NIS2/KSC po polsku - kogo dotyczy, obowiązki, kary i terminy

Kogo dotyczy

Ustawa obejmuje podmioty kluczowe i ważne mieszkające w Polsce lub prowadzące tu działalność.

Najważniejsze obowiązki

• Podmiot kluczowy lub ważny wdraża system zarządzania bezpieczeństwem informacji w systemie informacyjnym używanym w procesach wpływających na świadczenie usługi.

  Dokładnie w źródle

  Podmiot kluczowy lub ważny wdraża system zarządzania bezpieczeństwem informacji w systemie informacyjnym używanym w procesach wpływających na świadczenie usługi przez ten podmiot.

  Podmiot kluczowy lub podmiot ważny wdraża system zarządzania bezpieczeństwem informacji w systemie informacyjnym wykorzystywanym w procesach wpływających na świadczenie usługi przez ten podmiot

• Podmiot kluczowy lub ważny szybko ostrzega sektorowy zespół o poważnym incydencie, najpóźniej w ciągu 24 godzin od wykrycia.

  Dokładnie w źródle

  Podmiot kluczowy lub ważny musi zgłaszać wczesne ostrzeżenie o incydencie poważnym niezwłocznie, najpóźniej w ciągu 24 godzin od momentu jego wykrycia.

  zgłasza wczesne ostrzeżenie o incydencie poważnym niezwłocznie, niepóźniej niż w ciągu 24 godzin od momentu jego wykrycia, do właściwego CSIRT sektorowego;

• Podmioty kluczowe i ważne składają wniosek o wpis do wykazu w ciągu 6 miesięcy od spełnienia warunków uznania.

  Dokładnie w źródle

  Podmiot kluczowy lub podmiot ważny składa wniosek o wpis do wykazu w terminie 6 miesięcy od dnia spełnienia przesłanek uznania go za taki podmiot.

  Podmiot kluczowy lub podmiot ważny składają wniosek o wpis do wykazu, w terminie 6 miesięcy od dnia spełnienia przesłanek uznania za podmiot kluczowy lub podmiot ważny.

• Podmiot kluczowy audytuje bezpieczeństwo systemu informacyjnego używanego do świadczenia usługi co najmniej raz na 3 lata, na własny koszt.

  Dokładnie w źródle

  Podmiot kluczowy ma obowiązek przeprowadzać na własny koszt audyt bezpieczeństwa systemu informacyjnego co najmniej raz na 3 lata.

  Podmiot kluczowy przeprowadza, na własny koszt, co najmniej raz na 3 lata, audyt bezpieczeństwa systemu informacyjnego wykorzystywanego w procesie świadczenia usługi

To wybór najważniejszych punktów, nie pełna lista. Wszystkie obowiązki są w pełnym tekście aktu: Dziennik Ustaw · EUR-Lex

Kary

Kara nie może przekroczyć 10 000 000 euro w złotych, według kursu średniego NBP z 31 grudnia roku poprzedzającego rok wydania decyzji.

Kto kontroluje

Właściwe organy do spraw cyberbezpieczeństwa nadzorują wykonywanie obowiązków przez podmioty kluczowe i ważne.

Terminy: NIS2/KSC

Nadchodzi

• 28 października 2026

  Zmienia się ustawa o krajowym systemie cyberbezpieczeństwa - zmianę wprowadza: Ustawa z dnia 3 lipca 2026 r. o systemach sztucznej inteligencji

  Trwają prace nad zmianą tego aktu - termin może się przesunąć.

  Data wejścia w życie z oficjalnych danych Dziennika Ustaw.

• 11 stycznia 2027

  Zmienia się ustawa o krajowym systemie cyberbezpieczeństwa - zmianę wprowadza: Ustawa z dnia 31 lipca 2026 r. o zmianie ustawy - Prawo bankowe oraz niektórych innych ustaw

  Trwają prace nad zmianą tego aktu - termin może się przesunąć.

  Data wejścia w życie z oficjalnych danych Dziennika Ustaw.

• 3 kwietnia 2027

  Bazy danych dotyczące rejestracji nazw domen muszą zostać dostosowane do wymagań.

  Trwają prace nad zmianą tego aktu - termin może się przesunąć.

  Dokładnie w przepisie

  Obowiązek dostosowania baz danych dotyczących rejestracji nazw domen do wymagań określonych w ustawie.

  dostosowuje bazy danych dotyczących rejestracji nazw domen do wymagań określonych w art. 16b ustawy zmienianej w art. 1, w terminie 12 miesięcy od dnia wejścia w życie niniejszej ustawy;

  Jak policzono: wejście ustawy w życie 3.04.2026 + 12 miesięcy - ostatni dzień terminu.

• 3 kwietnia 2027

  Obowiązki określone w rozdziale 3 muszą zostać wykonane w wyznaczonym terminie.

  Trwają prace nad zmianą tego aktu - termin może się przesunąć.

