Nowa ustawa o Krajowym Systemie Cyberbezpieczeństwa – najważniejsze zmiany i obowiązki

Po długim procesie legislacyjnym ustawa o Krajowym Systemie Cyberbezpieczeństwa, wdrażająca do polskiego prawa dyrektywę NIS2, weszła w życie. Nowe przepisy rozszerzają katalog podmiotów objętych regulacją oraz wzmacniają odpowiedzialność zarządów za zarządzanie ryzykiem cybernetycznym.

Przyjęcie znowelizowanej ustawy o KSC oznacza istotną zmianę w podejściu do zarządzania cyberbezpieczeństwem w podmiotach komercyjnych i publicznych. Przestaje ono być postrzegane wyłącznie jako domena działów IT, a staje się elementem strategicznego zarządzania ryzykiem i odpornością organizacji.

W praktyce nowe regulacje wprowadzają nie tylko dodatkowe obowiązki w zakresie ochrony systemów informacyjnych, lecz także wymagają systemowego podejścia do zarządzania cyberbezpieczeństwem, ciągłością działania oraz reagowania na incydenty.

Implementacja dyrektywy NIS2 w Polsce

Implementacja dyrektywy NIS2 w Polsce była jednym z najbardziej oczekiwanych procesów legislacyjnych ostatnich lat. Po długotrwałych pracach legislacyjnych prowadzonych na poziomie rządowym i parlamentarnym oraz po szerokich konsultacjach z przedstawicielami biznesu i środowisk eksperckich, ustawa o Krajowym Systemie Cyberbezpieczeństwa została opublikowana w Dzienniku Ustaw 2 marca 2026 r.

Najważniejsze terminy wynikające z ustawy o KSC

UoKSC zgodnie z polskim prawem wchodzi w życie po upływie miesiąca od dnia ogłoszenia, a więc 3 kwietnia 2026 r.

Według znowelizowanej ustawy podmioty powinny sklasyfikować się jako kluczowe lub ważne oraz złożyć wniosek do wykazu do 3 września 2026 r.

Pełne obowiązki wynikające z NIS2 i UoKSC zaczną obowiązywać od 2 kwietnia 2027 r. Do tego czasu organizacje powinny również rozpocząć korzystanie z systemu S46, służącego do obsługi zgłoszeń i komunikacji w ramach krajowego systemu cyberbezpieczeństwa.

Jednocześnie ustawodawca zdecydował o odroczeniu możliwości nakładania kar pieniężnych – sankcje będą stosowane dopiero po upływie dwóch lat od wejścia w życie ustawy.

Przeczytaj również: Czym jest rozporządzenie DORA i jakie ma znaczenie dla sektora finansowego?

Kto musi wdrożyć wymagania?

Nowe przepisy dzielą organizacje na dwie główne kategorie: podmioty kluczowe oraz podmioty ważne. Do pierwszej grupy zaliczane są organizacje o szczególnym znaczeniu dla funkcjonowania państwa i gospodarki, natomiast druga obejmuje przedsiębiorstwa działające w sektorach istotnych, których działalność również może mieć wpływ na stabilność usług i infrastruktury.

Katalog sektorów objętych wymaganiami został znacząco rozszerzony, obejmując: energetykę, transport, sektor finansowy, ochronę zdrowia, gospodarkę wodno-kanalizacyjną, administrację publiczną i produkcję żywności.

Podmioty kluczowe wg NIS2:

• • energetyka
  • transport
  • bankowość
  • infrastruktura rynków finansowych
  • opieka zdrowotna
  • sektor wody pitnej
  • ścieki
  • infrastruktura cyfrowa
  • zarządzanie usługami ICT
  • administracja publiczna
  • przestrzeń kosmiczna

Podmioty ważne wg NIS2:

• • usługi pocztowe i kurierskie
  • gospodarowanie odpadami
  • produkcja, przetwarzanie i dystrybucja chemikaliów
  • produkcja, przetwarzanie i dystrybucja żywności
  • produkcja (w szerokim znaczeniu)
  • usługi cyfrowe
  • badania naukowe

Nowelizacja UoKSC przenosi do polskiego prawa zakres sektorów z NIS2. Podmioty są wymienione w załącznikach według sektorów, podsektorów i rodzajów działalności. Na tej podstawie określa się, czy dany podmiot jest „kluczowy” czy „ważny”, przy czym ostateczna kwalifikacja zależy również od warunków przewidzianych w ustawie.

