Nowelizacja ustawy o KSC: NIS2 w Polsce, terminy i obowiązki

Ostatnia aktualizacja: 11 listopada 2026 r.

Data publikacji: 11 listopada 2026 r.

Opracował: Ireneusz Kozera, audytor wiodący ISO.

Stan prawny na: 11 listopada 2026 r. Tekst ma charakter informacyjny i nie stanowi porady prawnej.

Od kiedy obowiązują w Polsce przepisy wdrażające NIS2?

Przepisy wdrażające NIS2 obowiązują w Polsce od 3 kwietnia 2026 r. Tego dnia weszła w życie ustawa z 23 stycznia 2026 r. o zmianie ustawy o krajowym systemie cyberbezpieczeństwa oraz niektórych innych ustaw (Dz.U. z 2026 r. poz. 252), ogłoszona 2 marca 2026 r. Samorejestracja w wykazie podmiotów kluczowych i ważnych trwała do 3 października 2026 r. Obowiązki z rozdziału 3 ustawy, w tym wdrożenie systemu zarządzania bezpieczeństwem informacji (SZBI), podmioty objęte ustawą od dnia jej wejścia w życie muszą realizować do 3 kwietnia 2027 r.

Ustawa o krajowym systemie cyberbezpieczeństwa (KSC) to polska ustawa, a NIS2 to unijna dyrektywa (UE) 2022/2555, którą ta ustawa wdraża. Dyrektywa nie nakłada obowiązków bezpośrednio na firmy: wiążące są terminy i definicje z ustawy. Ostatni tekst jednolity ustawy o KSC (Dz.U. z 2026 r. poz. 20) ogłoszono przed nowelizacją, a później ustawę zmieniały jeszcze ustawy ogłoszone w Dz.U. z 2026 r. poz. 815, 1003 i 1206. Przepisy cytowane w tym tekście podajemy w brzmieniu nadanym nowelizacją z 23 stycznia 2026 r. Czym jest sama dyrektywa i kogo obejmuje, opisuje przewodnik o tym, kogo dotyczy NIS2 i wymagania art. 21.

Terminy po nowelizacji KSC

Terminy wdrożenia NIS2 w Polsce według znowelizowanej ustawy o KSC
Data	Co się dzieje	Podstawa
2.03.2026	ogłoszenie nowelizacji w Dzienniku Ustaw	Dz.U. z 2026 r. poz. 252
3.04.2026	wejście w życie nowelizacji, po upływie miesiąca od ogłoszenia	art. 49 ustawy nowelizującej
3.10.2026	koniec samorejestracji w wykazie dla podmiotów, których nie wpisano z urzędu (termin minął)	art. 33 ust. 3 i art. 34 ust. 3 ustawy nowelizującej, harmonogram Ministra Cyfryzacji
3.04.2027	realizacja obowiązków z rozdziału 3 ustawy o KSC, w tym wdrożenie SZBI	art. 33 ust. 1 ustawy nowelizującej
3.04.2028	pierwszy audyt bezpieczeństwa podmiotów kluczowych	art. 33 ust. 2 ustawy nowelizującej
po 2 latach od wejścia w życie	możliwość nałożenia po raz pierwszy kar z art. 73 ust. 1-4, art. 73a-73c i art. 76b ustawy o KSC	art. 35 ustawy nowelizującej

Firma, która zacznie spełniać przesłanki podmiotu kluczowego albo ważnego później, liczy terminy od tego dnia: 6 miesięcy na wniosek o wpis do wykazu (art. 7c ust. 1), 12 miesięcy na realizację obowiązków i, w przypadku podmiotu kluczowego, 24 miesiące na pierwszy audyt (art. 16).

Co to jest wykaz podmiotów kluczowych i ważnych?

Wykaz podmiotów kluczowych i ważnych to rejestr prowadzony na podstawie ustawy o KSC w celu identyfikacji tych podmiotów, wymiany informacji o incydentach i zagrożeniach z zespołami CSIRT oraz prowadzenia nadzoru (art. 7 ust. 1). Utworzył go minister właściwy do spraw informatyzacji (art. 34 ust. 1 ustawy nowelizującej), a w zakresie nadzorowanych sektorów prowadzą go organy właściwe do spraw cyberbezpieczeństwa (art. 7 ust. 4).

