NIS2 i KSC - pytania i odpowiedzi

NIS2 (dyrektywa UE 2022/2555) to unijna regulacja podnosząca poziom cyberbezpieczeństwa w państwach członkowskich. W Polsce dyrektywa została wdrożona przez nowelizację ustawy o Krajowym Systemie Cyberbezpieczeństwa (KSC), potocznie nazywaną KSC 2.0. Ustawę nowelizującą podpisał Prezydent RP 19 lutego 2026 r., a przepisy weszły w życie 3 kwietnia 2026 r. (Dz.U. 2026 poz. 252).

Źródło: Ministerstwo Cyfryzacji, gov.pl.

Ustawa obejmuje podmioty, które przekraczają progi wielkościowe: powyżej 50 pracowników oraz powyżej 10 mln EUR rocznego obrotu lub sumy bilansowej, i jednocześnie działają w jednym z sektorów wskazanych w załącznikach do ustawy. Część podmiotów, na przykład dostawcy usług zaufania, niektórzy operatorzy telekomunikacyjni oraz administracja publiczna, podlega ustawie niezależnie od wielkości.

Sektory kluczowe to między innymi energetyka, transport, bankowość, infrastruktura rynków finansowych, ochrona zdrowia, woda pitna i ścieki, infrastruktura cyfrowa (chmura, DNS), zarządzanie usługami ICT B2B, administracja publiczna oraz przestrzeń kosmiczna. Sektory ważne obejmują między innymi usługi pocztowe i kurierskie, gospodarkę odpadami, produkcję (chemikalia, żywność, wyroby medyczne, elektronika, pojazdy, maszyny), dostawców usług cyfrowych oraz organizacje badawcze. Różnica praktyczna jest taka, że podmioty kluczowe podlegają nadzorowi proaktywnemu (ex ante), a podmioty ważne nadzorowi reaktywnemu (ex post).

Tak. Zgodnie z załącznikiem nr 1 do ustawy o KSC podmioty publiczne, czyli urzędy gmin powyżej 50 pracowników, starostwa, jednostki samorządu województwa oraz spółki komunalne realizujące zadania publiczne, podlegają rygorom NIS2/KSC na równi z biznesem.

Harmonogram Ministerstwa Cyfryzacji wygląda tak: 13 kwietnia 2026 r. uruchomiono Wykaz KSC. Od 13 kwietnia do 6 maja 2026 r. trwały wpisy z urzędu, obejmujące między innymi dotychczasowych operatorów usług kluczowych, dostawców usług zaufania, przedsiębiorców telekomunikacyjnych i podmioty publiczne. Od 7 maja 2026 r. ruszyła samorejestracja pozostałych podmiotów, z ostatecznym terminem do 3 października 2026 r., czyli 6 miesięcy od wejścia w życie ustawy.

Źródło: Ministerstwo Cyfryzacji, gov.pl, komunikat o najważniejszych terminach nowelizacji KSC.

Dla podmiotów, które spełnią kryteria kwalifikacji dopiero po wejściu ustawy w życie, te same terminy (6, 12 i 24 miesiące) liczy się od dnia spełnienia przesłanek, a nie od 3 kwietnia 2026 r.

Termin na pełne wdrożenie obowiązków, czyli systemu zarządzania bezpieczeństwem informacji, analizy ryzyka (w tym ryzyka łańcucha dostaw), środków technicznych i organizacyjnych oraz przeszkolenia personelu, upływa 3 kwietnia 2027 r., czyli 12 miesięcy od wejścia ustawy w życie.

Dla podmiotów kluczowych pierwszy obowiązkowy audyt cyberbezpieczeństwa przypada na 3 kwietnia 2028 r., czyli 24 miesiące od wejścia ustawy w życie. Kolejne audyty przeprowadza się nie rzadziej niż raz na 3 lata.

