Wraz z rozwojem technologii cyfrowych, cyberbezpieczeństwo stało się jednym z najważniejszych zagadnień dla firm i instytucji. W 2025 roku, w obliczu globalnych zagrożeń – takich jak wojna w Ukrainie, kryzysy energetyczne czy napięcia geopolityczne – zapewnienie bezpieczeństwa informatycznego jest kluczowym elementem funkcjonowania każdej organizacji.
Cyberprzestępcy stosują coraz bardziej zaawansowane metody ataku. Do najczęstszych zagrożeń należą m.in.:
W celu zwiększenia ogólnego poziomu bezpieczeństwa technologii informatycznych w Unii Europejskiej, w życie weszła dyrektywa NIS2 – zaktualizowana wersja unijnego aktu prawnego z 2016 roku. Nakłada ona na państwa członkowskie szereg obowiązków w zakresie ochrony usług kluczowych, raportowania incydentów oraz wdrażania systemów zarządzania bezpieczeństwem informacji.
Polska ma wdrożyć NIS2 poprzez nowelizację ustawy o krajowym systemie cyberbezpieczeństwa (KSC), której piąta wersja projektu została opublikowana w lutym 2025 roku. Projektowane przepisy m.in.:
Ponadto, w styczniu 2024 roku, na poziomie UE rozszerzono ramy certyfikacji cyberbezpieczeństwa produktów i usług ICT zgodnie z tzw. Cybersecurity Act. Obejmuje to sprzęt, oprogramowanie oraz komponenty, które muszą spełniać określone kryteria w zakresie ochrony danych i odporności na ataki.
Wszystkie te działania mają wspólny cel – zwiększyć odporność cyfrową całej Unii Europejskiej, w tym sektora publicznego, prywatnego oraz kluczowej infrastruktury. Dla wielu firm i instytucji nadchodzące lata będą czasem intensywnych zmian – warto przygotować się do nich już dziś.
Co to oznacza dla firm i instytucji?
Nowe regulacje w zakresie cyberbezpieczeństwa – zarówno te wynikające z dyrektywy NIS2, jak i rozporządzeń wykonawczych UE – mają istotny wpływ na sposób funkcjonowania firm, instytucji publicznych i dostawców usług ICT. Oto kluczowe konsekwencje:
Jak będzie działał system certyfikacji?
System certyfikacji cyberbezpieczeństwa w Unii Europejskiej funkcjonuje w oparciu o Europejski Program Certyfikacji Cyberbezpieczeństwa (EUCC), bazujący na uznanym międzynarodowym standardzie Common Criteria (PN-EN ISO/IEC 15408).
W Polsce odpowiedzialność za nadzór nad systemem ponosi Krajowy Punkt Kontaktowy ds. Certyfikacji Cyberbezpieczeństwa, przy współpracy z prywatnymi laboratoriami badawczymi i jednostkami certyfikującymi. Obecnie najważniejszą taką instytucją jest NASK PIB, która dostosowuje swoje procedury do nowych unijnych ram i stopniowo rozwija krajowy system zgodności.
Dzięki certyfikacji możliwe będzie w sposób obiektywny potwierdzenie, że dany produkt lub usługa spełnia wymagane poziomy zabezpieczeń – od podstawowego po wysoki.
W celu zwiększenia ogólnego poziomu bezpieczeństwa technologii informatycznych w Unii Europejskiej, została przyjęta dyrektywa NIS2 (Network and Information Systems Directive 2), która weszła w życie w 2023 roku. To rozwinięcie wcześniejszej dyrektywy NIS z 2016 roku, dostosowane do dzisiejszych realiów cyberzagrożeń i obejmujące szerszy zakres podmiotów.
Dyrektywa NIS2 nakłada na państwa członkowskie szereg obowiązków, w tym:
W Polsce przepisy dyrektywy NIS2 są wdrażane poprzez nowelizację ustawy o krajowym systemie cyberbezpieczeństwa (KSC). Piąta wersja projektu tej nowelizacji została przedstawiona w lutym 2025 roku i obecnie znajduje się na etapie konsultacji. Zakłada się, że ustawa zostanie uchwalona w 2025 roku, a główne obowiązki dla firm i instytucji wejdą w życie od 2026 roku.
Nowelizacja ustawy o KSC nakłada na szerokie grono podmiotów (publicznych i prywatnych) szereg obowiązków. Wśród nich znajdują się:
Warto zaznaczyć, że nowe obowiązki są zróżnicowane w zależności od tego, czy dana organizacja zostanie zakwalifikowana jako podmiot kluczowy czy ważny, co wynika wprost z zapisów nowelizowanej ustawy.
👉 Operatorów usług kluczowych
To podmioty, których działalność ma kluczowe znaczenie dla funkcjonowania państwa, bezpieczeństwa obywateli i gospodarki. Zaliczają się do nich m.in.:
👉 Dostawców usług cyfrowych
To firmy świadczące szeroko dostępne usługi online, z których korzystają miliony użytkowników. Zaliczają się do nich m.in.:
📌 Uwaga: Oprócz ww. kategorii, nowe przepisy obejmują także jednostki sektora publicznego (w tym samorządy, instytucje kultury, zakłady budżetowe), spółki komunalne wykonujące zadania użyteczności publicznej oraz firmy realizujące zlecenia dla infrastruktury krytycznej lub strategicznej.
