Wdrożenie NIS2
Sprawdź, czy Twoja organizacja spełnia nowe wymogi cyberbezpieczeństwa
Dyrektywa NIS2 znacząco rozszerza zakres obowiązków w obszarze cyberbezpieczeństwa dla firm działających w kluczowych sektorach gospodarki. Nowe przepisy oznaczają nie tylko konieczność wdrożenia odpowiednich środków technicznych i organizacyjnych, ale także realną odpowiedzialność zarządczą.
Brak dostosowania do NIS2 to ryzyko dotkliwych kar finansowych, sankcji administracyjnych oraz zakłóceń ciągłości działania. Skuteczne przygotowanie organizacji wymaga zarówno rzetelnej diagnozy stanu obecnego, jak i zaplanowanego wdrożenia działań naprawczych.
Umów rozmowę dotyczącą NIS2 ➤
Porozmawiajmy o ofercie dla Twojej firmy
Kogo obejmują obowiązki wynikające z NIS2?
Dyrektywa NIS2 została zaprojektowana z myślą o podmiotach, których działalność ma istotne znaczenie dla stabilności gospodarki, bezpieczeństwa publicznego oraz ciągłości kluczowych usług w Unii Europejskiej.
Jeżeli działasz w jednym z poniższych obszarów lub świadczysz usługi na ich rzecz, Twoja organizacja może zostać objęta nowymi obowiązkami.
Podmioty kluczowe – pełny zakres obowiązków NIS2
Do tej grupy zaliczają się średnie i duże przedsiębiorstwa, czyli organizacje zatrudniające co najmniej 50 pracowników oraz osiągające minimum 10 mln euro obrotu lub sumy bilansowej, działające m.in. w sektorach:
- energetyki,
- transportu,
- bankowości i infrastruktury rynków finansowych,
- ochrony zdrowia,
- zaopatrzenia w wodę i gospodarki ściekowej,
- infrastruktury cyfrowej (DNS, TLD),
- zarządzania i świadczenia usług ICT,
- administracji publicznej,
- sektora kosmicznego.
Podmioty ważne – również objęte nadzorem
NIS2 obejmuje także organizacje z obszarów takich jak:
- usługi pocztowe i kurierskie,
- gospodarka odpadami,
- sektor chemiczny,
- przemysł spożywczy,
- produkcja przemysłowa,
- usługi cyfrowe (platformy, hosting, chmura),
- działalność badawczo-rozwojowa i naukowa.
Inne podmioty o znaczeniu krytycznym
Obowiązki mogą dotyczyć również mniejszych firm, niezależnie od skali działalności, jeżeli:
- są jedynym dostawcą kluczowej usługi na danym obszarze,
- świadczą usługi, których przerwanie zagraża bezpieczeństwu, zdrowiu lub porządkowi publicznemu,
- działają jako dostawcy usług zaufania, operatorzy domen (DNS/TLD) lub dostawcy publicznych sieci i usług łączności elektronicznej.
Nie masz pewności, czy NIS2 dotyczy Twojej firmy?
Interpretacja przepisów bywa niejednoznaczna. W ramach rozmowy z naszym ekspertem pomożemy ustalić, czy Twoja organizacja podlega pod NIS2 oraz jakie konkretne działania należy zaplanować, aby spełnić nowe wymagania.
Umów rozmowę i sprawdź swój status ➤
Jak przebiega audyt NIS2 i w jaki sposób wspieramy organizacje?
Realizujemy pełną ocenę zgodności z dyrektywą NIS2, a następnie – w zależności od potrzeb organizacji – zapewniamy praktyczne wdrożenie wymaganych działań, procedur i zabezpieczeń. Nasze podejście obejmuje zarówno analizę formalną, jak i realną ocenę odporności operacyjnej.