Tak, ustawa przewiduje okres przejściowy. Dla większości obowiązków kary administracyjne będą mogły być nakładane dopiero po upływie dwóch lat od wejścia ustawy w życie, czyli po 3 kwietnia 2028 r. Warto jednak pamiętać, że sam brak wpisu do wykazu w terminie jest traktowany jako odrębne naruszenie ustawy, więc nie warto zakładać, że przekroczenie terminu 3 października 2026 r. pozostanie bez konsekwencji.

Dla podmiotów kluczowych: kara do 10 mln EUR lub 2% rocznego światowego obrotu grupy kapitałowej, w zależności od tego, która wartość jest wyższa. Dla podmiotów ważnych: do 7 mln EUR lub 1,4% rocznego światowego obrotu. Polski ustawodawca przewidział dodatkowo tak zwaną superkarę do 100 mln zł za naruszenia zagrażające życiu, zdrowiu lub bezpieczeństwu państwa, a także sankcje pozafinansowe: nakaz wstrzymania działalności, czasowe zawieszenie usług lub obowiązek publicznego ujawnienia incydentu.

Źródło: Dyrektywa NIS2 (UE) 2022/2555, art. 34.

Tak, to jedna z najważniejszych zmian wprowadzanych przez NIS2. Zgodnie z art. 20 dyrektywy i odpowiadającymi mu przepisami ustawy o KSC, odpowiedzialność za nadzór nad cyberbezpieczeństwem spoczywa bezpośrednio na członkach organu zarządzającego i nie może zostać w pełni scedowana na CIO czy zewnętrznego dostawcę. Sankcje osobiste mogą sięgać od 300 do 600% miesięcznego wynagrodzenia członka zarządu, a w podmiotach kluczowych możliwy jest czasowy zakaz pełnienia funkcji kierowniczych.

Trzy filary. Pierwszy to formalne, udokumentowane i opatrzone datą zatwierdzanie polityk zarządzania ryzykiem oraz budżetu na środki ochrony. Drugi to aktywny i udokumentowany nadzór, czyli regularne raportowanie wewnętrzne o postępach w usuwaniu podatności, wynikach testów ciągłości działania i czasach reakcji na incydenty. Trzeci to obowiązkowy udział członków zarządu w szkoleniach z cyberbezpieczeństwa, pozwalających świadomie oceniać ryzyka i rekomendacje zespołów technicznych. Brak udokumentowanego szkolenia stanowi samodzielną podstawę do nałożenia kary.

Tak, pośrednio. Podmioty kluczowe i ważne mają obowiązek nadzorować bezpieczeństwo w swoim łańcuchu dostaw, zgodnie z art. 21 NIS2, co w praktyce oznacza, że wymagają od swoich dostawców, nawet mniejszych i formalnie niepodlegających ustawie, spełnienia określonych standardów bezpieczeństwa jako warunku kontynuacji współpracy.

Częściowo. Norma ISO/IEC 27001, jako system zarządzania bezpieczeństwem informacji (ISMS), pokrywa szacunkowo 70-80% wymagań wynikających z NIS2. NIS2/KSC dokłada jednak twarde, dodatkowe reguły, których sama norma nie narzuca wprost, między innymi sztywne terminy zgłaszania incydentów (24h, 72h, 1 miesiąc) oraz opisaną wyżej osobistą odpowiedzialność zarządu.

Rozporządzenie DORA jest regulacją sektorową dla rynku finansowego i idzie dalej niż ogólne wymogi NIS2, między innymi w zakresie testów odporności operacyjnej (TLPT, testy penetracyjne) oraz obowiązkowych strategii wyjścia od dostawców chmurowych. Dla dostawców ICT wspierających instytucje finansowe oznacza to dodatkowy, bardziej rygorystyczny zestaw wymagań ponad standardowy zakres NIS2.

Tak. Ustawa wymaga wyznaczenia co najmniej dwóch osób odpowiedzialnych za utrzymywanie kontaktów z Krajowym Systemem Cyberbezpieczeństwa, w tym realizację zgłoszeń w Systemie S46. Za prawidłowe wyznaczenie tych osób odpowiada kierownik podmiotu kluczowego lub ważnego.

