Krótka odpowiedź
Od dwóch rozstrzygnięć, które musi podjąć sam zarząd: kto w organizacji jest kierownikiem podmiotu w rozumieniu ustawy o KSC i czy kwalifikacja podmiotu została ustalona oraz udokumentowana. Dopiero po nich sens ma analiza luk, plan wdrożenia i budżet — bez nich organizacja finansuje prace, których zakresu nikt nie potrafi uzasadnić. Ustawa nie pozwala przenieść odpowiedzialności kierownika podmiotu na dział IT ani na dostawcę, więc pierwsza decyzja jest decyzją zarządu, a nie zadaniem do delegowania.
Dlaczego to pytanie w ogóle powstaje
Przygotowanie do NIS2 bywa uruchamiane od środka. Zarząd dowiaduje się, że organizacja podlega nowym przepisom, zleca temat działowi IT albo compliance, a po kilku tygodniach dostaje zestawienie brakujących procedur i wycenę narzędzi. Pytanie o kolejność wraca dopiero wtedy, gdy trzeba zatwierdzić wydatek, którego nikt nie umie powiązać z konkretnym obowiązkiem.
Źródłem tego zamieszania jest konstrukcja przepisów. Sama dyrektywa (UE) 2022/2555 wiąże państwo członkowskie, a nie przedsiębiorcę — obowiązki organizacji wynikają z ustawy o krajowym systemie cyberbezpieczeństwa (KSC) w brzmieniu nadanym nowelizacją z 23 stycznia 2026 r., która weszła w życie 3 kwietnia 2026 r. Ustawa zmienia przy tym coś, co w poprzednim stanie prawnym nie było tak wyraźne: umieszcza odpowiedzialność za wykonywanie obowiązków w zakresie cyberbezpieczeństwa po stronie kierownika podmiotu, nakłada na niego obowiązek udokumentowanego szkolenia i przewiduje odrębną karę pieniężną dla tej osoby, niezależną od kary nakładanej na podmiot.
Cyberbezpieczeństwo przestaje być zatem tematem, który zarząd może przyjąć do wiadomości. Staje się obszarem, w którym zarząd podejmuje decyzje i musi umieć pokazać, na jakiej podstawie je podjął.
Drugim powodem jest kalendarz. Wpis do Wykazu KSC dla podmiotów rejestrujących się na wniosek przypada na okres do 3 października 2026 r., okres dostosowawczy kończy się 3 kwietnia 2027 r., a pierwszy obowiązkowy audyt podmiotów kluczowych, które nie były wcześniej operatorami usług kluczowych, oraz stosowanie przepisów o karach pieniężnych przypadają na 3 kwietnia 2028 r. Te daty nie są argumentem za pośpiechem. Wyznaczają natomiast, które prace muszą się zamknąć w tym roku, a które mają jeszcze cały rok 2027.
Co powinien wiedzieć zarząd?
Odpowiedzialność za wykonywanie obowiązków z ustawy o KSC spoczywa na kierowniku podmiotu i nie da się jej przenieść umową ani uchwałą — delegować można wykonanie zadań, nie odpowiedzialność. Kierownik podmiotu ma obowiązek odbywać udokumentowane szkolenie z cyberbezpieczeństwa, a ustawa przewiduje dla niego odrębną karę pieniężną, obok kary dla podmiotu.
Kwalifikacja podmiotu opiera się na samoocenie: nikt nie zawiadomi organizacji, że podlega, a wynik oceny — także negatywny — powinien zostać udokumentowany. Zakres wdrożenia wynika z kategorii podmiotu i z tego, co organizacja już ma, więc budżet ustalany przed analizą luk jest budżetem zgadywanym. Terminy rozkładają prace na dwa etapy: rejestracja w 2026 roku, wdrożenie i podłączenie do systemu S46 do 3 kwietnia 2027 r.
Co trzeba ustalić przed decyzją
Kto jest kierownikiem podmiotu i czego ustawa od niego wymaga
To pytanie brzmi formalnie, a rozstrzyga o całej reszcie. W organizacjach z zarządem wieloosobowym odpowiedzialność dotyczy organu, ale praktyka wymaga wskazania osoby, która prowadzi temat, referuje go zarządowi i odpowiada za kompletność materiału decyzyjnego. W grupach kapitałowych kwalifikację i status ustala się osobno dla każdego podmiotu, więc kierowników podmiotu jest tylu, ile spółek objętych ustawą — wspólny projekt grupowy tego nie zastępuje.
Z tego ustalenia wynikają trzy rzeczy, o które zarząd powinien zapytać na pierwszym posiedzeniu poświęconym temu tematowi: kto imiennie odpowiada, jakie szkolenie odbył lub odbędzie, i w jakim trybie otrzymuje informacje o incydentach. Trzecie pytanie jest najczęściej pomijane, a decyduje o zdolności do zgłoszenia incydentu poważnego w wymaganym terminie — wczesne ostrzeżenie w ciągu 24 godzin od wykrycia i pełne zgłoszenie w ciągu 72 godzin.
