NIS2 i ustawa o KSC 2026: kogo dotyczy, terminy i kary dla zarządu
3 października 2026 roku mija termin, do którego firmy objęte dyrektywą NIS2 muszą same ocenić swój status i zarejestrować się w wykazie podmiotów kluczowych i ważnych przez system S46. Nowa ustawa o krajowym systemie cyberbezpieczeństwa (KSC) obowiązuje od 3 kwietnia 2026 i obejmuje tysiące średnich firm, które do tej pory w ogóle nie myślały o takich przepisach — także w Ostrowie Wielkopolskim, Kaliszu, Krotoszynie, Pleszewie czy Kępnie.
Najważniejsza zmiana nie dotyczy działu IT. Dotyczy zarządu: za wdrożenie NIS2 osobiście odpowiada kierownik firmy, a kara może trafić bezpośrednio do jego kieszeni.
Licznik ustawowy · NIS2 / ustawa o KSC
Do terminu rejestracji w wykazie S46 zostało:
Kalkulator odpowiedzialności
Ile może zapłacić kierownik firmy z własnej kieszeni?
Szybki test · 30 sekund
Czy Twoja firma może podlegać NIS2?
Działasz w sektorze takim jak produkcja, transport i logistyka, energia, żywność, chemia, odpady, ICT lub usługi pocztowe?
Zatrudniasz co najmniej 50 osób albo masz ponad 10 mln euro obrotu?
Dostarczasz usługi lub produkty dużym firmom, szpitalom albo instytucjom publicznym?
Raport gotowości NIS2 · przykład
Mapowanie obszarów SZBI — tak wygląda raport, który dostajesz
Raport mapuje deklaracje firmy na wymagania ustawy o KSC w 8 sekcjach SZBI i wskazuje luki do domknięcia przed terminem. Dane przykładowe.
Zamów raport gotowości NIS2 →Czym jest NIS2 i ustawa o KSC — w dwóch zdaniach
NIS2 to unijna dyrektywa o cyberbezpieczeństwie, którą w Polsce wdraża znowelizowana ustawa o krajowym systemie cyberbezpieczeństwa. Nakazuje firmom z wybranych sektorów zarządzać ryzykiem w IT, zgłaszać incydenty i udokumentować, że bezpieczeństwo jest pod kontrolą — a nie tylko „jakoś działa”.
Więcej podstaw znajdziesz w artykule NIS2 — co to jest i kogo dotyczy.
Kogo dotyczy NIS2? Nie tylko wielkich korporacji
Co do zasady ustawa obejmuje firmy średnie i duże — od 50 pracowników albo ponad 10 mln euro obrotu — działające w sektorach wymienionych w ustawie. To m.in.:
- produkcja — m.in. maszyn, urządzeń, pojazdów, wyrobów metalowych i elektronicznych,
- produkcja i dystrybucja żywności, chemikaliów oraz gospodarka odpadami,
- transport i logistyka, usługi pocztowe i kurierskie,
- energetyka, wodociągi, ochrona zdrowia,
- usługi IT i ICT — w tym firmy świadczące zarządzane usługi informatyczne.
Firmy dzieli się na podmioty kluczowe i podmioty ważne — obie grupy mają podobne obowiązki, różnią się nadzorem i wysokością kar. Jak ustalić swoją kategorię, wyjaśniamy w tekście Podmiot kluczowy a podmiot ważny.
Uwaga na łańcuch dostaw: nawet jeśli Twoja firma nie podlega ustawie wprost, duży klient objęty NIS2 musi pilnować bezpieczeństwa swoich dostawców — i coraz częściej będzie wymagał tego w umowach. Najprościej sprawdzić swoją sytuację w bezpłatnej weryfikacji „Czy podlegam pod NIS2?” — odpowiedź w 24 godziny.
Terminy NIS2: S46, SZBI i audyt
- do 3 października 2026 — samoocena i rejestracja w wykazie przez system S46. Jak wygląda rejestracja S46 →
- do 3 kwietnia 2027 — wdrożony system zarządzania bezpieczeństwem informacji (SZBI): analiza ryzyka, polityki, procedury, plan ciągłości działania. Czym jest SZBI →
- do 3 kwietnia 2028 — pierwszy ustawowy audyt bezpieczeństwa podmiotów kluczowych.
Pełny kalendarz z opisem, co zrobić przed każdą datą: Kalendarz NIS2: S46, SZBI, audyt.
Kto odpowiada za niewdrożenie NIS2? Kierownik firmy — osobiście
To punkt, który zmienia wszystko. Ustawa o KSC wprost przypisuje odpowiedzialność za cyberbezpieczeństwo kierownikowi podmiotu — prezesowi, członkom zarządu, właścicielowi. Nie da się jej „oddelegować” do informatyka ani zewnętrznej firmy. Kierownik musi też sam przejść szkolenie z cyberbezpieczeństwa.
- Kierownik firmy prywatnej — kara osobista do 300% wynagrodzenia.
- Podmiot kluczowy — do 10 mln euro lub 2% rocznego obrotu, w zależności od tego, która kwota jest wyższa.
