Od 3 kwietnia 2026 roku obowiązuje znowelizowana ustawa o krajowym systemie cyberbezpieczeństwa, wdrażająca unijną dyrektywę NIS2. W materiałach dostawców i doradców pojawiają się trzy nazwy: NIS2, KSC i KSC2. Dla zarządu firmy, dyrektora szpitala czy kierownika instytucji kultury liczy się jedno pytanie: które przepisy obowiązują moją organizację i do kiedy trzeba spełnić wymagania. Poniżej wyjaśniamy różnice, zasady kwalifikacji i terminy. Opieramy się na stanie prawnym z października 2026 roku i doświadczeniu z audytów KSC prowadzonych przez ICT Future.
NIS2 i KSC w skrócie
NIS2 to dyrektywa Parlamentu Europejskiego i Rady (UE) 2022/2555 z 14 grudnia 2022 roku. Zastąpiła pierwszą dyrektywę NIS z 2016 roku, rozszerzyła listę objętych sektorów, zaostrzyła kary i wprowadziła odpowiedzialność kierownictwa. Państwa członkowskie miały wprowadzić nowe przepisy do 17 października 2024 roku. Polska zrobiła to z opóźnieniem.
KSC to ustawa z 5 lipca 2018 roku o krajowym systemie cyberbezpieczeństwa. Pierwotnie wdrażała pierwszą dyrektywę NIS. Ustawą z 23 stycznia 2026 roku (Dz.U. 2026 poz. 252) została gruntownie znowelizowana i od 3 kwietnia 2026 roku wdraża dyrektywę NIS2.
| NIS2 | Ustawa o KSC | |
|---|---|---|
| Rodzaj aktu | dyrektywa Unii Europejskiej | polska ustawa |
| Adresat | państwa członkowskie | firmy i instytucje w Polsce |
| Obecne brzmienie | od 2022 roku | po nowelizacji, od 3 kwietnia 2026 roku |
| Źródło obowiązków dla organizacji | pośrednie | bezpośrednie |
Relację między tymi aktami można opisać tak: dyrektywa wyznacza cel i minimalne wymagania, a ustawa określa konkretne obowiązki, terminy, organy nadzoru i kary. Przygotowując organizację, czytamy więc przede wszystkim polską ustawę.
Dlaczego firmę obowiązuje ustawa o KSC a nie sama dyrektywa?
Dyrektywa unijna nie działa jak rozporządzenie. Nie nakłada obowiązków bezpośrednio na przedsiębiorców, tylko zobowiązuje państwa do przyjęcia przepisów krajowych. Dyrektywa NIS2 wprost wskazuje, że jej adresatami są państwa członkowskie. Polska firma, szpital czy urząd gminy stosują więc artykuły ustawy o KSC, a nie artykuły dyrektywy.
Ma to praktyczne konsekwencje. NIS2 jest dyrektywą o minimalnej harmonizacji. Państwa mogą wprowadzić surowsze lub bardziej szczegółowe wymagania i Polska z tej możliwości skorzystała. Ustawa w kilku miejscach różni się od dyrektywy, na przykład w sposobie liczenia terminów zgłoszenia incydentu czy w częstotliwości szkoleń kierownictwa. Wdrożenie oparte wyłącznie na dyrektywie może skończyć się dokumentacją niezgodną z polskim prawem.
Od tej zasady są dwa wyjątki. Pierwszy to rozporządzenia unijne, które stosuje się wprost i do których odsyła ustawa. Przykładem jest rozporządzenie wykonawcze Komisji (UE) 2024/2690, określające środki bezpieczeństwa między innymi dla dostawców usług chmurowych, centrów danych i usług zarządzanych. Drugi wyjątek to sektor finansowy, w którym część zagadnień reguluje rozporządzenie DORA.
W dokumentach organizacji, takich jak polityka bezpieczeństwa czy uchwała zarządu, powołujemy ustawę o krajowym systemie cyberbezpieczeństwa z oznaczeniem publikacji w Dzienniku Ustaw. Odwołanie do dyrektywy może być uzupełnieniem, nie podstawą prawną.
