NIS2 dla małych firm – co musisz wiedzieć w 2026 roku

Czym jest NIS2 i od kiedy obowiązuje w Polsce

Polska nowelizacja ustawy o Krajowym Systemie Cyberbezpieczeństwa weszła w życie 3 kwietnia 2026 roku. To krajowa implementacja unijnej dyrektywy NIS2 (Network and Information Security 2), która zastąpiła poprzednią dyrektywę NIS z 2016 roku i znacząco rozszerzyła zarówno zakres podmiotów objętych regulacją, jak i samą listę wymagań.

Poprzednia dyrektywa obejmowała stosunkowo wąskie grono podmiotów. NIS2 zmienia ten obraz radykalnie – zwiększa liczbę branż z kilku do osiemnastu, obejmuje nowe kategorie firm i po raz pierwszy przenosi odpowiedzialność za cyberbezpieczeństwo wprost na zarząd. To już nie jest kwestia, którą można delegować w dół struktury i o niej zapomnieć.

Jeśli prowadzisz firmę zatrudniającą więcej niż 50 osób lub z rocznym obrotem przekraczającym 10 milionów euro, nowe przepisy z dużym prawdopodobieństwem dotyczą Cię bezpośrednio. Ale nawet poniżej tych progów sprawa nie jest zamknięta. NIS2 ma sposób, by dosięgnąć również mniejszych graczy – i robi to z każdym miesiącem coraz skuteczniej.

Kogo naprawdę dotyczy NIS2 – podmioty kluczowe i ważne

Dyrektywa NIS2 dzieli firmy na dwie kategorie: podmioty kluczowe i podmioty ważne. Podział zależy od kombinacji dwóch czynników: branży, w której działa firma, oraz jej wielkości.

Podmioty kluczowe to duże organizacje – zatrudniające powyżej 250 pracowników lub osiągające obrót powyżej 50 milionów euro – które działają w sektorach takich jak energetyka, transport, bankowość i instytucje finansowe, ochrona zdrowia, zaopatrzenie w wodę, infrastruktura cyfrowa czy administracja publiczna. Dla tych podmiotów wymagania są najsurowsze, a nadzór ze strony organów państwowych – najintensywniejszy.

Podmioty ważne to przedsiębiorstwa średniej wielkości, czyli zatrudniające od 50 do 249 pracowników lub z obrotem między 10 a 50 milionami euro, prowadzące działalność w tych samych sektorach co podmioty kluczowe, a dodatkowo w usługach pocztowych i kurierskich, gospodarce odpadami, produkcji chemikaliów, produkcji i dystrybucji żywności oraz przemyśle przetwórczym.

Wymagania dla podmiotów ważnych są nieco mniej rygorystyczne niż dla kluczowych, ale lista obowiązków nadal jest długa i konkretna. Różnica polega głównie na intensywności nadzoru i trybie prowadzenia ewentualnych kontroli.

Firmy objęte NIS2 niezależnie od wielkości

Część firm podlega NIS2 bez względu na to, ile osób zatrudniają i jaki mają obrót. To wyjątki od zasady progów, które obejmują podmioty uznane za krytyczne dla funkcjonowania infrastruktury informacyjnej.

Do tej grupy zaliczają się między innymi:

• dostawcy usług DNS i rejestry domen najwyższego poziomu,
• kwalifikowani dostawcy usług zaufania (elektroniczne podpisy, pieczęcie, znaczniki czasu),
• operatorzy publicznych sieci łączności elektronicznej,
• podmioty zarządzające usługami ICT dla innych organizacji,
• dostawcy usług zarządzanych (MSP) i zarządzanych usług bezpieczeństwa (MSSP).

Jeśli Twoja firma świadczy usługi zarządzane lub usługi z obszaru cyberbezpieczeństwa dla innych podmiotów, prawdopodobnie podlegasz NIS2 bez względu na liczbę pracowników. Warto to sprawdzić, zanim zrobi to za Ciebie organ nadzorczy.

