Trzeciego kwietnia 2026 roku weszła w życie nowelizacja ustawy o krajowym systemie cyberbezpieczeństwa, która wdraża do polskiego prawa dyrektywę NIS2. Pierwszy twardy termin mija 3 października i obejmuje znacznie szerszą grupę firm niż poprzednia wersja przepisów. W Wielkopolsce, gdzie gospodarka stoi na produkcji spożywczej, logistyce i dystrybucji, spora część zarządów nie przeprowadziła jeszcze nawet samooceny.
Spis treści
Co zmieniło się 3 kwietnia
Polska wdrożyła NIS2 nie nową ustawą, lecz nowelizacją ustawy o krajowym systemie cyberbezpieczeństwa z 2018 roku. Zrobiła to z dużym opóźnieniem, bo unijny termin transpozycji minął w październiku 2024 roku. Praktyczny skutek jest taki, że przepisy weszły od razu z gotowym harmonogramem, a firmy dostały krótkie okno na reakcję.
Najważniejsze zmiany dla przedsiębiorcy wyglądają tak:
- organizacje dzielą się teraz na podmioty kluczowe i podmioty ważne, z różnym reżimem nadzoru,
- katalog sektorów objętych ustawą został wyraźnie rozszerzony, doszły między innymi zarządzanie usługami ICT, usługi pocztowe i kurierskie, gospodarka odpadami, produkcja oraz dystrybucja żywności, a także badania,
- pojawił się obowiązek samooceny i rejestracji w systemie teleinformatycznym S46,
- kary przestały być symboliczne, liczy się je w milionach euro albo w procencie obrotu, a odpowiedzialność sięga także osób zarządzających,
- ustawa wprost dotyka łańcucha dostaw, czyli podmiot objęty przepisami musi patrzeć na bezpieczeństwo swoich dostawców.
To ostatni punkt jest najczęściej niedoceniany i za chwilę wrócimy do niego szerzej.
Kalendarz, który warto powiesić na ścianie
Harmonogram liczy się od dnia wejścia ustawy w życie i wygląda następująco:
- 3 kwietnia 2026, wejście w życie nowelizacji, start całego zegara.
- 3 października 2026, termin na samoocenę oraz złożenie wniosku o wpis do wykazu przez system S46.
- 3 kwietnia 2027, termin na wdrożenie systemu zarządzania bezpieczeństwem informacji i pozostałych obowiązków merytorycznych.
- 3 kwietnia 2028, termin pierwszego audytu dla podmiotów kluczowych.
Pierwszy z tych terminów jest jednocześnie najprostszy i najczęściej odkładany. Nie wymaga wdrożenia niczego technicznego, wymaga jedynie rzetelnego sprawdzenia, czy firma spełnia przesłanki ustawowe. Problem w tym, że sama analiza bywa trudniejsza, niż wygląda. Trzeba zestawić sektor działalności, wielkość zatrudnienia, obroty i faktycznie świadczone usługi, a te elementy w rozproszonej grupie kapitałowej rzadko są opisane w jednym miejscu.
Nie ma cię w wykazie? Kontrahent i tak zapyta
Najczęstsza reakcja na NIS2 brzmi: to nie dla nas, jesteśmy hurtownią, a nie elektrownią. W wielu przypadkach jest to prawda w sensie formalnym i nieprawda w sensie biznesowym.
Podmioty objęte ustawą mają obowiązek zarządzać ryzykiem w łańcuchu dostaw. W praktyce oznacza to, że przenoszą część wymagań na swoich dostawców, umową i ankietą bezpieczeństwa. Producent żywności z Wielkopolski, który podlega przepisom, zapyta swojego przewoźnika, integratora systemu magazynowego i firmę utrzymującą mu serwerownię o to, jak zarządzają dostępem, jak zgłaszają incydenty i czy testują odtworzenie kopii zapasowych.
Odpowiedź „mamy antywirusa” nie kończy już takiej rozmowy. Kończy ją dokument.
Dlaczego akurat w Wielkopolsce robi się z tego problem
Region ma strukturę gospodarczą, która ustawia go w pierwszym rzędzie. Produkcja i przetwórstwo spożywcze, przemysł motoryzacyjny, logistyka wokół węzłów autostradowych i bardzo silny handel hurtowy. To dokładnie te branże, w których albo podlega się przepisom wprost, albo obsługuje się kogoś, kto podlega.
Do tego dochodzi typowy dla regionu model organizacyjny: centrala w Poznaniu i kilka oddziałów albo magazynów rozrzuconych po województwie. Obowiązki z ustawy dotyczą całej organizacji, natomiast dokumentacja, standard sprzętowy i procedury kończą się zwykle na centrali. Oddział w mniejszym mieście ma własny router kupiony przy okazji, własny sposób nadawania uprawnień i backup, o którym nikt nie pamięta, bo zakładał go pracownik, który odszedł trzy lata temu.
