Spis treści

NIS2 w Polsce – Czym jest i dlaczego musisz się tym przejmować?

Dyrektywa NIS2 to najnowsza, kompleksowa regulacja Unii Europejskiej, której celem jest wzmocnienie odporności cyfrowej całej wspólnoty. Jej pełna nazwa to Dyrektywa w sprawie środków na rzecz wysokiego wspólnego poziomu cyberbezpieczeństwa na terytorium Unii. Jest to następca pierwszej dyrektywy NIS z 2016 roku, która okazała się niewystarczająca w obliczu coraz bardziej zaawansowanych i częstszych cyberataków. Głównym celem NIS2 jest ujednolicenie i zaostrzenie standardów bezpieczeństwa dla firm i instytucji, które odgrywają kluczową rolę w gospodarce i życiu społecznym. Chodzi o to, aby usługi takie jak dostawy energii, transport, opieka zdrowotna czy bankowość cyfrowa były znacznie lepiej chronione przed zagrożeniami, takimi jak ataki ransomware, szpiegostwo przemysłowe czy paraliżujące ataki na infrastrukturę.

W Polsce przepisy unijnej dyrektywy nie działają automatycznie — muszą zostać wdrożone do krajowego prawa. W przypadku NIS2, jej wymagania zostaną wprowadzone poprzez gruntowną nowelizację Ustawy o Krajowym Systemie Cyberbezpieczeństwa (UKSC) 1. UKSC to najważniejszy akt prawny w Polsce regulujący kwestie cyberbezpieczeństwa, który już teraz nakłada obowiązki na tzw. operatorów usług kluczowych. Włączenie do niej zapisów NIS2 sprawi, że nowe, znacznie bardziej rygorystyczne zasady staną się częścią polskiego porządku prawnego. Oznacza to, że ich przestrzeganie będzie egzekwowane przez polskie organy nadzorcze, a za ich nieprzestrzeganie będą grozić konkretne sankcje. To nie jest już „unijna sugestia”, ale twardy, lokalny obowiązek prawny.

NIS2 to coś znacznie więcej niż kolejna regulacja IT. To fundamentalna zmiana w podejściu do zarządzania ryzykiem, która dotknie tysiące polskich firm. Dyrektywa radykalnie zaostrza odpowiedzialność firm i instytucji za ochronę systemów IT 2. Kluczowa zmiana polega na przeniesieniu odpowiedzialności za cyberbezpieczeństwo z działów technicznych bezpośrednio na kadrę zarządzającą. To zarząd będzie osobiście odpowiedzialny za zatwierdzanie polityk bezpieczeństwa, nadzorowanie ich wdrożenia i może ponieść konsekwencje w przypadku poważnych zaniedbań. Co więcej, NIS2 wprowadza nowe obowiązki dla firm z wielu sektorów gospodarki, które do tej pory nie podlegały tak ścisłym regulacjom 3. Mowa tu między innymi o firmach produkcyjnych, spożywczych, kurierskich czy platformach internetowych.

Kluczową datą, którą musisz zapisać w kalendarzu, jest 3 kwietnia 2026 roku. Od tego dnia zaczną obowiązywać w Polsce przepisy wdrażające dyrektywę NIS2 4. To nie jest termin, do którego należy zacząć myśleć o wdrożeniu – to ostateczny moment, w którym Twoja organizacja musi już w pełni spełniać wszystkie nowe wymagania. Biorąc pod uwagę, że wdrożenie skutecznych środków cyberbezpieczeństwa to proces, który może trwać od kilku do kilkunastu miesięcy, czasu na przygotowanie jest naprawdę niewiele. Zignorowanie NIS2 to nie tylko ryzyko paraliżu firmy w wyniku cyberataku, ale także groźba wysokich kar finansowych i utraty reputacji. Dlatego kluczowe jest, aby już teraz zrozumieć, czy Twoja firma podlega nowym przepisom i rozpocząć planowanie niezbędnych działań.

Kogo dotyczy NIS2? Identyfikacja podmiotów kluczowych i ważnych

Podstawowe pytanie, jakie zadaje sobie dziś wielu przedsiębiorców, brzmi: „Czy moja firma podlega pod NIS2?”. Odpowiedź nie zawsze jest oczywista i wymaga przeprowadzenia wewnętrznej analizy. Dyrektywa wprowadza dwie główne kategorie podmiotów objętych regulacją: podmioty kluczowe (ang. essential entities) oraz podmioty ważne (ang. important entities). Obie grupy muszą wdrożyć odpowiednie środki zarządzania ryzykiem w cyberbezpieczeństwie 5, choć różnią się poziomem nadzoru ze strony organów państwowych. Aby ustalić, czy Twoja organizacja kwalifikuje się do jednej z tych grup, musisz przejść przez dwuetapowy test oparty na sektorze działalności i wielkości firmy.

Pierwszym i najważniejszym kryterium jest sektor działalności. Dyrektywa NIS2, a w ślad za nią nowelizacja polskiej ustawy o krajowym systemie cyberbezpieczeństwa (KSC), precyzyjnie określa branże uznane za kluczowe dla funkcjonowania gospodarki i społeczeństwa 6. Podmioty działające w sektorach o wysokiej krytyczności, wymienionych w Załączniku I do dyrektywy, są automatycznie klasyfikowane jako kluczowe. Z kolei firmy z sektorów z Załącznika II to podmioty ważne. Drugim kryterium jest wielkość przedsiębiorstwa. Zasadniczo regulacja obejmuje firmy średnie i duże, czyli takie, które zatrudniają co najmniej 50 pracowników ORAZ osiągają roczny obrót lub sumę bilansową przekraczającą 10 milionów euro 6. Co do zasady, małe i mikroprzedsiębiorstwa są wyłączone z obowiązków NIS2 7, choć istnieją od tego istotne wyjątki (np. dostawcy usług zaufania czy rejestry nazw domen).