Czym jest KSC2 i nowelizacja z 2026 roku?
KSC2 albo KSC 2.0 to potoczna nazwa nowelizacji ustawy o krajowym systemie cyberbezpieczeństwa. Nie występuje w żadnym akcie prawnym. Raz oznacza samą ustawę zmieniającą, raz ustawę o KSC po zmianach. W rozmowie jest wygodna, w dokumentach firmowych lepiej używać nazwy urzędowej.
Nowelizację uchwalono 23 stycznia 2026 roku. Prezydent podpisał ją 19 lutego, a 2 marca 2026 roku ukazała się w Dzienniku Ustaw. Weszła w życie 3 kwietnia 2026 roku. Najważniejsze zmiany:
- podział na podmioty kluczowe i podmioty ważne w miejsce operatorów usług kluczowych i dostawców usług cyfrowych,
- znacznie szerszy katalog sektorów, obejmujący między innymi produkcję, gospodarkę odpadami, żywność, usługi pocztowe i samorządowe podmioty publiczne,
- samoidentyfikacja i wniosek o wpis do wykazu podmiotów w miejsce decyzji administracyjnej,
- obowiązek wdrożenia systemu zarządzania bezpieczeństwem informacji,
- trzyetapowe zgłaszanie incydentów poważnych,
- odpowiedzialność kierownika podmiotu i jego coroczne szkolenie,
- nowe kary pieniężne liczone od przychodów.
W lipcu 2026 roku Prezydent skierował część przepisów nowelizacji do Trybunału Konstytucyjnego (sprawa K 19/26). Wniosek dotyczy procedury uznania dostawcy sprzętu lub oprogramowania za dostawcę wysokiego ryzyka oraz polecenia zabezpieczającego. Nie obejmuje obowiązków organizacji w zakresie zarządzania ryzykiem, zgłaszania incydentów ani wpisu do wykazu. Ustawa obowiązuje, a terminy biegną.
Podmiot kluczowy i podmiot ważny zamiast operatora usług kluczowych
Przed nowelizacją ustawa obejmowała głównie operatorów usług kluczowych. Status operatora nadawał organ w drodze decyzji, więc organizacja dowiadywała się o swoich obowiązkach z urzędowego pisma. Dziś jest inaczej. O tym, czy podmiot jest kluczowy, czy ważny, decydują kryteria zapisane w ustawie: sektor, rodzaj działalności i wielkość. Dotychczasowi operatorzy usług kluczowych stali się podmiotami kluczowymi z mocy prawa 3 kwietnia 2026 roku.
Obie kategorie mają podobny zakres obowiązków: system zarządzania bezpieczeństwem informacji, zgłaszanie incydentów, odpowiedzialność i szkolenie kierownika. Różnice dotyczą głównie nadzoru, audytu i kar.
| Podmiot kluczowy | Podmiot ważny | |
|---|---|---|
| Typowy profil | duże organizacje z sektorów z załącznika nr 1 oraz wybrane podmioty bez względu na wielkość | średnie organizacje z załącznika nr 1 oraz średnie i duże z załącznika nr 2 |
| Audyt bezpieczeństwa | obowiązkowy, przynajmniej raz na trzy lata, na koszt podmiotu | brak obowiązku cyklicznego audytu |
| Nadzór | stały, także bez sygnałów o nieprawidłowościach | głównie po sygnale o nieprawidłowościach |
| Maksymalna kara procentowa | 2% przychodów | 1,4% przychodów |
Jeśli organizacja spełnia kryteria obu kategorii, traktuje się ją jak podmiot kluczowy. Nasze audyty KSC zaczynamy właśnie od ustalenia statusu, bo od niego zależy zakres całego wdrożenia i budżet, jaki trzeba na nie zaplanować.