  Dokładnie w przepisie

  Realizacja obowiązków określonych w rozdziale 3 ustawy w terminie 12 miesięcy od dnia jej wejścia w życie.

  realizują obowiązki określone w rozdziale 3 ustawy zmienianej w art. 1, w brzmieniu nadanym niniejszą ustawą, w terminie 12 miesięcy od dnia wejścia w życie niniejszej ustawy.

  Jak policzono: wejście ustawy w życie 3.04.2026 + 12 miesięcy - ostatni dzień terminu.

• 3 kwietnia 2028

  Pierwszy audyt wymagany ustawą musi zostać przeprowadzony w wyznaczonym terminie.

  Trwają prace nad zmianą tego aktu - termin może się przesunąć.

  Dokładnie w przepisie

  Pierwszy audyt, o którym mowa w ustawie, należy przeprowadzić w terminie 24 miesięcy od jej wejścia w życie.

  przeprowadzają pierwszy audyt, o którym mowa w art. 15 ust. 1 ustawy zmienianej w art. 1, w brzmieniu nadanym niniejszą ustawą, w terminie 24 miesięcy od dnia wejścia w życie niniejszej ustawy.

  Jak policzono: wejście ustawy w życie 3.04.2026 + 24 miesiące - ostatni dzień terminu.

• 4 kwietnia 2028

  Po raz pierwszy można nakładać kary pieniężne.

  Trwają prace nad zmianą tego aktu - termin może się przesunąć.

  Dokładnie w przepisie

  Termin, od którego kary pieniężne mogą być po raz pierwszy nałożone.

  Kary pieniężne, o których mowa w art. 73 ust. 1–4 oraz art. 73a–73c i art. 76b ustawy zmienianej w art. 1 w brzmieniu nadanym niniejszą ustawą mogą być po raz pierwszy nałożone po upływie 2 lat od dnia wejścia w życie ustawy.

  Jak policzono: wejście ustawy w życie 3.04.2026 + 2 lata, obowiązuje od następnego dnia.

Już obowiązuje

• 4 lipca 2026

  Zmienia się ustawa o krajowym systemie cyberbezpieczeństwa - zmianę wprowadza: Ustawa z dnia 29 maja 2026 r. o zmianie ustawy o zarządzaniu kryzysowym oraz niektórych innych ustaw

  Data wejścia w życie z oficjalnych danych Dziennika Ustaw.

• 3 kwietnia 2026

  Ustawa zaczyna obowiązywać.

  Dokładnie w przepisie

  Wejście w życie ustawy nowelizującej system cyberbezpieczeństwa.

  Ustawa wchodzi w życie po upływie miesiąca od dnia ogłoszenia.

  Jak policzono: ogłoszenie ustawy 2.03.2026 + 1 miesiąc, obowiązuje od następnego dnia.

• 18 października 2024

  Zasady dyrektywy dotyczącej cyberbezpieczeństwa zaczynają obowiązywać.

  Dokładnie w oficjalnym streszczeniu

  Rozpoczęcie stosowania zasad wynikających z unijnej dyrektywy NIS2.

  Zasady obowiązują od 18 października 2024 r.

  Dyrektywa Parlamentu Europejskiego i Rady (UE) 2022/2555 z dnia 14 grudnia 2022 r.

  OD KIEDY PRZEPISY TE MAJĄ ZASTOSOWANIE?

Zmiany w drodze

• 2025/0360(COD) · poprawki zgłoszone w komisji PE (27 lipca 2026)Zmiana rozporządzeń (UE) 2016/679, (UE) 2018/1724, (UE) 2018/1725, (UE) 2023/2854 oraz dyrektyw 2002/58/WE, (UE) 2022/2555 i (UE) 2022/2557 w odniesieniu do uproszczenia cyfrowych ram prawnych oraz uchylenia rozporządzeń (UE) 2018/1807, (UE) 2019/1150, (UE) 2022/868 i dyrektywy (UE) 2019/1024 (akt zbiorczy prawa cyfrowego)
• 2026/0012(COD) · poprawki zgłoszone w komisji PE (13 października 2026)Zmiana dyrektywy (UE) 2022/2555 w zakresie środków upraszczających i dostosowania do [wniosku dotyczącego aktu o cyberbezpieczeństwie 2]

Słowniczek

podmiot kluczowy

Osoba, firma lub jednostka z załącznika nr 1, która przewyższa wymogi dla średniego przedsiębiorstwa.

podmiot ważny

Osoba, firma lub jednostka z załącznika nr 1, która spełnia wymogi dla średniego przedsiębiorcy.

CSIRT sektorowy

Zespół reagowania na incydenty bezpieczeństwa komputerowego działający na poziomie sektora lub podsektora, ustanowiony przez właściwy organ.

incydent poważny

Incydent, który powoduje lub może spowodować poważne obniżenie jakości albo przerwanie ciągłości usługi świadczonej przez podmiot kluczowy lub ważny.

dostawca chmury obliczeniowej

Osoba, firma lub jednostka świadcząca usługę dającą dostęp do skalowalnego i elastycznego zbioru zasobów obliczeniowych.