Sektory o wysokiej krytyczności (Podmioty Kluczowe - Załącznik I)Inne sektory krytyczne (Podmioty Ważne - Załącznik II)
Energetyka (energia elektryczna, ciepłownictwo, ropa, gaz, wodór)Usługi pocztowe i kurierskie
Transport (lotniczy, kolejowy, wodny, drogowy)Gospodarowanie odpadami
Bankowość i infrastruktura rynków finansowychProdukcja, przetwarzanie i dystrybucja chemikaliów
Sektor ochrony zdrowia (w tym produkcja leków i wyrobów medycznych)Produkcja, przetwarzanie i dystrybucja żywności
Woda pitna i ściekiProdukcja (np. wyrobów medycznych, komputerów, pojazdów)
Infrastruktura cyfrowa (np. dostawcy TLD, DNS, chmury, data center)Dostawcy usług cyfrowych (internetowe platformy handlowe, wyszukiwarki)
Dostawcy usług zarządzanych w zakresie bezpieczeństwa (MSSP)Badania naukowe
Administracja publiczna

Główna różnica między podmiotem kluczowym a ważnym sprowadza się do reżimu nadzoru. Podmioty kluczowe podlegają proaktywnemu, stałemu nadzorowi (tzw. ex-ante), co oznacza regularne audyty i kontrole. Podmioty ważne objęte są lżejszym nadzorem reaktywnym (ex-post), gdzie kontrole następują głównie po zgłoszeniu incydentu. Co jednak kluczowe, obie kategorie mają identyczne obowiązki w zakresie wdrażania środków bezpieczeństwa i raportowania incydentów . Warto zwrócić uwagę, że katalog sektorów został znacznie rozszerzony w stosunku do poprzedniej dyrektywy NIS. Nowością jest objęcie regulacją m.in. firm produkujących żywność, firm kurierskich, portali społecznościowych czy dostawców usług zarządzanych w zakresie bezpieczeństwa.

Nawet jeśli Twoja firma nie spełnia bezpośrednio kryteriów sektorowych i wielkościowych, nie oznacza to, że NIS2 Cię nie dotyczy. Największą zmianą, jaką wprowadza dyrektywa, jest nacisk na bezpieczeństwo łańcucha dostaw. Szacuje się, że w Polsce bezpośrednio objętych regulacją będzie od 38 do 42 tysięcy podmiotów 8. Każdy z nich będzie jednak zobowiązany do weryfikacji i egzekwowania standardów cyberbezpieczeństwa u swoich bezpośrednich dostawców i usługodawców. W praktyce oznacza to, że mała firma informatyczna dostarczająca oprogramowanie dla dużej firmy logistycznej (będącej podmiotem kluczowym) będzie musiała udowodnić, że spełnia określone wymogi bezpieczeństwa. W ten sposób pośredni zasięg NIS2 obejmie setki tysięcy polskich przedsiębiorstw, tworząc kaskadowy efekt wymagań w całej gospodarce.

Katalog obowiązków NIS2: Co musisz wdrożyć w swojej firmie?

Dyrektywa NIS2 kończy z erą ogólnych zaleceń i wprowadza konkretny, wiążący katalog środków, które firmy muszą wdrożyć, aby zapewnić odpowiedni poziom cyberbezpieczeństwa. To nie jest już kwestia dobrych praktyk, ale twardy obowiązek prawny. Co istotne, te same wymagania dotyczące środków bezpieczeństwa dotyczą zarówno podmiotów kluczowych, jak i ważnych . Różnica leży w sposobie nadzoru i egzekwowania przepisów, a nie w zakresie samych obowiązków. Każda firma objęta regulacją musi wdrożyć adekwatne i proporcjonalne środki techniczne, operacyjne i organizacyjne w celu zarządzania ryzykiem dla swoich systemów sieciowych i informatycznych 5.

Podstawowe środki zarządzania ryzykiem

Sercem dyrektywy jest artykuł 21, który wymienia co najmniej dziesięć obszarów, które muszą zostać zaadresowane w ramach systemu zarządzania bezpieczeństwem. Podejście to opiera się na zasadzie „wszystkich zagrożeń” (all-hazards approach), co oznacza, że należy chronić systemy nie tylko przed cyberatakami, ale również przed awariami sprzętu, błędami ludzkimi czy klęskami żywiołowymi. Poniższa tabela przedstawia kluczowe obowiązki wraz z praktycznymi przykładami ich realizacji.

Obowiązek (obszar)Co to oznacza w praktyce? (Przykład)
Analiza ryzyka i polityki bezpieczeństwa informacjiMusisz zidentyfikować kluczowe zasoby informacyjne, ocenić, jakie zagrożenia (np. ransomware, phishing, awaria zasilania) mogą na nie wpłynąć, i stworzyć formalną Politykę Bezpieczeństwa Informacji, która określa zasady ochrony.
Zarządzanie incydentamiNależy opracować i wdrożyć procedurę reagowania na incydenty. Musi ona precyzyjnie opisywać, kto jest za co odpowiedzialny, jak izolować zainfekowane systemy, jak zbierać dowody i kogo powiadomić (wewnątrz i na zewnątrz firmy).
Ciągłość działania i zarządzanie kryzysoweTwoja firma musi mieć plan, jak utrzymać lub szybko przywrócić kluczowe usługi po poważnym incydencie. Przykładem jest Plan Odtwarzania Awaryjnego (Disaster Recovery Plan), który gwarantuje przywrócenie systemów z kopii zapasowych w określonym czasie (np. do 8 godzin).
Bezpieczeństwo łańcucha dostawMusisz ocenić i zarządzać ryzykiem pochodzącym od Twoich bezpośrednich dostawców usług i produktów IT. W praktyce oznacza to weryfikację zabezpieczeń kluczowych partnerów i wpisywanie konkretnych wymogów bezpieczeństwa do umów z nimi.
Bezpieczeństwo w cyklu życia systemówBezpieczeństwo musi być uwzględniane na każdym etapie: od projektowania, przez rozwój, po wycofanie systemów z użycia. Obejmuje to m.in. bezpieczne kodowanie, regularne aktualizacje i przeprowadzanie testów bezpieczeństwa przed wdrożeniem.
Testowanie i audyt skuteczności środkówNie wystarczy wdrożyć zabezpieczeń — trzeba regularnie sprawdzać, czy działają. Może to przyjąć formę cyklicznych testów penetracyjnych, skanowania podatności lub audytów bezpieczeństwa przeprowadzanych przez firmę zewnętrzną.
Stosowanie kryptografii i szyfrowaniaTam, gdzie to stosowne, należy używać szyfrowania do ochrony danych – zarówno tych przechowywanych na dyskach (at-rest), jak i przesyłanych przez sieć (in-transit). Przykładem jest obowiązkowe stosowanie protokołu HTTPS na stronach internetowych i szyfrowanie baz danych klientów.

Czynnik ludzki: Szkolenia i świadomość

NIS2 kładzie również ogromny nacisk na rolę pracowników w systemie cyberbezpieczeństwa. Dyrektywa wprost nakazuje prowadzenie regularnych szkoleń dla personelu 9. Nie chodzi tu o jednorazowe spotkanie, ale o ciągły proces budowania świadomości. Program szkoleniowy powinien obejmować co najmniej podstawy tak zwanej cyberhigieny, czyli dobrych nawyków w cyfrowym świecie.