Większość firm trafia do wykazu na własny wniosek, po samodzielnej ocenie, czy spełnia przesłanki z art. 5 ustawy: działalność w sektorze z załącznika nr 1 lub 2 i odpowiednią wielkość. Podmiotem kluczowym jest m.in. podmiot z załącznika nr 1, który przekracza progi średniego przedsiębiorstwa. Wniosek składa się elektronicznie w systemie teleinformatycznym, z kwalifikowanym podpisem elektronicznym, podpisem zaufanym, podpisem osobistym albo kwalifikowaną pieczęcią elektroniczną (art. 7c ust. 6). Zawiera oświadczenie kierownika podmiotu składane pod rygorem odpowiedzialności karnej (art. 7c ust. 5).

Z urzędu minister wpisuje m.in. przedsiębiorców telekomunikacyjnych, dostawców usług zaufania, podmioty publiczne i podmioty krytyczne (art. 7a ust. 2), a także operatorów usług kluczowych z dotychczasowego wykazu (art. 34 ust. 2 ustawy nowelizującej).

Jak sprawdzić, czy firma jest w wykazie

Wykaz nie jest jawny: do jego danych nie stosuje się przepisów o dostępie do informacji publicznej ani o otwartych danych (art. 7 ust. 3). Firma, która złożyła wniosek, jest wpisana z chwilą jego złożenia w systemie teleinformatycznym (art. 7d ust. 1). Podmiot wpisany z urzędu dostaje zawiadomienie o wpisie i wezwanie do uzupełnienia brakujących danych w terminie 6 miesięcy od doręczenia (art. 7b ust. 1 i 2). Wezwanie zawiera m.in. numer podmiotu w wykazie i wpisane dane (art. 7b ust. 3). Każdą zmianę danych zgłasza się wnioskiem o zmianę wpisu w ciągu 14 dni (art. 7c ust. 3).

Firma nie złożyła wniosku do 3 października 2026 - co teraz?

Upływ terminu nie zwalnia z obowiązków, jeżeli firma spełnia przesłanki podmiotu kluczowego albo ważnego. Ustawa przewiduje tu trzy mechanizmy:

organ właściwy do spraw cyberbezpieczeństwa może sam wpisać firmę do wykazu na podstawie rejestrów publicznych i wezwać ją do uzupełnienia danych w ciągu 6 miesięcy, pod rygorem kary pieniężnej (art. 7j),
za niezłożenie wniosku w terminie organ może nałożyć karę na podmiot (art. 73 ust. 1a pkt 1), a także na kierownika podmiotu (art. 73a ust. 1 pkt 1); kary z art. 73 ust. 1-4 i art. 73a można nałożyć po raz pierwszy po upływie 2 lat od wejścia nowelizacji w życie (art. 35 ustawy nowelizującej),
termin realizacji obowiązków, w tym wdrożenia SZBI, nie przesuwa się i dla podmiotów objętych ustawą od 3 kwietnia 2026 r. upływa 3 kwietnia 2027 r.

Kolejność działań wynika z przepisów:

Ustal status. Porównaj działalność z załącznikami nr 1 i 2 oraz z progami z art. 5 i zapisz uzasadnienie.
Złóż wniosek. Wpis następuje z chwilą złożenia wniosku w systemie, więc zwłoka tylko wydłuża okres naruszenia.
Zaplanuj SZBI. Ułóż harmonogram wdrożenia wymagań art. 8 tak, żeby zmieścić się w terminie 3 kwietnia 2027 r.
Przeszkol kierownictwo. Kierownik podmiotu i osoba, której powierzył obowiązki, przechodzą szkolenie raz w roku kalendarzowym (art. 8e).

Jakie obowiązki nakłada znowelizowana ustawa o KSC?

Podmioty kluczowe i ważne muszą wdrożyć SZBI, zgłaszać incydenty poważne do właściwego zespołu CSIRT w terminach ustawy i zapewnić nadzór kierownika nad cyberbezpieczeństwem. Podmioty kluczowe dodatkowo przeprowadzają okresowy audyt.

