Od 3 kwietnia 2026 r. obowiązują w Polsce nowe przepisy ustawy o krajowym systemie cyberbezpieczeństwa, które wdrażają unijną dyrektywę NIS2. Obejmują tysiące firm i instytucji - także takich, które do tej pory nie myślały o sobie jako o „infrastrukturze krytycznej”. Najważniejsza zmiana? Nikt nie przyśle Ci zawiadomienia. To firma sama musi ustalić, czy podlega ustawie, i spełnić wymagania NIS2 w określonym terminie.
W tym artykule wyjaśniamy prostym językiem, kogo dotyczą nowe przepisy, jakie obowiązki nakładają na firmę i jej zarząd oraz jak można je zrealizować w środowisku Microsoft 365, z którego korzysta większość organizacji.
Czym jest NIS2 i ustawa o KSC?
NIS2 to unijna dyrektywa, której celem jest podniesienie poziomu cyberbezpieczeństwa w całej Unii Europejskiej. Dyrektywa to jednak tylko wzór - każde państwo przenosi ją do własnego prawa. W Polsce zrobiono to nowelizacją ustawy o krajowym systemie cyberbezpieczeństwa (KSC). To właśnie ustawa o KSC określa konkretne obowiązki, terminy i kary dla polskich firm.
Kogo dotyczy NIS2? Podmioty kluczowe i ważne
Ustawa obejmuje organizacje, które jednocześnie:
- działają w jednym z 18 sektorów wymienionych w załącznikach do ustawy - m.in. energetyka, transport, ochrona zdrowia, woda i ścieki, gospodarka odpadami, produkcja, żywność, chemikalia, usługi cyfrowe, usługi zarządzane IT i administracja publiczna,
- są co najmniej średnim przedsiębiorstwem - zatrudniają co najmniej 50 osób albo mają ponad 10 mln euro rocznego obrotu i sumy bilansowej.
Wielkość liczy się razem ze spółkami powiązanymi i partnerskimi. Mała spółka należąca do dużej grupy może więc podlegać ustawie. Niektóre podmioty - np. dostawcy usług DNS czy usług zaufania - podlegają przepisom niezależnie od wielkości.
Ustawa dzieli objęte nią organizacje na podmioty kluczowe (zwykle duże firmy z sektorów o najwyższej krytyczności) i podmioty ważne (pozostałe). Od tej kategorii zależy zakres nadzoru, obowiązek audytu i wysokość kar.
Nie podlegasz ustawie? To nie koniec tematu. Jeśli Twoimi klientami są firmy objęte NIS2, będą one musiały ocenić bezpieczeństwo swoich dostawców - w tym Ciebie. Pytania o zabezpieczenia, kopie zapasowe i obsługę incydentów prędzej czy później trafią także do Twojej firmy.
Najważniejsze wymagania NIS2 dla firmy
Ustawa o KSC wymaga od podmiotów kluczowych i ważnych przede wszystkim:
- wpisu do wykazu podmiotów kluczowych i ważnych - wniosek składa sama firma, w ciągu 6 miesięcy od spełnienia warunków,
- wdrożenia systemu zarządzania bezpieczeństwem informacji (SZBI) - w ciągu 12 miesięcy; obejmuje on m.in. analizę ryzyka, polityki bezpieczeństwa, kontrolę dostępu, kopie zapasowe, ciągłość działania i bezpieczeństwo łańcucha dostaw,
- zgłaszania poważnych incydentów do właściwego zespołu CSIRT: wczesne ostrzeżenie w ciągu 24 godzin, zgłoszenie w ciągu 72 godzin i sprawozdanie końcowe w ciągu miesiąca,
- regularnych szkoleń - personelu oraz, co najmniej raz w roku, zarządu,
- audytu bezpieczeństwa - w przypadku podmiotów kluczowych.
Firmy, które spełniały warunki w dniu wejścia w życie nowelizacji, miały na złożenie wniosku o wpis do wykazu czas do 3 października 2026 r., a na wdrożenie SZBI mają czas do 3 kwietnia 2027 r. Jeśli Twoja firma podlega ustawie i jeszcze nie złożyła wniosku, nie zwlekaj.
Odpowiedzialność zarządu - tego nie da się delegować
NIS2 wyraźnie przenosi odpowiedzialność za cyberbezpieczeństwo na najwyższy poziom organizacji. Zarząd odpowiada za wdrożenie i nadzór nad systemem bezpieczeństwa - także wtedy, gdy powierzył te zadania działowi IT lub firmie zewnętrznej. Dyrektywa przewiduje kary do 10 mln euro lub do 2% całkowitego rocznego obrotu przedsiębiorstwa (liczonego globalnie, także dla całej grupy) dla podmiotów kluczowych - w zależności od tego, która kwota jest wyższa - oraz odpowiednio do 7 mln euro lub 1,4% obrotu dla podmiotów ważnych. Ustawa o KSC przewiduje ponadto odpowiedzialność osobistą kierownictwa - kary mogą zostać nałożone także bezpośrednio na kierownika podmiotu.
Dlatego przygotowanie do NIS2 to nie jest wyłącznie projekt informatyczny. To decyzja zarządcza, która wymaga zaangażowania kierownictwa od pierwszego dnia.
Jak spełnić wymagania NIS2 w Microsoft 365?
