Kwalifikacja podmiotu, obowiązki kierownictwa i przebieg wdrożenia wymagań NIS2 oraz ustawy o krajowym systemie cyberbezpieczeństwa.
Stan prawny: sierpień 2026
Zobacz też: DPO i RODO Incydenty i naruszenia Szkolenia i warsztaty AI Act
Przygotowanie do NIS2 i KSC w Twojej organizacjiKwalifikacja podmiotu, zakres środków i podział odpowiedzialności w zarządzie zależą od tego, jak organizacja naprawdę działa. Zacznijmy od ustalenia, gdzie jesteś dzisiaj — bez zobowiązań i bez ofertowego wstępu. Poznaj usługę
Środki zarządzania ryzykiem NIS2 nie mają w ustawie postaci listy do odhaczenia. Katalog z art. 8 wskazuje czternaście obszarów, a o głębokości każdego środka rozstrzyga szacowanie ryzyka i sześć czynników wskazanych w tym samym przepisie.
Trzeci października zamyka harmonogram składania wniosków, ale nie obowiązki rejestrowe. Po tej dacie wykaz KSC staje się obowiązkiem ciągłym z trzema zegarami, a wniosek złożony po terminie nadal wywołuje wpis — alternatywą jest wpis dokonany przez organ.
Termin zależy od dnia spełnienia przesłanek. Podmioty, które spełniały je 3 kwietnia 2026 r., składają wniosek do 3 października 2026 r., pozostałe mają sześć miesięcy. Wniosek podpisuje kierownik podmiotu i składa go elektronicznie w systemie prowadzącym wykaz.
Wynik analizy luk ma pozwolić zarządowi podjąć trzy decyzje. Co organizacja musi spełnić, gdzie od tego odbiega i w jakiej kolejności różnicę zamyka. Ustawa nie określa formy dokumentu, więc rozstrzyga jedno. Czy da się z niego zbudować plan wdrożenia.
Zakres szkolenia kierownika podmiotu wyznacza art. 8e ust. 2 ustawy o KSC. Obejmuje te same obowiązki, za które kierownik ponosi odpowiedzialność. O formie, długości i poziomie szczegółowości rozstrzyga organizacja.
Nie każda, ale sprawdzić musi każda. O kwalifikacji rozstrzygają sektor z załącznika nr 1 albo nr 2, wielkość podmiotu liczona razem z grupą oraz kategorie objęte niezależnie od wielkości. Ocena opiera się na samoocenie, więc również wynik negatywny wymaga udokumentowania.
Od dwóch rozstrzygnięć zarządu. Kto jest kierownikiem podmiotu w rozumieniu ustawy o KSC i czy kwalifikacja została udokumentowana. Dopiero po nich sens ma analiza luk, plan wdrożenia i budżet.
