Firmy mają czas tylko do 3 października. Nowe obowiązki mogą mocno uderzyć w budżety

Tysiące przedsiębiorstw w Polsce muszą sprawdzić, czy podlegają nowym przepisom dotyczącym cyberbezpieczeństwa. Dla części z nich kluczową datą będzie 3 października 2026 r. Do tego dnia trzeba złożyć wniosek o wpis do wykazu podmiotów kluczowych i ważnych. Na samej rejestracji obowiązki się jednak nie kończą. Firmy muszą przygotować się także na wydatki związane z zabezpieczeniem systemów, audytami, procedurami i szkoleniami pracowników.

Nowelizacja ustawy o krajowym systemie cyberbezpieczeństwa, która wdraża w Polsce unijną dyrektywę NIS2, weszła w życie 3 kwietnia 2026 r. Nowe regulacje znacząco poszerzyły katalog przedsiębiorstw objętych obowiązkami w zakresie ochrony przed cyberzagrożeniami.

Według danych Ministerstwa Cyfryzacji przepisy mogą dotyczyć około 38 tys. podmiotów, z czego około 11 tys. to organizacje niepubliczne. Nie każda firma z tej grupy musi jednak samodzielnie składać wniosek. Część podmiotów zostanie wpisana do wykazu Krajowego Systemu Cyberbezpieczeństwa z urzędu.

Więcej o dyrektywie NIS2 pisaliśmy w artykułach:

Po NIS2 nadchodzi nowa era cyberbezpieczeństwa. Dlaczego rynek mówi już o „NIS3”?

NIS2 wchodzi w życie. Rewolucja w cyberbezpieczeństwie polskiego sektora OZE – e-magazyny.pl

Termin 3 października coraz bliżej

Przedsiębiorstwa, które spełniały kryteria uznania za podmiot kluczowy lub ważny już 3 kwietnia 2026 r., a jednocześnie nie zostały wpisane do wykazu z urzędu, mają sześć miesięcy na dokonanie formalności.

Ostateczny termin upływa 3 października 2026 r. Wnioski można składać od 7 maja.

Inaczej wygląda sytuacja firm, które zaczną spełniać ustawowe kryteria dopiero w późniejszym terminie. W ich przypadku sześciomiesięczny okres na wystąpienie o wpis liczony jest od momentu, w którym przedsiębiorstwo zacznie podlegać nowym przepisom.

Z urzędu do wykazu mogą być wpisywane m.in. określone podmioty publiczne, przedsiębiorcy telekomunikacyjni, dostawcy usług zaufania czy podmioty uznane za krytyczne. Pozostałe organizacje muszą samodzielnie ustalić, czy znajdują się w zakresie ustawy.

Energia, transport, przemysł i żywność. Lista branż jest długa

NIS2 wprowadza wspólne standardy cyberbezpieczeństwa dla sektorów mających szczególne znaczenie dla funkcjonowania gospodarki i państwa.

Polskie regulacje obejmują m.in. przedsiębiorstwa działające w sektorach energii, transportu, bankowości, infrastruktury rynków finansowych, ochrony zdrowia, dostaw wody pitnej, odprowadzania ścieków, infrastruktury cyfrowej, usług ICT oraz przestrzeni kosmicznej. Przepisy uwzględniają również podmioty związane z inwestycjami w energetykę jądrową.

Nowe obowiązki mogą dotyczyć również przedsiębiorstw działających w produkcji, przetwarzaniu i dystrybucji żywności, wybranych gałęziach przemysłu czy branży chemicznej.

– Co do zasady regulacje dotyczą średnich i dużych podmiotów. W niektórych przypadkach ustawa obejmuje jednak organizacje niezależnie od ich wielkości lub ze względu na szczególne znaczenie świadczonej usługi. Sama obecność branży na liście nie przesądza więc jeszcze o obowiązku wpisu, ale powinna być sygnałem do szybkiej weryfikacji statusu firmy – zwraca uwagę Maciej Ostaszewski z eFaktor.

Nie tylko wielkie koncerny. Obowiązki mogą dotyczyć również handlu

Przedsiębiorcy z branży handlowej również nie powinni zakładać, że regulacje ich nie dotyczą. W zakres nowych przepisów mogą wejść m.in. firmy prowadzące hurtową dystrybucję żywności, przedsiębiorstwa produkujące albo dystrybuujące chemikalia, a także operatorzy internetowych platform handlowych.

Nie oznacza to jednak, że każdy sklep czy firma handlowa automatycznie trafi do KSC. Znaczenie mają m.in. rzeczywisty rodzaj działalności przedsiębiorstwa, jego wielkość, struktura właścicielska, relacje z podmiotami partnerskimi i powiązanymi oraz wyjątki przewidziane w przepisach.