SZBI: system zarządzania bezpieczeństwem informacji w systemie informacyjnym wykorzystywanym w procesach wpływających na świadczenie usługi. Obejmuje systematyczne szacowanie ryzyka incydentu i środki techniczne oraz organizacyjne proporcjonalne do tego ryzyka (art. 8 ust. 1).
Zgłaszanie incydentów poważnych: wczesne ostrzeżenie niezwłocznie, nie później niż w ciągu 24 godzin od wykrycia, zgłoszenie incydentu nie później niż w ciągu 72 godzin, a sprawozdanie końcowe nie później niż w ciągu miesiąca od zgłoszenia (art. 11 ust. 1). Zasady z art. 23 dyrektywy opisuje przewodnik po NIS2.
Audyt: podmiot kluczowy przeprowadza na własny koszt audyt bezpieczeństwa systemu informacyjnego co najmniej raz na 3 lata (art. 15 ust. 1).
Odpowiedzialność kierownika: kierownik odpowiada za wykonywanie obowiązków z zakresu cyberbezpieczeństwa, także gdy powierzył je innej osobie (art. 8c). Podejmuje decyzje dotyczące SZBI, planuje środki finansowe, przydziela zadania i nadzoruje ich wykonanie (art. 8d).

Jakie kary przewiduje ustawa o KSC?

Kary pieniężne nakłada organ właściwy do spraw cyberbezpieczeństwa. Kwoty w euro przelicza się na złote według średniego kursu NBP z 31 grudnia roku poprzedzającego decyzję.

Maksymalne kary pieniężne w znowelizowanej ustawie o KSC
Kogo dotyczy	Wysokość kary	Przepis
podmiot kluczowy	do 10 000 000 euro albo 2% przychodów z działalności gospodarczej z poprzedniego roku obrotowego, według kwoty wyższej; nie mniej niż 20 000 zł	art. 73 ust. 3
podmiot ważny	do 7 000 000 euro albo 1,4% przychodów z działalności gospodarczej z poprzedniego roku obrotowego; nie mniej niż 15 000 zł	art. 73 ust. 4
naruszenie powodujące bezpośrednie i poważne cyberzagrożenie lub zagrożenie poważnej szkody	do 100 000 000 zł	art. 73 ust. 5
kierownik podmiotu	do 300% wynagrodzenia, a w podmiocie publicznym do 100% wynagrodzenia	art. 73a ust. 4 i 5

Kary z art. 73 ust. 1-4, art. 73a-73c i art. 76b można nałożyć po raz pierwszy po upływie 2 lat od wejścia nowelizacji w życie (art. 35 ustawy nowelizującej). Minimalne pułapy kar wyznaczone w dyrektywie, czyli art. 34 NIS2, opisuje przewodnik po NIS2.

Czy ISO 27001 pomaga spełnić wymagania KSC?

Tak, choć go nie zastępuje. Ustawa wymaga wdrożenia SZBI (art. 8), a nie certyfikatu. System zarządzania bezpieczeństwem informacji zbudowany według ISO/IEC 27001 ma jednak szacowanie ryzyka, obsługę incydentów i nadzór nad dostawcami, czyli dużą część tego, czego wymaga ustawa. Firma z certyfikatem zaczyna od analizy luk względem przepisów, np. terminów zgłaszania incydentów i obowiązków kierownika. Rolę normy w takim projekcie opisuje strona ISO 27001 jako podstawa SZBI.

Najczęstsze pytania

Czy NIS2 już obowiązuje w Polsce?

Tak. Przepisy wdrażające dyrektywę NIS2 obowiązują od 3 kwietnia 2026 r. Podmioty objęte ustawą od tego dnia mają czas na realizację obowiązków do 3 kwietnia 2027 r., a podmioty kluczowe na pierwszy audyt do 3 kwietnia 2028 r.

KSC a NIS2 - czym się różnią?

NIS2 to unijna dyrektywa, która wyznacza minimalne wymagania dla państw członkowskich. Ustawa o KSC to polska ustawa, która te wymagania wdraża i dokłada krajowe szczegóły: organy, wykaz, terminy i kary. Firmę w Polsce wiążą przepisy ustawy.

Od czego zacząć, jeśli firma nie wie, czy podlega ustawie?

Od porównania działalności z sektorami z załączników nr 1 i 2 i z progami wielkości z art. 5, a potem od analizy luk. Zakres takiej analizy i wdrożenia opisuje strona audyt i wdrożenie NIS2, a koszt - cena audytu NIS2.

Historia zmian

11 listopada 2026 r. - pierwsza wersja tekstu, stan prawny na dzień podany na górze strony.

Źródła

Wszystkie źródła odczytano 11 listopada 2026 r.