Istotną zmianą jest również uwzględnienie łańcuchów dostaw. Podmioty objęte NIS2 muszą zarządzać ryzykiem cybernetycznym także w relacjach z dostawcami i partnerami biznesowymi. W praktyce oznacza to, że firmy spoza zakresu regulacji mogą być zobowiązane do spełniania określonych standardów bezpieczeństwa, aby współpracować z organizacjami objętymi NIS2.

Nowelizacja KSC doprecyzowała także definicję organizacji badawczej oraz zawęziła zakres podmiotów z sektora nauki objętych przepisami.

Jak spełnić wymagania NIS2 – najważniejsze działania dla organizacji

Nowe przepisy wymagają od organizacji wdrożenia kompleksowego systemu zarządzania cyberbezpieczeństwem. W praktyce oznacza to konieczność wprowadzenia szeregu środków organizacyjnych i technicznych, które powinny obejmować m.in.:

1. 1. Zarządzanie ryzykiem cyberbezpieczeństwa

Organizacje muszą wdrożyć systemowe podejście do identyfikacji i zarządzania ryzykiem związanym z bezpieczeństwem sieci i systemów informacyjnych.

1. 2. Zapewnienie ciągłości działania

Niezbędne jest przygotowanie planów ciągłości działania oraz planów odtwarzania po incydencie (BCP/DR), obejmujących m.in. kopie zapasowe oraz procedury zarządzania kryzysowego.

1. 3. Zarządzanie bezpieczeństwem łańcucha dostaw

Nowe przepisy wymagają również oceny ryzyka związanego z dostawcami usług IT oraz partnerami biznesowymi i wdrożenia odpowiednich mechanizmów kontroli bezpieczeństwa.

1. 4. Ochrona systemów w całym cyklu ich życia

Organizacje powinny wdrożyć procesy zarządzania podatnościami, aktualizacjami oraz bezpieczeństwem systemów informacyjnych na każdym etapie ich funkcjonowania.

1. 5. Monitorowanie i reagowanie na incydenty

Konieczne jest wdrożenie mechanizmów monitorowania bezpieczeństwa, logowania zdarzeń oraz procedur wykrywania i reagowania na incydenty.

1. 6. Wdrożenie odpowiednich środków technicznych

W tym m.in. stosowanie szyfrowania, silnych mechanizmów uwierzytelniania oraz innych środków ochrony systemów informacyjnych.

1. 7. Zarządzanie incydentami i raportowanie

Organizacje powinny wdrożyć procedury obsługi incydentów oraz ich zgłaszania do właściwych organów i zespołów reagowania na incydenty (CSIRT).

1. 8. Bezpieczeństwo zasobów ludzkich

Nowe regulacje podkreślają znaczenie budowania świadomości cyberzagrożeń w organizacji oraz prowadzenia regularnych szkoleń z zakresu cyberbezpieczeństwa, w tym dla kadry zarządzającej.

1. 9. Nadzór zarządczy nad cyberbezpieczeństwem

Dyrektywa NIS2 wzmacnia odpowiedzialność kadry zarządzającej za nadzór nad cyberbezpieczeństwem oraz za zapewnienie zgodności organizacji z wymaganiami regulacyjnymi.

Przeczytaj również: Rozporządzenie Data Act: wszystko, co musisz wiedzieć o nowych przepisach UE

Kary za nieprzestrzeganie NIS2 i UoKSC

Dyrektywa NIS2 oraz ustawa o KSC wprowadzają również istotne mechanizmy odpowiedzialności za naruszenie przepisów. Sankcje mogą dotyczyć zarówno organizacji, jak i osób odpowiedzialnych za zarządzanie cyberbezpieczeństwem.