Nowelizacja ustawy o krajowym systemie cyberbezpieczeństwa oraz wdrożenie dyrektywy NIS2 w Polsce znacząco zmieniają obowiązki związane z bezpieczeństwem cyfrowym. Celem reformy jest zwiększenie odporności organizacji na zagrożenia cybernetyczne oraz ujednolicenie standardów bezpieczeństwa w całej Unii Europejskiej.
🔹 Rozszerzenie katalogu podmiotów objętych regulacją
Nowe przepisy obejmą znacznie szerszy zakres organizacji – zarówno z sektora prywatnego, jak i publicznego. Obowiązki zostaną nałożone na tzw. podmioty kluczowe i podmioty ważne, w tym m.in.:
🔹 Nowe obowiązki dla podmiotów zobowiązanych
Organizacje zakwalifikowane jako podmioty kluczowe lub ważne będą zobowiązane do:
🔹 Wprowadzenie surowych sankcji finansowych
Nowelizacja wprowadza wysokie kary za nieprzestrzeganie przepisów:
🔹 Zmiany w nadzorze i organizacji systemu cyberbezpieczeństwa
Nowelizacja nie zakłada przekazania nadzoru Prezesowi UODO. Zgodnie z projektem z 2025 roku:
📌 W skrócie: nowelizacja ustawy o KSC wdraża najważniejsze wymagania dyrektywy NIS2 i reorganizuje krajowy system cyberbezpieczeństwa. Większość podmiotów objętych regulacją po raz pierwszy będzie musiała wdrożyć systemy zarządzania ryzykiem i spełnić szczegółowe wymogi formalne.
Choć dyrektywa NIS2 weszła w życie w Unii Europejskiej w 2023 roku, państwa członkowskie, w tym Polska, zobowiązane były do jej pełnej implementacji do 17 października 2024 r., jednak ten termin nie został dotrzymany. Obecnie trwają prace nad nowelizacją ustawy o krajowym systemie cyberbezpieczeństwa (KSC), której ostateczna wersja ma zostać przyjęta w 2025 roku, a obowiązki mają wejść w życie etapami – począwszy od 2026 r.
Już teraz można wskazać główne obowiązki, które będą dotyczyć podmiotów kluczowych oraz podmiotów ważnych, w tym operatorów usług kluczowych (OUK) i dostawców usług cyfrowych (DUC). Do podstawowych wymagań należą:
Podmioty, które pełnią jednocześnie rolę dostawcy usług cyfrowych i operatora usług kluczowych, będą zobowiązane do stosowania tych samych, najbardziej rygorystycznych obowiązków – zgodnie z wymaganiami dla podmiotów kluczowych.
Warto działać z wyprzedzeniem. Implementacja wymaga czasu i zasobów – zwłaszcza w zakresie analizy ryzyka, przygotowania dokumentacji, szkoleń oraz procedur reagowania na incydenty. Zachęcamy do rozpoczęcia działań przygotowawczych już teraz.
DYREKTYWA PARLAMENTU EUROPEJSKIEGO I RADY (UE) 2022/2555 z dnia 14 grudnia 2022 r. w sprawie środków na rzecz wysokiego wspólnego poziomu cyberbezpieczeństwa na terytorium Unii, zmieniająca rozporządzenie (UE) nr 910/2014 i dyrektywę (UE) 2018/1972 oraz uchylająca dyrektywę (UE) 2016/1148 (dyrektywa NIS 2)
Pełny tekst dyrektywy
Ustawa z dnia 5 lipca 2018 r. o krajowym systemie cyberbezpieczeństwa
https://isap.sejm.gov.pl/isap.nsf/download.xsp/WDU20230000913/U/D20230913Lj.pdf
Jakie sankcje karne grożą podmiotom zobowiązanym do stosowania dyrektywy NIS 2 i przepisów ustawy o KSC, za działanie niezgodne z przepisami?
Zgodnie z projektem nowelizacji ustawy o krajowym systemie cyberbezpieczeństwa (KSC), która wdraża w Polsce postanowienia dyrektywy NIS2, za nieprzestrzeganie nowych przepisów przewidziano wysokie sankcje administracyjne i finansowe – zarówno dla organizacji, jak i osób zarządzających.
Główne kary finansowe
Kary te mogą być nakładane m.in. za:
Dodatkowe konsekwencje dla organizacji
Oprócz sankcji finansowych, podmioty niestosujące się do przepisów mogą ponieść:
Przykłady wdrożeń dla instytucji badawczych i naukowych:
Przykłady wdrożeń dla sektora bankowego:
Przykłady wdrożeń dla sektora technologicznego:
Przykłady wdrożeń dla sektora zdrowotnego:
Przykłady wdrożeń dla sektora edukacji:
Przykłady wdrożeń typu Smart City:
Przykład wdrożeń w zakresie ochrony środowiska:
Prosimy o kontakt z naszymi Doradcami (telefonicznie lub emaliowo) – zapytają oni Państwa o profil działalności i doradzą właściwą ścieżkę postepowania. Nasza usługa zawiera w sobie profesjonalną weryfikację podlegania obowiązkom dyrektywy NIS 2 oraz wprowadzenie obowiązkowych działań.
