Najważniejsze informacje:
- 3 października 2026 r. mija termin na złożenie wniosku o wpis do wykazu KSC dla podmiotów, które spełniały odpowiednie kryteria w dniu wejścia nowych przepisów w życie i nie zostały wpisane z urzędu.
- Według Ministerstwa Cyfryzacji nowe regulacje mogą objąć około 38 tys. podmiotów, w tym około 11 tys. niepublicznych.
- Do 3 kwietnia 2027 r. podmioty objęte przepisami będą musiały wdrożyć obowiązki wynikające z ustawy.
- Nowe wymagania oznaczają wydatki m.in. na analizę ryzyka, zabezpieczenia IT, szkolenia, procedury i kontrolę dostawców.
- Najwyższe administracyjne kary dla podmiotów kluczowych mogą sięgać równowartości 10 mln euro lub 2 proc. przychodów. Ustawa przewiduje też odpowiedzialność osób zarządzających.
Nowelizacja ustawy o krajowym systemie cyberbezpieczeństwa, wdrażająca unijną dyrektywę NIS2, obowiązuje od 3 kwietnia 2026 r. Zasadniczo rozszerzyła ona grupę organizacji objętych obowiązkami dotyczącymi cyberbezpieczeństwa i wprowadziła podział na podmioty kluczowe oraz ważne.
Od 7 maja działa system samorejestracji. Przedsiębiorstwa, które spełniały ustawowe kryteria w dniu wejścia nowych przepisów w życie i nie zostały wpisane do wykazu z urzędu, mają na złożenie wniosku sześć miesięcy – do 3 października. Według aktualnych szacunków Ministerstwa Cyfryzacji Krajowy System Cyberbezpieczeństwa może objąć około 38 tys. podmiotów, z czego około 27 tys. stanowią podmioty publiczne.
Nie każda firma działająca w branży wymienionej w ustawie automatycznie podlega jednak nowym obowiązkom. Znaczenie mają zarówno rodzaj prowadzonej działalności, jak i kryteria wielkościowe oraz szczególne przesłanki zapisane w ustawie.
Transport jest w ustawie, ale nie oznacza to automatycznego obowiązku dla przewoźnika
Transport znalazł się wśród sektorów kluczowych objętych nowymi przepisami. Ustawa rozróżnia transport lotniczy, kolejowy, wodny oraz drogowy.
W przypadku transportu drogowego katalog jest jednak znacznie węższy, niż mogłoby wynikać z samej nazwy sektora. Przepisy wymieniają zarządców dróg oraz podmioty świadczące usługi inteligentnych systemów transportowych (ITS). Oznacza to, że typowa firma przewozowa nie podlega NIS2 automatycznie wyłącznie dlatego, że prowadzi transport drogowy. Przedsiębiorstwa z branży TSL powinny natomiast sprawdzić, czy charakter ich działalności, świadczonych usług lub powiązań z innymi sektorami nie powoduje objęcia ich regulacją na innej podstawie.
To istotne również dlatego, że nowe przepisy obejmują szeroki katalog innych działalności – od energetyki i ochrony zdrowia, przez infrastrukturę cyfrową, po niektórych producentów, dystrybutorów i dostawców usług cyfrowych.
Z perspektywy przewoźnika NIS2 może wydawać się tematem dość odległym – szczególnie jeśli jego firma nie jest bezpośrednio objęta dyrektywą. W praktyce jednak wymagania dotyczące bezpieczeństwa będą coraz częściej pojawiać się w codziennej współpracy z większymi kontrahentami, spedytorami czy partnerami finansowymi. W TSL ogromna część biznesu opiera się dziś na cyfrowej wymianie danych i dokumentów, dlatego bezpieczeństwo tych procesów zaczyna mieć znaczenie podobne do terminowości czy wiarygodności płatniczej. Warto więc potraktować NIS2 nie jako kolejny formalny obowiązek, ale jako kierunek, w którym zmierza cały rynek – mówi Anna Niedźwiecka, Head of Sales & Customer Service w Transcash.eu.
Rejestracja to dopiero pierwszy krok
Dla firmy objętej ustawą wpis do wykazu KSC nie kończy procesu dostosowania. Podmioty kluczowe i ważne będą musiały wdrożyć system zarządzania bezpieczeństwem informacji i stosować środki odpowiednie do zidentyfikowanego ryzyka.
W praktyce oznacza to m.in. przygotowanie procedur reagowania na incydenty, zapewnienie ciągłości działania i wykonywania kopii zapasowych, zabezpieczenie systemów teleinformatycznych, zarządzanie dostępem oraz analizę bezpieczeństwa dostawców.
To ostatnie może mieć szczególne znaczenie dla przedsiębiorstw wykorzystujących rozbudowane systemy zewnętrzne. W branży TSL będą to m.in. rozwiązania telematyczne, systemy TMS i WMS, platformy do wymiany danych czy usługi chmurowe.