Ustawa o KSC wyznacza trzy sztywne terminy liczone od wykrycia incydentu poważnego: wczesne ostrzeżenie, niezwłocznie i nie później niż w ciągu 24 godzin; zgłoszenie incydentu poważnego, niezwłocznie i nie później niż w ciągu 72 godzin; sprawozdanie końcowe, nie później niż w ciągu 1 miesiąca od dnia zgłoszenia. Te same progi wynikają z dyrektywy NIS2, art. 23.

Źródło: ustawa o KSC, art. 11.

System S46, nazywany też S46 Cyber Hub, to oficjalna, elektroniczna platforma Ministerstwa Cyfryzacji, przez którą podmioty kluczowe i ważne składają wnioski o wpis do Wykazu KSC, zgłaszają incydenty oraz komunikują się z właściwym CSIRT i organami nadzoru. Nazwa pochodzi od art. 46 ustawy o KSC, który reguluje ten system teleinformatyczny. Dla nowych podmiotów S46 zostało uruchomione 12 czerwca 2026 r., pod adresem wykaz-ksc.gov.pl.

Sprawozdanie końcowe, przekazywane do CSIRT nie później niż miesiąc od zgłoszenia, powinno szczegółowo opisywać przebieg zdarzenia, wywołane zakłócenia i szkody, prawdopodobne źródło incydentu, zastosowane środki ograniczające ryzyko oraz ewentualne skutki transgraniczne.

Docelowym odbiorcą jest właściwy CSIRT sektorowy. Do czasu, aż dany zespół sektorowy osiągnie pełną zdolność operacyjną, incydenty zgłasza się do CSIRT poziomu krajowego: CSIRT NASK, CSIRT GOV lub CSIRT MON, w zależności od charakteru podmiotu.

Jeśli incydent poważny ma niekorzystny wpływ na usługi świadczone przez podmiot, ma on obowiązek poinformować o tym swoich użytkowników. W przypadku poważnego cyberzagrożenia, czyli jeszcze nie incydentu, obowiązkiem jest przekazanie informacji o możliwych środkach zapobiegawczych, chyba że ujawnienie takiej informacji mogłoby samo w sobie zwiększyć ryzyko dla bezpieczeństwa systemów.

Tak. Od wersji 7.0 system działa w modelu dwukierunkowym: oprócz zgłaszania incydentów podmioty mogą za jego pośrednictwem odbierać ostrzeżenia i rekomendacje od CSIRT oraz wymieniać się informacjami o podatnościach ze współpracującymi dostawcami sprzętu i oprogramowania.

Tak. NIS2 nakłada na wszystkie podmioty KSC obowiązek zapewnienia użytkownikom możliwości zgłaszania podatności, cyberzagrożeń i incydentów związanych ze świadczoną usługą, a informacje o podatnościach powinny być wymieniane z CSIRT i dostawcami technologii, również przez System S46.

Wszystkie dane są utrzymywane na serwerach znajdujących się w Polsce.

Tak. Dane z platformy, w tym rejestry ryzyk, dowody, dokumentacja i historia zadań, można wyeksportować w otwartym formacie, bez uzależniania organizacji od zamkniętego środowiska dostawcy.

Tak. Moduł incydentów rejestruje zdarzenie, prowadzi je przez pełny cykl obsługi i automatycznie wiąże je z powiązanymi procesami, zasobami i ryzykami, których dotyczy.

Tak. Platforma zapewnia pełną obsługę cyklu zgłoszeniowego wymaganego przez ustawę o KSC. Obsługa incydentu odbywa się w platformie, natomiast samo zgłosznie należy wykonać w systemie S46 używając paczki wygenerowanej w platformie Certivo.

