Kogo dotyczy NIS2? Nowa ustawa o KSC a Twoja mała firma

Klient przysłał ankietę o cyberbezpieczeństwie albo w rozmowie padło, że „od kwietnia jest nowa ustawa i wszyscy muszą”? Zacznijmy od uporządkowania: nie wszyscy. Poniżej pokazuję, jak sprawdzić, czy Twoja firma jest objęta nowymi przepisami, a jeśli nie, to dlaczego i tak możesz się z nimi zetknąć.

Piszę o stanie na 19 października 2026 r. To nie jest porada prawna. Daty podaję według ustawy (Dz.U. 2026 poz. 252) i komunikatów Ministerstwa Cyfryzacji, a w konkretnej sprawie sprawdź je w Dzienniku Ustaw albo u prawnika.

Co to jest NIS2 i ustawa o KSC

NIS2 to unijna dyrektywa 2022/2555 o cyberbezpieczeństwie. Dyrektywa sama nie nakłada obowiązków na firmy, bo każdy kraj musi ją wprowadzić własną ustawą. W Polsce robi to nowelizacja ustawy o krajowym systemie cyberbezpieczeństwa (KSC).

Nowelizację uchwalono 23 stycznia 2026 r., ogłoszono w Dzienniku Ustaw 2 marca 2026 r. (poz. 252) i weszła w życie 3 kwietnia 2026 r. Prezydent ją podpisał, ale w trybie kontroli następczej skierował do Trybunału Konstytucyjnego wniosek dotyczący przepisów o dostawcach wysokiego ryzyka (sprawa K 19/26). Do połowy października 2026 r. Trybunał nie wyznaczył rozprawy, a sam wniosek nie wstrzymuje stosowania ustawy.

Ogólna idea jest prosta: firmy ważne dla gospodarki mają systematycznie zabezpieczać swoje systemy, zgłaszać poważne incydenty i dbać o bezpieczeństwo dostawców.

Kogo dotyczy: trzy pytania na start

Na pytanie, kogo dotyczy NIS2, najprościej odpowiedzieć trzema pytaniami. Jeśli na któreś odpowiesz „nie”, Twoja firma raczej jest poza ustawą.

1. Czy działasz w jednym z sektorów z ustawy? Chodzi m.in. o energię, transport, zdrowie, wodę pitną i ścieki, infrastrukturę cyfrową, gospodarkę odpadami, żywność i wybrane gałęzie produkcji (np. maszyny, urządzenia elektryczne, elektronika, pojazdy, wyroby medyczne). Pełną listę znajdziesz w załącznikach do ustawy.
2. Czy jesteś średnią albo dużą firmą? Zasada ogólna opiera się na unijnej definicji wielkości przedsiębiorstwa: w uproszczeniu firma jest co najmniej średnia, gdy zatrudnia 50 osób lub więcej albo ma ponad 10 mln euro zarówno rocznego obrotu, jak i sumy bilansowej (liczą się też dane firm powiązanych i partnerskich). Mikro i małe firmy zwykle są poza ustawą.
3. Czy Twoja działalność mieści się w opisie z załącznika? Sama nazwa branży nie wystarcza. Liczy się to, co faktycznie robisz.

Są wyjątki: bez względu na wielkość ustawa obejmuje m.in. firmy rejestrujące domeny, dostawców usług DNS, dostawców usług zaufania i przedsiębiorców komunikacji elektronicznej, np. małych dostawców internetu. Dostawców usług zarządzanych w zakresie cyberbezpieczeństwa obejmuje już od progu małej firmy. Jeśli świadczysz takie usługi, nie zakładaj z góry, że firma jest zwolniona.

Terminy, które warto znać

Według ustawy z 23 stycznia 2026 r. i komunikatu Ministra Cyfryzacji wygląda to tak:

Termin na wniosek już minął. Jeśli firma jest objęta ustawą, a wniosku nie ma, nie odkładaj sprawy: złóż go w aplikacji wykaz-ksc.gov.pl i skontaktuj się z prawnikiem. Firma, która zacznie spełniać przesłanki później, ma na wniosek 6 miesięcy, a na spełnienie wymogów 12 miesięcy od tego dnia. Czas do kwietnia 2027 r. wystarcza na uporządkowanie zabezpieczeń, ale nie na odkładanie decyzji.

Mała firma poza ustawą, ale pod presją klienta

Dla małej firmy bardziej prawdopodobny jest inny scenariusz: ustawa nie obejmuje jej samej, ale obejmuje jej klienta. Taki klient musi dbać o bezpieczeństwo łańcucha dostaw, więc zacznie pytać dostawców o zabezpieczenia: w ankiecie, w umowie albo przy audycie.