Istnieje jeszcze jedna ścieżka, przez którą mała firma może znaleźć się pod regulacją. Organ nadzorczy może uznać mikro lub małe przedsiębiorstwo za podmiot kluczowy lub ważny, jeśli jego usługa ma krytyczne znaczenie dla bezpieczeństwa państwa, porządku publicznego lub zdrowia. Wystarczy, że firma jest jedynym dostawcą danej usługi w regionie albo że jej zakłócenie mogłoby zagrozić ciągłości działania większych podmiotów. To rzadkie, ale realne.

Efekt domina – jak NIS2 dosięga małych firm przez łańcuch dostaw

To prawdopodobnie najważniejszy mechanizm NIS2 z perspektywy małych firm. Dyrektywa nakłada na podmioty kluczowe i ważne obowiązek zarządzania ryzykiem w całym łańcuchu dostaw. Innymi słowy – duże firmy objęte regulacją muszą oceniać poziom cyberbezpieczeństwa swoich dostawców i partnerów biznesowych.

W praktyce wygląda to tak: bank, szpital albo operator energetyczny, który podlega NIS2, zaczyna wymagać od swoich kontrahentów spełnienia określonych standardów. Przenosi te wymagania na poziom umów – przez klauzule bezpieczeństwa, obowiązek posiadania certyfikatów takich jak ISO 27001, albo przez konkretne techniczne zabezpieczenia. Mała firma dostarczająca oprogramowanie, obsługująca serwery lub świadcząca usługi IT dla takiego klienta nie dostanie nowego kontraktu – ani nie odnowi istniejącego – jeśli nie spełni tych warunków.

Tu nie chodzi o karę z urzędu. Chodzi o utratę klientów. Dla podmiotu kluczowego współpraca z dostawcą bez minimalnych standardów bezpieczeństwa staje się ryzykiem prawnym i finansowym. Żaden odpowiedzialny dział zakupów nie będzie tego ryzykować.

NIS2 działa przy tym na zasadzie proporcjonalności. Mały dostawca o marginalnym znaczeniu – na przykład drukarnia materiałów promocyjnych, która nie ma dostępu do systemów zleceniodawcy – będzie musiał spełnić jedynie podstawowe wymagania. Jednak im głębszy dostęp do danych lub systemów klienta, tym wyższe oczekiwania w zakresie zabezpieczeń.

Szacuje się, że NIS2 obejmie bezpośrednio około 160 tysięcy podmiotów w całej Unii Europejskiej. Przez efekt łańcucha dostaw realny wpływ odczuje kilkukrotnie więcej firm. Liczby te mogą na początku brzmieć abstrakcyjnie – ale wystarczy jeden duży klient, który prześle Ci kwestionariusz bezpieczeństwa i poczekasz na odpowiedź, żeby poczuć to bardzo konkretnie.

Co konkretnie musisz wdrożyć – lista obowiązków

NIS2 nie narzuca jednego, sztywnego zestawu narzędzi ani konkretnych produktów. Wymaga wdrożenia „odpowiednich i proporcjonalnych" środków technicznych, operacyjnych i organizacyjnych, dostosowanych do wielkości firmy, profilu ryzyka i charakteru działalności. To ważne rozróżnienie – małe podmioty ważne nie muszą budować systemów jak duże banki.

Fundamentem jest system zarządzania bezpieczeństwem informacji. Potrzebujesz udokumentowanej polityki bezpieczeństwa, procedur zarządzania ryzykiem i procesu ich regularnego przeglądu. Wiele firm ma już częściowo wdrożone elementy takiego systemu. Problem w tym, że działają one na zasadzie nieformalnych przyzwyczajeń, a nie spisanych i zatwierdzonych przez zarząd dokumentów. NIS2 wymaga właśnie tej formalizacji.

Konkretne obszary, którymi musisz się zająć:

• analiza ryzyka i polityka bezpieczeństwa informacji,
• procedury wykrywania i reagowania na incydenty,
• zarządzanie ciągłością działania – kopie zapasowe i plany odzyskiwania po awarii,
• bezpieczeństwo łańcucha dostaw i weryfikacja dostawców,
• zabezpieczenie sieci i systemów informatycznych,
• kontrola dostępu i uwierzytelnianie wieloskładnikowe,
• szyfrowanie danych i zarządzanie kluczami kryptograficznymi,
• regularne szkolenia pracowników z cyberhigieny.