Przykładowe tematy obowiązkowych szkoleń:

  • Rozpoznawanie phishingu: Jak odróżnić fałszywą wiadomość e-mail od prawdziwej.
  • Zasady tworzenia silnych haseł: Używanie menedżerów haseł i uwierzytelniania wieloskładnikowego (MFA).
  • Bezpieczne korzystanie z Wi-Fi: Unikanie niezabezpieczonych sieci publicznych do celów służbowych.
  • Zgłaszanie incydentów: Kogo i jak poinformować o podejrzanej aktywności.

Skutecznym uzupełnieniem szkoleń teoretycznych są praktyczne ćwiczenia, takie jak kontrolowane, symulowane ataki phishingowe, które pozwalają pracownikom przetestować swoją wiedzę w bezpiecznym środowisku i zmierzyć skuteczność programu szkoleniowego.

Zarządzanie ryzykiem w łańcuchu dostaw – Nowe wyzwanie dla firm

Dyrektywa NIS2 fundamentalnie zmienia postrzeganie cyberbezpieczeństwa, rozszerzając je daleko poza mury własnej organizacji. Jednym z jej kluczowych i najbardziej wymagających filarów jest obowiązek zarządzania ryzykiem w całym łańcuchu dostaw. Oznacza to, że firma objęta regulacją jest odpowiedzialna nie tylko za własne systemy, ale również za poziom bezpieczeństwa swoich dostawców i bezpośrednich podwykonawców. W praktyce łańcuch dostaw to każda zewnętrzna firma, której usługi lub produkty mają wpływ na działalność podmiotu — od dostawców oprogramowania i usług chmurowych, przez firmy serwisujące infrastrukturę IT, aż po partnerów logistycznych. Chociaż bezpośrednio regulacją objętych jest w Polsce od 38 000 do 42 000 podmiotów, jej realny zasięg jest znacznie szerszy 8. Jeśli jesteś dostawcą dla firmy kluczowej lub ważnejj, możesz spodziewać się, że Twój klient nałoży na Ciebie nowe, rygorystyczne wymagania w zakresie cyberbezpieczeństwa.

Nowe przepisy nakładają na firmy obowiązek aktywnego zarządzania ryzykiem związanym z dostawcami. Koniec z podejściem opartym na zaufaniu – NIS2 wymaga weryfikacji. Podstawowym obowiązkiem staje się identyfikacja i ocena poziomu bezpieczeństwa kluczowych partnerów biznesowych. Firma musi wiedzieć, jakie środki bezpieczeństwa stosuje jej dostawca oprogramowania do księgowości czy firma hostingowa. Co więcej, dyrektywa wymaga, aby w umowach z partnerami znalazły się konkretne klauzule dotyczące cyberbezpieczeństwa. Nie wystarczy już ogólny zapis o „zachowaniu poufności”. Umowy muszą precyzować m.in. wymagane środki techniczne i organizacyjne, czas reakcji na incydent, obowiązki informacyjne w razie ataku oraz prawo do przeprowadzania audytów bezpieczeństwa. To wymusza na firmach renegocjację istniejących kontraktów i wprowadzenie znacznie bardziej szczegółowych zapisów.

Wdrożenie skutecznego zarządzania ryzykiem w łańcuchu dostaw to proces, który można podzielić na kilka kluczowych kroków. Poniższa lista przedstawia praktyczny schemat działania:

  1. Mapowanie łańcucha dostaw: Zidentyfikuj wszystkich zewnętrznych dostawców usług i produktów, zwłaszcza tych, którzy mają dostęp do Twoich danych lub systemów IT.
  2. Analiza i kategoryzacja ryzyka: Oceń, którzy dostawcy są krytyczni dla ciągłości Twojej działalności. Dostawca systemu ERP (ang. Enterprise Resource Planning, planowanie zasobów przedsiębiorstwa) stanowi znacznie większe ryzyko niż dostawca artykułów biurowych.
  3. Weryfikacja bezpieczeństwa dostawców: Przeprowadź ocenę ich poziomu zabezpieczeń. Możesz to zrobić za pomocą szczegółowych ankiet bezpieczeństwa, żądania przedstawienia certyfikatów (np. ISO 27001) lub, w przypadku kluczowych partnerów, przeprowadzając audyt.
  4. Aktualizacja umów: Wprowadź do umów wspomniane wcześniej klauzule bezpieczeństwa, jasno określające wzajemne obowiązki, wymagania i procedury postępowania w razie incydentu.
  5. Ciągły monitoring: Regularnie weryfikuj, czy dostawcy utrzymują zadeklarowany poziom bezpieczeństwa. Proces ten nie jest jednorazowy – ryzyko należy monitorować przez cały cykl życia współpracy.

Wyobraźmy sobie szpital (podmiot kluczowy), który korzysta z usług zewnętrznej firmy dostarczającej oprogramowanie do zarządzania elektroniczną dokumentacją medyczną (EDM). Atak ransomware na tę firmę może zablokować szpitalowi dostęp do danych pacjentów, paraliżując jego pracę. Zgodnie z NIS2, szpital musi nie tylko zabezpieczyć własną sieć, ale również zweryfikować, czy dostawca oprogramowania stosuje m.in. szyfrowanie, regularne kopie zapasowe i posiada plan reagowania na incydenty. Niestety, wiele polskich firm jest nieprzygotowanych na ataki przeprowadzane przez łańcuch dostaw, co stanowi jedno z największych wyzwań . Złożoność tego procesu sprawia, że często niezbędne jest wsparcie zewnętrzne. Specjaliści ds. cyberbezpieczeństwa mogą pomóc w przeprowadzeniu audytów u dostawców, opracowaniu wzorów klauzul umownych czy wdrożeniu narzędzi do automatycznego monitorowania ryzyka w łańcuchu dostaw, odciążając wewnętrzne zespoły IT.

Szkolenia i świadomość – Klucz do skutecznej obrony cybernetycznej

Nawet najdroższe i najbardziej zaawansowane systemy bezpieczeństwa stają się bezużyteczne, gdy pracownik nieświadomie otworzy zainfekowany załącznik lub poda swoje dane logowania na fałszywej stronie. Dyrektywa NIS2 doskonale to rozumie, kładąc ogromny nacisk na czynnik ludzki. Wprowadza jednoznaczny obowiązek, zgodnie z którym firmy muszą organizować regularne szkolenia dla swojego personelu 9. Nie jest to już tylko dobra praktyka, ale twardy wymóg prawny. Celem jest przekształcenie każdego pracownika – od zarządu po personel pomocniczy – w świadomego uczestnika systemu cyberobrony, a nie jego najsłabsze ogniwo. Inwestycja w wiedzę i nawyki zespołu to jedna z najskuteczniejszych i najbardziej opłacalnych metod minimalizacji ryzyka, znacznie tańsza niż usuwanie skutków udanego ataku.