Ustawa jest neutralna technologicznie - nie wymaga konkretnych produktów. Wymaga natomiast skutecznych zabezpieczeń dopasowanych do ryzyka. Dla firm pracujących w Microsoft 365 dobra wiadomość jest taka, że dużą część wymagań technicznych można zrealizować w narzędziach, które już znają ich pracownicy:
- kontrola dostępu i uwierzytelnianie wieloskładnikowe (MFA) - Microsoft Entra ID, dostęp warunkowy, odrębne konta administracyjne,
- bezpieczeństwo urządzeń, aktualizacje i szyfrowanie - Microsoft Intune i BitLocker,
- ochrona przed zagrożeniami i monitorowanie - Microsoft Defender dla komputerów i poczty,
- ochrona informacji - etykiety poufności i kontrola udostępniania plików,
- rejestry wymagane przez ustawę (aktywa, ryzyka, incydenty, szkolenia) - prowadzone jako listy SharePoint.
Licencja Microsoft 365 Business Premium obejmuje większość tych narzędzi. Business Standard zawiera ich znacznie mniej, więc wymaga uzupełnienia. Jednego elementu nie ma w żadnym z tych planów - i to on najczęściej okazuje się największą luką.
Najczęstsza luka: „mamy wszystko w chmurze, więc mamy kopię”
Microsoft odpowiada za dostępność swoich usług, ale nie za odtworzenie danych usuniętych lub zaszyfrowanych w wyniku ataku na Twoje konto. Kosz, wersje plików i zasady przechowywania nie zastępują kopii zapasowej. Tymczasem NIS2 wymaga zapewnienia ciągłości działania - a więc kopii zapasowych odseparowanych od środowiska podstawowego i regularnie testowanych.
Inne typowe luki, które spotykamy w firmach: brak aktualnego spisu sprzętu i usług IT, brak okresowego przeglądu uprawnień, nieznana lista dostawców IT i brak procedury na wypadek incydentu. Każdą z nich da się usunąć - pod warunkiem, że wiemy o niej odpowiednio wcześnie.
Od czego zacząć? Plan w 4 krokach
- Ustalenie statusu. Firma sama - w razie wątpliwości z pomocą prawnika - ustala, czy i jako jaki podmiot podlega ustawie oraz jakie terminy ją obowiązują.
- Analiza luk. Porównaj stan obecny z wymaganiami: zabezpieczenia techniczne, dokumenty, procesy. Wynik to lista działań z priorytetami.
- Wdrożenie. Przygotuj dokumentację, skonfiguruj zabezpieczenia, uruchom rejestry i przeszkol zarząd oraz pracowników.
- Utrzymanie. Monitoruj, testuj kopie zapasowe, przeglądaj uprawnienia i co najmniej raz w roku przeglądaj cały system. NIS2 to proces, a nie jednorazowy projekt.
Jak pomagamy w Existo
Od lat wdrażamy i utrzymujemy Microsoft 365 w firmach w Polsce i w innych krajach Unii Europejskiej. Dlatego w obszarze NIS2 łączymy w jednym miejscu to, co zwykle wymaga kilku dostawców:
- weryfikację aktualnego stanu (analizę luk) - sprawdzamy, czego brakuje do spełnienia wymagań ustawy, wspólnie z Twoim zarządem i działem IT,
- gotowy, uporządkowany pakiet dokumentacji systemu zarządzania bezpieczeństwem, dopasowywany do Twojej firmy,
- konfigurację zabezpieczeń w Microsoft 365 oraz wdrożenie kopii zapasowych,
- stałą opiekę - monitorowanie, testy odtworzenia danych, przeglądy uprawnień i wsparcie przy incydentach.
Mówimy jasno, co wdrożymy, a co pozostaje po stronie Twojej firmy. Nie udzielamy porad prawnych - w sprawach interpretacji przepisów współpracujemy z Twoim prawnikiem.
Najczęstsze pytania o NIS2
Czy NIS2 dotyczy małych firm?
Co do zasady nie - ustawa obejmuje firmy co najmniej średnie. Wyjątki dotyczą m.in. spółek z większych grup kapitałowych i niektórych rodzajów działalności. Mała firma może też zostać objęta wymaganiami pośrednio, jako dostawca podmiotu kluczowego lub ważnego.
Czy dokumentacja RODO wystarczy, żeby spełnić wymagania NIS2?
Nie. RODO chroni dane osobowe, a NIS2 - ciągłość i bezpieczeństwo działania organizacji. Dokumentacja RODO jest dobrym punktem wyjścia, ale nie zastępuje systemu wymaganego przez ustawę o KSC.
Czy Microsoft 365 jest zgodny z NIS2?
Żadna usługa sama w sobie nie zapewnia zgodności - odpowiada za nią firma. Microsoft 365, zwłaszcza w planie Business Premium, dostarcza jednak narzędzi, które pozwalają zrealizować dużą część wymagań technicznych. Trzeba je odpowiednio skonfigurować i uzupełnić o kopie zapasowe.
Kto zgłasza incydent do CSIRT?
Zgłoszenia dokonuje sama firma - przez wskazaną osobę kontaktową. Dostawca usług IT może i powinien dostarczyć jej informacji technicznych potrzebnych do zgłoszenia w terminie 24 i 72 godzin.
Ile trwa przygotowanie do NIS2?
To zależy od punktu wyjścia. Ustawa daje 12 miesięcy na wdrożenie systemu zarządzania bezpieczeństwem od dnia spełnienia warunków. Gdy firma ustali już, że podlega ustawie, najlepiej zacząć od analizy luk - pokaże, ile pracy jest przed firmą.
Artykuł ma charakter informacyjny i nie stanowi porady prawnej. Stan prawny na październik 2026 r.