Uwierzytelnianie wieloskładnikowe na wszystkich kontach administracyjnych to absolutne minimum i wyraźny wymóg NIS2. Nie opcja, nie dobra praktyka – obowiązek. Jeśli Twoja firma jeszcze tego nie wdrożyła, to najszybszy punkt startowy.

Raportowanie incydentów – 24 godziny to nie żart

Raportowanie incydentów to jeden z najbardziej wymagających operacyjnie elementów NIS2. Nie chodzi tu o to, żeby po fakcie opisać, co się stało – chodzi o działanie pod presją czasu w momencie, gdy firma prawdopodobnie jest już w trybie kryzysowym.

Terminy są ścisłe i nieelastyczne. W razie poważnego incydentu masz 24 godziny na wysłanie wczesnego ostrzeżenia do właściwego zespołu reagowania na incydenty. W Polsce działają trzy takie zespoły: CSIRT NASK (dla podmiotów cywilnych), CSIRT MON (dla wojska i obrony) i CSIRT GOV (dla administracji rządowej). W ciągu 72 godzin musisz dostarczyć pełne zgłoszenie incydentu, a w ciągu miesiąca – raport końcowy z analizą przyczyn i podjętych działań naprawczych.

Co to oznacza w praktyce? Firma musi mieć z góry gotowe:

• procedurę klasyfikacji incydentów – co jest „poważnym incydentem" w rozumieniu ustawy,
• jasno wyznaczoną osobę odpowiedzialną za kontakt z CSIRT,
• wewnętrzny system zgłaszania zdarzeń bezpieczeństwa przez pracowników,
• szablony i narzędzia do szybkiego sporządzenia zgłoszenia.

Firmy, które próbują budować takie procedury dopiero w trakcie incydentu, rzadko wyrabiają się w terminie. A naruszenie terminów raportowania to kolejna podstawa do nałożenia kary.

Obowiązek audytu bezpieczeństwa

Dla podmiotów kluczowych NIS2 wprowadza obowiązkowy audyt bezpieczeństwa co najmniej raz na trzy lata. Audyt musi być przeprowadzony przez niezależny podmiot i obejmuje weryfikację faktycznego stanu wdrożonych zabezpieczeń w porównaniu z wymaganiami dyrektywy.

Podmioty ważne nie mają ustawowego obowiązku cyklicznego audytu – ale audyt może im zostać nakazany decyzją organu nadzorczego w ramach postępowania kontrolnego. W praktyce oznacza to, że brak audytu nie daje poczucia bezpieczeństwa – tylko przesuwa moment jego weryfikacji na czas, kiedy sam organ nadzorczy zdecyduje, że chce sprawdzić Twoją firmę.

Niezależnie od formalnych wymogów, audyt bezpieczeństwa jest wartościowym narzędziem sam w sobie. Daje firmie obiektywny obraz tego, co działa, a co wymaga naprawy – zanim to samo odkryje atakujący albo organ kontrolny.

Odpowiedzialność zarządu – cyberbezpieczeństwo to sprawa właścicielska

To jeden z najbardziej przełomowych elementów NIS2 i jednocześnie ten, który najczęściej zaskakuje właścicieli firm. Dyrektywa przenosi odpowiedzialność za cyberbezpieczeństwo bezpośrednio na zarząd – nie na dział IT, nie na zewnętrznego dostawcę, nie na administratora sieci.

Konkretnie oznacza to kilka rzeczy. Członkowie zarządu muszą osobiście zatwierdzać polityki bezpieczeństwa i procedury zarządzania ryzykiem – nie wystarczy, że ktoś z IT je napisał i wrzucił na serwer. Zarząd ma obowiązek regularnie szkolić się z cyberbezpieczeństwa, co najmniej raz w roku. Musi też zapewnić środki finansowe adekwatne do zidentyfikowanego ryzyka.

Jeśli dojdzie do incydentu lub kontroli i okaże się, że zarząd nie wykonał tych obowiązków, nie można się zasłonić brakiem wiedzy technicznej. „Nie znam się na IT" przestaje być usprawiedliwieniem. Staje się dowodem zaniedbania, które może skutkować karą osobistą.

To fundamentalna zmiana w myśleniu o cyberbezpieczeństwie. Do tej pory traktowano je jako kwestię techniczną, którą deleguje się do specjalistów. NIS2 wyraźnie mówi, że to element nadzoru właścicielskiego – tak samo jak finanse, kadry czy zarządzanie ryzykiem biznesowym.