Co musi obejmować program szkoleniowy zgodny z NIS2?

Skuteczny program budowania świadomości nie może być jednorazowym wydarzeniem. Musi stanowić ciągły proces, obejmujący zróżnicowane tematy i dostosowany do ról pełnionych przez pracowników. Zgodnie z duchem dyrektywy, szkolenia powinny pokrywać co najmniej cztery fundamentalne obszary, które tworzą solidne podstawy tzw. cyberhigieny.

Obszar SzkoleniaKluczowe Zagadnienia i Praktyczne Przykłady
Podstawowa cyberhigienaZasady tworzenia i zarządzania silnymi, unikalnymi hasłami. Konieczność stosowania uwierzytelniania wieloskładnikowego (MFA) wszędzie tam, gdzie jest to możliwe. Bezpieczne korzystanie z sieci Wi-Fi (unikanie publicznych, niezabezpieczonych sieci do celów służbowych). Polityka „czystego biurka” i „czystego ekranu” (blokowanie komputera przy odejściu od stanowiska).
Identyfikacja zagrożeńRozpoznawanie prób phishingu (fałszywe e-maile), smishingu (SMS-y) i vishingu (połączenia telefoniczne). Analiza nagłówków wiadomości, adresów nadawców i linków. Zwracanie uwagi na błędy językowe, nietypowy ton komunikacji i presję czasu. Przykłady: e-mail z rzekomą fakturą od nieznanego kontrahenta, SMS z prośbą o dopłatę do paczki.
Bezpieczne korzystanie z zasobówZasady korzystania z firmowych urządzeń i oprogramowania. Zakaz instalowania nieautoryzowanych aplikacji. Bezpieczne używanie nośników zewnętrznych (np. pendrive’ów, które powinny być skanowane przed użyciem). Zasady postępowania z danymi wrażliwymi i ich udostępniania.
Procedury reagowania na incydentyCo dokładnie zrobić w przypadku podejrzenia incydentu? Kogo natychmiast powiadomić (np. wewnętrzny dział IT/bezpieczeństwa, CSIRT)? Jakie informacje przekazać? Czego absolutnie nie robić (np. nie wyłączać komputera, nie próbować samodzielnie usuwać złośliwego oprogramowania).

Jak w praktyce budować kulturę bezpieczeństwa?

Samo przeprowadzenie szkolenia e-learningowego raz w roku to za mało. Aby realnie zmienić zachowania pracowników i zbudować trwałą kulturę bezpieczeństwa, należy stosować bardziej angażujące i cykliczne metody. Kluczem jest regularne przypominanie o zagrożeniach i testowanie wiedzy w praktyce.

Plan budowania kultury bezpieczeństwa krok po kroku:

  1. Szkolenie wstępne (Onboarding): Każdy nowy pracownik już pierwszego dnia powinien przejść obowiązkowe szkolenie z podstaw cyberbezpieczeństwa obowiązujących w firmie.
  2. Regularne szkolenia przypominające: Co najmniej raz w roku organizuj obowiązkowe szkolenia dla wszystkich pracowników, aktualizując je o nowe typy zagrożeń.
  3. Symulowane ataki phishingowe: To niezwykle skuteczna metoda weryfikacji świadomości. Regularnie (np. co kwartał) wysyłaj do pracowników kontrolowane, fałszywe wiadomości phishingowe. Analizuj wskaźnik kliknięć (ang. click rate) i dla osób, które dały się nabrać, automatycznie przypisuj dodatkowe, krótkie moduły szkoleniowe.
  4. Kampanie informacyjne: Wykorzystuj wewnętrzne kanały komunikacji (intranet, newsletter, plakaty w biurze) do przekazywania krótkich porad i ostrzeżeń, np. o aktualnych kampaniach phishingowych wymierzonych w polskie firmy.
  5. Szkolenia dla kadry zarządzającej: Zarząd i menedżerowie muszą być przeszkoleni nie tylko z podstaw, ale także z ich roli w zarządzaniu ryzykiem cyberbezpieczeństwa i odpowiedzialności wynikającej z NIS2. Muszą rozumieć, że bezpieczeństwo to proces biznesowy, a nie tylko techniczny problem IT.

Kary i odpowiedzialność – Co grozi za nieprzestrzeganie NIS2?

Dyrektywa NIS2 kończy z erą pobłażliwości dla zaniedbań w obszarze cyberbezpieczeństwa. Wprowadza ona surowe i bardzo konkretne mechanizmy egzekwowania przepisów, które mają realnie zmotywować firmy do działania. Konsekwencje braku zgodności nie ograniczają się już tylko do ryzyka reputacyjnego czy strat finansowych spowodowanych atakiem. NIS2 radykalnie zaostrza odpowiedzialność firm i instytucji za ochronę systemów IT 2, wprowadzając wysokie kary pieniężne oraz, co jest nowością, osobistą odpowiedzialność kadry zarządzającej. Ignorowanie nowych obowiązków staje się więc strategicznym ryzykiem biznesowym, którego nie można dłużej lekceważyć. Każdy menedżer i członek zarządu musi zrozumieć, że od teraz cyberbezpieczeństwo jest również jego osobistym obowiązkiem prawnym.

Kary finansowe – dotkliwe i nieuniknione

Najbardziej bezpośrednią konsekwencją nieprzestrzegania wymogów NIS2 są kary pieniężne, których wysokość została zaprojektowana tak, by była dotkliwa nawet dla największych organizacji. Dyrektywa różnicuje maksymalne progi kar w zależności od statusu podmiotu – czy jest on kluczowy, czy ważny. Organ nadzorczy (w Polsce najprawdopodobniej będzie to CSIRT NASK, CSIRT GOV lub CSIRT MON) będzie miał prawo nałożyć karę w wysokości do kwoty lub procenta całkowitego rocznego obrotu z poprzedniego roku obrotowego, w zależności od tego, która z tych wartości jest wyższa.

Kategoria PodmiotuMaksymalna Kara Pieniężna
Podmiot kluczowy10 000 000 EUR lub 2% całkowitego rocznego światowego obrotu 10
Podmiot ważny7 000 000 EUR lub 1.4% całkowitego rocznego światowego obrotu

Warto podkreślić, że to nie jedyne narzędzie finansowej presji. Organy nadzorcze będą mogły również nakładać okresowe kary pieniężne, aby zmusić firmę do zaprzestania naruszenia i wdrożenia odpowiednich środków zaradczych. Ostateczna wysokość kary będzie zależała od wielu czynników, m.in. od wagi i czasu trwania naruszenia, jego charakteru (umyślne lub nieumyślne), liczby poszkodowanych osób czy poniesionych strat materialnych.

