Porozmawiajmy
Zastanawiasz się, jak to wygląda w Twojej organizacji? Napisz — odpowiem osobiście.
Krótka odpowiedź
Od dwóch rozstrzygnięć, które musi podjąć sam zarząd. Chodzi o to, kto w organizacji jest kierownikiem podmiotu w rozumieniu ustawy o KSC i czy kwalifikacja podmiotu została ustalona oraz udokumentowana. Dopiero po nich sens ma analiza luk, plan wdrożenia i budżet — bez nich organizacja finansuje prace, których zakresu nikt nie potrafi uzasadnić. Ustawa nie pozwala przenieść odpowiedzialności kierownika podmiotu na dział IT ani na dostawcę, więc pierwsza decyzja jest decyzją zarządu, a nie zadaniem do delegowania.
Dlaczego to pytanie w ogóle powstaje
Przygotowanie do NIS2 bywa uruchamiane od środka. Zarząd dowiaduje się, że organizacja podlega nowym przepisom, zleca temat działowi IT albo compliance, a po kilku tygodniach dostaje zestawienie brakujących procedur i wycenę narzędzi. Pytanie o kolejność wraca dopiero wtedy, gdy trzeba zatwierdzić wydatek, którego nikt nie umie powiązać z konkretnym obowiązkiem.
Źródłem tego zamieszania jest konstrukcja przepisów. Sama dyrektywa (UE) 2022/2555 wiąże państwo członkowskie, a nie przedsiębiorcę — obowiązki organizacji wynikają z ustawy o krajowym systemie cyberbezpieczeństwa (KSC) w brzmieniu nadanym nowelizacją z 23 stycznia 2026 r., która weszła w życie 3 kwietnia 2026 r. Ustawa zmienia przy tym coś, co w poprzednim stanie prawnym nie było tak wyraźne. Umieszcza odpowiedzialność za wykonywanie obowiązków w zakresie cyberbezpieczeństwa po stronie kierownika podmiotu (art. 8c), nakłada na niego obowiązek udokumentowanego szkolenia raz w roku kalendarzowym (art. 8e) i przewiduje odrębną karę pieniężną dla tej osoby — do 300 % jej wynagrodzenia, a w podmiocie publicznym do 100 % (art. 73a ust. 4 i 5) — niezależną od kary nakładanej na podmiot.
Cyberbezpieczeństwo przestaje być zatem tematem, który zarząd może przyjąć do wiadomości. Staje się obszarem, w którym zarząd podejmuje decyzje i musi umieć pokazać, na jakiej podstawie je podjął.
Drugim powodem jest kalendarz. Wpis do Wykazu KSC dla podmiotów rejestrujących się na wniosek przypada na okres do 3 października 2026 r., okres dostosowawczy kończy się 3 kwietnia 2027 r., a dwudziestoczteromiesięczny termin na pierwszy audyt podmiotów kluczowych upływa 3 kwietnia 2028 r.; po tej dacie mogą też być po raz pierwszy nakładane kary pieniężne — odroczenie nie obejmuje jedynie kary nadzwyczajnej do 100 mln zł. Sam harmonogram rejestracji nie wynika przy tym z ustawy, lecz z komunikatu Ministra Cyfryzacji z 8 kwietnia 2026 r., który minister może zmienić; data 3 października 2026 r. dotyczy podmiotów spełniających przesłanki 3 kwietnia 2026 r., a organizacja, która spełni je później, ma na złożenie wniosku sześć miesięcy od tego momentu — przy wpisie z urzędu termin biegnie od doręczenia wezwania. Te daty nie są argumentem za pośpiechem. Wyznaczają natomiast, które prace muszą się zamknąć w tym roku, a które mają czas do 3 kwietnia 2027 r.
Co powinien wiedzieć zarząd?
