Twoja dokumentacja zgodności
z NIS2 w 5 dni

Uwierzytelnianie wieloskładnikowe (MFA)

„Dla jakich usług wymagacie MFA? Poczta, VPN, RDP, administracja sieci i chmury, konta uprzywilejowane.”

Bezpieczeństwo poczty elektronicznej

„Jakich zabezpieczeń używacie przed podszywaniem się pod adresy e-mail (SPF, DKIM, DMARC)? Czy wyłączyliście protokoły przestarzałe (IMAP, POP3, niezabezpieczony SMTP)?”

Plan reagowania na incydenty

„Jaki jest wasz plan reagowania na incydenty i w jakim terminie poinformujecie nas o incydencie cyberbezpieczeństwa?”

Podwykonawstwo i łańcuch dostaw

„Czy korzystacie z podwykonawców czwartego szczebla? Czy zaakceptujecie klauzule umowne nakładające zgodność z NIS2 (zabezpieczenia, zgłaszanie naruszeń, prawo audytu)?”

Kopie zapasowe i ciągłość działania

„Czy wykonujecie kopie zapasowe? Czy integralność i procedury odtwarzania są testowane co najmniej raz w roku?”

Nadzór nad bezpieczeństwem

„Czy wasza polityka bezpieczeństwa informacji opiera się na uznanym standardzie (NIST, ISO 27001)?”

Kogo to dotyczy?

Dyrektywa obejmuje przedsiębiorstwa „średnie” lub „duże” (w rozumieniu prawa europejskiego) działające w wykazie sektorów uznanych za krytyczne: z jednej strony energia, transport, zdrowie, banki, woda, sektor cyfrowy, administracja publiczna; z drugiej poczta, odpady, chemia, przemysł spożywczy, produkcja, badania naukowe. Państwo może też objąć nią mniejsze podmioty, jeśli odgrywają kluczową rolę.

Czego NIS2 naprawdę od Ciebie wymaga

Jasno i wprost: wdrożyć „proporcjonalne” środki bezpieczeństwa, umieć zidentyfikować swoje ryzyka, chronić dane, wykryć atak, zareagować na niego i uruchomić się ponownie po fakcie. Dochodzi do tego bezpieczeństwo fizyczne pomieszczeń, kontrola dostępu i uprawnień oraz weryfikacja bezpieczeństwa swoich usługodawców i dostawców.

Gdy coś pójdzie nie tak, precyzyjne terminy

Jeśli wystąpi incydent „poważny”, trzeba powiadomić organ w trzech etapach: wczesne ostrzeżenie w ciągu 24 godzin, bardziej szczegółowe zgłoszenie w ciągu 72 godzin, a następnie sprawozdanie końcowe w ciągu miesiąca. O środkach, jakie powinni podjąć po swojej stronie, należy też bez zwłoki poinformować dotkniętych klientów.

Sankcje, bez dramatyzowania

Górny pułap kar określa dyrektywa: do 10 mln € lub 2 % światowego obrotu (w zależności od tego, która kwota jest wyższa) dla podmiotów „kluczowych”; do 7 mln € lub 1,4 % światowego obrotu dla podmiotów „ważnych”. To pułapy ustawowe, a nie automatyczny rachunek, a kara pojawia się dopiero po drabince środków naprawczych - zob. szczegóły niżej.

Daty, które warto zapamiętać

Dyrektywa obowiązuje od 16 stycznia 2023 r. Każde państwo członkowskie miało przetransponować swoje obowiązki do prawa krajowego najpóźniej do 17 października 2024 r., z faktycznym stosowaniem od 18 października 2024 r., dnia, w którym dawny akt NIS1 został uchylony.

We Francji, kto prowadzi sprawę

ANSSI jest organem wyznaczonym do wspierania dostosowania do NIS2. Opublikowała „Référentiel Cyber France” (ReCyF, dostępny od 17 marca 2026 r.) i oferuje platformę „MonEspaceNIS2” oraz „ClubSSI”, aby pomóc przedsiębiorstwom odnaleźć się w tych wymogach.

Co już dzieje się u naszych sąsiadów

W Niemczech organ BSI wskazuje, że ustawowy termin rejestracji objętych przedsiębiorstw już minął: te, które jeszcze tego nie zrobiły, powinny to zrobić bez zwłoki. To konkretny sygnał, że ruch europejski już trwa, znacznie wykraczając poza same teksty.

