Ustawa o KSC po nowelizacji
Ustawa z 5 lipca 2018 r. o krajowym systemie cyberbezpieczeństwa w brzmieniu nadanym ustawą z 23 stycznia 2026 r. (Dz.U. 2026 poz. 252). Tekst w Dzienniku Ustaw.
Cyberbezpieczeństwo · NIS2 i ustawa o KSC
NIS2. Sprawdzimy, czy dotyczy Twojej firmy.
Dyrektywa NIS2 weszła do polskiego prawa przez nowelizację ustawy o krajowym systemie cyberbezpieczeństwa (Dz.U. 2026 poz. 252), obowiązującą od 3 kwietnia 2026 r. Firmy objęte ustawą mają czas do 3 kwietnia 2027 r., żeby wdrożyć system zarządzania bezpieczeństwem informacji i obsługę incydentów. Pomagamy przejść przez to krok po kroku.
3.04.2027
termin wdrożenia obowiązków z rozdziału 3 ustawy
24 h
wczesne ostrzeżenie o poważnym incydencie
3 lata
audyt podmiotu kluczowego co najmniej tak często
ISO 27001
audytor wewnętrzny ISO/IEC 27001 (certyfikat BSI) w zespole
Kara przyjdzie później. Ransomware: w każdej chwili.
Stan prawny
Stan na 14 listopada 2026 r. Z artykułami ustawy.
Treść przejrzał Maciej Janowski, audytor wewnętrzny ISO/IEC 27001 (certyfikat BSI). Strona ma charakter informacyjny i nie jest poradą prawną.
Poradnik z artykułami
Osiem stron: kogo obejmuje ustawa, terminy, kary, ISO 27001 a ustawa i lista kontrolna. Przy każdym twierdzeniu artykuł.
Kogo obejmuje
Nie tylko duże firmy z sektorów z załączników.
O tym, czy ustawa Cię obejmuje, decyduje sektor (załączniki do ustawy) i wielkość firmy. Średnie przedsiębiorstwa w wymienionych sektorach są zwykle podmiotami ważnymi, duże kluczowymi.
- Średnia firma (od 50 osób albo obrót i suma bilansowa powyżej 10 mln euro) w sektorze z załącznika: zwykle podmiot ważny
- Duża firma (od 250 osób albo obrót powyżej 50 mln euro i suma bilansowa powyżej 43 mln euro): zwykle podmiot kluczowy
- Dane liczy się razem z przedsiębiorstwami powiązanymi i partnerskimi
- Mniejsze firmy często dostaną wymagania w umowach od klientów objętych ustawą (łańcuch dostaw)
- RODO obowiązuje wszystkich, niezależnie od wielkości
Co wdrażamy
Część techniczna i organizacyjna, nie sam segregator.
Ocena, czy ustawa Cię obejmuje
Sektor, wielkość, powiązania kapitałowe i to, czy jesteś dostawcą firm objętych ustawą.
Analiza ryzyka
System zarządzania bezpieczeństwem informacji oparty na szacowaniu ryzyka (art. 8 ustawy).
Zabezpieczenia
MFA, kopie zapasowe, ochrona stacji, UTM, segmentacja sieci, monitoring i testy podatności.
Obsługa incydentów
Procedura z terminami 24 h, 72 h i miesiąc, kto zgłasza do CSIRT, a kto do UODO.
Dokumentacja i szkolenia
Polityki, rejestry, szkolenie kierownictwa (wymagane raz w roku) i personelu.
Audyt i ISO/IEC 27001
Przygotowanie do audytu z art. 15. Certyfikat ISO pomaga, ale nie zastępuje obowiązków ustawowych.
Kary
Ile kosztuje brak wdrożenia.
| Podmiot kluczowy | Podmiot ważny | |
|---|---|---|
| Kara dla firmy | od 20 000 zł do 10 mln euro albo 2% przychodów (wyższa kwota) | od 15 000 zł do 7 mln euro albo 1,4% przychodów (wyższa kwota) |
| Kara dla kierownika | do 300% wynagrodzenia (w podmiocie publicznym do 100%) | do 300% wynagrodzenia (w podmiocie publicznym do 100%) |
Kary z art. 73 ust. 1-4 i art. 73a mogą być nakładane od 3 kwietnia 2028 r. Kara z art. 73 ust. 5 (do 100 mln zł za naruszenie powodujące poważne zagrożenie) nie jest odroczona. Materiał informacyjny, nie porada prawna.
Poradnik PDF
NIS2 w placówce medycznej. Czy ISO 27001 wystarczy?
Kogo obejmuje ustawa, terminy, kary, ISO 27001 a ustawa i lista kontrolna do wydrukowania. Bezpłatnie, po zapisie do newslettera.
- Stan prawny: Dz.U. 2026 poz. 252
- Tabela: kto jest podmiotem kluczowym, a kto ważnym
- Terminy 2026-2028
- Lista kontrolna
Pytania
Zanim zapytasz.
Czy NIS2 dotyczy mojej firmy?
Zależy od sektora (załączniki do ustawy o KSC) i wielkości. W sektorach z załączników średnie firmy są zwykle podmiotami ważnymi, a duże kluczowymi. Mniejsze firmy mogą dostać wymagania od klientów objętych ustawą. Pomożemy to ocenić.
Do kiedy trzeba wdrożyć NIS2?
Obowiązki z rozdziału 3 ustawy (m.in. system zarządzania bezpieczeństwem informacji i obsługa incydentów) trzeba wdrożyć do 3 kwietnia 2027 r. Pierwszy audyt podmiotu kluczowego do 3 kwietnia 2028 r.
Czy certyfikat ISO 27001 wystarczy?
Nie automatycznie. Ustawa nie wymienia normy ISO 27001. Certyfikat to dobra baza, ale nie zastępuje obowiązków ustawowych ani audytu z art. 15.
W jakim czasie zgłasza się incydent?
Poważny incydent: wczesne ostrzeżenie w 24 godziny, zgłoszenie w 72 godziny i sprawozdanie końcowe w miesiąc, do właściwego CSIRT. Wyciek danych osobowych dodatkowo do UODO w 72 godziny.
Porozmawiajmy o Twoim środowisku.
Zadzwoń albo napisz. Sprawdzimy, co masz dziś, i zaproponujemy konkretny plan. Bez zobowiązań.