Wróć do biblioteki wiedzy Cyberbezpieczeństwo · Firmy

Czy moja firma podlega pod NIS2? Dwa pytania i jeden haczyk

25 sierpnia 2026 8 min czytania Michał Flaczyński

Od kwietnia 2026 obowiązuje znowelizowana ustawa o krajowym systemie cyberbezpieczeństwa, wdrażająca dyrektywę NIS2. Pierwsze pytanie każdego zarządu brzmi: czy to w ogóle nas dotyczy. Odpowiedź sprowadza się do dwóch warunków, które trzeba spełnić łącznie — a potem do jednego haczyka, przez który temat wraca nawet do firm, które na oba pytania odpowiedziały „nie”.

Pytanie pierwsze: czy jesteś w sektorze z załącznika?

Ustawa nie obejmuje gospodarki po kolei, tylko wskazuje konkretne sektory w dwóch załącznikach. Załącznik nr 1 to sektory określane jako kluczowe — między innymi energia, transport, bankowość, infrastruktura rynków finansowych, ochrona zdrowia, woda pitna, ścieki, infrastruktura cyfrowa, zarządzanie usługami ICT, administracja publiczna i przestrzeń kosmiczna. Załącznik nr 2 obejmuje sektory ważne, w tym usługi pocztowe i kurierskie, gospodarowanie odpadami, produkcję i dystrybucję chemikaliów, produkcję i dystrybucję żywności, produkcję wyrobów, dostawców usług cyfrowych oraz badania naukowe.

Diabeł siedzi w definicjach. „Produkcja wyrobów” brzmi jak worek, do którego wpada każdy zakład — ale ustawa zawęża to do konkretnych kategorii. Z drugiej strony firma, która uważa się za zwykłego usługodawcę IT, może wpaść pod „zarządzanie usługami ICT” i bardzo się zdziwić.

Pytanie drugie: czy przekraczasz próg wielkości?

Progiem wejścia jest co najmniej średnie przedsiębiorstwo, czyli 50 lub więcej pracowników albo roczny obrót lub suma bilansowa powyżej 10 mln euro. Warunki są rozłączne — wystarczy spełnić jeden z nich.

To oznacza, że firma z czterdziestoma osobami na pokładzie, ale z obrotem 12 mln euro, przekracza próg. I odwrotnie: zakład z sześćdziesięcioma pracownikami i niewielkim obrotem również. Warto policzyć oba, zanim ktoś machnie ręką.

Uwaga na wyjątki. Od reguły progu są odstępstwa — pewne kategorie podmiotów trafiają pod ustawę niezależnie od wielkości, ze względu na rolę, jaką pełnią. Jeśli Twoja firma świadczy usługi, których przerwanie odbiłoby się na innych podmiotach lub na bezpieczeństwie publicznym, nie zamykaj analizy na liczbie etatów. Rozstrzyga art. 5 ustawy wraz z załącznikami.

Jeśli odpowiedź brzmi „tak”: kluczowy czy ważny

Podmioty z załącznika nr 1, które przekraczają progi dla dużego przedsiębiorstwa, trafiają zwykle do kategorii podmiotów kluczowych. Pozostałe — w tym większość średnich firm oraz podmioty z załącznika nr 2 — to podmioty ważne.

Obowiązki merytoryczne są w dużej mierze wspólne. Różni je przede wszystkim nadzór: podmioty kluczowe podlegają kontroli prewencyjnej i mają obowiązek okresowego audytu bezpieczeństwa, podmioty ważne są nadzorowane raczej następczo, czyli po zdarzeniu. Kary również są rozdzielone, z wyższymi widełkami dla podmiotów kluczowych.

Terminy są te same dla wszystkich

1
Do 3 października 2026 — samoidentyfikacja i wpis Firma sama ocenia swój status i składa wniosek o wpis do wykazu podmiotów kluczowych i ważnych. Brak wpisu to odrębne naruszenie, niezależne od tego, jak dobrze jesteście zabezpieczeni.
2
Od razu — gotowość do zgłaszania incydentów Wczesne ostrzeżenie do 24 godzin od wykrycia, pełne zgłoszenie do 72 godzin, sprawozdanie końcowe do miesiąca. Terminy biegną od wykrycia, niezależnie od pory i dnia tygodnia.
3
Do 3 kwietnia 2027 — system zarządzania bezpieczeństwem informacji Analiza ryzyka, kontrola dostępu, kryptografia, ciągłość działania, monitoring i testowanie zabezpieczeń oraz bezpieczeństwo łańcucha dostaw wraz z oceną dostawców ICT.