• Zgłoszenie wstępne (wczesne ostrzeżenie, do 24h): system pilnuje terminu i pomaga skompletować minimalny zakres informacji wymagany na tym etapie.
• Zgłoszenie pełne (do 72h): rozszerzenie zgłoszenia o szczegóły incydentu w miarę postępu analizy.
• Sprawozdanie końcowe (do 1 miesiąca): pełny raport z przebiegu, przyczyn i zastosowanych środków naprawczych.
• Dowody: wszystkie dokumenty i logi powiązane ze zgłoszeniem są gromadzone w jednym miejscu i zabezpieczone kryptograficznie.
• Ślady audytowe: pełna historia zmian, decyzji i akceptacji związanych z incydentem, gotowa do okazania audytorowi lub organowi nadzoru.
• Wpływ na procesy, usługi i ryzyka: dzięki relacyjnemu modelowi danych każdy incydent automatycznie pokazuje, na które usługi, procesy i pozycje w rejestrze ryzyka wywiera wpływ.

Certivo automatyzuje między innymi: analizę luk (GAP Analysis) i przekładanie ich na zadania z właścicielem i terminem, cykliczne przeglądy dokumentacji i polityk, ankiety bezpieczeństwa i ocenę ryzyka dostawców, testy planów ciągłości działania (BCP) wraz z zadaniami naprawczymi po nieudanym teście, oraz przeliczanie scoringu ryzyka rezydualnego na bieżąco, w reakcji na nowe incydenty, wyniki testów czy zmiany statusu dostawców.

Tak. Platforma działa w modelu wieloframeworkowym i pozwala prowadzić w jednym środowisku audyty i zgodność dla NIS2/KSC, ISO/IEC 27001, DORA, KRI, NIST oraz frameworków własnych organizacji. Jeden dowód, na przykład log z przeglądu firewalla, automatycznie podnosi punktację zgodności we wszystkich nakładających się regulacjach jednocześnie.

Dokumenty, polityki, logi decyzyjne i wyniki testów są chronione funkcją skrótu kryptograficznego SHA-256. Dzięki temu każda, nawet minimalna zmiana pliku generuje inny hash, a audytor może samodzielnie zweryfikować integralność dowodu, porównując sumy kontrolne.

Tak. System automatycznie sprawdza dostawców ICT na listach sankcyjnych MSWiA oraz weryfikuje rachunki w Wykazie Podatników Ministerstwa Finansów, tak zwanej Białej Liście, ograniczając ryzyko współpracy z podmiotami niezweryfikowanymi.

Obie ścieżki są wspierane w jednym środowisku. Certivo oferuje osobne perspektywy dla biznesu, jednostek samorządu terytorialnego oraz dostawców ICT, z dopasowanym zakresem pytań audytowych i terminologią.

Autorska metodyka CN2ME (Certivo NIS2 Methodology Engine) prowadzi organizację od luki do gotowości dowodowej w modelowym scenariuszu w około 30 dni, od uruchomienia SZBI Start po pierwszy komplet zadań naprawczych z przypisanymi właścicielami.

Tak, 14 dni bezpłatnego testu, bez podawania danych karty płatniczej.

Nie musi to być duży zespół. Kreator profilu organizacji automatycznie identyfikuje zakres obowiązków prawnych i dobiera odpowiednie pytania audytowe, a SZBI Start generuje gotowy zestaw ról, procedur i rejestrów dostosowany do sektora, co ogranicza potrzebę budowania systemu zarządzania bezpieczeństwem informacji od zera.

Nie w warstwie decyzyjnej. Moduły Certivo nie wykorzystują AI do wykonywania pracy projektowej ani do podejmowania decyzji za użytkownika, metodyka została zaprojektowana przez audytora, a wszystkie akceptacje i decyzje należą do organizacji. Platforma dodatkowo wspiera ocenę gotowości pod kątem AI Act (AI Act Readiness), pomagając identyfikować i klasyfikować ryzyko procesów wykorzystujących systemy AI.