Upraszczanie jest w analizie

Komisja Europejska przedstawiła w 2026 r. propozycję („pakiet omnibus”), aby złagodzić zgodność z NIS2, w szczególności dla najmniejszych podmiotów: ulgą zostałoby objętych około 28 700 przedsiębiorstw, w tym 6 200 mikroprzedsiębiorstw i małych przedsiębiorstw.

Prywatna klinika lub laboratorium analityczne

Wchodzi do sektora „Opieka zdrowotna” z Załącznika I, gdy jest placówką opieki zdrowotnej w rozumieniu prawa europejskiego i przekracza próg wielkości średniej.

Podwykonawca motoryzacyjny lub producent maszyn

Wpada do sektora „Produkcja” z Załącznika II (pojazdy, urządzenia elektryczne, maszyny, elektronika) po przekroczeniu progu wielkości.

Dostawca chmury lub firma zarządzająca infrastrukturą IT (MSP/MSSP)

Należy do „Infrastruktury cyfrowej” lub „Zarządzania usługami ICT” z Załącznika I: objęta od wielkości średniej (podmiot ważny), podmiot kluczowy, jeśli jest duża. Jedyny wyjątek co do wielkości: jeśli jest też kwalifikowanym dostawcą usług zaufania, rejestrem nazw domen lub dostawcą usług DNS.

Jednostka samorządu terytorialnego lub regionalna placówka publiczna

Wchodzi do sektora „Administracja publiczna” z Załącznika I, jeśli państwo członkowskie ją wyznaczy, w szczególności gdy przerwanie jej usług miałoby istotny wpływ na krytyczne działania społeczne lub gospodarcze.

Przetwórca rolno-spożywczy lub hurtownik

Podlega sektorowi „Produkcja, przetwarzanie i dystrybucja żywności” z Załącznika II, o ile prowadzi działalność hurtową lub przemysłową produkcję/ przetwórstwo.

Przedsiębiorstwo spoza „18 sektorów”, ale dostawca podmiotu objętego dyrektywą

Nie jest bezpośrednio w zakresie NIS2, ale może zostać do niego wciągnięte przez umowę: zob. sekcję „Efekt domina” wyżej na tej stronie.

P. Czym jest dyrektywa NIS2, w jednym zdaniu?

To europejski akt, który zastąpił, od 18 października 2024 r., dawną ustawę z 2016 r. o cyberbezpieczeństwie: Komisja Europejska opisuje go jako akt, który „podnosi wspólny poziom ambicji UE w dziedzinie cyberbezpieczeństwa poprzez szerszy zakres stosowania, jaśniejsze przepisy i wzmocnione narzędzia nadzoru”.

P. Jestem MŚP, czy naprawdę dotyczą mnie progi wielkości?

Tekst celuje przede wszystkim w przedsiębiorstwa „średnie” lub „duże” w rozumieniu europejskim, precyzyjne kryterium prawne, które odsyła do zalecenia 2003/361/WE (w praktyce: od 50 pracowników lub jednocześnie ponad 10 mln EUR obrotu i sumy bilansowej), działające w jednym z 18 wymienionych sektorów. Poniżej co do zasady nie podlegasz bezpośrednio, chyba że Twoje państwo obejmie mniejsze podmioty uznane za kluczowe albo jeśli dostarczasz usługi podmiotowi, który takim jest (efekt domina, zob. wyżej na tej stronie).

P. Czy jako szef firmy mogę ponosić osobistą odpowiedzialność?

Tak, i to najmniej znany punkt tekstu: oficjalne streszczenie prawne dyrektywy wyjaśnia, że organ zarządzający musi zatwierdzać środki zarządzania ryzykiem i nadzorować ich wdrażanie, i że może ponosić odpowiedzialność w razie uchybień. Cyberbezpieczeństwo to więc nie tylko temat informatyczny: to kwestia nadzoru korporacyjnego, która sięga aż do szefa firmy.

P. Jak konkretnie sprawdzić, czy moja firma musi się zarejestrować?

Każde państwo członkowskie musi prowadzić aktualny oficjalny wykaz podmiotów kluczowych i ważnych, weryfikowany co dwa lata (pierwszy termin europejski: 17 kwietnia 2025 r.). We Francji ANSSI udostępnia bezpłatne narzędzie samooceny online, „MonEspaceNIS2”, które odpowiada wprost na pytanie „czy to mnie dotyczy?”.