Odpowiedzialność za wykonywanie obowiązków z ustawy o KSC spoczywa na kierowniku podmiotu i nie da się jej przenieść umową ani uchwałą — delegować można wykonanie zadań, nie odpowiedzialność. Kierownik podmiotu ma obowiązek odbywać udokumentowane szkolenie z cyberbezpieczeństwa, a ustawa przewiduje dla niego odrębną karę pieniężną, obok kary dla podmiotu.
Kwalifikacja podmiotu opiera się na samoocenie. Nikt nie zawiadomi organizacji, że podlega, a wynik oceny — także negatywny — powinien zostać udokumentowany. Zakres wdrożenia wynika z kategorii podmiotu i z tego, co organizacja już ma, więc budżet ustalany przed analizą luk jest budżetem zgadywanym. Terminy rozkładają prace na dwa etapy. Są to rejestracja w 2026 roku oraz wdrożenie i podłączenie do systemu S46 do 3 kwietnia 2027 r.
Co trzeba ustalić przed decyzją
Kto jest kierownikiem podmiotu i czego ustawa od niego wymaga
To pytanie brzmi formalnie, a rozstrzyga o całej reszcie. W organizacjach z zarządem wieloosobowym odpowiedzialność dotyczy organu, ale praktyka wymaga wskazania osoby, która prowadzi temat, referuje go zarządowi i odpowiada za kompletność materiału decyzyjnego. W grupach kapitałowych kwalifikację i status ustala się osobno dla każdego podmiotu, więc kierowników podmiotu jest tylu, ile spółek objętych ustawą — wspólny projekt grupowy tego nie zastępuje.
Z tego ustalenia wynikają trzy rzeczy, o które zarząd powinien zapytać na pierwszym posiedzeniu poświęconym temu tematowi. Chodzi o to, kto imiennie odpowiada, jakie szkolenie odbył lub odbędzie i w jakim trybie otrzymuje informacje o incydentach. Trzecie pytanie jest najczęściej pomijane, a decyduje o zdolności do zgłoszenia incydentu poważnego w wymaganym terminie — wczesne ostrzeżenie w ciągu 24 godzin od wykrycia incydentu poważnego i zgłoszenie w ciągu 72 godzin, również liczonych od wykrycia, a nie od wczesnego ostrzeżenia.
Czy kwalifikacja jest rozstrzygnięta i udokumentowana
Zapamiętaj
Kwalifikacja to nie formalność otwierająca projekt, tylko jego podstawa.
Od niej zależy, czy organizacja jest podmiotem kluczowym czy ważnym, a od tego — czy musi zaplanować cykl audytowy i w jakim reżimie nadzoru się znajdzie. Kryteria i sposób przeprowadzenia samooceny opisuje materiał Czy każda organizacja podlega NIS2?. Zarząd powinien z tej oceny otrzymać konkretny wynik.
Użyteczny wynik kwalifikacji to nie zdanie „podlegamy”. To krótki dokument. Wskazuje on, które linie działalności przypisano do sektorów z załączników ustawy i jak policzono wielkość podmiotu z uwzględnieniem przedsiębiorstw powiązanych i partnerskich. Podaje też, jaką kategorię przyjęto i kto ten wniosek zatwierdził. Bez tego zapisu zarząd nie ma czym wykazać, że decyzja była świadoma — a przy negatywnym wyniku kwalifikacji ten dokument jest jedynym śladem, że w ogóle ją przeprowadzono.
Co organizacja już ma
Przygotowanie do NIS2 rzadko zaczyna się od zera. Organizacje z certyfikowanym systemem zarządzania bezpieczeństwem informacji, z wdrożonym RODO, z działającą procedurą obsługi incydentów albo z obowiązkami wynikającymi z rozporządzenia DORA mają już część wymaganych elementów — zwykle w innym układzie i pod inną nazwą.
Zestawienie punktu wyjścia jest krokiem, który najsilniej wpływa na koszt. Zarząd, który zleca „wdrożenie NIS2” bez tego zestawienia, zwykle płaci za powielenie procedur już istniejących oraz za dokumentację opisującą procesy, których organizacja nie prowadzi. Dokumentacja ma pokazywać, jak organizacja rzeczywiście działa; jeżeli opisuje stan wymyślony, podczas audytu działa przeciwko niej.