Osobista odpowiedzialność zarządu – rewolucyjna zmiana

Być może najważniejszą zmianą, jaką wprowadza NIS2, jest pociągnięcie do odpowiedzialności konkretnych osób. Członkowie zarządów i kadra kierownicza ponoszą osobistą odpowiedzialność za wdrożenie NIS2/KSC 11. Oznacza to, że organy zarządzające podmiotów kluczowych i ważnych są prawnie zobowiązane do zatwierdzania środków zarządzania ryzykiem w cyberbezpieczeństwie oraz do nadzorowania ich wdrażania. Nie mogą już delegować tego zadania i umywać rąk. Co więcej, dyrektywa wymaga, aby członkowie zarządu przechodzili regularne szkolenia z cyberbezpieczeństwa, by mogli świadomie oceniać ryzyka i podejmować adekwatne decyzje. W przypadku rażących zaniedbań organ nadzorczy może:

  • Publicznie wskazać osobę fizyczną (np. prezesa zarządu) odpowiedzialną za naruszenie.
  • Wydać tymczasowy zakaz pełnienia funkcji kierowniczych w danym podmiocie dla każdej osoby fizycznej ponoszącej odpowiedzialność.

To fundamentalna zmiana, która sprawia, że cyberbezpieczeństwo staje się stałym punktem agendy na posiedzeniach zarządu, a nie tylko problemem działu IT.

Inne środki nadzorcze i konsekwencje biznesowe

Kary finansowe i odpowiedzialność osobista to nie wszystko. Organy nadzorcze zyskają szeroki wachlarz uprawnień, które mogą poważnie zakłócić działalność firmy. Mogą one wydawać wiążące polecenia, nakazujące np. natychmiastowe wdrożenie konkretnych rozwiązań technicznych, przeprowadzenie obowiązkowego audytu bezpieczeństwa przez niezależny podmiot czy poinformowanie opinii publicznej o incydencie i zaniedbaniach. Każde takie działanie generuje dodatkowe, często niemałe koszty i angażuje zasoby firmy. Nie można też zapominać o „miękkich”, ale równie bolesnych konsekwencjach, takich jak utrata zaufania klientów i partnerów biznesowych, uszczerbek na reputacji marki czy wreszcie realne zakłócenia w ciągłości działania, jeśli dojdzie do skutecznego ataku, któremu można było zapobiec dzięki zgodności z NIS2.

Proces wdrożenia NIS2 krok po kroku – Praktyczny plan działania

Wdrożenie wymogów dyrektywy NIS2 to złożony projekt, który wymaga strategicznego podejścia, zasobów i czasu. Traktowanie go jako zadania wyłącznie dla działu IT jest fundamentalnym błędem. To proces, który musi zaangażować całą organizację, od zarządu po każdego pracownika. Aby sprostać wyzwaniu i dotrzymać terminów, kluczowe jest działanie według przemyślanego planu. Poniżej przedstawiamy sprawdzony, sześcioetapowy model wdrożenia NIS2, który pomoże uporządkować ten proces w Twojej firmie.

Krok 1: Powołanie zespołu i ocena wstępna

Pierwszym i fundamentalnym krokiem jest powołanie interdyscyplinarnego zespołu projektowego, który będzie odpowiedzialny za cały proces wdrożenia. W jego skład powinni wejść nie tylko specjaliści IT i cyberbezpieczeństwa, ale również przedstawiciele działu prawnego, operacyjnego, HR oraz zarządu. Niezbędne jest zaangażowanie ekspertów takich jak prawnicy, Inspektorzy Ochrony Danych (DPO), audytorzy i Compliance Officerowie . Pierwszym zadaniem tego zespołu jest formalne ustalenie, czy firma podlega pod NIS2, a jeśli tak, to czy kwalifikuje się jako podmiot kluczowy, czy ważny. Ta decyzja determinuje dalszy zakres obowiązków i priorytety działań.

Krok 2: Analiza luk (Gap Analysis)

Gdy status firmy jest już znany, zespół musi przeprowadzić szczegółową analizę luk (ang. gap analysis). Jest to proces porównania obecnego stanu zabezpieczeń, polityk i procedur w firmie z listą konkretnych wymogów określonych w dyrektywie NIS2. Analiza powinna objąć wszystkie 10 minimalnych środków zarządzania ryzykiem, od polityk analizy ryzyka, przez zarządzanie incydentami, po bezpieczeństwo łańcucha dostaw. Wynikiem tego etapu powinien być szczegółowy raport, który precyzyjnie wskazuje, w których obszarach firma spełnia wymogi, a w których istnieją braki i niezgodności.

Krok 3: Opracowanie planu wdrożenia i harmonogramu

Wyniki analizy luk są podstawą do stworzenia realistycznego planu działania i harmonogramu wdrożenia. Plan ten musi być konkretny i mierzalny. Każde zidentyfikowane niedociągnięcie powinno zostać przekształcone w zadanie z przypisaną osobą odpowiedzialną, budżetem i terminem realizacji. Kluczowe jest uwzględnienie ostatecznej daty, od której przepisy będą egzekwowane – od 3 kwietnia 2026 r. obowiązują przepisy wdrażające dyrektywę NIS2 4. Harmonogram powinien rozkładać prace w czasie, priorytetyzując zadania o największym znaczeniu dla bezpieczeństwa i zgodności.

Krok 4: Wdrożenie środków technicznych i organizacyjnych

To etap, w którym plan zamienia się w działanie. Wdrożenie obejmuje dwa równoległe nurty:

  • Środki organizacyjne: Opracowanie lub aktualizacja niezbędnej dokumentacji, takiej jak polityki bezpieczeństwa, plany ciągłości działania, procedury obsługi incydentów czy polityki bezpieczeństwa łańcucha dostaw.
  • Środki techniczne: Implementacja lub modernizacja konkretnych technologii. Może to oznaczać wdrożenie rozwiązań do uwierzytelniania wieloskładnikowego (MFA), systemów wykrywania i reagowania na punktach końcowych (EDR), narzędzi do zarządzania informacjami i zdarzeniami bezpieczeństwa (SIEM) czy zaawansowanych systemów do tworzenia kopii zapasowych.