Czy kwalifikacja jest rozstrzygnięta i udokumentowana
Kwalifikacja to nie formalność otwierająca projekt, tylko jego podstawa. Od niej zależy, czy organizacja jest podmiotem kluczowym czy ważnym, a od tego — czy musi zaplanować cykl audytowy i w jakim reżimie nadzoru się znajdzie. Kryteria i sposób przeprowadzenia samooceny opisuję osobno w materiale o kwalifikacji podmiotu; tutaj istotne jest to, co zarząd ma z tej oceny otrzymać.
Użyteczny wynik kwalifikacji to nie zdanie „podlegamy”. To krótki dokument: które linie działalności przypisano do sektorów z załączników ustawy, jak policzono wielkość podmiotu z uwzględnieniem przedsiębiorstw powiązanych i partnerskich, jaką kategorię przyjęto i kto ten wniosek zatwierdził. Bez tego zapisu zarząd nie ma czym wykazać, że decyzja była świadoma — a przy negatywnym wyniku kwalifikacji ten dokument jest jedynym śladem, że w ogóle ją przeprowadzono.
Co organizacja już ma
Przygotowanie do NIS2 rzadko zaczyna się od zera. Organizacje z certyfikowanym systemem zarządzania bezpieczeństwem informacji, z wdrożonym RODO, z działającą procedurą obsługi incydentów albo z obowiązkami wynikającymi z rozporządzenia DORA mają już część wymaganych elementów — zwykle w innym układzie i pod inną nazwą.
Zestawienie punktu wyjścia jest krokiem, który najsilniej wpływa na koszt. Zarząd, który zleca „wdrożenie NIS2” bez tego zestawienia, zwykle płaci za powielenie procedur już istniejących oraz za dokumentację opisującą procesy, których organizacja nie prowadzi. Dokumentacja ma pokazywać, jak organizacja rzeczywiście działa; jeżeli opisuje stan wymyślony, podczas audytu działa przeciwko niej.
Praktyczny zakres tego przeglądu jest skończony: analiza ryzyka i jej aktualność, zarządzanie dostępem i uprawnieniami, kopie zapasowe wraz z testem odtworzenia, rejestrowanie zdarzeń, procedura zgłaszania i obsługi incydentów, plan ciągłości działania, wymagania wobec dostawców w obowiązujących umowach oraz weryfikacja niekaralności personelu na stanowiskach wskazanych w ustawie.
Kto odpowiada za co po stronie wykonawczej
Odpowiedzialność kierownika podmiotu nie znosi potrzeby przypisania zadań. Ustawa wymaga między innymi wyznaczenia osoby odpowiedzialnej za kontakty z podmiotami krajowego systemu cyberbezpieczeństwa, a w praktyce potrzebni są także właściciele procesów i właściciele ryzyk — czyli osoby, które potrafią powiedzieć, co się stanie z konkretną usługą, gdy zabraknie konkretnego systemu.
Częsty układ organizacyjny wygląda tak: bezpieczeństwo formalnie należy do IT, ale decyzje o priorytetach zapadają w liniach biznesowych, a nikt nie ma mandatu do rozstrzygania sporów między nimi. W takim układzie wdrożenie zatrzymuje się na etapie analizy ryzyka, ponieważ ocena skutków przerwania procesu wymaga wypowiedzi biznesu, a biznes nie czuje się właścicielem tematu. Rozstrzygnięcie tej kwestii jest decyzją zarządczą, nie techniczną.
Jakie decyzje zarządu wyznaczają tempo
Trzy decyzje realnie warunkują postęp prac i żadnej z nich nie da się podjąć niżej. Pierwsza to poziom ryzyka, który organizacja akceptuje — bez niej analiza ryzyka kończy się listą zagrożeń bez wniosku. Druga to środki finansowe i ludzkie przypisane do zadań, wraz z rozstrzygnięciem, co organizacja robi samodzielnie, a co powierza dostawcy usług bezpieczeństwa. Trzecia dotyczy dostawców: nadzór nad łańcuchem dostaw wymaga zmian w umowach i w procesie zakupowym, a te wykraczają poza kompetencje działu IT.
Osobnym elementem, którego nie warto zamykać na tym etapie, są długoterminowe zobowiązania sprzętowe związane z przepisami o dostawcach wysokiego ryzyka. Prezydent podpisał nowelizację i jednocześnie skierował do Trybunału Konstytucyjnego wniosek dotyczący między innymi tych przepisów oraz poleceń zabezpieczających. Wniosek nie wstrzymał obowiązywania ustawy, ale ten fragment regulacji może się zmienić — na sierpień 2026 r. nie odnotowałem rozstrzygnięcia Trybunału.
Checklista pierwszych decyzji
Do odhaczenia przed pierwszą decyzją budżetową:
- Wskazano imiennie kierownika podmiotu i osobę prowadzącą temat, a ustalenie zapisano w protokole albo uchwale.
- Kwalifikacja podmiotu jest rozstrzygnięta, ma przypisaną kategorię i uzasadnienie na piśmie; w grupie kapitałowej — osobno dla każdej spółki.
- Wniosek o wpis do Wykazu KSC złożono albo wyznaczono datę jego złożenia przed 3 października 2026 r.