- Podmiot ważny — do 7 mln euro lub 1,4% rocznego obrotu.
- Naruszenia szczególnie groźne — nawet do 100 mln zł.
Kara dla kierownika i kara dla firmy są od siebie niezależne. Ustawa przewiduje okres przejściowy dla części kar pieniężnych, ale nie przesuwa terminów: rejestracja i wdrożenie SZBI obowiązują w datach podanych wyżej, a organ nadzoru może wydawać nakazy. Rozsądny zarząd nie czeka więc na pierwszą kontrolę.
Co trzeba wdrożyć: trzy filary NIS2
01
Analiza ryzyka i polityki
Spisane oceny ryzyka i polityki bezpieczeństwa — na papierze, nie „w głowie informatyka”.
02
Incydenty i ciągłość działania
Procedury zgłaszania incydentów w reżimie 24 h / 72 h, kopie zapasowe i plan na wypadek ataku.
03
Świadomość personelu
Przeszkoleni pracownicy i zarząd. Najczęstszy wektor ataku to e-mail — i nieprzeszkolony człowiek.
Jak przygotować firmę do NIS2 — krok po kroku z Reduta NIS2
Reduta NIS2 to nasza usługa przygotowania firm do ustawy o KSC — prowadzona w pełni zdalnie, dla małych i średnich firm, z jasnymi cenami od 2 000 zł netto rocznie.
- Diagnoza — sprawdzamy, czy i w jakim zakresie podlegasz NIS2, i testujemy odporność poczty na phishing. Audyt poczty →
- Raport gotowości NIS2 — mapujemy obszary SZBI i wskazujemy luki z planem działania. Ocena gotowości →
- Dokumentacja i szkolenia — polityki, procedury, plan ciągłości, rejestr ryzyk i szkolenie zespołu z zarządem. Dokumentacja NIS2 →
Reduta NIS2 · Xbiuro
Zdążysz przed 3 października. Zacznij od bezpłatnej weryfikacji
Odpowiemy w 24 godziny, czy Twoja firma podlega ustawie o KSC i od czego zacząć. Pakiety: Świadomość od 2 000 zł, Gotowość od 5 000 zł, Dokumentacja od 12 000 zł netto.
NIS2 w Ostrowie Wielkopolskim, Kaliszu i okolicy
Południowa Wielkopolska to zagłębie firm produkcyjnych, przetwórstwa spożywczego i logistyki — dokładnie tych branż, które obejmuje NIS2. Pomagamy firmom z Ostrowa Wielkopolskiego, Kalisza, Krotoszyna, Pleszewa, Jarocina, Kępna, Ostrzeszowa, Odolanowa, Nowych Skalmierzyc, Gostynia i Turku, a także z pogranicza — Sycowa, Milicza, Oleśnicy, Sieradza i Wieruszowa.
Dokumentację NIS2 i ocenę gotowości prowadzimy zdalnie w całej Polsce. Stronę techniczną — kopie zapasowe, zabezpieczenie sieci, aktualizacje, monitoring — wdrażamy na miejscu w ramach outsourcingu IT do 50 km od Ostrowa. Tak powstaje komplet: papiery, które przejdą kontrolę, i IT, które naprawdę działa. Jeśli nie wiesz, jak Twoja firma wypada w podstawach bezpieczeństwa, zacznij od bezpłatnej diagnozy „Sprawdź swoją firmę”.
Najczęstsze pytania o NIS2
Co grozi za brak rejestracji w S46?
Organ nadzoru może wpisać firmę do wykazu z urzędu i nałożyć karę pieniężną. Brak rejestracji to też sygnał, że firma nie realizuje pozostałych obowiązków ustawy — co przy kontroli działa na niekorzyść zarządu.
Czy mała firma podlega NIS2?
Co do zasady nie — próg zaczyna się od średniego przedsiębiorstwa. Są jednak wyjątki działające niezależnie od wielkości (np. niektóre usługi IT i telekomunikacyjne), a mała firma może zostać objęta wymaganiami pośrednio, jako dostawca podmiotu kluczowego.
Czy wdrożenie NIS2 da się zrobić zdalnie?
Tak. W Reduta NIS2 całość — od diagnozy, przez raport gotowości, po dokumentację i szkolenia — prowadzimy zdalnie. Wymaga to od firmy kilku godzin rozmów i przekazania informacji.
Czy wykonujecie ustawowy audyt bezpieczeństwa?
Nie. Ustawowy audyt podmiotu kluczowego to czynność zastrzeżona dla podmiotów wskazanych w ustawie. Przygotowujemy firmę do tego audytu — ocena gotowości, dokumentacja, szkolenia — ale go nie zastępujemy.
Przeczytaj też: Ransomware w firmie — ile kosztuje atak i jak się przed nim chronić
Artykuł ma charakter informacyjny i nie stanowi porady prawnej. Stan prawny: wrzesień 2026 — ustawa z 23 stycznia 2026 r. o zmianie ustawy o krajowym systemie cyberbezpieczeństwa (Dz.U. 2026 poz. 252).
