ISO 27001 a NIS2 i ustawa o KSC: czy certyfikat wystarczy do zgodności

Czy certyfikat ISO 27001 wystarczy do zgodności z NIS2?

Nie. Ani dyrektywa NIS2, ani ustawa o krajowym systemie cyberbezpieczeństwa (KSC), która przenosi ją do polskiego prawa, nie wymagają certyfikatu ISO/IEC 27001 i nie zwalniają z obowiązków firm, które go mają. Dyrektywa każe jednak przy doborze środków bezpieczeństwa uwzględniać, w stosownych przypadkach, odpowiednie normy europejskie i międzynarodowe (art. 21 ust. 1). Dla każdej z dziesięciu grup środków z art. 21 ust. 2 norma ISO/IEC 27001:2022 ma wymagania albo zabezpieczenia dotyczące tego samego obszaru, choć nie zawsze w tym samym zakresie, więc firma z działającym systemem bezpieczeństwa informacji uzupełnia luki zamiast budować wszystko od początku.

Różnica bierze się z natury obu dokumentów. ISO 27001 to dobrowolna norma: firma sama wyznacza zakres systemu, a jednostka certyfikująca sprawdza go według wymagań normy. Ustawa o KSC to obowiązek prawny: zakres wynika z usług, które świadczy podmiot kluczowy albo ważny, a zgodność sprawdza organ właściwy do spraw cyberbezpieczeństwa, w podmiotach kluczowych także audyt wymagany ustawą.

Norma dobrowolna a obowiązek ustawowy

Mapa: art. 21 ust. 2 NIS2 a ISO/IEC 27001:2022

Art. 21 ust. 2 dyrektywy NIS2 wymienia dziesięć grup środków zarządzania ryzykiem, oznaczonych literami a-j, które mają obejmować co najmniej podmioty kluczowe i ważne. Tabela wskazuje rozdziały ISO/IEC 27001:2022 i zabezpieczenia z jej załącznika A, które dotyczą tego samego obszaru. Numeracja zabezpieczeń załącznika A odpowiada normie ISO/IEC 27002:2022, z którą ISO/IEC 27001:2022 została uzgodniona.

Mapa pokazuje, gdzie w systemie szukać dowodów, ale nie zastępuje analizy luk: to samo zabezpieczenie może być w firmie wdrożone w zakresie węższym, niż wymaga ustawa.

Gdzie norma i dyrektywa mówią o tym samym

Przy literach b, c, h oraz i tytuły zabezpieczeń z załącznika A wprost nazywają obszar z dyrektywy: obsługę incydentów, kopie zapasowe, kryptografię, kontrolę dostępu i zasoby ludzkie. Lit. a i f odpowiadają wymaganiom z treści normy, czyli szacowaniu ryzyka w rozdziale 6 i ocenie efektów w rozdziale 9. Tu analiza luk sprawdza przede wszystkim zakres stosowania i to, czy zapisy obejmują systemy wykorzystywane do świadczenia usługi.

Gdzie przepisy wymagają więcej

W ISO 27001 organizacja sama decyduje w deklaracji stosowania, które zabezpieczenia z załącznika A są jej potrzebne, i uzasadnia wyłączenia. Art. 21 ust. 2 wymienia natomiast środki, które mają być objęte co najmniej, więc wyłączenie zabezpieczenia odpowiadającego którejś literze trzeba przy NIS2 przemyśleć na nowo.

Przy łańcuchu dostaw (lit. d) art. 21 ust. 3 dyrektywy każe uwzględniać podatności charakterystyczne dla każdego bezpośredniego dostawcy i usługodawcy oraz ogólną jakość ich produktów i praktyk cyberbezpieczeństwa, w tym procedury bezpiecznego opracowywania. Przy lit. j dyrektywa wymienia zabezpieczone połączenia głosowe, tekstowe i wideo oraz zabezpieczone systemy łączności w sytuacjach nadzwyczajnych, a żaden tytuł zabezpieczenia z załącznika A nie nazywa tego wprost: A.5.14 dotyczy przekazywania informacji ogólnie, a A.8.5 uwierzytelniania. Dostawców usług DNS, usług chmurowych, ośrodków przetwarzania danych, usług zarządzanych i innych dostawców cyfrowych wymienionych w art. 21 ust. 5 dyrektywy obowiązują ponadto szczegółowe wymogi techniczne z rozporządzenia wykonawczego Komisji (UE) 2024/2690.

Czego ISO 27001 nie obejmuje?

Poza zakresem normy zostają obowiązki, które wynikają z samej ustawy, a nie z zarządzania ryzykiem: terminy zgłaszania incydentów, osobista odpowiedzialność kierownika podmiotu, formalności wobec organów i objęcie środkami systemów, od których zależy usługa.