Zamiast ręcznie zbierać dane z Excela, maili i osobnych narzędzi, CISO otrzymuje gotowy pulpit decyzyjny pokazujący status gotowości NIS2/SZBI w języku zrozumiałym dla zarządu: braki, zaległości, ryzyka powyżej ustalonego apetytu na ryzyko, dostawców wymagających oceny, dokumenty do przeglądu i dowody potrzebne na wypadek audytu lub kontroli.

Terminy zadań, przeglądy dokumentów, testy BCP, przeglądy ryzyk i oceny dostawców wracają cyklicznie i automatycznie generują przypomnienia. Wykryta luka w analizie GAP automatycznie staje się zadaniem naprawczym w planie działań, z przypisanym właścicielem, priorytetem, instrukcją wykonania i terminem.

Rejestr ryzyk obejmuje zarówno ryzyko inherentne, czyli przed zastosowaniem zabezpieczeń, jak i rezydualne, czyli po ich zastosowaniu, z właścicielami, poziomem akceptowalnego ryzyka, planem postępowania i wymaganymi dowodami kontroli. Scoring nie jest statyczny, reaguje automatycznie na sygnały z modułu incydentów, statusów dostawców i wyników testów ciągłości działania.

Dla każdego kontrahenta prowadzony jest rejestr wraz z ankietą bezpieczeństwa dopasowaną do rodzaju świadczonej usługi. Wynik ankiety zasila automatyczne wyliczenie ryzyka, a użytkownik systemu może kontrahenta odrzucić, zaakceptować warunkowo z uzasadnieniem lub zaakceptować w pełni. Każda z tych czynności zostawia ślad audytowy.

BCM, czyli zarządzanie ciągłością działania, to szerszy, ciągły proces zarządzania planami, testami i wynikami na poziomie całej organizacji. BCP, czyli plan ciągłości działania, to konkretny, spisany dokument dla danego procesu lub usługi, opisujący sposób postępowania w razie zakłócenia. W Certivo BCM to moduł zarządzający wieloma planami BCP jednocześnie. Jeśli test odtworzenia, na przykład backupu, zakończy się niepowodzeniem, system automatycznie generuje zadanie naprawcze i podnosi ekspozycję ryzyka rezydualnego powiązanego procesu.

Dzięki relacyjnemu modelowi danych (usługa, proces, zasób, dostawca, ryzyko) zarejestrowanie incydentu automatycznie pokazuje jego wpływ na powiązane procesy i usługi krytyczne, podnosi scoring odpowiednich pozycji w rejestrze ryzyka i tworzy zadania naprawcze tam, gdzie są potrzebne, bez ręcznego mapowania zależności przy każdym zdarzeniu.

Każdy proces, ryzyko i zadanie ma przypisanego właściciela, a w bardziej złożonych strukturach pełny podział ról RACI: odpowiedzialny, wykonawca, konsultowany i informowany. Ułatwia to delegowanie pracy do IT, compliance i poszczególnych działów bez utraty przejrzystości dla zarządu.

System agreguje dowody, decyzje, testy i logi bezpośrednio powiązane z konkretnymi punktami kontrolnymi danego frameworku, na przykład NIS2 czy ISO 27001. Zamiast szukać plików w mailach i na dyskach sieciowych tuż przed kontrolą, zespół ma stały, aktualny na bieżąco obraz gotowości dowodowej.

Dla JST i podmiotów publicznych platforma pomaga wygenerować gotowe wymagania cyberbezpieczeństwa do Specyfikacji Warunków Zamówienia (SWZ) oraz ocenić dostawców zewnętrznych już na etapie postępowania zakupowego.

Punktem wyjścia jest krótka, internetowa weryfikacja profilu organizacji, obejmująca sektor, wielkość i rolę w łańcuchu dostaw, po której następuje krótka rozmowa diagnostyczna z ekspertem do spraw wdrożeń SZBI/NIS2, ustalająca potencjalny zakres obowiązków i największe braki dowodowe.