Dlatego jednym z pierwszych działań powinno być przeanalizowanie nie tylko kodów PKD, ale również faktycznego zakresu działalności przedsiębiorstwa.

Wpis do wykazu to dopiero początek

Uzyskanie wpisu nie kończy obowiązków związanych z NIS2. Podmioty kluczowe i ważne będą musiały wdrożyć rozwiązania pozwalające skuteczniej zarządzać ryzykiem cybernetycznym oraz reagować na incydenty.

Firmy, które spełniały kryteria już w dniu wejścia ustawy w życie, powinny do 3 kwietnia 2027 r. rozpocząć korzystanie z systemu S46 oraz zrealizować pozostałe obowiązki przewidziane w nowych regulacjach.

S46 ma służyć m.in. do raportowania incydentów oraz komunikacji w ramach Krajowego Systemu Cyberbezpieczeństwa. Zakres wymaganych działań jest jednak znacznie szerszy.

Przedsiębiorstwa powinny przygotować rozwiązania dotyczące m.in.:

• analizy i zarządzania ryzykiem,
• reagowania na cyberincydenty,
• zapewnienia ciągłości działalności,
• wykonywania i zabezpieczania kopii zapasowych,
• bezpieczeństwa łańcucha dostaw,
• weryfikowania dostawców,
• bezpiecznego zakupu i utrzymywania systemów IT,
• kryptografii i szyfrowania,
• kontroli dostępu,
• uwierzytelniania wieloskładnikowego tam, gdzie jest ono uzasadnione.

To oznacza, że dla wielu przedsiębiorstw NIS2 stanie się nie tylko wyzwaniem technologicznym, ale również organizacyjnym i finansowym.

Cyberbezpieczeństwo będzie kosztować. Firmy muszą przygotować budżety

Dostosowanie przedsiębiorstwa do nowych wymagań może wymagać zakupu dodatkowych narzędzi informatycznych, korzystania z usług zewnętrznych specjalistów, przeprowadzania audytów i testów bezpieczeństwa czy modernizacji infrastruktury.

Do tego dochodzą wydatki na szkolenia oraz czas pracy własnych zespołów.

– Wzmocnienie cyberbezpieczeństwa jest potrzebne, ale dla przedsiębiorców wiąże się z dodatkowymi obowiązkami i kosztami. Firma musi przeanalizować regulacje, ustalić zakres odpowiedzialności, przeszkolić pracowników, zweryfikować dostawców oraz sfinansować niezbędne zmiany. Koszty obejmują nie tylko usługi i narzędzia, lecz także czas pracy zespołu. Im później rozpoczną się przygotowania, tym większe będzie ryzyko spiętrzenia wydatków w krótkim okresie – wskazuje Maciej Ostaszewski z eFaktor.

Dla przedsiębiorstw o ograniczonej płynności może to oznaczać konieczność wcześniejszego zaplanowania finansowania inwestycji związanych z cyberbezpieczeństwem.

Szczególnie istotne może być to w sektorach kapitałochłonnych, takich jak energetyka, transport czy przemysł, gdzie firmy równolegle ponoszą wysokie nakłady na bieżącą działalność i inwestycje.

Kary mogą być liczone w milionach euro

Ignorowanie nowych obowiązków może okazać się znacznie droższe niż samo wdrożenie wymaganych zabezpieczeń. Kara może zostać nałożona m.in. za niezłożenie wniosku o wpis w ustawowym terminie, niewdrożenie wymaganych środków zarządzania ryzykiem, brak zgłoszenia incydentu, nieprzeprowadzenie obowiązkowego audytu czy niewykonanie zaleceń właściwego organu.

W przypadku podmiotów kluczowych minimalna kara wynosi 20 tys. zł. Górna granica może natomiast wynieść równowartość 10 mln euro albo 2 proc. przychodów przedsiębiorstwa z działalności gospodarczej osiągniętych w poprzednim roku obrotowym. Pod uwagę brana jest wyższa z tych wartości.

Dla podmiotów ważnych minimalna sankcja wynosi 15 tys. zł, a maksymalna może odpowiadać 7 mln euro albo 1,4 proc. przychodów. To jednak nie najwyższa przewidziana sankcja.

Nawet 100 mln zł kary w szczególnych przypadkach

Jeżeli naruszenie doprowadzi do bezpośredniego i poważnego cyberzagrożenia oraz stworzy ryzyko poważnych szkód majątkowych albo znaczących problemów w świadczeniu usług, kara może sięgnąć nawet 100 mln zł.

Odpowiedzialność może dotyczyć również osób zarządzających przedsiębiorstwem.