Zgłaszanie incydentów i terminy

ISO 27001 wymaga planowania i obsługi incydentów, ale nie mówi, komu i w jakim czasie trzeba je zgłosić. Ustawa o KSC (art. 11 ust. 1) wymaga od podmiotu kluczowego i ważnego wczesnego ostrzeżenia o incydencie poważnym niezwłocznie, nie później niż w ciągu 24 godzin od jego wykrycia, zgłoszenia incydentu w ciągu 72 godzin i sprawozdania końcowego nie później niż w ciągu miesiąca od zgłoszenia. Zgłoszenia trafiają do właściwego CSIRT sektorowego. Tak polskie przepisy przenoszą art. 23 ust. 4 dyrektywy. Szerzej o zakresie NIS2 pisze przewodnik o tym, kogo dotyczy NIS2 i wymagania art. 21.

Odpowiedzialność i szkolenie kierownictwa

Art. 20 dyrektywy nakłada na organy zarządzające obowiązek zatwierdzania środków bezpieczeństwa, nadzoru nad ich wdrażaniem i regularnych szkoleń. Ustawa o KSC przenosi to do art. 8c-8e: kierownik podmiotu odpowiada za wykonywanie obowiązków z zakresu cyberbezpieczeństwa także wtedy, gdy powierzył je innej osobie, podejmuje decyzje dotyczące systemu zarządzania bezpieczeństwem informacji, planuje środki finansowe na cyberbezpieczeństwo i raz w roku kalendarzowym przechodzi udokumentowane szkolenie. ISO 27001 wymaga przywództwa i zaangażowania najwyższego kierownictwa (rozdział 5), ale nie przewiduje kar dla kierownika ani obowiązkowych corocznych szkoleń.

Wpis do wykazu i nadzór organów

Podmiot kluczowy lub ważny składa wniosek o wpis do wykazu podmiotów kluczowych i ważnych w ciągu 6 miesięcy od spełnienia przesłanek (art. 7c ustawy). Podmioty, które spełniały przesłanki w dniu wejścia w życie nowelizacji, składają wnioski według harmonogramu ogłoszonego komunikatem ministra właściwego do spraw informatyzacji (art. 33 ust. 3 i art. 34 ust. 3 ustawy nowelizującej). Certyfikat ISO 27001 nie zastępuje wniosku ani nie zwalnia z nadzoru organu właściwego.

Zakres ISMS a wszystkie systemy usługi

Certyfikat ISO 27001 bywa wydany dla wąskiego zakresu, na przykład tylko dla działu IT albo jednej lokalizacji. Dyrektywa obejmuje sieci i systemy informatyczne wykorzystywane do prowadzenia działalności lub świadczenia usług (art. 21 ust. 1), a audyt z ustawy o KSC dotyczy systemu informacyjnego wykorzystywanego w procesie świadczenia usługi (art. 15 ust. 1). Zakres systemu trzeba więc porównać z zakresem ustawy, zanim uzna się jakiekolwiek wymaganie za spełnione.

Terminy, które wyznaczają kolejność prac

Ustawę z 23 stycznia 2026 r. o zmianie ustawy o krajowym systemie cyberbezpieczeństwa ogłoszono w Dzienniku Ustaw 2 marca 2026 r. (poz. 252). Weszła w życie po upływie miesiąca od ogłoszenia, czyli 3 kwietnia 2026 r. Od tego dnia biegną terminy z przepisów przejściowych: 12 miesięcy na realizację obowiązków z rozdziału 3 ustawy, w tym systemu zarządzania bezpieczeństwem informacji, i 24 miesiące na pierwszy audyt podmiotów kluczowych. Firma z certyfikatem ISO 27001 ma przewagę czasu, ale tylko wtedy, gdy analizę luk zrobi przed pierwszym z tych terminów, a nie przed audytem.

Masz ISO 27001: pięć kroków do zgodności z KSC

1. Porównaj zakres. Zestaw zakres certyfikatu z usługami i systemami objętymi ustawą.
2. Zrób analizę luk. Przejdź mapę art. 21 ust. 2, sprawdź wyłączenia w deklaracji stosowania i dopisz wymagania z art. 21 ust. 3 dotyczące dostawców.
3. Uzupełnij obsługę incydentów. Dopisz wczesne ostrzeżenie w 24 godziny, zgłoszenie w 72 godziny i sprawozdanie końcowe w miesiąc do właściwego CSIRT sektorowego, a potem przećwicz tę ścieżkę.
4. Zaangażuj kierownictwo. Udokumentuj decyzje kierownika podmiotu dotyczące systemu (art. 8d) i zaplanuj jego coroczne szkolenie (art. 8e).
5. Przygotuj dowody dla organu. Zbierz w jednym miejscu dokumentację systemu zarządzania bezpieczeństwem informacji, deklarację stosowania z planem postępowania z ryzykiem, potwierdzenia udziału kierownika w szkoleniu (art. 8e ust. 3) oraz rejestr incydentów i zgłoszeń. Podmiot kluczowy przekazuje kopię raportu z audytu organowi właściwemu w ciągu 3 dni roboczych od jej otrzymania (art. 15 ust. 1a).

Analizę luk i wdrożenie brakujących elementów obejmuje audyt i wdrożenie NIS2.

