Od 3 kwietnia 2026 r. obowiązuje nowelizacja ustawy o Krajowym Systemie Cyberbezpieczeństwa (KSC), która wdraża unijną dyrektywę NIS2. To nie kosmetyczna zmiana — krąg firm objętych przepisami rośnie z ok. 400 do około 42 000 podmiotów w 18 sektorach. Jeśli prowadzisz firmę technologiczną, jest spora szansa, że przepisy dotyczą właśnie Ciebie, nawet jeśli nigdy wcześniej nie miałeś do czynienia z ustawą o KSC.
Najważniejszy termin: 3 października 2026
Podmioty, które już w dniu wejścia w życie ustawy spełniają kryteria uznania za podmiot kluczowy lub ważny, mają 6 miesięcy na złożenie wniosku o wpis do odpowiedniego wykazu — czyli czas mija 3 października 2026 r. Kolejny etap to wdrożenie wymaganych środków technicznych i organizacyjnych — na to ustawa daje 12 miesięcy od wejścia w życie, czyli do 3 kwietnia 2027 r.
Czy to dotyczy Twojej firmy
Ustawa rozróżnia dwie kategorie: podmioty kluczowe i podmioty ważne, w zależności od sektora działalności i wielkości przedsiębiorstwa (m.in. liczby zatrudnionych i obrotu). Objęte regulacją są m.in. firmy z sektora infrastruktury cyfrowej, dostawcy usług chmurowych, dostawcy usług zarządzanych IT (MSP/MSSP), a także wiele firm z sektorów pozornie niezwiązanych z IT, jeśli przekraczają progi wielkości przedsiębiorstwa. Samo bycie „firmą IT” nie przesądza automatycznie o objęciu ustawą, ale znacząco zwiększa prawdopodobieństwo.
Czym polska ustawa różni się od samej dyrektywy
To ważne: znajomość unijnej dyrektywy NIS2 nie wystarczy. Polska implementacja zawiera dodatkowe wymogi, których nie znajdziesz wprost w tekście dyrektywy, m.in.:
- formalny rejestr podmiotów, z wnioskiem składanym pod rygorem odpowiedzialności karnej za podanie nieprawdziwych danych,
- obowiązkowe coroczne szkolenia kierownictwa z dokumentowaniem ich przeprowadzenia,
- weryfikację niekaralności kluczowych pracowników w Krajowym Rejestrze Karnym,
- mechanizm uznawania dostawcy za „dostawcę wysokiego ryzyka”.
Odpowiedzialność zarządu — osobiście
To jedna z najbardziej dotkliwych zmian względem poprzedniego reżimu: kary za naruszenia sięgają do 10 mln euro lub 2% globalnego obrotu, a członkowie zarządu mogą odpowiadać osobiście, do wysokości 300% swojego wynagrodzenia. Cyberbezpieczeństwo przestaje być wyłącznie sprawą działu IT — staje się elementem nadzoru zarządczego, za który zarząd odpowiada wprost.
Co zrobić w pierwszej kolejności
- Ustal, czy Twoja firma w ogóle podlega ustawie — sprawdzenie sektora działalności (kody PKD) i progów wielkości przedsiębiorstwa.
- Jeśli tak — przygotuj się do złożenia wniosku o wpis do wykazu przed terminem 3 października 2026 r.
- Rozpocznij audyt luk (gap assessment) względem wymaganych środków technicznych i organizacyjnych — 12-miesięczny termin na wdrożenie mija szybciej, niż się wydaje.
- Zaplanuj budżet i dokumentację — część wymogów (szkolenia kierownictwa, procedury, rejestry) to obowiązki formalne, niezależne od wielkości budżetu na IT.