Krok 5: Szkolenia, testy i budowanie świadomości

Nawet najlepsze procedury i technologie zawiodą bez odpowiednio przygotowanego personelu. Dlatego kluczowym elementem wdrożenia jest przeprowadzenie cyklicznych, obowiązkowych szkoleń z cyberbezpieczeństwa dla wszystkich pracowników, a w szczególności dla kadry zarządzającej. Szkolenia muszą być praktyczne i obejmować takie tematy jak rozpoznawanie phishingu, zasady bezpiecznej pracy zdalnej czy procedury zgłaszania incydentów. Równie ważne jest regularne testowanie wdrożonych rozwiązań i procedur, na przykład poprzez symulowane ataki phishingowe czy testy planów ciągłości działania.

Krok 6: Monitorowanie, audyt i ciągłe doskonalenie

Zgodność z NIS2 nie jest jednorazowym celem, a ciągłym procesem. Po wdrożeniu wszystkich wymaganych środków firma musi uruchomić mechanizmy stałego monitorowania stanu bezpieczeństwa swoich systemów sieciowych i informatycznych. Niezbędne jest również przeprowadzanie regularnych audytów (wewnętrznych lub zewnętrznych), które weryfikują skuteczność wdrożonych zabezpieczeń i ich zgodność z dyrektywą. Wyniki audytów i monitoringu powinny być podstawą do cyklicznej oceny ryzyka i ciągłego doskonalenia systemu zarządzania cyberbezpieczeństwem w organizacji.

Wyzwania i bariery wdrożenia NIS2 w polskich firmach

Wdrożenie dyrektywy NIS2 to proces, który wykracza daleko poza zwykłe odhaczanie punktów na liście kontrolnej. Dla wielu polskich przedsiębiorstw jest to skomplikowany projekt organizacyjny, technologiczny i finansowy, najeżony licznymi wyzwaniami. Zrozumienie tych barier jest pierwszym krokiem do ich skutecznego pokonania. Najczęściej wskazywanymi przeszkodami są braki kadrowe oraz ograniczone środki finansowe, co tworzy trudne do przełamania błędne koło . Firmy z jednej strony potrzebują ekspertów, aby prawidłowo ocenić ryzyko i wdrożyć odpowiednie środki, z drugiej zaś – nie mają budżetu, aby ich zatrudnić. Ten problem jest szczególnie dotkliwy w mniejszych i średnich przedsiębiorstwach, które do tej pory nie musiały inwestować w zaawansowane cyberbezpieczeństwo na taką skalę.

Główne bariery wdrożeniowe i jak sobie z nimi radzić

Kluczowe wyzwania, przed którymi stają polskie firmy, można podzielić na trzy główne obszary: ludzki, finansowy i organizacyjny. Każdy z nich wymaga innego podejścia i strategii zaradczej.

  1. Braki kadrowe i luka kompetencyjna: Rynek pracy w Polsce, podobnie jak na całym świecie, cierpi na dotkliwy niedobór specjalistów od cyberbezpieczeństwa. Znalezienie, zatrudnienie i utrzymanie wykwalifikowanego analityka bezpieczeństwa, inżyniera czy menedżera ds. cyberbezpieczeństwa wiąże się z ogromnymi kosztami i silną konkurencją. Dla wielu firm objętych NIS2, które do tej pory nie posiadały dedykowanych ról w tym obszarze, zbudowanie kompetentnego zespołu od zera w krótkim czasie jest praktycznie niemożliwe. Problem pogłębia fakt, że NIS2 wymaga nie tylko wiedzy technicznej, ale również zrozumienia procesów biznesowych i umiejętności zarządzania ryzykiem.

  2. Ograniczone budżety i postrzeganie kosztów: Cyberbezpieczeństwo wciąż zbyt często jest traktowane jako centrum kosztowe, a nie strategiczna inwestycja w ciągłość działania biznesu. Kadra zarządzająca, skupiona na bieżących wynikach finansowych, może być niechętna do przeznaczania znaczących środków na technologie, szkolenia czy audyty, których zwrot z inwestycji (ROI) nie jest bezpośrednio widoczny. Dyrektywa NIS2 wymusza zmianę tej perspektywy, ale przekonanie zarządu do wyasygnowania budżetu, który może sięgać od kilkudziesięciu tysięcy do nawet milionów złotych w zależności od skali organizacji, jest jednym z największych wyzwań.

  3. Niska świadomość i brak zaangażowania zarządu: Nawet jeśli budżet się znajdzie, projekt wdrożenia NIS2 może utknąć w martwym punkcie bez aktywnego wsparcia i zrozumienia ze strony najwyższej kadry kierowniczej. Dyrektywa wprost nakłada na organy zarządzające odpowiedzialność za nadzór nad wdrożeniem środków zarządzania ryzykiem. Jeśli zarząd nie rozumie skali zagrożeń i postrzega NIS2 wyłącznie jako kolejny biurokratyczny obowiązek, cały proces będzie pozbawiony priorytetu i odpowiednich zasobów. Brak świadomości na szczycie organizacji kaskaduje w dół, utrudniając współpracę między działami i budowanie kultury bezpieczeństwa.

Strategie pokonywania barier: Outsourcing i budowanie kompetencji

Skoro zbudowanie wewnętrznego, w pełni funkcjonalnego działu cyberbezpieczeństwa od podstaw jest tak trudne, wiele firm musi szukać alternatywnych rozwiązań. Najbardziej pragmatycznym podejściem jest inteligentne połączenie zasobów zewnętrznych z stopniowym budowaniem kompetencji wewnętrznych. Kluczową rolę odgrywają tutaj dostawcy usług zarządzanego bezpieczeństwa, czyli MSSP (Managed Security Service Provider). Są to wyspecjalizowane firmy, które oferują kompleksowe usługi monitorowania, wykrywania i reagowania na incydenty, działając jako zewnętrzny dział bezpieczeństwa (często nazywany SOC – Security Operations Center). Współpraca z MSSP pozwala na szybki dostęp do wiedzy, technologii i specjalistów pracujących w trybie 24/7, co jest szczególnie istotne w kontekście wymogu raportowania poważnych incydentów w ciągu 24 godzin. Jest to również skuteczne rozwiązanie problemu, jakim jest nieprzygotowanie wielu firm na ataki przeprowadzane przez łańcuch dostaw, co jest obszarem wymagającym specjalistycznej wiedzy i często wsparcia zewnętrznego .