P. Czy Francja ma opóźnienie? Co to zmienia dla mnie dzisiaj?

Tak: francuska ustawa transponująca nadal nie została opublikowana, znacznie po europejskim terminie. W lipcu 2026 r. Komisja Europejska skierowała zresztą sprawę przeciwko Francji do Trybunału Sprawiedliwości UE za niezgłoszenie środków transpozycji (zob. szczegółowy kalendarz wyżej). Konkretnie: żadna „francuska sankcja NIS2” nie jest jeszcze możliwa, dopóki nie ukaże się dekret, ale w dniu jego publikacji firmy już przygotowane nie będą miały nic do nadrobienia.

P. Co naprawdę zmienia się w porównaniu z dawną ustawą NIS1?

NIS1 (2016) ograniczała się do energii, transportu, zdrowia, finansów, wody i sektora cyfrowego. NIS2 mocno poszerza ten zakres: dochodzą teraz powszechna łączność elektroniczna, serwisy społecznościowe i platformy cyfrowe, gospodarka odpadami, produkcja wyrobów krytycznych, usługi pocztowe i administracja publiczna. Wiele przedsiębiorstw dotąd poza radarem wchodzi teraz w zakres.

P. Czy planowana jest ulga dla małych podmiotów?

Tak, w analizie: Komisja Europejska przedstawiła w 2026 r. pakiet uproszczeń, aby zmniejszyć obciążenie administracyjne związane z NIS2, w szczególności dla najmniejszych podmiotów. Ulgą miałoby zostać objętych około 28 700 przedsiębiorstw, w tym 6 200 mikroprzedsiębiorstw i małych przedsiębiorstw. Tekst nie został jeszcze ostatecznie przyjęty: do obserwowania, ale bez czekania z przygotowaniami.

Maksymalna administracyjna kara pieniężna: co najmniej 10 000 000 EUR LUB co najmniej 2 % światowego obrotu z poprzedniego roku obrotowego - stosuje się wyższą z tych dwóch kwot.

Maksymalna administracyjna kara pieniężna: co najmniej 7 000 000 EUR LUB co najmniej 1,4 % światowego obrotu z poprzedniego roku obrotowego - ta sama logika, przyjmuje się wyższą kwotę.

Kto nakłada sankcje?

Każde państwo członkowskie wyznacza jeden lub kilka „właściwych organów” odpowiedzialnych za nadzór i egzekwowanie dyrektywy. We Francji rolę tę pełni ANSSI.

Ostateczność - tylko podmioty kluczowe

Jeśli poprzednie środki pozostają bez skutku, organ może zwrócić się do sądu o czasowe zawieszenie certyfikacji lub zezwolenia, a nawet o tymczasowe odsunięcie szefa firmy (dyrektora generalnego lub przedstawiciela ustawowego) od pełnienia funkcji, do czasu zapewnienia zgodności. Ta skrajna eskalacja dotyczy WYŁĄCZNIE podmiotów kluczowych, nie podmiotów ważnych.

Kwota nie jest automatyczna

Prawo nakazuje uwzględnić, w każdym przypadku z osobna: wagę i czas trwania naruszenia, ponowne naruszenie, wyrządzoną szkodę, umyślność lub niedbalstwo, środki podjęte w celu ograniczenia szkody, przestrzeganie kodeksów postępowania lub certyfikacji, poziom współpracy z organem. Dwa przedsiębiorstwa w tej samej sytuacji nie otrzymują automatycznie tej samej kary.

Osoby zarządzające, odpowiedzialne osobiście

Tekst wprost przewiduje, że osoby fizyczne kierujące podmiotem (dyrektor generalny, przedstawiciel ustawowy) mogą ponosić odpowiedzialność za uchybienia w obowiązkach zapewnienia zgodności - zarówno w przypadku podmiotów kluczowych, jak i ważnych.

A jeśli to także wyciek danych?

Jeśli incydent stanowi też naruszenie ochrony danych osobowych, organ NIS2 musi bez zwłoki poinformować o tym właściwy organ RODO (we Francji CNIL). Oba reżimy się koordynują - to nie jest automatyczne kumulowanie sankcji, lecz wzajemne informowanie się organów.

Przykłady z kwotami? Jeszcze nie, szczerze mówiąc

Na dzień tego monitoringu żadnej decyzji o sankcji NIS2 podanej do wiadomości publicznej nie znaleziono w oficjalnym źródle. System zależy od ustawy transponującej każdego państwa członkowskiego, w trakcie finalizacji. Znak, że ruch się rozpoczął: w Niemczech organ BSI wskazuje, że ustawowy termin rejestracji objętych podmiotów już minął.