowelizacji obowiązuje od 3 kwietnia 2026 r. Sprawdź w minutę, czy dotyczy Twojej firmy, ile brakuje do gotowości i co grozi za jej brak. Potem pomożemy wdrożyć brakujące środki.
Do terminu wdrożenia środków bezpieczeństwa
175dni
3 kwietnia 2027
W SKRÓCIE
NIS2 to unijna dyrektywa o cyberbezpieczeństwie. W Polsce wdraża ją nowelizacja ustawy o krajowym systemie cyberbezpieczeństwa (Dz.U. 2026 poz. 252), która obowiązuje od 3 kwietnia 2026 r. Obejmuje średnie i duże firmy z 18 sektorów, w tym produkcję maszyn, elektroniki i pojazdów, żywność, transport i usługi IT. Do 3 kwietnia 2027 r. trzeba wdrożyć środki bezpieczeństwa, a kierownictwo odpowiada za nie osobiście.
Źródło: ustawa o krajowym systemie cyberbezpieczeństwa po nowelizacji, Dz.U. 2026 poz. 252.
Kalendarz
Punkt „dziś” przesuwa się sam, więc zawsze widzisz, ile zostało do kolejnego terminu.
Dyrektywa NIS2 opublikowana w Dzienniku Urzędowym UE
Termin wdrożenia NIS2 do prawa krajów UE
Nowelizacja ustawy o KSC wchodzi w życie
Termin na wniosek o wpis do wykazu podmiotów kluczowych i ważnych
Środki bezpieczeństwa muszą być wdrożone
Pierwszy audyt podmiotów kluczowych, możliwe kary administracyjne
Test w 1 minutę
Odpowiedz na trzy pytania. Wynik pokaże się od razu.
1. W jakim sektorze działa firma?
2. Jak duża jest firma?
3. Czy dostarczacie produkty lub usługi firmom objętym NIS2?
Wstępna ocena na podstawie uproszczonych kryteriów ustawy. Nie jest poradą prawną.
Podmiot kluczowy czy ważny
| Podmiot kluczowy | Podmiot ważny | |
|---|---|---|
| Kto | Zwykle duże firmy z sektorów wysokiej krytyczności | Średnie firmy z tych sektorów oraz średnie i duże z pozostałych sektorów krytycznych |
| Środki bezpieczeństwa | Tak | Tak |
| Zgłaszanie incydentów | 24 h / 72 h / 1 miesiąc | 24 h / 72 h / 1 miesiąc |
| Nadzór | Z urzędu, także kontrole bez powodu | Po zdarzeniu lub sygnale |
| Audyt bezpieczeństwa | Co najmniej co 3 lata | Na żądanie organu |
| Kara maksymalna | 10 mln EUR lub 2% przychodów | 7 mln EUR lub 1,4% przychodów |
10 środków bezpieczeństwa
Ustawa wymaga wdrożenia środków odpowiednich do ryzyka. Zaznacz to, co u Was działa, a zobaczysz poziom gotowości.
Incydent
Poważny incydent trzeba zgłosić do właściwego zespołu CSIRT w trzech krokach. Bez procedury i monitoringu nie da się zdążyć.
Zgłaszasz do CSIRT, że doszło do poważnego incydentu.
Pierwsza ocena: skala, skutki i wskaźniki ataku.
Opis przyczyny, podjętych działań i skutków.
Kary
Kary dla firmy liczone są od przychodów. Kara może też objąć osobiście kierownika firmy.
Górna granica kary według art. 73 i 73a ustawy o KSC, przy kursie ok. 4,25 zł za euro. Kara nie może być niższa niż 20 tys. zł (kluczowy) i 15 tys. zł (ważny).
Stała cena
Wszystko, czego potrzebujesz, żeby wiedzieć, na czym stoisz, i mieć dokumentację wymaganą przez ustawę. Dla firmy do ok. 100 osób w jednej lokalizacji.
Czas realizacji: ok. 4–6 tygodni.
Wdrożenie zabezpieczeń technicznych (MFA, EDR, kopie, monitoring) wyceniamy osobno albo obejmujemy abonamentem Unlimited.
Zamów pakiet NIS2 Ready →Jak pomagamy
Bierzemy na siebie stronę techniczną i organizacyjną. Zabezpieczenia wdrożone w ramach NIS2 zostają pod naszą stałą opieką.
FAQ
Co do zasady nie. Ustawa obejmuje średnie i duże firmy z wymienionych sektorów. Są jednak wyjątki niezależne od wielkości, na przykład dostawcy usług DNS czy usług zaufania. Małe firmy często odczuwają NIS2 pośrednio, bo ich klienci muszą sprawdzać bezpieczeństwo dostawców.
Ustawa obowiązuje od 3 kwietnia 2026 r. Wniosek o wpis do wykazu podmiotów kluczowych i ważnych trzeba było złożyć do 3 października 2026 r., środki bezpieczeństwa wdrożyć do 3 kwietnia 2027 r., a pierwszy audyt podmiotu kluczowego przeprowadzić do 3 kwietnia 2028 r.
Podmiotowi kluczowemu do 10 mln EUR lub 2% rocznych przychodów, podmiotowi ważnemu do 7 mln EUR lub 1,4% przychodów, zależnie od tego, która kwota jest wyższa. Kierownikowi firmy prywatnej grozi kara do 300% wynagrodzenia. Większość kar administracyjnych może być nakładana od kwietnia 2028 r.
Wczesne ostrzeżenie w ciągu 24 godzin od wykrycia poważnego incydentu, pełne zgłoszenie w ciągu 72 godzin i sprawozdanie końcowe w ciągu miesiąca.
Odpowiadamy za stronę techniczną i organizacyjną: analizę luk, zabezpieczenia, procedury, dokumentację i szkolenia. Kwalifikację firmy jako podmiotu kluczowego lub ważnego warto potwierdzić z prawnikiem.
Kontakt
Sprawdzimy, czy ustawa Was obejmuje, co już spełniacie i co trzeba wdrożyć przed 3 kwietnia 2027 r.