Zasady kwalifikacji i samoidentyfikacja w wykazie podmiotów
Kwalifikację organizacja przeprowadza sama i sama dokumentuje jej wynik. Proces składa się z trzech kroków:
- Sprawdzenie sektora. Ustawa ma dwa załączniki: załącznik nr 1 wymienia 10 sektorów, a załącznik nr 2 dziewięć. Liczy się kolumna z rodzajem podmiotu, nie sama nazwa sektora.
- Ocena wielkości według unijnych kryteriów dla przedsiębiorstw: liczby pracowników, obrotu i sumy bilansowej, z uwzględnieniem firm powiązanych. Zasadniczo przepisy obejmują średnie i duże przedsiębiorstwa.
- Sprawdzenie wyjątków. Niektóre podmioty podlegają ustawie bez względu na wielkość, na przykład dostawcy usług zarządzanych w zakresie cyberbezpieczeństwa, podmioty krytyczne czy wybrane podmioty publiczne.
Dla naszych klientów z sektora publicznego ważna jest lista podmiotów publicznych. Załącznik nr 1 obejmuje między innymi starostwa powiatowe i urzędy gmin zatrudniające przynajmniej 50 osób w przeliczeniu na pełne etaty. Załącznik nr 2 obejmuje samorządowe jednostki i zakłady budżetowe, instytucje kultury oraz spółki wykonujące zadania użyteczności publicznej, na przykład miejskie spółki wodociągowe czy komunikacyjne.
Po ustaleniu statusu organizacja składa wniosek o wpis do wykazu podmiotów kluczowych i ważnych. Ma na to 6 miesięcy od spełnienia przesłanek. Podmioty, które spełniały je w dniu wejścia nowelizacji w życie, składały wnioski według harmonogramu Ministra Cyfryzacji, między 7 maja a 3 października 2026 roku. Wnioski składa się elektronicznie w aplikacji Wykaz KSC. Jeśli Twoja organizacja podlega ustawie, a wniosku jeszcze nie złożyła, trzeba to zrobić jak najszybciej.
Różnice między dyrektywą NIS2 a polską ustawą
Polska ustawa realizuje cele NIS2, ale w kilku miejscach mówi coś innego albo idzie dalej. Najważniejsze różnice dla organizacji:
| Obszar | Dyrektywa NIS2 | Ustawa o KSC |
|---|---|---|
| Szkolenie kierownictwa | regularne szkolenia organu zarządzającego | szkolenie kierownika raz w roku kalendarzowym, udokumentowane |
| Termin zgłoszenia incydentu | 24 i 72 godziny od powzięcia wiedzy o incydencie | 24 i 72 godziny od wykrycia incydentu |
| Audyt | narzędzie nadzoru w rękach organu | obowiązek podmiotu kluczowego przynajmniej raz na trzy lata, na własny koszt |
| Podstawa kary procentowej | światowy obrót całego przedsiębiorstwa | przychody samego podmiotu |
| Wykaz podmiotów | państwo tworzy wykaz, podmioty przekazują dane | podmiot sam składa wniosek o wpis w ciągu 6 miesięcy |
| Dostawcy usług zarządzanych w zakresie cyberbezpieczeństwa | objęci od średniej wielkości | podmiot kluczowy już jako mały przedsiębiorca |
| Dostawca wysokiego ryzyka | brak takiej procedury | postępowanie w sprawie uznania dostawcy sprzętu lub oprogramowania za dostawcę wysokiego ryzyka |
Inny jest też podział sektorów. Dyrektywa ma 11 sektorów w załączniku I i 7 w załączniku II, stąd popularna liczba 18. Polska ustawa ma odpowiednio 10 i 9 pozycji. Bankowość i infrastruktura rynków finansowych tworzą u nas jeden sektor, a inwestycje w energetykę jądrową są osobnym sektorem w załączniku nr 2. Organizacja, która sprawdza swój status na podstawie listy z dyrektywy, może więc dojść do błędnych wniosków.