Nie masz ISO 27001: czy certyfikować się przy okazji NIS2?

Ustawa nie wymaga certyfikatu, więc decyzja zależy od tego, czego oczekują klienci. Wdrożenie środków z ustawy według struktury ISO 27001 ma jednak sens także bez certyfikacji: norma daje gotowy układ szacowania ryzyka, deklaracji stosowania i audytów wewnętrznych, a certyfikat można dołożyć później, gdy zapyta o niego odbiorca. Zakres takiego projektu opisuje strona wdrożenie ISO 27001.

TISAX, ISO 42001 i DORA w skrócie

TISAX to ocena bezpieczeństwa informacji stosowana w branży motoryzacyjnej i prowadzona według katalogu VDA ISA; jej zakres i poziom wynikają z wymagań klienta. Różnice opisuje sekcja TISAX a ISO 27001.

ISO/IEC 42001 to norma systemu zarządzania sztuczną inteligencją. NIS2 jej nie wymaga, ale firmy rozwijające albo stosujące systemy AI mogą prowadzić ją razem z ISO 27001 w jednym systemie zarządzania; zob. wdrożenie ISO 42001.

DORA, czyli rozporządzenie (UE) 2022/2554, reguluje operacyjną odporność cyfrową sektora finansowego. Dyrektywa NIS2 traktuje je jako sektorowy akt prawny: do podmiotów finansowych objętych DORA zamiast przepisów NIS2 stosuje się przepisy DORA o zarządzaniu ryzykiem ICT i zgłaszaniu poważnych incydentów (art. 4 i motyw 28 dyrektywy). Ustawa o KSC zawiera osobne przepisy dla podmiotów finansowych.

Najczęstsze pytania

Czy NIS2 wymaga certyfikatu ISO 27001?

Nie. Ani dyrektywa NIS2, ani ustawa o KSC nie nakazują certyfikacji ISO 27001. Wymagają wdrożenia środków zarządzania ryzykiem, które norma w dużej części opisuje. Art. 24 dyrektywy pozwala państwom członkowskim wymagać produktów, usług i procesów ICT certyfikowanych w europejskich programach certyfikacji cyberbezpieczeństwa, ale to inny mechanizm niż certyfikacja systemu według ISO 27001.

Czy certyfikat ISO 27001 zwalnia z audytu wynikającego z ustawy o KSC?

Nie. Podmiot kluczowy przeprowadza na własny koszt audyt bezpieczeństwa systemu informacyjnego wykorzystywanego do świadczenia usługi co najmniej raz na 3 lata (art. 15 ust. 1 ustawy o KSC), niezależnie od certyfikacji. Audytu nie może prowadzić osoba, która realizuje w audytowanym podmiocie zadania z art. 8 lub art. 9-13 ustawy albo realizowała je w ciągu roku przed audytem (art. 15 ust. 2a). Wyniki audytów ISO 27001 są natomiast przydatnym materiałem wejściowym do audytu ustawowego.

Czy wystarczy ISMS obejmujący tylko dział IT?

Tylko wtedy, gdy usługa nie zależy od systemów spoza tego działu. Ustawa obejmuje system informacyjny wykorzystywany w procesie świadczenia usługi, a dyrektywa sieci i systemy wykorzystywane do prowadzenia działalności lub świadczenia usług. Jeżeli usługa zależy od systemów spoza działu IT, zakres systemu trzeba rozszerzyć albo uzupełnić środkami poza nim.

Kogo dotyczy obowiązek wpisu do wykazu?

Podmiotów kluczowych i ważnych w rozumieniu ustawy o KSC (art. 7c), niezależnie od tego, czy mają certyfikat ISO 27001. Kryteria zakwalifikowania opisuje przewodnik po NIS2.

Historia zmian

• 11 listopada 2026 r. - pierwsza wersja tekstu, stan prawny na ten dzień.

Źródła

Wszystkie źródła odczytano 11 listopada 2026 r.

• Dyrektywa (UE) 2022/2555 (NIS2) - EUR-Lex: art. 4, 20, 21, 23 i 24 oraz motyw 28
• Ustawa z dnia 23 stycznia 2026 r. o zmianie ustawy o krajowym systemie cyberbezpieczeństwa oraz niektórych innych ustaw (Dz.U. 2026 poz. 252) - ISAP: art. 7c, 8c-8e, 11, 15, 73, 73a ustawy o KSC oraz art. 33-35 i 49 ustawy nowelizującej
• Rozporządzenie wykonawcze Komisji (UE) 2024/2690 - EUR-Lex
• Rozporządzenie (UE) 2022/2554 (DORA) - EUR-Lex
• ISO/IEC 27001:2022 Information security, cybersecurity and privacy protection - Information security management systems - Requirements - podgląd wydawcy: spis treści i przedmowa wydania trzeciego (2022-10)
• ISO/IEC 27002:2022 - podgląd wydawcy ze spisem zabezpieczeń 5.1-8.34