Poniższa tabela przedstawia uproszczone porównanie budowy zespołu wewnętrznego z wykorzystaniem usług MSSP:

AspektBudowa zespołu wewnętrznego (In-house)Współpraca z MSSP (Outsourcing)
Koszt początkowyWysoki (rekrutacja, narzędzia, wdrożenie)Niski lub średni (opłata wdrożeniowa i abonament)
Czas uruchomieniaDługi (wiele miesięcy, nawet ponad rok)Krótki (kilka tygodni do kilku miesięcy)
Dostęp do ekspertówOgraniczony do zatrudnionych osóbSzeroki (cały zespół specjalistów MSSP 24/7)
Elastyczność i skalowalnośćOgraniczona, trudna do szybkiej zmianyWysoka, łatwe dostosowanie pakietu usług
Utrzymanie i rozwójCiągły koszt (pensje, licencje, szkolenia)Przewidywalny, stały koszt abonamentu

Ostatecznie, kluczem do sukcesu jest proaktywne działanie. Czekanie na ostatnią chwilę z wdrożeniem NIS2 drastycznie zwiększy koszty i ryzyko popełnienia błędów. Rozpoczęcie prac już teraz – od przeprowadzenia analizy luki, przez rozmowy z potencjalnymi dostawcami, po zaplanowanie budżetu – to jedyny sposób, aby przekuć wyzwania w realne wzmocnienie odporności cyfrowej firmy.

NIS2 a inne regulacje (RODO, KSC) – Synergie i różnice

Dyrektywa NIS2 nie powstaje w próżni prawnej. Wchodzi ona do ekosystemu, w którym polskie firmy od lat funkcjonują, starając się sprostać wymogom m.in. RODO (Ogólnego Rozporządzenia o Ochronie Danych) czy dotychczasowej Ustawy o krajowym systemie cyberbezpieczeństwa (KSC). Zrozumienie relacji między tymi aktami jest kluczowe, aby uniknąć powielania pracy i zbudować spójny, efektywny system zarządzania bezpieczeństwem. Zamiast traktować NIS2 jako kolejny, odrębny obowiązek, warto postrzegać go jako element uzupełniający i wzmacniający istniejące już zabezpieczenia.

Najściślejszy związek łączy NIS2 z obecną ustawą o KSC, która była polskim wdrożeniem pierwszej dyrektywy NIS. Nowe przepisy, które zaimplementują NIS2 w Polsce, w praktyce zastąpią lub gruntownie znowelizują obecną ustawę o KSC 1. NIS2 stanowi jej ewolucję i znaczące rozszerzenie. Główne różnice to przede wszystkim radykalne poszerzenie katalogu sektorów i rodzajów podmiotów objętych regulacją, wprowadzenie rozróżnienia na podmioty kluczowe i ważne, a także nałożenie znacznie bardziej szczegółowych obowiązków w zakresie zarządzania ryzykiem i raportowania incydentów. Oznacza to, że firmy, które do tej pory nie podlegały pod KSC, teraz mogą znaleźć się w zasięgu NIS2, a te, które już były operatorami usług kluczowych, będą musiały dostosować swoje systemy do nowych, surowszych wymogów 3.

Z kolei relacja NIS2 z RODO opiera się na innej logice – te regulacje mają różne, choć częściowo zazębiające się cele. Głównym celem RODO jest ochrona danych osobowych, czyli informacji o zidentyfikowanych lub możliwych do zidentyfikowania osobach fizycznych. NIS2 koncentruje się natomiast na zapewnieniu ciągłości działania usług kluczowych dla gospodarki i społeczeństwa poprzez zabezpieczenie sieci i systemów informatycznych, które te usługi wspierają. Synergia jest jednak oczywista: skuteczny atak na systemy informatyczne (domena NIS2) bardzo często prowadzi do naruszenia ochrony danych osobowych (domena RODO). Wdrożenie solidnych środków technicznych i organizacyjnych wymaganych przez NIS2, takich jak szyfrowanie, kontrola dostępu czy plany ciągłości działania, bezpośrednio wzmacnia poziom zabezpieczeń wymagany przez art. 32 RODO.

Poniższa tabela w zwięzły sposób podsumowuje kluczowe różnice i synergie między tymi trzema regulacjami:

RegulacjaGłówny celPrzedmiot ochronyKluczowy przykład synergii
NIS2Zapewnienie wysokiego, wspólnego poziomu cyberbezpieczeństwa w UE.Sieci i systemy informatyczne wspierające świadczenie usług kluczowych i ważnych.Solidny plan reagowania na incydenty (NIS2) pozwala szybciej wykryć i ocenić naruszenie danych, co ułatwia dotrzymanie 72-godzinnego terminu zgłoszenia z RODO.
RODOOchrona praw i wolności osób fizycznych w związku z przetwarzaniem danych osobowych.Dane osobowe.Wymagane przez RODO środki techniczne i organizacyjne (np. pseudonimizacja, szyfrowanie) są jednocześnie dobrymi praktykami bezpieczeństwa w kontekście NIS2.
KSC (obecna)Zapewnienie cyberbezpieczeństwa na poziomie krajowym dla usług kluczowych (wdrożenie NIS1).Systemy informacyjne wykorzystywane do świadczenia usług kluczowych.Istniejące w firmie procesy zarządzania ryzykiem i incydentami stworzone na potrzeby KSC stanowią doskonałą bazę do rozbudowy pod kątem szerszych wymogów NIS2.

Praktyczne podejście do wdrożenia NIS2 powinno polegać na integracji, a nie tworzeniu nowych, odizolowanych procesów. Jeśli Twoja firma posiada już udokumentowaną analizę ryzyka na potrzeby RODO (DPIA), należy ją rozszerzyć o ocenę ryzyk dla ciągłości działania usług i bezpieczeństwa systemów. Jeśli istnieje procedura zarządzania incydentami, trzeba ją zaktualizować o krótsze terminy zgłoszeniowe i szerszy zakres incydentów wymaganych przez NIS2. Takie skoordynowane działanie pozwala na stworzenie jednego, spójnego Zintegrowanego Systemu Zarządzania Bezpieczeństwem, który jest nie tylko bardziej efektywny kosztowo, ale przede wszystkim skuteczniejszy w ochronie całej organizacji.

FAQ: Najczęściej Zadawane Pytania o NIS2 w Polsce

Od kiedy dokładnie musimy być gotowi na NIS2?

Przepisy wdrażające dyrektywę NIS2 w Polsce, czyli znowelizowana ustawa o krajowym systemie cyberbezpieczeństwa (UKSC), zaczną obowiązywać od 3 kwietnia 2026 roku 4. Oznacza to, że do tego dnia Twoja firma musi nie tylko wdrożyć, ale i w pełni stosować wszystkie wymagane środki bezpieczeństwa, procedury i polityki. Nie ma okresu przejściowego po tej dacie, dlatego przygotowania należy rozpocząć jak najwcześniej.

