Nowelizacja ustawy o Krajowym Systemie Cyberbezpieczeństwa (UKSC), wdrażająca dyrektywę NIS2, weszła w życie 3 kwietnia 2026 r. Część przedsiębiorstw odetchnęła z ulgą, czytając, że pełna egzekucja kar finansowych zaczyna się dopiero 3 kwietnia 2028 r. To jednak złudne poczucie bezpieczeństwa: do tej daty trzeba zdążyć z rejestracją, wdrożyć system zarządzania bezpieczeństwem informacji (SZBI) i przygotować się do pierwszego obowiązkowego audytu. Zaniechania w 2026 r. będą rozliczane w 2028 r.
W tym wpisie pokazujemy, na co konkretnie powinien przygotować się zarząd: jakie sankcje finansowe wprowadza ustawa, na czym polega osobista odpowiedzialność członków zarządu i jak dobry partner technologiczny — taki jak operator centrum danych — realnie ogranicza ekspozycję firmy na ryzyko niezgodności.
Kogo obejmuje NIS2 i jak duża jest skala zmiany
Nowelizacja UKSC zastępuje dotychczasowy podział na operatorów usług kluczowych i dostawców usług cyfrowych dwoma nowymi kategoriami: podmiotami kluczowymi i podmiotami ważnymi. Lista sektorów objętych regulacją została znacząco rozszerzona — obejmuje teraz m.in. zarządzanie odpadami, gospodarkę ściekami, usługi ICT, sektor kosmiczny, pocztę, produkcję chemiczną oraz produkcję i dystrybucję żywności.
Skala jest bezprecedensowa. Z około 400 podmiotów objętych dotychczasowymi przepisami liczba adresatów obowiązków wzrosła do poziomu kilkudziesięciu tysięcy organizacji. Jeśli Twoja firma działa w sektorze infrastruktury, energetyki, zdrowia, finansów, cyfrowych usług, transportu lub produkcji o znaczeniu krytycznym — z dużym prawdopodobieństwem podlega obowiązkom NIS2.
Sankcje finansowe — ile dokładnie grozi firmie
Ustawa różnicuje wysokość kar ze względu na status podmiotu:
- Podmiot kluczowy: do 10 000 000 euro lub do 2% rocznego światowego obrotu firmy — w zależności od tego, która kwota jest wyższa.
- Podmiot ważny: do 7 000 000 euro lub do 1,4% rocznego światowego obrotu firmy.
W praktyce dla średniej i większej organizacji prowadzącej działalność w wielu krajach UE pułap „% obrotu” niemal zawsze będzie wyższy niż kwota nominalna w euro — i to on stanowi realną granicę kary. Dla firmy z obrotem rzędu 1 mld zł rocznie potencjalna sankcja przekracza 20 mln zł.
Co istotne, są to kary administracyjne, nakładane przez organ nadzorczy, nie wymagają wyroku sądu w pierwszej instancji i mogą być kumulowane z innymi sankcjami (np. RODO, jeśli incydent dotyczy danych osobowych).
Osobista odpowiedzialność zarządu — czego nie da się scedować
To prawdopodobnie największa zmiana mentalna, jaką wprowadza NIS2. Do tej pory cyberbezpieczeństwo było w wielu firmach traktowane jako „problem działu IT”. Po 3 kwietnia 2026 r. odpowiedzialność za zgodność spoczywa formalnie na członkach zarządu podmiotu kluczowego lub ważnego.
W praktyce oznacza to:
- Obowiązek zatwierdzania środków zarządzania ryzykiem przez zarząd — nie wystarczy delegacja decyzji do CIO/CISO.
- Obowiązek nadzoru nad wdrożeniem SZBI i regularnego rozliczania jego skuteczności.
- Osobista odpowiedzialność za zaniechania — w przypadku poważnego naruszenia organ nadzoru może żądać czasowego zawieszenia konkretnej osoby z pełnienia funkcji kierowniczych.
- Obowiązek udziału zarządu w szkoleniach z cyberbezpieczeństwa — nie tylko zespołu technicznego.
Co ważne — i często mylnie interpretowane — obowiązków NIS2 nie można formalnie scedować na dostawcę. Można powierzyć wdrożenie polityk, audyt techniczny czy obsługę SOC zewnętrznemu partnerowi (i jest to często optymalne ekonomicznie), ale formalna odpowiedzialność za zgodność pozostaje po stronie zarządu podmiotu objętego ustawą.
Harmonogram: kiedy „zaczyna boleć”
Ustawa rozkłada obowiązki w czasie, ale wszystkie deadline’y odnoszą się do 3 kwietnia 2026 r. jako daty bazowej:
- 3 października 2026 r. (6 miesięcy) — termin samoidentyfikacji i złożenia wniosku o wpis do wykazu podmiotów kluczowych/ważnych w systemie S46. Brak wpisu w terminie to pierwsze potencjalne źródło sankcji.
- 3 kwietnia 2027 r. (12 miesięcy) — koniec okresu przejściowego na pełne wdrożenie środków zarządzania ryzykiem (SZBI) i integrację z S46. Od tego momentu obowiązki są w pełni egzekwowalne.
- 3 kwietnia 2028 r. (24 miesiące) — termin pierwszego obowiązkowego audytu cyberbezpieczeństwa dla podmiotów kluczowych. Od tej daty rusza również pełna egzekucja kar finansowych.
Z perspektywy zarządu: 2026 r. to czas na rejestrację i strategię, 2027 r. to wdrożenie, 2028 r. to weryfikacja i sankcje. Rozkładanie projektu na cały okres przejściowy jest racjonalne; pozostawienie go na ostatni kwartał — nie jest.
