Status NIS 2 w Polsce
Czego wymaga dyrektywa, jak Polska ją transponuje oraz gdzie w tym obrazie sytuują się Ministerstwo Cyfryzacji i trzy CSIRT.
Przegląd
Dyrektywa NIS 2 to warstwa UE. Wiąże każde państwo członkowskie, w tym Polskę, jednym progiem cyberbezpieczeństwa dla podmiotów kluczowych i ważnych. Polska musi wprowadzić ten próg do polskiego prawa i prowadzić na jego podstawie reżim nadzoru.
Polska transponuje NIS 2 poprzez nowelizację istniejącej ustawy o krajowym systemie cyberbezpieczeństwa (Ustawa o krajowym systemie cyberbezpieczeństwa, UKSC) z 2018 roku. Sejm przyjął nowelizację 23 stycznia 2026, Prezydent podpisał ją 19 lutego 2026, została opublikowana w Dzienniku Ustaw 2 marca 2026 (Dz.U. 2026 poz. 252) i weszła w życie 3 kwietnia 2026. Polska nie dotrzymała terminu dyrektywy z 17 października 2024; Komisja Europejska wszczęła postępowanie w sprawie uchybienia zobowiązaniom, wydając uzasadnioną opinię 7 maja 2025.
Wiodącym właściwym organem i krajowym pojedynczym punktem kontaktowym jest Ministerstwo Cyfryzacji. Na poziomie operacyjnym równolegle działają trzy krajowe CSIRT: CSIRT NASK dla sektora prywatnego i usług cyfrowych, CSIRT GOV dla administracji publicznej i infrastruktury krytycznej, CSIRT MON dla domeny wojskowej. Regulatorzy sektorowi tacy jak KNF w sektorze finansowym zachowują swoją kompetencję tam, gdzie DORA działa jako lex specialis.
Dyrektywa UE
Directive (EU) 2022/2555 (NIS 2)
Ogólnounijna dyrektywa o cyberbezpieczeństwie. Ustanawia obowiązki, które każde państwo członkowskie musi transponować, w tym testy wielkości i sektora dla podmiotów kluczowych i ważnych.
Wdrożenie UE
Commission Implementing Regulation (EU) 2024/2690
Środki techniczne i metodyczne dla dostawców infrastruktury cyfrowej. Bezpośrednio stosowane w Polsce bez transpozycji krajowej.
Transpozycja polska
Ustawa z dnia 23 stycznia 2026 r. o zmianie ustawy o krajowym systemie cyberbezpieczeństwa oraz niektórych innych ustaw (Dz.U. 2026 poz. 252)
Polska transpozycja NIS 2, ustrukturyzowana jako nowelizacja istniejącej UKSC z 5 lipca 2018. Opublikowana w Dzienniku Ustaw 2 marca 2026, w mocy od 3 kwietnia 2026. Rozporządzenia wykonawcze Ministerstwa Cyfryzacji uzupełniają szczegóły operacyjne.
Nowelizacja UKSC 2026
Wprowadza obowiązki NIS 2 do polskiego prawa. Definiuje podmioty kluczowe i ważne, uprawnienia nadzorcze Ministerstwa Cyfryzacji, obowiązki zgłaszania incydentów do właściwego CSIRT oraz sankcje. Sektorowe CSIRT dla strategicznych branż są nowym elementem wprowadzonym przez nowelizację.
Ministerstwo Cyfryzacji i trzy CSIRT
Ministerstwo Cyfryzacji jest wiodącym właściwym organem i krajowym pojedynczym punktem kontaktowym wobec UE i innych państw członkowskich. Równolegle działają trzy CSIRT: CSIRT NASK (sektor prywatny, usługi cyfrowe), CSIRT GOV (administracja publiczna, infrastruktura krytyczna, prowadzony przez Agencję Bezpieczeństwa Wewnętrznego ABW) oraz CSIRT MON (wojsko).
Rejestracja i wdrożenie
Nowelizacja weszła w życie 3 kwietnia 2026. Podmioty spełniające kryteria na ten dzień muszą zarejestrować się na oficjalnej liście podmiotów kluczowych i ważnych. Dwanaście miesięcy na wdrożenie wszystkich środków bezpieczeństwa z Rozdziału 3, tj. do 3 kwietnia 2027. Zgłaszanie incydentów zgodne z dyrektywą: 24-godzinne wczesne ostrzeżenie, 72-godzinne zgłoszenie, raport końcowy w ciągu jednego miesiąca, przekazywane przez krajowy system S46 do właściwego CSIRT.
Wewnątrz Polski obowiązuje prawo lokalne
Operacje na terytorium Polski podlegają polskiej transpozycji. Niemiecki Geschäftsführer prowadzący polską spółkę zależną czyta dla tej spółki UKSC w brzmieniu znowelizowanym 23 stycznia 2026, a nie niemiecki BSIG. Obowiązki z dyrektywy są identyczne; procedura, organy i sankcje znajdują się w polskim prawie.
Polska nie może zejść poniżej progu UE
Dyrektywa jest instrumentem minimalnej harmonizacji. Polska może iść surowiej i miejscami to robi, w zakresie struktur sektorowych i kontroli łańcucha dostaw. Nie może zejść poniżej dyrektywy w zakresie obowiązków podmiotów kluczowych i ważnych, terminów zgłaszania incydentów ani odpowiedzialności organu zarządzającego.
Ministerstwo Cyfryzacji
Ministerstwo Cyfryzacji jest wiodącym właściwym organem na podstawie UKSC oraz krajowym pojedynczym punktem kontaktowym wobec UE i Grupy Współpracy. Prowadzi oficjalną listę podmiotów kluczowych i ważnych, wydaje rozporządzenia wykonawcze i koordynuje trzy krajowe CSIRT oraz nowe sektorowe CSIRT.
