Nowelizacja ustawy o KSC (NIS2) – co firma musi zrobić do 3 kwietnia 2027 r.
Opublikowano: · Maksymilian Kruszewski
3 kwietnia 2026 r. weszła w życie nowelizacja ustawy o krajowym systemie cyberbezpieczeństwa wdrażająca dyrektywę NIS2. Obejmuje znacznie więcej firm niż dotychczasowe przepisy, a czas na dostosowanie upływa 3 kwietnia 2027 r.
Kogo dotyczy
Zamiast operatorów usług kluczowych ustawa wprowadza podmioty kluczowe i podmioty ważne. Należą do nich m.in. średnie i duże przedsiębiorstwa z sektorów energii, transportu, bankowości, ochrony zdrowia, infrastruktury cyfrowej, zarządzania usługami ICT, produkcji oraz administracja publiczna. Firma, która spełnia kryteria, a nie została wpisana do wykazu z urzędu, musi sama złożyć wniosek o wpis.
Najważniejsze obowiązki
- Wpis do wykazu podmiotów kluczowych i ważnych.
- System zarządzania bezpieczeństwem i szacowanie ryzyka.
- Procedury obsługi i zgłaszania incydentów poważnych.
- Zarządzanie bezpieczeństwem łańcucha dostaw ICT.
- Nadzór i szkolenia kierownictwa.
Terminy
- 3 kwietnia 2026 r. – wejście w życie nowelizacji.
- 3 kwietnia 2027 r. – koniec okresu dostosowawczego.
- 3 kwietnia 2028 r. – stosowanie kar za większość obowiązków i termin pierwszego audytu części podmiotów kluczowych.
Od czego zacząć
Pierwszym krokiem jest ustalenie, czy organizacja jest podmiotem kluczowym albo ważnym, i sprawdzenie, czy wniosek o wpis został złożony. Następnie warto przeprowadzić analizę luk i zaplanować wdrożenie dokumentacji i procedur przed kwietniem 2027 r.
Porozmawiajmy o Twojej sprawie
Pierwsza rozmowa służy ustaleniu zakresu sprawy i wyceny.