Terminy wdrożenia obowiązków i kary
Nowelizacja daje organizacjom okres przejściowy, ale jest on krótszy, niż się wydaje. Najważniejsze daty dla podmiotów, które spełniały przesłanki 3 kwietnia 2026 roku:
| Data | Obowiązek |
|---|---|
| 3 kwietnia 2026 | wejście nowelizacji w życie |
| 7 maja do 3 października 2026 | wnioski o wpis do wykazu według harmonogramu Ministra Cyfryzacji |
| 3 kwietnia 2027 | wdrożenie obowiązków z rozdziału 3 ustawy, w tym SZBI, zgłaszania incydentów i szkolenia kierownika |
| 3 kwietnia 2028 | pierwszy audyt bezpieczeństwa podmiotu kluczowego oraz możliwość nakładania kar za naruszenie głównych obowiązków |
Podmioty, które spełnią przesłanki później, mają 6 miesięcy na wniosek o wpis i własne terminy wdrożenia obowiązków.
Kary pieniężne dla podmiotu kluczowego mogą sięgnąć 2% przychodów z działalności gospodarczej, a dla podmiotu ważnego 1,4%. Ustawa nakłada też obowiązki bezpośrednio na kierownika podmiotu, który odpowiada za wykonywanie obowiązków z zakresu cyberbezpieczeństwa i musi się regularnie szkolić.
Rok na wdrożenie SZBI to niewiele, zwłaszcza w organizacji bez uporządkowanej dokumentacji bezpieczeństwa. Analiza ryzyka, procedury, zmiany techniczne i szkolenia zajmują zwykle kilka miesięcy. Organizacja, która zaczyna przygotowania jesienią 2026 roku, ma do dyspozycji mniej niż pół roku.
Jak przygotować firmę lub instytucję do wymagań KSC
Przygotowanie do wymagań ustawy o KSC najlepiej rozłożyć na etapy. Tak prowadzimy wdrożenia u naszych klientów:
- Ustalenie statusu. Analiza sektora, rodzaju działalności i wielkości. Wynik zapisujemy w notatce, która przyda się podczas kontroli.
- Audyt zgodności z KSC. Porównujemy stan obecny z wymaganiami ustawy i wskazujemy luki w organizacji, technologii i dokumentacji.
- Analiza ryzyka. Określamy, które systemy i procesy wpływają na świadczone usługi i jakie zagrożenia są dla nich najbardziej prawdopodobne.
- Wdrożenie SZBI. Przygotowujemy polityki i procedury, w tym procedurę obsługi i zgłaszania incydentów, oraz plan ciągłości działania.
- Zmiany techniczne. Testy bezpieczeństwa, konfiguracja sieci i zabezpieczeń, kopie zapasowe, kontrola dostępu.
- Szkolenia. Coroczne szkolenie kierownika oraz szkolenia Security Awareness dla pracowników.
Organizacja z certyfikatem ISO 27001 ma dobry punkt wyjścia, ale certyfikat nie oznacza automatycznie zgodności z ustawą. KSC wymaga między innymi zgłaszania incydentów w ustawowych terminach, wpisu do wykazu i audytu w określonym trybie.
W ICT Future przeprowadzamy audyt zgodności KSC, audyty organizacyjne, techniczne i RODO oraz testy bezpieczeństwa. Wdrażamy SZBI zgodny z ISO 27001:2022 i prowadzimy szkolenia dla pracowników i kadry zarządzającej. Pracujemy z firmami, instytucjami kultury, jednostkami samorządu i placówkami ochrony zdrowia. Wśród klientów, którzy nam zaufali, są między innymi Teatr Muzyczny Capitol i Radio Wrocław.
Co warto zapamiętać?
NIS2 wyznacza kierunek, a ustawa o KSC określa konkretne obowiązki i terminy dla polskich organizacji. Najbliższy duży termin to 3 kwietnia 2027 roku. Jeśli nie masz pewności, czy Twoja organizacja jest podmiotem kluczowym lub ważnym, albo chcesz sprawdzić stan przygotowań, skontaktuj się z nami. Zaczniemy od ustalenia statusu i audytu, a potem przeprowadzimy Cię przez kolejne etapy wdrożenia.