Podmioty stosujące się do wymogów systemu NIS2 muszą wymagać podobnego poziomu bezpieczeństwa również od swoich podwykonawców. Dlatego nawet jeśli przewoźnik nie jest bezpośrednio objęty przepisami dyrektywy, powinien znać jej założenia i zadbać o bezpieczeństwo swoich operacji. Wśród rozwiązań wartych wdrożenia znajduje się uwierzytelnianie wieloskładnikowe dla wszystkich kont i systemów, w tym telematycznych czy magazynowych, a także rejestrowanie sesji. Równie ważne jest zapewnienie rzetelnych kopii zapasowych danych oraz regularne testowanie możliwości ich odtworzenia. Warto również przeprowadzić przegląd umów z podwykonawcami i dostawcami rozwiązań IT pod kątem wprowadzenia klauzul zapewniających zgodność z nowymi wymogami bezpieczeństwa – dodaje Anna Niedźwiecka.
Podmioty objęte nowymi przepisami będą również korzystać z systemu S46, służącego m.in. do zgłaszania incydentów, odbierania ostrzeżeń oraz wymiany informacji z organami KSC i zespołami CSIRT. Dla podmiotów, które spełniały kryteria już 3 kwietnia 2026 r., termin wdrożenia zasadniczych obowiązków przypada na 3 kwietnia 2027 r.
Cyberbezpieczeństwo pojawi się w firmowym budżecie
Dostosowanie się do nowych wymagań oznacza nie tylko formalności. W wielu przedsiębiorstwach potrzebne będą inwestycje w rozwiązania informatyczne, usługi ekspertów, audyty, szkolenia i dodatkowy czas pracowników.
Dla przedsiębiorstw oznacza to konieczność uwzględnienia cyberbezpieczeństwa nie tylko w planach działów IT, ale również w budżetach i zarządzaniu płynnością. Koszt wdrożenia będzie zależał od wielkości organizacji, skali wykorzystywanych systemów, obecnego poziomu zabezpieczeń i zakresu koniecznych zmian. Firma, która ma już rozwinięte procedury bezpieczeństwa, znajdzie się w innej sytuacji niż przedsiębiorstwo rozpoczynające proces praktycznie od zera.
Wysokie kary, odpowiedzialność także po stronie zarządzających
Nowelizacja przewiduje rozbudowany system sankcji za niewykonanie obowiązków wynikających z KSC.
W przypadku podmiotu kluczowego minimalna kara wynosi 20 tys. zł, a maksymalna może odpowiadać równowartości 10 mln euro albo 2 proc. przychodów z działalności gospodarczej osiągniętych w poprzednim roku obrotowym – zastosowanie ma wyższa z tych wartości. Dla podmiotów ważnych dolna granica wynosi 15 tys. zł, natomiast maksymalna sankcja to równowartość 7 mln euro lub 1,4 proc. przychodów.
W szczególnych przypadkach ustawa pozwala również na wymierzenie kary do 100 mln zł, gdy naruszenie prowadzi do bezpośredniego i poważnego cyberzagrożenia, które może spowodować poważną szkodę majątkową lub znaczące zakłócenia w świadczeniu usług.
Odpowiedzialność nie kończy się na samej organizacji. Ustawa przewiduje również odpowiedzialność kierowników podmiotów kluczowych i ważnych. Kara dla osoby zarządzającej może wynieść do 300 proc. otrzymywanego przez nią wynagrodzenia.
Przepisy przejściowe ograniczają jednak możliwość natychmiastowego nakładania większości nowych kar. Co do zasady będą one mogły zostać zastosowane po raz pierwszy po dwóch latach od wejścia nowelizacji w życie, czyli od kwietnia 2028 r. Wyjątkiem jest m.in. szczególna kara do 100 mln zł.
Co trzeba zrobić przed 3 października?
Pierwszym zadaniem przedsiębiorcy nie powinien być zakup nowych zabezpieczeń, lecz ustalenie, czy firma w ogóle podlega nowym przepisom. Trzeba zweryfikować rodzaj prowadzonej działalności, wielkość przedsiębiorstwa oraz przesłanki wskazane w ustawie. Następnie należy sprawdzić, czy podmiot został wpisany do wykazu z urzędu, czy ciąży na nim obowiązek samodzielnego złożenia wniosku.
Jeżeli firma spełniała kryteria już 3 kwietnia 2026 r. i podlega samorejestracji, termin upływa 3 października. Na rejestracji proces się jednak nie kończy. Kolejnym etapem jest analiza ryzyka, określenie odpowiedzialności, sprawdzenie zabezpieczeń i dostawców oraz zaplanowanie wydatków potrzebnych do osiągnięcia zgodności przed kwietniem 2027 r.
