Ostatni dzwonek dla podmiotów podlegających pod NIS2
Już 3 października 2026 r. mija termin na wypełnienie pierwszych obowiązków nałożonych na przedsiębiorców w związku z wdrożeniem unijnej dyrektywy NIS2 przez nowelizację ustawy o krajowym systemie cyberbezpieczeństwa. Na podmioty objęte ustawą nałożono nowe obowiązki dotyczące zarządzania cyberbezpieczeństwem, zapobiegania incydentom oraz reagowania na cyberzagrożenia.
Nowe przepisy objęły znacznie szerszy niż dotychczas katalog podmiotów, co rozszerzyło obowiązki w zakresie cyberbezpieczeństwa nie tylko na podmioty związane bezpośrednio z infrastrukturą krytyczną, ale także na m.in. przedsiębiorstwa produkcyjne, firmy z sektora spożywczego i chemicznego czy dostawców usług cyfrowych.
Pierwszym krokiem niezbędnym do ustalenia czy przedsiębiorstwo jest objęte zakresem ustawy jest sprawdzenie czy występuje wśród podmiotów wymienionych w załączniku nr 1 i 2 ustawy. Załączniki te stosują podział na podmioty kluczowe i podmioty ważne, od którego to statusu zależą ich przyszłe obowiązki.
Do najważniejszych podmiotów kluczowych należą m.in. przedsiębiorstwa prowadzące działalność w zakresie wytwarzania energii, paliw itp., podmioty udzielające świadczeń zdrowotnych, produkujące i dystrybuujące produkty lecznicze czy dostawcy infrastruktury cyfrowej m.in. chmury obliczeniowej, czy usług centrum przetwarzania danych.
Natomiast za podmioty ważne mogą być uznane firmy wykonujące działalność z zakresu gospodarowania odpadami, dostawcy platform internetowych (tj. platform łączących klientów z przedsiębiorcami), czy szeroko rozumianej produkcji – od żywności czy chemikaliów, przez urządzenia elektryczne i wyroby elektroniczne, po produkcje maszyn (z ograniczeniami wskazanymi w załączniku nr 2 do ustawy).
Drugim ważnym kryterium jest wielkość przedsiębiorstwa oraz wysokość jego obrotu. Co do zasady ustawy nie stosuje się do małych i mikro-przedsiębiorców, jednak przewidziane są w tym zakresie wyjątki.
Wstępną, samodzielną ocenę podlegania pod ustawę można dokonać bezpłatnie na stronie rządowej pod linkiem: Pre-weryfikacja zgodności z zaleceniami NIS2 . Przypisanie podmiotu do odpowiedniej kategorii skutkować będzie nie tylko innym katalogiem obowiązków, ale także zakresem prowadzonego nadzoru jak i wysokością ewentualnych sankcji.
Równie ważne co przestrzeganie nałożonych przez ustawę obowiązków jest ich wdrożenie w odpowiednim terminie. Poniżej prezentujemy harmonogram najważniejszych działań, które muszą podjąć podmioty, których dotyczy ustawa.
1. Do 3 października 2026 r. (dla podmiotów, które z chwilą wejścia w życie ustawy spełniły jej kryteria podmiotowe – dla pozostałych 6 miesięcy od spełnienia kryteriów) zarówno podmioty ważne jak i kluczowe są zobowiązane do dokonania samodzielnej rejestracji w wykazie KSC (z wyjątkiem podmiotów wpisanych do wykazu z urzędu, które zostały o tym zawiadomione).
2. Do 3 kwietnia 2027 r. (lub w ciągu 12 miesięcy od spełnienia kryteriów) podmioty ważne i kluczowe tworzą i utrzymują systemy zarządzania bezpieczeństwem oraz rozpoczynają korzystanie z systemu S46.
3. Do 3 kwietnia 2028 r. (lub w ciągu 24 miesięcy od spełnienia kryteriów) tylko podmioty kluczowe zobowiązane są do przeprowadzenia pierwszego audytu bezpieczeństwa. Kolejne audyty powinny zostać przeprowadzone raz na 3 lata (podmioty ważne przeprowadzają audyty w przypadku wystąpienia poważnego incydentu).
Od 3 kwietnia 2028 r. będą mogły być nakładane kary pieniężne za naruszenie przepisów o cyberbezpieczeństwie. Kary zależą od przypisania podmiotu do odpowiedniej kategorii i wahają się od 7 mln euro lub 1,4% przychodów osiągniętych przez podmiot ważny z działalności gospodarczej w roku obrotowym poprzedzającym wymierzenie kary do nawet 10 mln euro lub 2% osiągniętych przychodów w przypadku podmiotów kluczowych.
Jeżeli chcieliby Państwo uzyskać więcej szczegółowych informacji dotyczących nowych regulacji, zapraszamy do kontaktu – pozostajemy do Państwa dyspozycji i z przyjemnością odpowiemy na wszelkie indywidualne pytania.
Zespół Pogodziński, Witkowski, Zgliński Kancelaria Prawna s.c.
