Dyrektywa NIS2 (Network and Information Security Directive 2) to najważniejsza regulacja cyberbezpieczeństwa w Unii Europejskiej. 19 lutego 2026 r. Prezydent RP podpisał nowelizację ustawy o krajowym systemie cyberbezpieczeństwa (KSC), która transponuje dyrektywę NIS2 do polskiego porządku prawnego. Oznacza to, że tysiące polskich organizacji musi wdrożyć nowe wymogi cyberbezpieczeństwa - pod groźbą kar do 10 mln EUR lub 2% rocznego obrotu.
Najważniejsze zmiany w NIS2 w porównaniu z NIS1:
Kluczowe elementy polskiej ustawy KSC implementującej NIS2:
Organizacja musi przeprowadzać regularne analizy ryzyka cyberbezpieczeństwa i utrzymywać ktualną politykę bezpieczeństwa. Obejmuje to identyfikację aktywów krytycznych, ocenę zagrożeń i wdrożenie adekwatnych środków ochrony.
Obowiązkowe procedury i narzędzia wykrywania, analizy, reagowania na incydenty i odzyskiwania sprawności operacyjnej. Wstępne zgłoszenie poważnego incydentu musi nastapić w ciągu 24 godzin, a pelny raport w ciagu 72 godzin od jego wykrycia.
Plany ciągłości działania (BCP), plany odzyskiwania po awarii (DRP) i regularne testy scenariuszowe. Organizacja musi być w stanie kontynuować działalność nawet podczas poważnego incydentu cybernetycznego.
Ocena ryzyka cyberbezpieczeństwa dostawców i podwykonawców, w tym dostawców usług ICT. Wymaga wprowadzenia klauzul bezpieczeństwa do umów i regularnego audytowania dostawców.
Zarządzanie podatnościami, bezpieczne praktyki programistyczne i regularne testy penetracyjne.
Regularne audyty bezpieczeństwa, testy penetracyjne, przeglądy polityk i mierzenie wskaźników bezpieczeństwa (KPI/KRI).
Obowiązkowe szkolenia cyberbezpieczeństwa dla wszystkich pracowników, włącznie z zarządem. izkolenia muszą być regularne i obejmować rozpoznawanie phishingu, bezpieczne hasła, zasady pracy zdalnej.
Wdrożenie polityki kryptograficznej obejmującej szyfrowanie danych w spoczynku i w tranzycie, zarządzanie kluczami i certyfikatami, oraz stosowanie aktualnych algorytmów kryptograficznych.
Polityki kontroli dostępu, zarządzanie tożsamościami (IAM), zasada najmniejszych uprawnień (least privilege), uwierzytelnianie wieloskładnikowe (MFA) i zarządzanie dostępem uprzywilejowanym.
Obowiązkowe MFA dla dostępu do systemów krytycznych, bezpieczne kanały komunikacji (szyfrowany e-mail, VPN) i rozwiązania do bezpiecznej komunikacji awaryjnej.
Ważne!
Ważne: Kary dotyczą nie tylko samej organizacji, ale również osobiście członków zarządu. Oznacza to, że prezes, CTO czy CISO mogą ponosić osobistą odpowiedzialność finansową i prawną za brak wdrożenia wymogów NIS2. Dodatkowo, w przypadku podmiotów kluczowych, organy nadzorcze mogą tymczasowo zawiesić certyfikaty lub zezwolenia na prowadzenie działalności.