CSIRT NASK, CSIRT GOV, CSIRT MON
Polska prowadzi równolegle trzy krajowe CSIRT. CSIRT NASK (działający przy Naukowej i Akademickiej Sieci Komputerowej NASK) obejmuje sektor prywatny i usługi cyfrowe oraz pełni rolę operacyjnego punktu kontaktowego dla większości firm. CSIRT GOV (działający przy Agencji Bezpieczeństwa Wewnętrznego ABW) obejmuje administrację publiczną i infrastrukturę krytyczną. CSIRT MON obejmuje domenę wojskową. To, który CSIRT jest właściwy, wynika z sektora i własności, a nie z wyboru podmiotu.
ENISA
Unijna agencja ds. cyberbezpieczeństwa. Publikuje wytyczne, zarządza europejską bazą danych podatności i wspiera koordynację transgraniczną. Nie jest nadzorcą dla polskich podmiotów; są nim Ministerstwo Cyfryzacji i trzy CSIRT.
Po prostu stosujemy niemiecki NIS2UmsuCG, to oszczędza czas.
Obowiązki z dyrektywy są takie same w DE i PL, ale procedura krajowa nie. Polska rejestruje przez Ministerstwo Cyfryzacji, zgłasza incydenty do CSIRT NASK, CSIRT GOV lub CSIRT MON w zależności od sektora i korzysta z systemu S46. Polska spółka zależna niemieckiej grupy dokumentuje swoją zgodność względem UKSC w brzmieniu znowelizowanym 23 stycznia 2026, a nie względem niemieckiego BSIG.
Polska nie ma jeszcze oficjalnego rejestru, więc możemy poczekać.
Nowelizacja UKSC weszła w życie 3 kwietnia 2026. Podmioty spełniające kryteria muszą zarejestrować się na oficjalnej liście podmiotów kluczowych i ważnych oraz mają czas do 3 kwietnia 2027 na wdrożenie wszystkich środków bezpieczeństwa z Rozdziału 3. Czekanie to nie to samo co okres przejściowy: obowiązki obowiązują od wejścia w życie; jedynie praktyka sankcyjna jest rozłożona w czasie.
Jesteśmy w sektorze finansowym pod nadzorem KNF, NIS 2 nas nie dotyczy.
Dla banków, dostawców usług płatniczych i innych podmiotów finansowych DORA jest lex specialis dla bezpieczeństwa ICT, egzekwowana przez KNF. Obowiązek rejestracji NIS 2 w Ministerstwie Cyfryzacji nadal pozostaje. Nawet ci, którzy stosują DORA merytorycznie, muszą zostać formalnie zidentyfikowani i zarejestrowani jako podmioty NIS 2. To częsty błąd przy sprawdzeniu objęcia obowiązkiem.
Polska była jednym z siedmiu państw członkowskich, do których Komisja Europejska skierowała uzasadnioną opinię 7 maja 2025 za niezgłoszenie transpozycji NIS 2. Nowelizacja UKSC z 23 stycznia 2026, w mocy od 3 kwietnia 2026, zamyka tę lukę. Praktycznie: przestrzeń obowiązków jest teraz ostra, podczas gdy praktyka sankcyjna jest wciąż w pierwszych miesiącach.
Praktyczny ruch jest taki sam jak wszędzie w UE: potwierdź zakres na podstawie dyrektywy, zarejestruj się w Ministerstwie Cyfryzacji, ustaw cztery ciągłe obowiązki (utrzymanie rejestracji, zgłaszanie incydentów do właściwego CSIRT, ryzyko łańcucha dostaw, nadzór organu zarządzającego) i udokumentuj minimum. Polskie podmioty będące własnością niemieckich spółek macierzystych powinny wyjaśnić, który CSIRT jest dla nich właściwy, zanim wydarzy się pierwszy incydent.
Budujemy rejestr obowiązków NIS 2 na warstwie UE, a nie na jakiejkolwiek pojedynczej transpozycji krajowej. Ta sama lista kontrolna działa dla polskiej spółki zależnej na podstawie UKSC, niemieckiej spółki macierzystej na podstawie BSIG oraz holenderskiej spółki siostrzanej na podstawie Cyberbeveiligingswet. Odniesienia do artykułów przełączają się w zależności od lokalizacji; merytoryczne obowiązki nie.
Dla polskiego zakresu zaczynasz od sprawdzenia objęcia obowiązkiem, następnie przechodzisz do rytmu zgłaszania incydentów do właściwego CSIRT, klauzul łańcucha dostaw i zatwierdzenia organu zarządzającego. Tam, gdzie Ministerstwo Cyfryzacji lub CSIRT publikują wytyczne sektorowe, odsyłamy do nich; nie powielamy ich.
- Directive (EU) 2022/2555 (NIS 2): EUR-Lex
- Commission Implementing Regulation (EU) 2024/2690
- Ustawa z dnia 5 lipca 2018 r. o krajowym systemie cyberbezpieczeństwa (Dz.U. 2018 poz. 1560): ISAP Sejm
- Ustawa z dnia 23 stycznia 2026 r. o zmianie ustawy o krajowym systemie cyberbezpieczeństwa oraz niektórych innych ustaw (Dz.U. 2026 poz. 252): ISAP Sejm
- Ministry of Digital Affairs (Ministerstwo Cyfryzacji): official site, gov.pl/web/cyfryzacja
- CSIRT NASK: csirt.nask.pl
- CSIRT GOV (Internal Security Agency ABW): csirt.gov.pl
- European Commission, reasoned opinion on failure to notify NIS 2 transposition, 7 May 2025
- KNF / Polish Financial Supervision Authority: competent authority for DORA in the financial sector