A teraz haczyk: łańcuch dostaw

Najczęstsza reakcja po analizie brzmi: „sprawdziliśmy, nie podlegamy, temat zamknięty”. I tu zwykle popełnia się błąd, bo wśród obowiązków podmiotów objętych ustawą jest bezpieczeństwo łańcucha dostaw i ocena dostawców.

Praktyczne przełożenie jest takie: firma, która podlega ustawie, musi ocenić ryzyko związane ze swoimi dostawcami. A skoro musi, to zacznie tego wymagać — w ankietach bezpieczeństwa, w klauzulach umownych, w warunkach przetargu. Jeżeli sprzedajesz cokolwiek wodociągom, szpitalowi, firmie logistycznej albo dostawcy usług cyfrowych, wymagania dotrą do Ciebie drogą handlową zamiast ustawowej.

Różnica jest istotna: nie grozi Ci wtedy kara administracyjna, tylko utrata kontraktu. Dla wielu małych dostawców to konsekwencja bardziej dotkliwa i znacznie szybsza niż kontrola organu.

Co z tego wynika praktycznie: jeśli nie podlegasz ustawie, ale Twoi klienci podlegają, potrzebujesz nie zgodności formalnej, lecz umiejętności odpowiedzenia na ankietę bezpieczeństwa — czyli udokumentowanego planu ciągłości działania, procedury na incydent i wiedzy, ile trwa u Ciebie odtworzenie danych po awarii.

To zwykle kilka dokumentów i jedno ćwiczenie, a nie projekt wdrożeniowy na rok.

Osobna sprawa: spółki komunalne

Wodociągi, ciepłownia i przedsiębiorstwo gospodarki komunalnej to odrębne podmioty prawne od gminy, z odrębnymi obowiązkami. Sektor zaopatrzenia w wodę pitną i sektor ścieków są wymienione w załączniku nr 1, więc spółka może podlegać ustawie własną ścieżką, nawet jeśli urząd gminy nie przekracza progu.

W praktyce spotyka się dwa lustrzane nieporozumienia: spółka zakłada, że „urząd się tym zajął”, a urząd zakłada, że „spółka to osobna firma, więc pewnie sama to ogarnia”. Wystarczy jeden telefon, żeby sprawdzić, czy ktokolwiek to policzył.

Co zrobić w tym tygodniu

  1. Sprawdź sektor w załącznikach nr 1 i 2, czytając definicje, a nie same tytuły sektorów.
  2. Policz oba progi — zatrudnienie i obrót lub sumę bilansową. Wystarczy jeden przekroczony.
  3. Zapisz uzasadnienie. Jeśli wychodzi, że nie podlegacie, ten dokument jest tak samo ważny jak wpis — przy kontroli liczy się tok rozumowania, nie samo stwierdzenie.
  4. Zapytaj największych klientów, czy oni podlegają. Jeśli tak, przygotuj się na ankiety bezpieczeństwa niezależnie od własnego statusu.
  5. Odtwórz kopię zapasową i zmierz czas. To pytanie pada w każdej ankiecie i w każdej analizie ryzyka, a odpowiedź „robimy backupy” nie jest odpowiedzią.

Zastrzeżenie. To przegląd praktyczny, nie opinia prawna. Kwalifikacja podmiotu zależy od szczegółowych definicji sektorowych i bywa niejednoznaczna, a część opracowań branżowych podaje rozbieżne interpretacje. Przed decyzją wiążącą sprawdź art. 5 i załączniki do ustawy oraz komunikaty Ministerstwa Cyfryzacji, a w razie wątpliwości skonsultuj się z prawnikiem.

Nie wiecie, po której stronie jesteście?

Kwalifikacja to u nas osobna, zamknięta usługa: przechodzimy przez definicje sektorowe i progi, a wynik dostajecie z uzasadnieniem gotowym do przedstawienia przy kontroli albo klientowi. Jeśli okaże się, że nie podlegacie — powiemy to wprost i na tym skończymy. Pierwsza rozmowa jest bezpłatna i trwa 30 minut.

Oferta dla firm Umów konsultację

Podstawa prawna i źródła