W ramach współpracy zapewniamy m.in.:
- ocenę spełnienia wymagań NIS2 oraz identyfikację luk organizacyjnych i technicznych,
- analizę funkcjonujących mechanizmów zarządzania ryzykiem cybernetycznym,
- przegląd procedur reagowania na incydenty bezpieczeństwa,
- ocenę infrastruktury IT wraz z rekomendacjami dotyczącymi wzmocnienia zabezpieczeń,
- opracowanie planów ciągłości działania (BCP), planów odtworzeniowych (DRP) oraz scenariuszy awaryjnych,
- przygotowanie i aktualizację polityk bezpieczeństwa w ramach SZBI,
- wsparcie w realizacji obowiązków raportowych i sprawozdawczych,
- szkolenia dla zarządu, kadry kierowniczej i zespołów IT,
- opiekę poaudytową – aż do osiągnięcia pełnej zgodności z NIS2.
📄 Dostarczamy kompletną dokumentację zgodną z NIS2, gotową do okazania podczas kontroli.
Co zyskujesz, decydując się na wdrożenie NIS2 z nami?
Zapewniamy kompleksową realizację projektu – od audytu początkowego aż po pełną gotowość organizacji. W ramach współpracy otrzymujesz:
- raport zgodności z dyrektywą NIS2, obejmujący analizę luk oraz plan działań korygujących,
- pełen zestaw wymaganych dokumentów: polityki bezpieczeństwa, BCP, procedury incydentowe, rejestry, wzory raportów,
- rekomendacje oraz praktyczne wsparcie we wdrażaniu środków technicznych i organizacyjnych zgodnych z NIS2 i ISO/IEC 27001,
- szkolenia dla zarządu i zespołów IT – stacjonarne lub online,
- materiały sprawozdawcze i przygotowanie do kontroli organów nadzorczych,
- stałe wsparcie eksperckie na każdym etapie projektu,
- realną gotowość na kontrolę oraz obsługę incydentu – jasno zdefiniowane procedury, ścieżki eskalacji, kontakt z CSIRT i regulatorem.
Zakres wdrożenia każdorazowo dopasowujemy do profilu działalności, branży, skali i dojrzałości procesowej organizacji.
Dopasuj model współpracy do potrzeb swojej firmy
Możesz wybrać jeden z elastycznych wariantów:
- Sam audyt – ocena zgodności z NIS2 i identyfikacja braków,
- Audyt + dokumentacja – gotowe polityki, procedury i raporty,
- Audyt + wdrożenie + szkolenia – kompleksowe wsparcie end-to-end,
- Pakiet testów penetracyjnych – sprawdzenie realnej odporności systemów,
- Pakiet e-learningowy – realizacja obowiązku szkoleniowego wynikającego z NIS2.
Każdy wariant można rozszerzyć – szczegóły omawiamy podczas konsultacji.
Dlaczego warto przeprowadzić audyt NIS2?
- Identyfikacja realnych zagrożeń
Poznasz obszary podatne na incydenty i wymagające pilnych działań naprawczych. - Plan działań dopasowany do Twojej organizacji
Opracowujemy harmonogram wdrożenia uwzględniający branżę, strukturę i dostępne zasoby. - Oszczędność czasu i kosztów
Jedna firma odpowiedzialna za audyt i wdrożenie to krótszy czas realizacji i mniejsze koszty całkowite. - Wsparcie aż do pełnej gotowości
Nie kończymy współpracy na raporcie – pomagamy wdrożyć zmiany i osiągnąć faktyczną zgodność. - Ochrona zarządu
Zgodność z NIS2 to także zabezpieczenie kadry zarządzającej przed osobistą odpowiedzialnością za braki w cyberbezpieczeństwie.
Dlaczego wdrożenie NIS2 ma dziś kluczowe znaczenie?
- Ograniczenie odpowiedzialności osobistej zarządu – brak zgodności może skutkować sankcjami nie tylko dla firmy, ale i dla kadry kierowniczej.
- Spełnienie wymagań przetargowych i regulacyjnych – NIS2 staje się standardem w zamówieniach publicznych i współpracy międzynarodowej.
- Budowa przewagi konkurencyjnej w UE – organizacje zgodne z NIS2 są postrzegane jako wiarygodni partnerzy.