Kiedy trzeba wykazać, że organizacja panuje nad ryzykiem, właśnie tam pojawia się luka.
Pięć rzeczy do zrobienia przed październikiem
Nie trzeba czekać na rozstrzygnięcie wątpliwości interpretacyjnych, żeby ruszyć z pracą. Poniższe kroki mają sens niezależnie od tego, jak zakończy się samoocena.
Po pierwsze, samoocena na papierze. Sektor, PKD, zatrudnienie, obroty, świadczone usługi. Wynik zapisany i podpisany, a nie ustalony na korytarzu. Jeśli wyjdzie, że firma podlega, zostaje jeszcze czas na wniosek do wykazu.
Po drugie, inwentaryzacja. Lista serwerów, urządzeń sieciowych, systemów i licencji, ze wskazaniem, kto za co odpowiada. W rozproszonych firmach ten dokument zwykle nie istnieje, a bez niego każdy kolejny krok jest zgadywaniem.
Po trzecie, kopie zapasowe i test odtworzenia. Model trzy kopie, dwa nośniki, jedna poza siedzibą to minimum, a wersje odporne na zaszyfrowanie to dziś standard, nie luksus. Kopia, której nikt nie odtworzył próbnie, jest wyłącznie obietnicą.
Po czwarte, porządek w dostępach. Logowanie wieloskładnikowe, odbieranie uprawnień przy odejściu pracownika, oddzielne konta administracyjne. Najtańsze zabezpieczenie, jakie można wdrożyć, i najczęściej pomijane.
Po piąte, procedura zgłoszenia incydentu. Kto dzwoni, do kogo, w jakim czasie i co zapisuje. Ustawa przewiduje krótkie terminy zgłoszeń, więc improwizacja w dniu awarii nie wchodzi w grę.
Zwykle pęka nie na sprzęcie, tylko na dowodzie
Doświadczenie z audytów pokazuje ciekawą prawidłowość. Firmy zwykle mają więcej zabezpieczeń, niż same sądzą. Mają firewall, mają backup, mają politykę haseł. Czego nie mają, to możliwości udowodnienia, że to działa i że ktoś to nadzoruje.
Regulator, ubezpieczyciel i duży kontrahent pytają o to samo: pokażcie rejestr, pokażcie raport z testu, pokażcie datę ostatniego przeglądu uprawnień. Różnica między firmą przygotowaną a nieprzygotowaną najczęściej sprowadza się do tego, czy ktoś regularnie zbiera te dowody, czy nie.
Właśnie dlatego monitoring i raportowanie stają się nagle argumentem prawnym, a nie tylko technicznym. System zbierający dane z każdej lokalizacji osobno daje coś, czego nie da najlepszy nawet firewall: historię.
Samemu czy z zewnętrznym zespołem
W firmie zatrudniającej kilkaset osób, z jednym informatykiem na etacie i czterema lokalizacjami, samodzielne przejście tej ścieżki jest możliwe, ale kosztuje ten etat całkowicie. Przez kilka miesięcy nikt nie zajmie się bieżącymi zgłoszeniami.
Alternatywą jest oddanie części pracy na zewnątrz. Firmy takie jak UXU, które prowadzą usługi IT w Poznaniu i obsługują klientów z centralą w mieście oraz oddziałami w regionie, robią zwykle trzy rzeczy naraz: przeprowadzają audyt stanu faktycznego, ujednolicają standard między lokalizacjami i przejmują bieżące utrzymanie, żeby wewnętrzny zespół mógł skupić się na projektach. Pełen zakres takich prac, od helpdesku i administracji serwerami po backup, monitoring i audyty zgodności, opisuje katalog usług informatycznych dla firm.
Wybór modelu jest wtórny wobec jednej decyzji, która musi zapaść teraz: ktoś w organizacji ma imiennie odpowiadać za temat i mieć na niego budżet.
Co zapamiętać
Trzeci października 2026 to nie termin wdrożenia zabezpieczeń, tylko termin sprawdzenia, czy firma w ogóle podlega przepisom. Na wdrożenie zostaje kolejnych sześć miesięcy, a na pierwszy audyt dwa lata. Kolejność jest więc łaskawa, pod warunkiem że zacznie się od pierwszego kroku.
Firmy, które potraktują to jako okazję do uporządkowania IT, a nie jako kolejny obowiązek papierowy, wyjdą z tego z czymś więcej niż wpisem w wykazie. Wyjdą z dokumentacją, standardem i backupem, który ktoś faktycznie przetestował. To akurat przydaje się niezależnie od tego, co przewiduje ustawa.