Jak sprawdzić, czy moja firma na pewno podlega pod NIS2?

Aby to ustalić, musisz przeanalizować trzy kluczowe kryteria. Po pierwsze, sprawdź, czy Twoja działalność wpisuje się w jeden z sektorów gospodarki wymienionych w załącznikach I (kluczowe) lub II (ważne) do dyrektywy 3. Po drugie, zweryfikuj wielkość swojej firmy – regulacja obejmuje podmioty średnie i duże, czyli zatrudniające co najmniej 50 pracowników lub osiągające roczny obrót/bilans powyżej 10 milionów euro 6. Pamiętaj jednak, że nawet jeśli nie spełniasz tych kryteriów, możesz zostać objęty regulacją jako istotny element łańcucha dostaw dla firmy, która podlega pod NIS2 8.

Czy małe firmy są całkowicie zwolnione z obowiązków NIS2?

Co do zasady, tak – dyrektywa w większości przypadków nie obejmuje małych i mikroprzedsiębiorstw 7. Istnieją jednak ważne wyjątki, takie jak dostawcy usług zaufania, rejestry nazw domen czy firmy uznane za kluczowe dla ciągłości usług w danym kraju. Najważniejszym aspektem jest jednak rola małej firmy w łańcuchu dostaw – jeśli jesteś poddostawcą dla podmiotu kluczowego lub ważnego, Twój kontrahent będzie wymagał od Ciebie wdrożenia określonych standardów bezpieczeństwa, niejako „przenosząc” na Ciebie część obowiązków NIS2 .

Jaka jest praktyczna różnica między podmiotem kluczowym a ważnym?

Oba typy podmiotów mają do wdrożenia dokładnie ten sam, szeroki katalog obowiązków w zakresie środków bezpieczeństwa, zgłaszania incydentów czy zarządzania ryzykiem 5. Zasadnicza różnica polega na intensywności i trybie nadzoru. Podmioty kluczowe podlegają stałemu, proaktywnemu nadzorowi, co oznacza regularne kontrole i audyty przeprowadzane przez organy państwowe. Z kolei podmioty ważne podlegają nadzorowi reaktywnemu (ex-post), co oznacza, że kontrola nastąpi najczęściej dopiero po zgłoszeniu poważnego incydentu bezpieczeństwa .

Co dokładnie oznacza osobista odpowiedzialność zarządu za NIS2?

To jedna z najbardziej rewolucyjnych zmian. Dyrektywa NIS2 i wdrażająca ją ustawa o KSC nakładają na członków organów zarządzających osobistą odpowiedzialność za zapewnienie zgodności firmy z przepisami 11. Oznacza to, że zarząd musi nie tylko zatwierdzić polityki cyberbezpieczeństwa, ale także aktywnie nadzorować ich wdrażanie. W przypadku rażących zaniedbań, które doprowadzą do incydentu, organ nadzorczy będzie mógł nałożyć sankcje bezpośrednio na menedżerów, włącznie z czasowym zakazem pełnienia przez nich funkcji kierowniczych.

Czy mogę zlecić wdrożenie NIS2 firmie zewnętrznej?

Tak, jak najbardziej można i często warto skorzystać ze wsparcia zewnętrznych ekspertów, zwłaszcza w obliczu powszechnych braków kadrowych i niedoboru specjalistycznej wiedzy wewnątrz organizacji . Możesz zlecić przeprowadzenie audytu zerowego, analizy ryzyka, wdrożenie konkretnych rozwiązań technicznych (np. SIEM, EDR), a także organizację obowiązkowych szkoleń dla pracowników 9. Pamiętaj jednak, że zlecenie zadań na zewnątrz nie zdejmuje odpowiedzialności z Twojej firmy – to zarząd pozostaje ostatecznie odpowiedzialny za zapewnienie zgodności z prawem 2.

Jakie pierwsze kroki powinniśmy podjąć, aby przygotować się do NIS2?

Po pierwsze, przeprowadź formalną analizę prawną, aby jednoznacznie ustalić, czy i w jakim zakresie Twoja firma podlega pod nowe przepisy – jako podmiot kluczowy, ważny, czy może jako element łańcucha dostaw . Po drugie, zorganizuj szkolenie dla zarządu i kluczowej kadry menedżerskiej, aby uświadomić im skalę obowiązków i osobistej odpowiedzialności 11. Trzecim, kluczowym krokiem jest przeprowadzenie kompleksowego audytu obecnego stanu zabezpieczeń (ludzi, procesów i technologii) w celu zidentyfikowania luk w stosunku do wymogów dyrektywy i stworzenia realistycznego planu działania.

Źródła

Zobacz też

Footnotes

  1. pillar — https://www.biznes.gov.pl/pl/portal/005120 ↩ ↩2

  2. corroborating — https://www.nask.pl/aktualnosci/nis2-bez-tajemnic-ekspertka-nask-wyjasni-co-czeka-firmy ↩ ↩2 ↩3

  3. corroborating — https://www.biznes.gov.pl/pl/portal/005120 ↩ ↩2 ↩3

  4. corroborating — https://www.prawo.pl/biznes/nis2-w-polsce-jakie-obowiazki-dla-firm-w-2026-roku,536440.html ↩ ↩2 ↩3

  5. corroborating — https://odo24.pl/blog-post.jak-wdrozyc-nis2-ksc-poradnik-dla-firm ↩ ↩2 ↩3

  6. corroborating — https://niebezpiecznik.pl/post/nis2-ksc-szkolenie-zarzad-krajowy-system-cyberbezpieczenstwa-szkolenia/ ↩ ↩2 ↩3

  7. corroborating — https://ksiegowosc.infor.pl/wiadomosci/7533605,nis2-wchodzi-do-polski-nawrocki-podpisal-ustawe-firmy-musza-dzialac-natychmiast-kary-siegna-10-mln-euro.html ↩ ↩2

  8. corroborating — https://www.pwsk.pl/blog/nis2-wymagania-terminy-polska/ ↩ ↩2 ↩3

  9. corroborating — https://www.sisoft.pl/baza-wiedzy/nis2-polska-przewodnik-dla-firm ↩ ↩2 ↩3

  10. corroborating — https://cybersecurity.dagma.eu/pl/blog/news/nis2-kogo-dotyczy-w-polsce-sprawdz-czy-twoja-firma-podlega ↩

  11. corroborating — https://xyz.pl/dzieje-sie/nis2-obnaza-prawde-o-polskich-firmach-sa-kompletnie-nieprzygotowane-na-ataki-przez-dostawcow-4152 ↩ ↩2 ↩3