- Wyznaczono osobę odpowiedzialną za kontakty z podmiotami krajowego systemu cyberbezpieczeństwa.
- Sporządzono zestawienie tego, co organizacja już ma: analiza ryzyka, zarządzanie dostępem, kopie zapasowe, logi, procedura incydentowa, ciągłość działania, wymagania wobec dostawców.
- Ustalono, jaką drogą i w jakim czasie informacja o incydencie poważnym dociera do kierownika podmiotu.
- Zaplanowano szkolenie kierownika podmiotu i sposób jego udokumentowania.
- Wyznaczono termin, w którym zarząd otrzyma analizę luk wraz z propozycją priorytetów.
Dopiero po tej liście rozmowa o budżecie ma podstawę, ponieważ zakres prac wynika z różnicy między stanem wymaganym a rzeczywistym, a nie z katalogu ofert dostawców.
Wnioski i dalsze kroki
Przygotowanie do NIS2 zaczyna się od decyzji o odpowiedzialności, nie od wdrożenia. Zarząd, który najpierw nazwie kierownika podmiotu, potwierdzi kwalifikację na piśmie i zestawi punkt wyjścia, kupuje sobie coś więcej niż porządek: kupuje możliwość uzasadnienia każdego kolejnego wydatku konkretnym obowiązkiem ustawowym.
Sensowna kolejność na najbliższe miesiące wygląda tak. Do jesieni 2026 roku zamknij kwalifikację, dokumentację samooceny i wpis do Wykazu KSC — to prace formalne, ale bez nich nie ruszy nic dalej. Równolegle zleć zestawienie stanu obecnego i analizę luk, żeby zarząd mógł na jednym posiedzeniu przyjąć zakres, priorytety i budżet. Rok 2027 zostaw na wdrożenie systemu zarządzania bezpieczeństwem informacji, podłączenie do systemu S46 i utrwalenie procesów, a przygotowanie do pierwszego audytu planuj z zapasem, jako sprawdzenie działającego systemu, a nie jako osobny projekt dokumentacyjny.
Miarą postępu nie jest liczba dokumentów. Jest nią odpowiedź na pytanie, czy organizacja potrafi wskazać, kto odpowiada, jak dowiaduje się o incydencie, co robi w pierwszej dobie i czym wykaże, że tak właśnie działa.
Materiały powiązane
- Czy każde naruszenie ochrony danych trzeba zgłosić? — decyzja o zgłoszeniu i rozróżnienie zdarzenia bezpieczeństwa od naruszenia ochrony danych; wątek pokrewny dla organizacji, które równolegle podlegają RODO.
- Jak często szkolić pracowników z ochrony danych osobowych? — obowiązek szkoleniowy a dobra praktyka, w tym w odniesieniu do kadry kierowniczej.
Źródła
- Dyrektywa Parlamentu Europejskiego i Rady (UE) 2022/2555 z dnia 14 grudnia 2022 r. (NIS2) — EUR-Lex: eur-lex.europa.eu (dostęp: 17.08.2026)
- Ustawa z dnia 23 stycznia 2026 r. o zmianie ustawy o krajowym systemie cyberbezpieczeństwa oraz niektórych innych ustaw (Dz.U. 2026 poz. 252) — Dziennik Ustaw: dziennikustaw.gov.pl (dostęp: 17.08.2026)
- Nowelizacja ustawy o KSC — obowiązki podmiotów kluczowych i ważnych — Ministerstwo Cyfryzacji: gov.pl (dostęp: 17.08.2026)
- Nowelizacja ustawy o KSC — najważniejsze terminy — Ministerstwo Cyfryzacji: gov.pl (dostęp: 17.08.2026)
- Nowelizacja ustawy o krajowym systemie cyberbezpieczeństwa — Baza wiedzy, gov.pl: gov.pl (dostęp: 17.08.2026)
- Nowelizacja ustawy o krajowym systemie cyberbezpieczeństwa — stan po pracach parlamentarnych — CyberPolicy NASK-PIB: cyberpolicy.nask.pl (dostęp: 17.08.2026)
- Prezydent podpisał ustawę o krajowym systemie cyberbezpieczeństwa i skierował wniosek do TK — Prawo.pl: prawo.pl (dostęp: 17.08.2026)
Ustalmy pierwszy krok dla Twojej organizacji
Jeżeli kwalifikacja jest już rozstrzygnięta, a otwarte pozostaje pytanie o zakres i kolejność prac, warto zacząć od analizy luk — ona pokazuje, ile z wymagań organizacja spełnia dziś i czego naprawdę brakuje. Wsparcie w przygotowaniu do NIS2 i KSC obejmuje ustalenie zakresu obowiązków, analizę luk oraz plan działań możliwych do utrzymania i wykazania podczas audytu.
Materiał ma charakter ogólny i edukacyjny. Nie stanowi indywidualnej opinii prawnej ani rekomendacji dla konkretnej organizacji. Zakres obowiązków należy ocenić z uwzględnieniem jej sytuacji.
Stan prawny: sierpień 2026.