NIS2 i ustawa o KSC: sprawdź, czy dotyczy Was łańcuch dostaw

Co się właściwie zmieniło

Polska wdrożyła dyrektywę NIS2 nowelizacją ustawy o krajowym systemie cyberbezpieczeństwa, która weszła w życie 3 kwietnia 2026 roku. Liczba podmiotów objętych regulacją wzrosła z kilkuset do około czterdziestu tysięcy, w osiemnastu sektorach. Terminy wyglądają tak:

• 3 kwietnia 2026 — ustawa obowiązuje, zaczyna działać obowiązek zgłaszania incydentów.
• 3 października 2026 — upłynął sześciomiesięczny termin na wpis do wykazu podmiotów kluczowych i ważnych.
• 3 kwietnia 2027 — termin na wdrożenie systemowego podejścia do bezpieczeństwa, w tym systemu zarządzania bezpieczeństwem informacji.
• 3 kwietnia 2028 — pierwszy obowiązkowy audyt dla podmiotów kluczowych, powtarzany co najmniej raz na trzy lata. Od tego momentu organy mogą też nakładać kary finansowe.

Kary dla podmiotów kluczowych sięgają 10 mln euro lub 2% rocznego obrotu światowego, dla podmiotów ważnych — 7 mln euro lub 1,4% obrotu. Do tego dochodzi odpowiedzialność osobista kierownictwa.

Kogo ustawa obejmuje wprost

Co do zasady: podmioty z jednego z osiemnastu wskazanych sektorów, zatrudniające co najmniej 50 osób albo z rocznym obrotem powyżej 10 mln euro. Część podmiotów — operatorzy telekomunikacyjni, rejestry domen, dostawcy usług zaufania — podlega ustawie niezależnie od wielkości.

Jeśli zatrudniacie dwadzieścia osób i prowadzicie biuro rachunkowe, ustawa nie obejmuje Was bezpośrednio. I tu zwykle kończy się rozmowa — przedwcześnie.

Łańcuch dostaw, czyli dlaczego to i tak Was dotyczy

Jednym z obowiązków podmiotów objętych ustawą jest zarządzanie bezpieczeństwem łańcucha dostaw. W praktyce oznacza to, że duży klient musi wykazać, iż sprawdził swoich dostawców. Nie ma innego sposobu, żeby to zrobić, niż zapytać dostawcę — czyli Was.

Pytanie przychodzi zwykle w jednej z dwóch form: jako ankieta bezpieczeństwa przy przedłużaniu umowy albo jako nowy załącznik do kontraktu z wymaganiami technicznymi i obowiązkiem zgłaszania incydentów w ustalonym czasie. Odpowiedź „nie podlegamy ustawie” nie jest odpowiedzią na to pytanie. Odpowiedzią jest albo opis tego, co robicie, albo utrata kontraktu na rzecz dostawcy, który taki opis ma.

To jest realna ścieżka, którą obowiązki docierają do firm formalnie spoza zakresu ustawy — przez umowę, nie przez przepis.

Zgłaszanie incydentów: zegar rusza w chwili wykrycia

Podmioty objęte ustawą mają 24 godziny na wczesne ostrzeżenie, 72 godziny na pełne zgłoszenie incydentu i 30 dni na raport końcowy. Wszystkie te terminy liczy się od momentu wykrycia, nie od momentu, w którym incydent się wydarzył.

Ma to konsekwencję, którą łatwo przeoczyć: dopóki nikt nie patrzy, zegar formalnie stoi, ale szkoda rośnie. Mediana czasu wykrycia naruszenia danych liczona jest w miesiącach, nie w dniach. Firma bez stałego nadzoru nad siecią dowiaduje się o incydencie wtedy, gdy ten zaczyna kosztować — i wtedy musi w 72 godziny opisać coś, czego przebiegu nikt nie rejestrował. Tym problemem zajmuje się nasz produkt CyberWatchDog.

Co zrobić teraz, niezależnie od wielkości

1. Ustalcie, czy podlegacie ustawie — sektor i wielkość. To jedna rozmowa, nie projekt.
2. Sprawdźcie umowy z największymi klientami pod kątem zapisów o bezpieczeństwie i zgłaszaniu incydentów. Jeśli ich jeszcze nie ma, pojawią się przy następnym przedłużeniu.
3. Przygotujcie jedną kartkę opisującą, jak chronicie dane klienta, kto odpowiada za bezpieczeństwo i jak zgłaszacie incydenty. To odpowiedź na większość ankiet, które dostaniecie.
4. Zadbajcie o to, żeby incydent dało się w ogóle zauważyć. Bez tego pozostałe punkty są papierem.

Jeśli chcecie przejść to z kimś, kto robi to na co dzień — napiszcie. Pierwsza rozmowa służy ustaleniu, czy w ogóle macie problem.