Kary za nieprzestrzeganie przepisów

Sankcje przewidziane w NIS2 są bezprecedensowe jak na regulacje z obszaru cyberbezpieczeństwa i stawiają je w jednym rzędzie z karami z rozporządzenia RODO.

Dla podmiotów kluczowych maksymalna kara to 10 milionów euro lub 2 procent rocznego światowego obrotu – stosuje się kwotę wyższą. Dla podmiotów ważnych – do 7 milionów euro lub 1,4 procent obrotu.

Do tego dochodzą kary osobiste nakładane na członków zarządu, sięgające 600 procent ich wynagrodzenia. W skrajnych przypadkach możliwe jest czasowe zawieszenie danej osoby w pełnieniu funkcji zarządczych. To sprawia, że NIS2 jest regulacją, której nie można zignorować tylko dlatego, że firma działa pod progiem kary korporacyjnej.

Warto pamiętać, że kary są nakładane za sam brak zgodności – nie tylko za konkretny incydent bezpieczeństwa. Firma może nigdy nie paść ofiarą ataku, a mimo to zapłacić wielomilionową karę za to, że nie wdrożyła wymaganych procedur lub nie złożyła wymaganego rejestru.

Stan przygotowań polskich firm – dane, które powinny niepokoić

Obraz, jaki wyłania się z badań nad gotowością polskich firm na NIS2, nie jest optymistyczny. Badanie przeprowadzone przez EY i Trend Micro pokazało, że jedna czwarta firm objętych regulacją w ogóle nie miała świadomości, że dyrektywa ich dotyczy. Tylko 38 procent planowało uruchomić osobny projekt związany z wdrożeniem NIS2. 45 procent firm wciąż zarządza ryzykiem bezpieczeństwa ręcznie – w arkuszach kalkulacyjnych.

Zestawienie tych danych z aktualnym krajobrazem zagrożeń robi szczególne wrażenie. Polska znalazła się na pierwszym miejscu na świecie pod względem liczby ataków ransomware w pierwszej połowie 2025 roku – odpowiadała za 6 procent wszystkich globalnych ataków. Średni czas paraliżu firmy po skutecznym ataku to 31 dni. Mediana żądanego okupu wyniosła 4,2 miliona złotych.

31 dni bez możliwości normalnej pracy. To nie jest abstrakcyjny scenariusz – dla większości firm oznacza to koniec działalności lub poważne, trwałe straty. A mimo to prawie połowa polskich firm nadal podchodzi do zarządzania ryzykiem cyberbezpieczeństwa z narzędziami rodem z arkusza kalkulacyjnego.

NIS2 jest w tym sensie nie tylko regulacją – jest odpowiedzią na realny problem, który polskie firmy mają z zarządzaniem cyberzagrożeniami.

Praktyczny plan działania – od czego zacząć

Wdrożenie NIS2 nie musi być projektem, który pochłania cały budżet IT na rok. Kluczem jest właściwa kolejność kroków i skupienie się na tym, co faktycznie wymagane – nie na tym, co brzmi imponująco w broszurze producenta rozwiązań bezpieczeństwa.

Krok 1: Sprawdź, czy podlegasz

Przejdź przez cztery pytania. Po pierwsze: czy Twoja firma działa w jednym z 18 sektorów wymienionych w ustawie? Po drugie: czy zatrudniasz 50 lub więcej osób albo Twój obrót przekracza 10 milionów euro? Po trzecie: czy świadczysz usługi DNS, usługi zaufania albo zarządzasz sieciami ICT? Po czwarte: czy jesteś jedynym dostawcą usługi o krytycznym znaczeniu dla jakiegoś regionu? Jeśli na którekolwiek z tych pytań odpowiedź brzmi „tak" – prawdopodobnie podlegasz.

Krok 2: Przeprowadź samoocenę

Większość firm ma już jakieś zabezpieczenia – program antywirusowy, zaporę sieciową, kopie zapasowe. Samoocena polega na tym, żeby udokumentować, co faktycznie działa, a co wymaga poprawy lub uzupełnienia. Darmowe narzędzia takie jak Microsoft Security Assessment Tool czy frameworki OWASP pomagają uporządkować tę ocenę.

