Dyrektywa NIS2 wymagała transpozycji do prawa krajowego każdego państwa członkowskiego. W Polsce implementacją NIS2 jest nowelizacja ustawy o krajowym systemie cyberbezpieczeństwa (KSC). Sejm uchwalił nowelizację 23 stycznia 2026 r., a Prezydent podpisał ją 19 lutego 2026 r.
Kluczowe elementy polskiej ustawy KSC implementującej NIS2:
Nowe kategorie podmiotów: podział na podmioty kluczowe i podmioty ważne z różnymi poziomami wymogów i kar
Rejestracja w systemie S46: obowiązek rejestracji w krajowym systemie zgłaszania incydentów
Audyty i kontrole: organy nadzorcze (m.in. Minister Cyfryzacji, KNF dla sektora finansowego) zyskują prawo do przeprowadzania kontroli i nakładania kar
Okres przejściowy: organizacje mają ograniczony czas na osiągnięcie zgodności od momentu wejścia ustawy w życie - CyCommSec pomaga wdrożyć pełną zgodność w 12 miesięcy
NIS2 dotyczy organizacji działających w 18 sektorach gospodarki, które spełniają określone kryteria wielkości. Dyrektywa NIS2 oraz UKSC dzieli podmioty na dwie kategorie:
Podmioty kluczowe: Obejmują 11 sektorów krytycznej infrastruktury. Podlegają najsurowszym wymogom i najwyższym karom: Energetyka (elektryczność, gaz, ropa naftowa, ciepłownictwo, wodór) Transport (lotniczy, kolejowy, morski, drogowy) Bankowość i infrastruktura rynków finansowych Ochrona zdrowia (szpitale, laboratoria, producenci wyrobów medycznych) Woda pitna i ścieki Infrastruktura cyfrowa (DNS, IXP, centra danych, dostawcy chmury, CDN) Zarządzanie usługami ICT (B2B) Administracja publiczna Przestrzeń kosmiczna Usługi pocztowe i kurierskie Gospodarowanie odpadami
Podmioty ważne: Obejmują dodatkowe 7 sektorów. Podlegają łagodniejszym wymogom, ale nadal mogą zostać ukarane (do 7 mln EUR lub 1,4% obrotu): Usługi pocztowe i kurierskie, gospodarowanie odpadami, produkcja i dystrybucja chemikaliów, produkcja i dystrybucja żywności, produkcja przemysłowa (wyroby medyczne, elektronika, maszyny, pojazdy), dostawcy usług cyfrowych (platformy, wyszukiwarki, media społecznościowe) oraz instytucje badawcze.
