2 marca 2026 r. w Dzienniku Ustaw opublikowano nowelizację ustawy o Krajowym Systemie Cyberbezpieczeństwa, która wdraża do polskiego porządku prawnego dyrektywę NIS 2.

Tym samym zakończył się etap prac legislacyjnych. Rozpoczął się 30-dniowy okres vacatio legis.

Przepisy zaczną obowiązywać 1 kwietnia 2026 r.

Publikację można zweryfikować w oficjalnym wykazie aktów prawnych Dziennika Ustaw prowadzonym przez Rządowe Centrum Legislacji:
👉 https://dziennikustaw.gov.pl/DU

To nie jest już zapowiedź zmian. To obowiązujące prawo z konkretną datą wejścia w życie.

Koniec dyskusji. Początek odpowiedzialności

19 lutego Prezydent RP podpisał nowelizację.
2 marca została ona ogłoszona w Dzienniku Ustaw.

Od tej chwili nie mówimy już o „projekcie ustawy o NIS 2 w Polsce”.
Mówimy o obowiązujących przepisach, które zaczną mieć bezpośrednie zastosowanie od 1 kwietnia.

Dla wielu organizacji oznacza to nie miesiące, lecz tygodnie na uporządkowanie kwestii, które przez ostatni rok były analizowane teoretycznie.

Co zmienia KSC 2.0

Nowelizacja ustawy o Krajowym Systemie Cyberbezpieczeństwa wprowadza pełną implementację dyrektywy NIS 2 i przekształca dotychczasowy model regulacyjny.

Najważniejsze zmiany obejmują:

• nową klasyfikację podmiotów jako podmioty kluczowe i podmioty ważne,
• rozszerzenie katalogu sektorów objętych regulacją,
• wzmocniony nadzór oraz podwyższone sankcje administracyjne,
• formalne obowiązki w zakresie zarządzania ryzykiem,
• obowiązki raportowania incydentów w określonych terminach,
• zwiększoną odpowiedzialność kadry zarządzającej.

Cyberbezpieczeństwo przestaje być obszarem „dobrych praktyk” lub standardów rekomendowanych.

Staje się obszarem regulowanym ustawowo, z realnymi konsekwencjami finansowymi i reputacyjnymi.

Co to oznacza w praktyce dla organizacji

Wejście ustawy w życie uruchamia konkretne obowiązki.

Nie wszystkie działania muszą być wykonane 1 kwietnia, ale od tego dnia zaczyna biec odpowiedzialność regulacyjna.

1️⃣ Samoidentyfikacja

Pierwszym krokiem jest ustalenie, czy dana organizacja podlega ustawie jako podmiot kluczowy lub ważny.

To nie jest decyzja uznaniowa.
To analiza sektorowa, wielkościowa i operacyjna, która determinuje zakres obowiązków oraz poziom nadzoru.

Brak prawidłowej samoidentyfikacji może skutkować niewłaściwym wdrożeniem obowiązków.

2️⃣ Weryfikacja gotowości organizacyjnej

Organizacje powinny przeanalizować, czy istniejące:

• polityki bezpieczeństwa,
• system zarządzania ryzykiem,
• procedury reagowania na incydenty,
• procesy raportowania,
• struktura odpowiedzialności,
• dokumentacja formalna,

spełniają wymagania nowej ustawy.

W wielu przypadkach oznacza to nie tworzenie wszystkiego od nowa, lecz uporządkowanie i formalizację istniejących mechanizmów.

3️⃣ Odpowiedzialność zarządu

Dyrektywa NIS 2 oraz jej implementacja w Polsce bardzo wyraźnie akcentują rolę najwyższego kierownictwa.

To oznacza, że cyberbezpieczeństwo nie może być wyłącznie domeną działu IT.

Zarząd odpowiada za:

• zatwierdzenie środków zarządzania ryzykiem,
• nadzór nad ich wdrożeniem,
• zapewnienie adekwatnych zasobów,
• reagowanie na istotne incydenty.

W praktyce oznacza to konieczność włączenia bezpieczeństwa do poziomu zarządczego i nadzorczego.

4️⃣ Przygotowanie do raportowania incydentów

Nowe przepisy wprowadzają konkretne obowiązki w zakresie zgłaszania incydentów.

Organizacje muszą posiadać:

• jasne procedury klasyfikacji zdarzeń,
• określone kanały raportowania,
• wyznaczone osoby odpowiedzialne,
• zdolność szybkiego zebrania informacji operacyjnych.

Brak przygotowania w tym obszarze może skutkować naruszeniem obowiązków ustawowych, niezależnie od samego incydentu technicznego.

To nie jest moment na panikę. To moment na uporządkowanie systemu.

Wejście w życie ustawy nie oznacza, że każda organizacja musi od zera budować system bezpieczeństwa.

Oznacza jednak, że:

• trzeba wiedzieć, czy podlegamy ustawie,
• trzeba znać zakres swoich obowiązków,
• trzeba mieć plan dostosowania.

W Centrum Audytu Bezpieczeństwa wspieramy organizacje w:

• analizie statusu podmiotu,
• ocenie zgodności z NIS 2,
• budowie systemów zarządzania bezpieczeństwem,
• przygotowaniu dokumentacji,
• uporządkowaniu odpowiedzialności i procesów.

Co dalej z naszą serią o wytycznych ENISA?

Dotychczas omawialiśmy szczegółowo interpretację wytycznych ENISA dotyczących NIS 2:

• politykę bezpieczeństwa,
• zarządzanie ryzykiem,
• incydenty,
• ciągłość działania,
• łańcuch dostaw,
• testy i podatności,
• cyber hygiene.

Do tej pory był to przewodnik przygotowujący organizacje do nadchodzącej regulacji.

Od 1 kwietnia staje się on praktycznym przewodnikiem wdrożeniowym.

W kolejnych wpisach kontynuujemy omówienie obszarów technicznych i organizacyjnych, które mają bezpośrednie przełożenie na obowiązki wynikające z ustawy.

NIS 2 przestaje być projektem przyszłości.
Staje się rzeczywistością operacyjną.

Twoje bezpieczeństwo to nasza pasja! 🌐 Jeśli interesuje Cię ochrona danych osobowych, bezpieczeństwo informacji czy cyberbezpieczeństwo, zajrzyj na stronę CAB oraz Platformę Cyberbezpieczeństwa. Szukasz informacji o ochronie sygnalistów? 📢 Sprawdź stronę Kanału Zgłoszeniowego. Czekają tam praktyczne porady i ekspercka wiedza!