– Ustawa przewiduje również odpowiedzialność kierowników podmiotów kluczowych i ważnych. Kara dla osoby zarządzającej może wynieść do 300 proc. otrzymywanego przez nią wynagrodzenia. W przypadku kierownika podmiotu publicznego limit wynosi co do zasady 100 proc. wynagrodzenia, z wyjątkiem podmiotów objętych ustawą również ze względu na działalność prowadzoną w innym sektorze – podkreśla ekspert eFaktor. Przepisy przejściowe przewidują jednocześnie, że większość kar będzie mogła zostać po raz pierwszy zastosowana po dwóch latach od wejścia nowelizacji w życie.

Wyjątkiem jest szczególna sankcja do 100 mln zł, której to ograniczenie nie obejmuje.

Co przedsiębiorca powinien zrobić przed 3 października?

Firmy, które jeszcze nie przeanalizowały swojego statusu, nie powinny odkładać tego do ostatnich dni przed upływem terminu. W pierwszej kolejności przedsiębiorstwo powinno sprawdzić, czy jego działalność mieści się w sektorach objętych regulacją, a następnie ustalić swoją wielkość oraz przeanalizować powiązania z innymi podmiotami.

Kolejnym krokiem jest zweryfikowanie, czy firma została już wpisana do wykazu z urzędu. Jeżeli przedsiębiorstwo spełniało odpowiednie kryteria 3 kwietnia 2026 r. i nie znalazło się w wykazie automatycznie, powinno złożyć wniosek najpóźniej 3 października 2026 r.

Równolegle warto rozpocząć przygotowania do właściwego wdrożenia nowych obowiązków: wyznaczyć osoby odpowiedzialne, przeprowadzić analizę ryzyka, stworzyć plan zabezpieczeń oraz oszacować koszty.

Największym błędem może być potraktowanie październikowego terminu jako końca całego procesu. W praktyce dla wielu firm będzie to dopiero początek kosztownego dostosowania organizacji do nowych zasad cyberbezpieczeństwa.

Najczęściej zadawane pytania o NIS2

Kogo dotyczą nowe przepisy NIS2?
Regulacje obejmują podmioty z sektorów energii, transportu, bankowości, ochrony zdrowia, wodociągów, infrastruktury cyfrowej, żywności, chemii i wybranych gałęzi przemysłu. Według Ministerstwa Cyfryzacji przepisy mogą dotyczyć ok. 38 tys. podmiotów, w tym ok. 11 tys. organizacji niepublicznych.

Do kiedy trzeba złożyć wniosek o wpis do wykazu?
Firmy, które spełniały kryteria już 3 kwietnia 2026 r. i nie zostały wpisane z urzędu, mają czas do 3 października 2026 r. Firmy spełniające kryteria później liczą sześć miesięcy od momentu, gdy zaczną podlegać przepisom.

Czy każda firma musi samodzielnie składać wniosek?
Nie. Część podmiotów – m.in. wybrane instytucje publiczne, przedsiębiorcy telekomunikacyjni, dostawcy usług zaufania czy podmioty krytyczne – zostaje wpisana do wykazu z urzędu. Pozostałe muszą same zweryfikować swój status.

Jakie kary grożą za brak wpisu lub niedopełnienie obowiązków?
Dla podmiotów kluczowych kara może wynieść do 10 mln euro albo 2 proc. rocznych przychodów (wyższa z tych wartości), minimalnie 20 tys. zł. Dla podmiotów ważnych – do 7 mln euro albo 1,4 proc. przychodów, minimalnie 15 tys. zł. W szczególnych przypadkach, przy bezpośrednim zagrożeniu cyberbezpieczeństwa, kara może sięgnąć nawet 100 mln zł.

Czy odpowiedzialność ponosi też zarząd firmy?
Tak. Kara dla osoby zarządzającej podmiotem kluczowym lub ważnym może wynieść do 300 proc. jej wynagrodzenia, a w przypadku kierownika podmiotu publicznego – do 100 proc.

Co poza wpisem do wykazu muszą zrobić firmy?
Wdrożenie analizy ryzyka, procedur reagowania na incydenty, zabezpieczenia kopii zapasowych, weryfikacji dostawców, szyfrowania i uwierzytelniania wieloskładnikowego. Firmy, które spełniały kryteria od 3 kwietnia 2026 r., mają czas do 3 kwietnia 2027 r. na uruchomienie systemu S46 i pozostałych obowiązków.

Ile mogą kosztować przygotowania do NIS2?
Koszty obejmują narzędzia informatyczne, audyty bezpieczeństwa, usługi zewnętrznych specjalistów, modernizację infrastruktury, szkolenia oraz czas pracy własnych zespołów. Eksperci ostrzegają, że im później firma zacznie się przygotowywać, tym większe ryzyko spiętrzenia wydatków w krótkim czasie.