- Wizerunek odpowiedzialnej organizacji – systemowe podejście do cyberbezpieczeństwa wzmacnia zaufanie klientów, pracowników i inwestorów.
Proces wdrożenia NIS2 – krok po kroku
Możesz zrealizować wyłącznie audyt, jednak większość organizacji decyduje się na pełne wdrożenie – to po prostu bardziej efektywne i wygodne.
- Ocena podmiotowa – czy dyrektywa dotyczy Twojej firmy.
- Audyt zerowy i identyfikacja luk.
- Ustalenie zakresu wdrożenia.
- Opracowanie rozwiązań w obszarze zarządzania ryzykiem.
- Przygotowanie wymaganej dokumentacji.
- Szkolenia i warsztaty wdrożeniowe.
- Doradztwo przy implementacji zabezpieczeń technicznych.
- Cykliczne testy bezpieczeństwa i audyty.
Najczęściej zadawane pytania
Czy moja firma podlega pod dyrektywę NIS2?
Pod NIS2 podlegają średnie i duże przedsiębiorstwa zatrudniające co najmniej 50 osób lub osiągające minimum 10 mln euro obrotu albo sumy bilansowej, działające w jednym z 18 sektorów wskazanych w załącznikach do dyrektywy (m.in. energetyka, transport, finanse, ochrona zdrowia, infrastruktura cyfrowa, produkcja, gospodarka odpadami, usługi cyfrowe, łączność elektroniczna, dostawcy usług zarządzanych, łańcuchy dostaw IT). Mniejsze firmy także mogą zostać objęte regulacją, jeśli są jedynym dostawcą kluczowej usługi, świadczą usługi krytyczne dla bezpieczeństwa publicznego lub działają jako rejestratorzy domen czy operatorzy DNS/TLD. Każda firma jest zobowiązana do samodzielnej oceny i wpisu do rejestru podmiotów kluczowych lub ważnych.
Jakie są kary za brak zgodności z NIS2 w Polsce?
Dla podmiotów kluczowych kary administracyjne sięgają 10 mln euro lub 2% rocznego światowego obrotu (decyduje wyższa kwota). Dla podmiotów ważnych odpowiednio 7 mln euro lub 1,4% obrotu. W skrajnych przypadkach polska ustawa o KSC przewiduje kary do 100 mln zł. Dodatkowo kierownictwo i członkowie zarządu ponoszą osobistą odpowiedzialność – kara finansowa do 300% wynagrodzenia, a w skrajnych przypadkach zakaz pełnienia funkcji kierowniczych. Egzekwowanie kar pieniężnych rozpoczyna się od 3 kwietnia 2028 r.
Czym różni się podmiot kluczowy od podmiotu ważnego?
Obowiązki merytoryczne (zarządzanie ryzykiem, raportowanie incydentów, środki techniczne i organizacyjne) są dla obu kategorii niemal identyczne. Różnica leży w nadzorze: podmioty kluczowe podlegają nadzorowi proaktywnemu (organ może wszcząć kontrolę bez wystąpienia incydentu) i muszą cyklicznie przeprowadzać audyty bezpieczeństwa. Podmioty ważne podlegają nadzorowi reaktywnemu – kontrola następuje co do zasady po zgłoszeniu incydentu lub uzyskaniu informacji o naruszeniu. Wysokość kar dla podmiotów kluczowych jest również wyższa.
Ile czasu ma firma na wdrożenie wymagań NIS2?
Podmioty objęte ustawą w dniu jej wejścia w życie (3 kwietnia 2026 r.) mają 12 miesięcy na pełne wdrożenie wymaganych środków technicznych i organizacyjnych – do kwietnia 2027 r. Firmy, które uzyskają status kluczowego lub ważnego później, liczą ten termin od dnia spełnienia kryteriów. Przepisy przewidują 24-miesięczną karencję na egzekwowanie kar pieniężnych, które mogą być nakładane od kwietnia 2028 r. – ale obowiązek wpisu do rejestru i zgłaszania incydentów obowiązuje od początku.
W jakim czasie należy zgłaszać incydenty cyberbezpieczeństwa zgodnie z NIS2?