W przypadku podmiotów kluczowych maksymalna kara finansowa może wynieść do 10 mln euro lub 2% rocznego obrotu, natomiast dla podmiotów ważnych do 7 mln euro lub 1,4% rocznego obrotu – w zależności od tego, która z kwot jest wyższa. W szczególnych przypadkach, gdy naruszenia prowadzą np. do poważnych zagrożeń dla bezpieczeństwa państwa lub poważnych zakłóceń w świadczeniu usług, organ właściwy może nałożyć karę sięgającą nawet 100 mln zł.

Nowe przepisy wprowadzają również osobistą odpowiedzialność kierownictwa podmiotu za nadzór nad cyberbezpieczeństwem. W określonych przypadkach kara pieniężna dla osoby zarządzającej może wynieść nawet do 300% jej wynagrodzenia.

Jak przygotować organizację do KSC – 5 kluczowych kroków

Dostosowanie organizacji do wymagań dyrektywy NIS2 oraz ustawy o Krajowym Systemie Cyberbezpieczeństwa wymaga systemowego podejścia. W praktyce proces przygotowania można podzielić na kilka kluczowych etapów.

1. 1. Sprawdzenie, czy organizacja podlega przepisom

Pierwszym krokiem powinna być analiza, czy dana organizacja spełnia kryteria podmiotu kluczowego lub ważnego. Kluczowe znaczenie ma sektor działalności, wielkość przedsiębiorstwa oraz znaczenie dla funkcjonowania gospodarki lub infrastruktury krytycznej.

1. 2. Ocena obecnego poziomu cyberbezpieczeństwa

Kolejnym etapem jest przeprowadzenie analizy zgodności z wymaganiami NIS2 (tzw. gap analysis). Pozwala ona zidentyfikować obszary wymagające zmian w zakresie procesów, procedur oraz stosowanych rozwiązań technicznych.

1. 3. Wdrożenie systemowego zarządzania cyberbezpieczeństwem

Organizacje powinny wdrożyć kompleksowy system zarządzania bezpieczeństwem informacji oraz zarządzania ryzykiem cybernetycznym, obejmujący m.in. monitoring incydentów, zarządzanie podatnościami oraz bezpieczeństwo łańcucha dostaw.

1. 4. Przygotowanie procedur reagowania na incydenty

Nowe przepisy wymagają wdrożenia procedur obsługi incydentów oraz ich zgłaszania do właściwych organów i zespołów reagowania na incydenty. W praktyce oznacza to konieczność przygotowania scenariuszy reagowania kryzysowego oraz planów odtwarzania działalności po incydencie.

1. 5. Zaangażowanie zarządu i budowanie świadomości

Dyrektywa NIS2 wyraźnie podkreśla rolę kadry zarządzającej w nadzorze nad cyberbezpieczeństwem. Dlatego ważnym elementem przygotowań jest również budowanie świadomości zagrożeń oraz regularne szkolenia dla pracowników i menedżerów.

Od regulacji do realnego bezpieczeństwa

Wprowadzenie wymagań wynikających z dyrektywy NIS2 oraz ustawy o Krajowym Systemie Cyberbezpieczeństwa to dla wielu organizacji ważny moment porządkowania podejścia do cyberbezpieczeństwa. Choć regulacje określają konkretne obowiązki, ich znaczenie wykracza poza sam aspekt zgodności z przepisami. W praktyce stanowią impuls do budowania bardziej dojrzałego i systemowego podejścia do zarządzania ryzykiem w środowisku cyfrowym. W Resilia wspieramy firmy w przygotowaniu do nowych wymagań – od audytu zgodności i analizy luk, po opracowanie planu wdrożenia oraz implementację rozwiązań zwiększających poziom cyberbezpieczeństwa.

Jeśli chcesz przygotować swoją organizację do nowych wymagań, wypełnij formularz na dole strony lub napisz do nas na adres: [email protected]

Przeczytaj więcej o naszych rozwiązaniach w zakresie wdrażania NIS2 i UoKSC.

Dowiedź się więcej