NIS2 w Polsce: obowiązująca ustawa o KSC i najważniejsze terminy

Ten artykuł ukazał się w 2023 r., gdy termin wdrożenia dyrektywy NIS2 do polskiego prawa był jeszcze przed nami. Stan prawny zmienił się: nowelizacja ustawy o krajowym systemie cyberbezpieczeństwa obowiązuje od 3 kwietnia 2026 r. To ona określa w Polsce obowiązki podmiotów kluczowych i ważnych. Dla organizacji najważniejsze jest ustalenie, które przepisy dotyczą jej działalności i od kiedy musi je stosować.

Kogo dotyczą nowe obowiązki?

Kwalifikacja zależy m.in. od rodzaju usługi, sektora, wielkości organizacji i wyjątków przewidzianych w ustawie. Nie każdy szpital, urząd lub dostawca IT ma ten sam status. Ustawa wskazuje sektory w załącznikach nr 1 i 2, a podmiot powinien przeanalizować własną działalność oraz sprawdzić, czy został wpisany do Wykazu KSC z urzędu, czy powinien złożyć wniosek. Samo pojawienie się sektora na liście nie zastępuje tej analizy.

Najważniejsze daty dla podmiotów objętych ustawą

Według harmonogramu Ministerstwa Cyfryzacji:

• 3 października 2026 r. upłynął termin na złożenie wniosku o wpis do Wykazu KSC przez podmioty, które w dniu wejścia ustawy w życie spełniały kryteria i nie zostały wpisane z urzędu.
• 3 kwietnia 2027 r. upływa okres dostosowawczy na wdrożenie obowiązków i rozpoczęcie korzystania z systemu S46 dla podmiotów spełniających kryteria w dniu wejścia ustawy w życie.
• 3 kwietnia 2028 r. upływa termin pierwszego audytu bezpieczeństwa systemu informacyjnego dla podmiotów kluczowych, które wcześniej nie były operatorami usług kluczowych. Dotychczasowi operatorzy zachowują odrębny cykl audytowy.

Terminy konkretnej organizacji trzeba odnieść do jej statusu i daty objęcia przepisami. Po szczegółowy opis obowiązków zajrzyj do przewodnika po KSC 2026.

Od czego zacząć przygotowania?

Najpierw ustal zakres działalności objętej ustawą i stan wpisu do Wykazu KSC. Następnie porównaj obecne środki bezpieczeństwa, dokumentację SZBI, proces obsługi incydentów i współpracę z dostawcami z wymaganiami mającymi zastosowanie do Twojej organizacji. Wynik takiej analizy powinien wskazać zadania, właścicieli i terminy. Zobacz zakres wsparcia Idealdata w NIS2 i KSC albo skontaktuj się z nami, jeśli potrzebujesz pomocy w zaplanowaniu prac.