Jak partner data center realnie ogranicza ryzyko NIS2
NIS2 wymaga od podmiotu kluczowego/ważnego wykazania, że przyjął proporcjonalne i adekwatne środki zarządzania ryzykiem cybernetycznym. Część tych środków jest organizacyjna (polityki, role, procedury, szkolenia), część — czysto techniczna i infrastrukturalna. Operator centrum danych odpowiada przede wszystkim za tę drugą warstwę.
Kluczowe elementy infrastruktury, których organ nadzoru spodziewa się od dojrzałego rozwiązania:
- Fizyczne bezpieczeństwo serwerowni — kontrola dostępu, monitoring 24/7, fizyczna ochrona, systemy przeciwpożarowe. To pokrywa wymóg „ochrony fizycznej i środowiskowej” z NIS2. SDC zapewnia monitoring 24h, kontrolę dostępu i fizyczną ochronę serwerów jako standard usługi kolokacji.
- Redundancja zasilania i chłodzenia — UPS-y, agregaty prądotwórcze, redundantna klimatyzacja precyzyjna. NIS2 wymaga utrzymania ciągłości działania nawet przy awarii pojedynczych komponentów.
- Redundantna łączność — łącza od różnych operatorów eliminują pojedynczy punkt awarii sieci. To podstawa wymogu „odporności łańcucha dostaw”.
- Ochrona przed atakami sieciowymi — anty-DDoS na poziomie infrastruktury sieciowej operatora data center. Konieczna do udokumentowania zdolności reagowania na typowe wektory ataku.
- Procedury detekcji i reagowania — SOC, monitoring wewnętrzny, plany ciągłości działania (BCP/DRP) i ich testowanie.
Dla zarządu praktyczna konsekwencja jest taka: wybór dostawcy infrastruktury IT staje się decyzją compliance, a nie wyłącznie technologiczną. Umowa z operatorem powinna zawierać zapisy o poziomie usługi, raportowaniu incydentów w trybie umożliwiającym dotrzymanie deadline’ów wynikających z NIS2 (24 godziny na zgłoszenie wstępne, 72 godziny na raport szczegółowy) oraz prawie do audytu warunków bezpieczeństwa.
Podsumowanie
Nowelizacja UKSC wdrażająca NIS2 nie jest abstrakcyjną dyrektywą — to konkretne ryzyko biznesowe i osobiste dla członków zarządu polskich firm. Pułap kar (do 10 mln euro lub 2% globalnego obrotu) i osobista odpowiedzialność zarządu, której nie da się scedować, oznaczają, że temat trafia z poziomu IT na poziom strategii.
Realna egzekucja zaczyna się 3 kwietnia 2028 r., ale projekt zgodności trzeba rozplanować na cały okres przejściowy. Wybór dojrzałego, polskiego operatora centrum danych z adekwatnymi mechanizmami ochrony fizycznej, redundancji i monitoringu istotnie skraca drogę do zgodności technicznej — tej części obowiązków NIS2, którą można i warto zlecić ekspertom.
Jeśli planujesz przegląd infrastruktury IT pod kątem zgodności z NIS2, zapraszamy do rozmowy o kolokacji serwerów w Sprint Data Center — pokażemy, które elementy naszej standardowej oferty pokrywają konkretne wymogi ustawy.
FAQ – najczęściej zadawane pytania o NIS2 i odpowiedzialność zarządu
Czy obowiązki NIS2 można scedować na dostawcę usług IT?
Nie. Formalna odpowiedzialność za zgodność z NIS2 pozostaje po stronie zarządu podmiotu kluczowego lub ważnego. Zewnętrznemu partnerowi można powierzyć wdrożenie polityk, audyt techniczny, obsługę SOC czy kolokację serwerów — ale zarząd nadal odpowiada za wybór i nadzór nad takim dostawcą.
Kiedy realnie zaczynają być nakładane kary finansowe?
Ustawa weszła w życie 3 kwietnia 2026 r., ale pełna egzekucja kar administracyjnych zaczyna się od 3 kwietnia 2028 r. — po dwuletnim okresie przejściowym. Wcześniej organ nadzoru ma jednak narzędzia takie jak nakazy, zalecenia i wpis do wykazu, których nie warto bagatelizować.
Jakie dokładnie sankcje grożą członkom zarządu osobiście?
Ustawa przewiduje przede wszystkim sankcje na poziomie firmy (kary finansowe). W przypadku poważnych zaniechań organ nadzoru może jednak żądać czasowego zawieszenia konkretnych osób z pełnienia funkcji kierowniczych w podmiocie kluczowym oraz nałożenia obowiązku odbycia szkolenia z cyberbezpieczeństwa.
Czy ISO 27001 wystarczy do zgodności z NIS2?
ISO 27001 pokrywa znaczną część wymagań NIS2 w obszarze zarządzania bezpieczeństwem informacji, ale nie zastępuje obowiązku rejestracji w wykazie, raportowania incydentów do CSIRT-u w wymaganym czasie ani szkoleń zarządu. To dobry punkt startowy, ale nie pełny substytut.
Czy małe firmy też muszą stosować NIS2?
NIS2 generalnie nie obejmuje mikroprzedsiębiorstw i małych firm (mniej niż 50 pracowników i obrót poniżej 10 mln euro), z wyjątkiem określonych sektorów krytycznych — m.in. operatorów łączności elektronicznej, dostawców zaufanych usług czy kluczowej infrastruktury cyfrowej. Każdy podmiot powinien jednak indywidualnie zweryfikować swój status.