Czas na przygotowanie odpowiednich dokumentów i przeprowadzenie obowiązkowych działań może się różnić w zależności od wielu czynników, np.:
W ogólnym rozrachunku, przeprowadzenie obowiązkowych działań i przygotowanie wymaganych dokumentów w zakresie cyberbezpieczeństwa może zająć od kilku dni do nawet kilku miesięcy (w przypadku bardzo dużych podmiotów).
Aby ustalić, czy Twoja firma podlega przepisom dyrektywy NIS2 oraz projektowanej nowelizacji ustawy o krajowym systemie cyberbezpieczeństwa (KSC), warto:
✅ Sprawdzić, czy Twoja firma może zostać uznana za podmiot kluczowy lub ważny
Zgodnie z projektem ustawy o KSC, podmiotami objętymi obowiązkami są organizacje działające w sektorach kluczowych i ważnych, takich jak:
Uwaga: Nie istnieje jeden, publiczny wykaz takich firm – klasyfikacja może być dokonana m.in. na podstawie działalności gospodarczej, charakteru usług lub decyzji organu nadzorczego.
✅ Sprawdzić, czy firma świadczy usługi wrażliwe (np. rejestracja nazw domen)
Dyrektywa NIS2 obejmuje również rejestratorów domen oraz podmioty oferujące powszechnie dostępne usługi cyfrowe, jak hosting, chmura czy komunikatory.
✅ Skorzystać z materiałów informacyjnych
Na stronie internetowej NASK oraz Ministerstwa Cyfryzacji znajdziesz praktyczne przewodniki i listy kontrolne dotyczące dyrektywy NIS2 i ustawy o KSC. Warto również śledzić publikacje CSIRT NASK i CSIRT GOV.
Pytania pomocnicze – sprawdź, czy Twoja firma może podlegać ustawie KSC i NIS2:
Jeśli odpowiedź na choćby jedno pytanie brzmi „tak”, warto przyjrzeć się obowiązkom wynikającym z nowelizowanej ustawy o KSC oraz wdrożyć odpowiednie procedury.
Podmioty kluczowe są traktowane priorytetowo – mają pełne obowiązki wynikające z ustawy o KSC i dyrektywy NIS2, w tym wdrożenie kompleksowego systemu zarządzania ryzykiem.
Podmioty ważne mają nieco uproszczone obowiązki (np. w zakresie dokumentacji i audytów), ale wciąż muszą dbać o cyberbezpieczeństwo, raportować incydenty i współpracować z CSIRT.
Co istotne, obie grupy podlegają kontroli i mogą zostać ukarane za niedopełnienie obowiązków.
Tak, jeśli działają w sektorach kluczowych lub ważnych.
Kryterium nie jest wyłącznie wielkość firmy, ale przede wszystkim znaczenie jej usług. Nawet mała firma dostarczająca kluczowe komponenty IT, energię lub infrastrukturę może zostać zakwalifikowana jako podmiot ważny lub kluczowy.
Tak, JST są objęte ustawą jako podmioty publiczne.
W zależności od znaczenia ich działalności, mogą być uznane za podmioty kluczowe lub ważne.
Obowiązki obejmują m.in. analizę ryzyka, zabezpieczenia systemów, szkolenia pracowników i raportowanie incydentów. JST zaliczane do „ważnych” stosują uproszczony system zarządzania bezpieczeństwem informacji.
Dokumentacja powinna być dostosowana do skali i specyfiki działalności organizacji. Kluczowe elementy to:
Audyt bezpieczeństwa informacyjnego to jeden z kluczowych obowiązków, który został nałożony na podmioty kluczowe i ważne w ramach nowelizacji ustawy o krajowym systemie cyberbezpieczeństwa. Jego celem jest sprawdzenie zgodności z wymaganiami ustawy, identyfikacja słabych punktów w systemach informacyjnych oraz ocena skuteczności wdrożonych zabezpieczeń.
Kto może przeprowadzić audyt?
Audyt musi zostać przeprowadzony przez osobę niezależną, czyli taką, która:
W praktyce audyt może być zlecony np. firmie doradczej wyspecjalizowanej w audytach zgodnych z ISO, KSC lub NIS2.
Jak się przygotować do audytu?
Aby audyt przebiegł sprawnie i bez zbędnych ryzyk, warto podjąć kilka działań przygotowawczych:
Certyfikacja ISO nie jest obowiązkowa, ale wdrożenie ISO 27001 (bezpieczeństwo informacji) i ISO 22301 (ciągłość działania) to jeden z najskuteczniejszych sposobów na spełnienie wymagań nowelizowanej ustawy o KSC i dyrektywy NIS2. Daje jasną strukturę działań, zwiększa odporność organizacji i ułatwia przejście audytów nadzorczych. Certyfikaty te są także uznawane przez organy nadzoru jako dowód zgodności.