Nowelizacja ustawy o krajowym systemie cyberbezpieczeństwa, wdrażająca dyrektywę NIS2, obowiązuje od 3 kwietnia 2026 r. Jej cel jest praktyczny: zwiększyć odporność organizacji i zapewnić ciągłość usług istotnych dla gospodarki, państwa i obywateli – również wtedy, gdy dojdzie do cyberataku, awarii albo innego poważnego incydentu.
Chodzi więc nie tylko o bezpieczeństwo serwerów i danych. Incydent może zatrzymać produkcję, sprzedaż lub logistykę, uniemożliwić obsługę klientów, zakłócić dostawy, wygenerować odpowiedzialność kontraktową i naruszyć reputację przedsiębiorstwa. Dlatego KSC i NIS2 to przede wszystkim temat odporności biznesowej, a nie wyłącznie techniczny projekt dla działu IT.
Najpierw trzeba ustalić: czy podlegamy KSC?
Nowe przepisy obejmują znacznie szerszą niż dotychczas grupę przedsiębiorstw działających w sektorach istotnych dla funkcjonowania gospodarki. Podmioty powinny samodzielnie przeanalizować rodzaj prowadzonej działalności, sektor, wielkość przedsiębiorstwa oraz inne przesłanki określone w ustawie.
Tę analizę należy przeprowadzić już teraz. Podmioty, które spełniały kryteria podmiotu kluczowego albo ważnego w dniu wejścia w życie nowelizacji, powinny dokonać wpisu do Wykazu KSC do 3 października 2026 r. Ustalenie statusu jest jednak dopiero początkiem. Do 3 kwietnia 2027 r. organizacja powinna wdrożyć ustawowe obowiązki, w tym system zarządzania bezpieczeństwem informacji, oraz rozpocząć korzystanie z systemu S46. Im później przedsiębiorca potwierdzi, że podlega KSC, tym mniej czasu pozostanie mu na właściwe wdrożenie.
Dlaczego musi się tym zająć zarząd?
Ustawa nie pozostawia cyberbezpieczeństwa wyłącznie specjalistom technicznym. Za wykonywanie obowiązków odpowiada kierownik podmiotu, którym w spółce będzie co do zasady zarząd.
Jeżeli kierownikiem jest organ wieloosobowy i nie wskazano konkretnej osoby odpowiedzialnej, odpowiedzialność ponoszą wszyscy członkowie tego organu. Co istotne, powierzenie obowiązków dyrektorowi IT, pracownikowi albo zewnętrznemu dostawcy nie zwalnia kierownika podmiotu z odpowiedzialności.
To zarząd lub kierownictwo powinno m.in.:
- podejmować decyzje dotyczące przygotowania, wdrożenia i nadzoru nad systemem zarządzania bezpieczeństwem informacji,
- zapewnić odpowiedni budżet,
- przydzielić zadania i nadzorować ich wykonanie,
- zadbać o świadomość personelu,
- zapewnić zgodność działalności z przepisami i regulacjami wewnętrznymi.
Kierownik podmiotu będzie także zobowiązany do odbywania corocznego, udokumentowanego szkolenia. Ustawa przewiduje ponadto możliwość nałożenia na niego odrębnej kary pieniężnej – do 300% wynagrodzenia.
NIS2 wpływa na całą organizację
Wdrożenie może wymagać nie tylko dodatkowych zabezpieczeń informatycznych, ale również:
- analizy ryzyka i ciągłości działania,
- wskazania procesów i usług krytycznych dla biznesu,
- przeglądu dostawców oraz umów,
- przygotowania procedur reagowania na incydenty,
- ustalenia zasad odpowiedzialności i raportowania,
- szkoleń pracowników,
- dokumentowania wykonanych działań.
W projekt powinni być zatem zaangażowani nie tylko informatycy, lecz także zarząd, działy prawne, compliance, HR, zakupy, finanse oraz osoby odpowiedzialne za działalność operacyjną.
Co biznes powinien zrobić teraz?
Pierwszym krokiem powinno być niezwłoczne ustalenie:
- czy organizacja jest podmiotem kluczowym albo ważnym,
- które usługi, procesy i systemy będą objęte obowiązkami,
- od których dostawców zależy ciągłość działalności,
- jakie są obecne luki prawne, organizacyjne i techniczne,
- kto odpowiada za wdrożenie i jaki budżet jest potrzebny.
NIS2 nie jest kolejną regulacją, którą można przekazać działowi IT i uznać za zamkniętą. To projekt dotyczący sposobu zarządzania przedsiębiorstwem, jego odporności na zakłócenia oraz odpowiedzialności osób kierujących organizacją. Dlatego analizę statusu i przygotowania do wdrożenia trzeba rozpocząć już teraz – zanim ustawowe terminy wymuszą działania pod presją czasu.