Przykład (wymyślony): producent maszyn ma 60 pracowników, więc jako średnia firma z sektora produkcji maszyn jest podmiotem ważnym. Jego dostawca oprogramowania do wycen i drobna firma, która obsługuje jego stronę, dostają pismo z pytaniami. Czy masz kopie zapasowe? Kto ma dostęp do panelu? Jak szybko zgłosisz incydent? Dostawca bez odpowiedzi ryzykuje utratę zlecenia, choć sam ustawie nie podlega.

W takiej sytuacji nie chodzi o certyfikaty, tylko o spokojne udokumentowanie podstaw.

Lista kontrolna: podstawy, o które zapytają klienci

Ta lista nie jest wymogiem prawnym. To zestaw rzeczy, o które najczęściej pytają duże firmy w ankietach dla dostawców.

• Dostępy: każdy pracownik ma własne konto, a po odejściu z firmy konto jest od razu blokowane.
• Hasła i drugi składnik: logowanie do poczty, panelu strony i bankowości jest z kodem z aplikacji albo kluczem sprzętowym.
• Aktualizacje: system strony, wtyczki i serwer są aktualizowane regularnie, a nie „kiedyś”.
• Kopie zapasowe: są robione automatycznie, trzymane poza serwerem i raz na jakiś czas sprawdzane przez odtworzenie.
• Poczta w domenie: skonfigurowane SPF, DKIM i DMARC, żeby nikt nie podszywał się pod Twoją firmę. Opisuję to w poradzie o mailach firmowych w spamie.
• Zgłaszanie incydentów: wiesz, kto w firmie przyjmuje zgłoszenie o włamaniu lub wycieku i co robi w pierwszej godzinie.
• Lista dostawców: wiesz, kto ma dostęp do Twoich danych i systemów (hosting, księgowość, agencja).
• Dane klientów: są przechowywane tam, gdzie piszesz w polityce prywatności, i nie leżą w otwartych plikach.

Jak odpowiedzieć na ankietę klienta

Nie przepisuj odpowiedzi „na wszelki wypadek” i nie zaznaczaj „tak” przy rzeczach, których nie masz. Gdy coś trzeba poprawić, daj termin. Klienci wolą uczciwe „wdrażamy do końca marca” niż fałszywe „mamy wszystko”.

Gotowa odpowiedź do dostosowania:

Dzień dobry, dziękuję za ankietę. W załączniku przesyłam odpowiedzi. Kopie zapasowe wykonujemy codziennie i przechowujemy poza serwerem produkcyjnym. Dostęp do paneli mają wyłącznie imienni użytkownicy z logowaniem dwuskładnikowym. Elementy, które wdrażamy do końca marca 2027 r., oznaczyliśmy w tabeli. Chętnie omówię szczegóły na rozmowie.

Jeśli nie masz pewności, co odpisać o stronie i serwerze, pomoże audyt bezpieczeństwa: sprawdzam formularze, logowanie, ochronę przed botami i spamem, a w raporcie dostajesz oceny i poprawki. Do pierwszego rzutu oka wystarczy darmowe narzędzie Zbadaj stronę, które ocenia m.in. bezpieczeństwo strony, pocztę w domenie i szybkość.

Czego nie robić

• Nie zakładaj, że „mnie to nie dotyczy” bez sprawdzenia sektora i wielkości firmy. Dla części podmiotów wielkość nie jest jedynym kryterium.
• Nie płać za „certyfikat NIS2”. Nie znam oficjalnego certyfikatu, który wystarczyłby do spełnienia ustawy. Uważaj na oferty, które go obiecują.
• Nie czekaj na ostatni miesiąc. Kopie zapasowe, konta imienne i aktualizacje wdrożysz w kilka dni, ale proces ich dokumentowania trwa dłużej.
• Nie zrzucaj wszystkiego na dostawcę. Nawet jeśli hosting trzyma firma zewnętrzna, to Ty odpowiadasz za konta, hasła i decyzje o dostępach.

Podsumowanie

Nowa ustawa o KSC obejmuje przede wszystkim średnie i duże firmy z wybranych sektorów, a mikro i małe zwykle są poza nią. Najczęściej zetkniesz się z nią pośrednio, gdy klient poprosi o potwierdzenie zabezpieczeń. Przejdź listę kontrolną, popraw braki i spisz odpowiedzi, zanim ankieta wpadnie na skrzynkę.

Jeśli chcesz wiedzieć, w jakim stanie jest Twoja strona i serwer, napisz do mnie. Zrobię audyt bezpieczeństwa z raportem poprawek albo wdrożę zabezpieczenia projektu: aktualizacje, kopie zapasowe, monitoring i ograniczenia dostępu. Odpowiadam w 24 godziny.