Obowiązują trzy progi czasowe. Wczesne ostrzeżenie do CSIRT lub właściwego organu w ciągu 24 godzin od wykrycia istotnego incydentu. Pełne zgłoszenie z oceną wpływu, skali zakłócenia i wskaźników kompromitacji w ciągu 72 godzin. Raport końcowy zawierający kompletną analizę incydentu, jego przyczyn i wdrożonych działań naprawczych w ciągu jednego miesiąca. Niedotrzymanie tych terminów stanowi samoistne naruszenie przepisów i może skutkować karą.
Czy posiadanie certyfikatu ISO 27001 wystarcza do spełnienia wymagań NIS2?
ISO 27001 i ISO 22301 są zgodne z duchem NIS2 i Ministerstwo Cyfryzacji wskazuje, że ich wdrożenie spełnia kluczowe wymagania ustawy o KSC w obszarze SZBI i ciągłości działania. Nie zwalnia to jednak z innych obowiązków – wpisu do rejestru, raportowania incydentów do CSIRT, zarządzania ryzykiem łańcucha dostaw, osobistej odpowiedzialności zarządu czy dedykowanych szkoleń wynikających z dyrektywy. Najlepsze podejście to zintegrowanie ISO 27001 + ISO 22301 z mapą wymogów NIS2 i uzupełnienie luk.
Czy zarząd osobiście odpowiada za wdrożenie NIS2?
Tak – to jedna z największych zmian wprowadzonych przez NIS2. Ustawa o KSC jednoznacznie wskazuje, że za wykonywanie obowiązków cyberbezpieczeństwa odpowiada kierownik podmiotu, którym w praktyce jest zarząd lub inny organ zarządzający. W spółkach z wieloosobowym zarządem, jeśli nie wyznaczono konkretnej osoby, odpowiedzialność ponoszą wszyscy członkowie. Zarząd musi przejść obowiązkowe szkolenie z cyberbezpieczeństwa i zatwierdzać politykę zarządzania ryzykiem ICT.
Ile kosztuje wdrożenie NIS2 w średniej i dużej firmie?
Koszt zależy od wielkości firmy, dojrzałości obecnego systemu bezpieczeństwa i sektora. Audyt zerowy (gap analysis) z mapą działań to zwykle 15–40 tys. zł. Pełne wdrożenie w średniej firmie produkcyjnej lub usługowej to najczęściej 40–250 tys. zł, w dużej organizacji podzielonej na spółki zależne nawet 0,5–1,5 mln zł. Najdroższe są elementy techniczne – SOC, segmentacja sieci, MFA, EDR.
Czy NIS2 obowiązuje również dostawców i podwykonawców objętych firm?
Tak – ale nie bezpośrednio. Obowiązek ten nałożą na swoich dostawców podmioty objęte NIS2 przez wymóg zarządzania ryzykiem łańcucha dostaw. Podmioty kluczowe i ważne muszą weryfikować bezpieczeństwo swoich dostawców ICT, podpisywać klauzule bezpieczeństwa, wymagać dowodów (ISO 27001, SOC 2, wyniki testów, SBOM, patch SLA) i przeprowadzać przeglądy. W praktyce oznacza to, że nawet firma niepodlegająca bezpośrednio NIS2 zostanie zobowiązana umownie do spełnienia części wymagań, jeśli obsługuje klienta z sektora regulowanego.
Od czego zacząć wdrożenie NIS2 w mojej firmie?
Od oceny podmiotowej – ustalenia, czy i jako jaki podmiot firma podlega ustawie. Następnie audyt zerowy (gap analysis) wskazujący różnice między obecnym stanem a wymogami NIS2 i ISO 27001. Kolejne kroki to: analiza ryzyka, opracowanie polityk i procedur (zarządzanie incydentami, kontrola dostępu, kryptografia, łańcuch dostaw, ciągłość działania), wdrożenie zabezpieczeń technicznych, szkolenia zarządu i zespołów, gotowość do raportowania i kontaktu z CSIRT. Cały projekt prowadzimy w 6–9 miesięcy.