Krok 3: Sformalizuj polityki bezpieczeństwa

Nawet jeśli masz dobre praktyki bezpieczeństwa, muszą być zapisane i zatwierdzone przez zarząd. To warunek konieczny – nie wystarczy wiedzieć, co się robi. Zacznij od trzech dokumentów: polityki bezpieczeństwa informacji, procedury zgłaszania i obsługi incydentów oraz planu ciągłości działania. Europejska Agencja ds. Bezpieczeństwa Sieci i Informacji (ENISA) udostępnia gotowe szablony, które można zaadaptować do potrzeb firmy.

Krok 4: Wzmocnij podstawy techniczne

Uwierzytelnianie wieloskładnikowe na wszystkich kontach administracyjnych to absolutne minimum i wyraźny wymóg NIS2 – jeśli tego nie masz, zacznij właśnie tutaj. Dalej: szyfrowanie danych przechowywanych i przesyłanych, zarządzanie aktualizacjami i łatkami bezpieczeństwa, segmentacja sieci. To rzeczy, które warto mieć bez względu na regulacje.

Krok 5: Przeszkol zarząd i pracowników

Zarząd musi przejść szkolenie z cyberbezpieczeństwa minimum raz w roku – to obowiązek ustawowy. Pracownicy powinni być szkoleni regularnie, z naciskiem na rozpoznawanie prób phishingu i podstawy bezpiecznego zachowania w sieci. To najtańszy i często najbardziej skuteczny element całego systemu.

Krok 6: Zadbaj o łańcuch dostaw

Jeśli współpracujesz z podmiotami kluczowymi lub ważnymi, przygotuj się na kwestionariusz bezpieczeństwa od swoich klientów. Lepiej mieć odpowiedzi gotowe, zanim przyjdzie zapytanie. Przegląd swoich własnych dostawców zewnętrznych też ma sens – szczególnie tych, którzy mają dostęp do Twoich danych lub systemów.

Krok 7: Zarejestruj się w systemie S46

Termin na zgłoszenie do rejestru podmiotów kluczowych i ważnych w systemie S46 to 6 miesięcy od wejścia ustawy w życie, czyli do początku października 2026 roku. Rejestracja jest obowiązkowa dla podmiotów, które spełniają kryteria dyrektywy. Zanim złożysz zgłoszenie, upewnij się, że przeprowadziłeś samoocenę i wiesz, do której kategorii należy Twoja firma.

Warto przy tym skorzystać z zewnętrznego wsparcia. Zamiast budować własne centrum operacji bezpieczeństwa, co jest kosztowne i wymaga specjalistycznej kadry, wiele firm wybiera zewnętrznych dostawców zarządzanych usług bezpieczeństwa. Jeśli firma ma już certyfikat ISO 27001, jest w bardzo dobrym punkcie startowym – od 60 do 70 procent wymogów NIS2 pokrywa się z tym standardem.

Perspektywa – dlaczego warto działać teraz

NIS2 to nie kolejna regulacja do odhaczenia. To zmiana podejścia do cyberbezpieczeństwa w całej Unii Europejskiej – zmiana, która odwraca dotychczasową logikę: od reagowania po fakcie do zarządzania ryzykiem z wyprzedzeniem.

Dla małych firm oznacza jedno: cyberbezpieczeństwo przestaje być opcją i staje się warunkiem prowadzenia działalności. Nie dlatego, że urząd wyśle kontrolę (choć i to jest możliwe), ale dlatego, że klienci i partnerzy biznesowi zaczną tego wymagać coraz wyraźniej – w umowach, w przetargach, w codziennej współpracy.

Firmy, które podejdą do tego poważnie, zyskają realną przewagę. Udokumentowane standardy bezpieczeństwa stają się argumentem sprzedażowym, szczególnie w relacjach z większymi podmiotami. Ci, którzy będą zwlekać, mogą stracić nie tylko na potencjalnych karach, ale przede wszystkim możliwość współpracy z kluczowymi graczami na rynku.

Rok 2026 to pierwszy pełny rok egzekwowania przepisów. Kontrole i postępowania administracyjne już trwają. Nie warto czekać na pierwsze wezwanie.