Najbliższy termin: 3 października 2026
Podmioty objęte ustawą muszą do tego dnia złożyć wniosek o wpis do wykazu podmiotów kluczowych i ważnych. Jeśli test poniżej wskaże, że ustawa Cię nie dotyczy, ten termin Cię nie obowiązuje.
Skąd nagle tyle zamieszania
NIS2 to unijna dyrektywa o cyberbezpieczeństwie, która sama w sobie nie obowiązuje firm bezpośrednio — państwa członkowskie musiały przenieść ją do prawa krajowego. Polska zrobiła to nowelizacją ustawy z 5 lipca 2018 roku o krajowym systemie cyberbezpieczeństwa, uchwaloną 23 stycznia 2026 roku i obowiązującą od 3 kwietnia 2026 roku. Nie powstała nowa ustawa — zmieniła się ta, która działała od lat, ale radykalnie poszerzył się krąg podmiotów nią objętych. Przed nowelizacją przepisy dotyczyły około 400 operatorów usług kluczowych, głównie infrastruktury krytycznej. Po nowelizacji mówi się o około 42 000 podmiotów, czyli stukrotnie więcej. Stąd fala maili od dostawców usług IT, ofert szkoleń i ogólnego niepokoju wśród organizacji, które nigdy wcześniej nie słyszały o KSC.
Test: pięć pytań
Kwalifikacja opiera się na dwóch warunkach, które muszą zachodzić łącznie: działalność w jednym z sektorów wymienionych w załącznikach do ustawy oraz osiągnięcie progu wielkości. Forma prawna — fundacja, stowarzyszenie, spółka, jednoosobowa działalność — sama w sobie niczego nie przesądza. Organizacja pozarządowa prowadząca szpital podlega ustawie, a spółka z ograniczoną odpowiedzialnością prowadząca kawiarnię nie podlega. Poniższe pytania prowadzą przez tę kwalifikację w kolejności, w której najszybciej można wykluczyć obowiązek.
1. Czy działasz w jednym z sektorów z załącznika?
To pytanie odsiewa zdecydowaną większość organizacji. Ustawa wymienia sektory w dwóch grupach:
| Podmioty kluczowe | Podmioty ważne |
|---|---|
| energetyka, transport, bankowość, infrastruktura rynków finansowych, ochrona zdrowia, woda pitna, ścieki, infrastruktura cyfrowa, administracja publiczna, przestrzeń kosmiczna | usługi pocztowe i kurierskie, gospodarowanie odpadami, produkcja i dystrybucja żywności, produkcja chemikaliów, usługi cyfrowe, produkcja wyrobów określonych kategorii, badania naukowe |
Jeśli Twoja działalność nie mieści się w żadnej z tych kategorii — a większość fundacji edukacyjnych, kulturalnych, pomocowych i rzeczniczych się nie mieści — ustawa Cię nie dotyczy i możesz przestać czytać test. Warto natomiast przeczytać ostatnią sekcję.
2. Czy przekraczasz próg wielkości?
Regulacja celuje w podmioty co najmniej średnie. Próg to 50 osób albo powyżej 10 mln EUR rocznego obrotu lub sumy bilansowej. Wystarczy spełnienie jednego z tych kryteriów. Organizacja działająca w objętym sektorze, ale zatrudniająca dwanaście osób i obracająca kwotą dwóch milionów złotych, progu nie osiąga.
3. Czy jesteś jednym z wyjątków niezależnych od wielkości?
Część podmiotów podlega przepisom bez względu na to, jak są duże — ze względu na szczególną rolę w ekosystemie cyfrowym lub gospodarczym. Dotyczy to między innymi niektórych dostawców usług DNS, rejestrów nazw domen najwyższego poziomu czy dostawców usług zaufania. Jeśli świadczysz tego rodzaju usługi, próg wielkości Cię nie chroni.
4. Czy jesteś dostawcą podmiotu objętego ustawą?
To pytanie zaskakuje najczęściej. Formalnie obowiązki ustawowe spoczywają na podmiocie kluczowym lub ważnym, nie na jego dostawcach. Ale ten podmiot musi zarządzać ryzykiem w łańcuchu dostaw, więc przeniesie wymagania na Ciebie umową. Mała firma programistyczna obsługująca szpital nie podlega ustawie bezpośrednio, ale dostanie do podpisania aneks z wymaganiami bezpieczeństwa i pytaniami audytowymi. To realny scenariusz dla wielu podwykonawców.
5. Czy przetwarzasz dane osobowe?
Pytanie kontrolne, które nie dotyczy NIS2, ale zamyka obraz. RODO obowiązuje niezależnie i wymaga wdrożenia środków technicznych i organizacyjnych odpowiednich do ryzyka. Organizacja, która nie podlega ustawie o KSC, ale prowadzi listę mailingową darczyńców, ma obowiązki bezpieczeństwa wynikające z zupełnie innego przepisu.
Terminy, jeśli test wypadł na tak
Ustawodawca rozłożył obowiązki w czasie i dał podmiotom okno na analizę i formalności. Kalendarz wygląda następująco:
| Data | Co się dzieje |
|---|---|
| 3 kwietnia 2026 | nowelizacja weszła w życie |
| 3 października 2026 | termin złożenia wniosku o wpis do wykazu |
| 3 kwietnia 2027 | termin wdrożenia obowiązków, w tym systemu zarządzania bezpieczeństwem informacji |
| 3 kwietnia 2028 | termin pierwszego audytu |
Co zrobić, jeśli ustawa Cię nie dotyczy
Brak obowiązku prawnego nie zmienia poziomu ryzyka. Małe organizacje są atakowane nie dlatego, że są cenne, lecz dlatego, że są łatwe — większość incydentów w tej grupie to zautomatyzowane kampanie, które nie wybierają celu. Pięć rzeczy daje nieproporcjonalnie dużo w stosunku do nakładu i żadna nie wymaga budżetu:
- Uwierzytelnianie wieloskładnikowe na poczcie, w bankowości i w panelu administracyjnym strony. Zatrzymuje większość przejęć kont.
- Kopie zapasowe z przetestowanym odtworzeniem. Kopia, której nikt nigdy nie odtworzył, jest założeniem, nie zabezpieczeniem.
- Aktualizacje systemu zarządzania treścią, wtyczek i bibliotek. Najczęstsza droga wejścia na stronę małej organizacji to nieaktualna wtyczka.
- Rozdzielenie kont. Osobne konto administracyjne, osobne robocze, brak współdzielonych haseł w zespole.
- Prosty plan reakcji. Jedna kartka: kto dzwoni do kogo, gdzie są kopie, jak odciąć dostęp. Pisana na spokojnie, nie w trakcie incydentu.
Bezpłatna ocena cyberbezpieczeństwa
Fundacja Trenify prowadzi bezpłatną ocenę cyberbezpieczeństwa dla organizacji pozarządowych i startupów. To dziesięć pytań, które wskazują poziom ryzyka i obszary wymagające uwagi w pierwszej kolejności. Przejdź do oceny.