Praktyczny zakres tego przeglądu jest skończony. Składają się na niego analiza ryzyka i jej aktualność, zarządzanie dostępem i uprawnieniami, kopie zapasowe wraz z testem odtworzenia, rejestrowanie zdarzeń, procedura zgłaszania i obsługi incydentów, plan ciągłości działania, wymagania wobec dostawców w obowiązujących umowach oraz weryfikacja niekaralności osób realizujących zadania z zakresu systemu zarządzania bezpieczeństwem informacji oraz obsługi incydentów — informacją z Krajowego Rejestru Karnego o niekaralności za przestępstwa przeciwko ochronie informacji, przy czym ważne poświadczenie bezpieczeństwa do klauzuli „poufne” lub wyższej zastępuje ten wymóg.
Kto odpowiada za co po stronie wykonawczej
Odpowiedzialność kierownika podmiotu nie znosi potrzeby przypisania zadań. Ustawa wymaga między innymi wyznaczenia co najmniej dwóch osób odpowiedzialnych za kontakty z podmiotami krajowego systemu cyberbezpieczeństwa; jedna osoba wystarcza wyłącznie u mikro- i małego przedsiębiorcy oraz w podmiocie ważnym będącym podmiotem publicznym. W praktyce potrzebni są także właściciele procesów i właściciele ryzyk — czyli osoby, które potrafią powiedzieć, co się stanie z konkretną usługą, gdy zabraknie konkretnego systemu.
Częsty układ organizacyjny wygląda tak. Bezpieczeństwo formalnie należy do IT, ale decyzje o priorytetach zapadają w liniach biznesowych, a nikt nie ma mandatu do rozstrzygania sporów między nimi. W takim układzie wdrożenie zatrzymuje się na etapie analizy ryzyka, ponieważ ocena skutków przerwania procesu wymaga wypowiedzi biznesu, a biznes nie czuje się właścicielem tematu. Rozstrzygnięcie tej kwestii jest decyzją zarządczą, nie techniczną.
Jakie decyzje zarządu wyznaczają tempo
Trzy decyzje realnie warunkują postęp prac i żadnej z nich nie da się podjąć niżej. Pierwsza to poziom ryzyka, który organizacja akceptuje — bez niej analiza ryzyka kończy się listą zagrożeń bez wniosku. Druga to środki finansowe i ludzkie przypisane do zadań, wraz z rozstrzygnięciem, co organizacja robi samodzielnie, a co powierza dostawcy usług bezpieczeństwa. Trzecia dotyczy dostawców. Nadzór nad łańcuchem dostaw wymaga zmian w umowach i w procesie zakupowym, a te wykraczają poza kompetencje działu IT.
Osobnym elementem, którego nie warto zamykać na tym etapie, są długoterminowe zobowiązania sprzętowe związane z przepisami o dostawcach wysokiego ryzyka. Prezydent podpisał nowelizację i jednocześnie skierował do Trybunału Konstytucyjnego wniosek dotyczący między innymi tych przepisów oraz poleceń zabezpieczających. Wniosek nie wstrzymał obowiązywania ustawy, ale ten fragment regulacji może się zmienić — na sierpień 2026 r. nie odnotowałem rozstrzygnięcia Trybunału.
Checklista pierwszych decyzji
Do odhaczenia przed pierwszą decyzją budżetową.
- Wskazano imiennie kierownika podmiotu i osobę prowadzącą temat, a ustalenie zapisano w protokole albo uchwale.
- Kwalifikacja podmiotu jest rozstrzygnięta, ma przypisaną kategorię i uzasadnienie na piśmie; w grupie kapitałowej — osobno dla każdej spółki.
- Wniosek o wpis do Wykazu KSC złożono albo wyznaczono datę jego złożenia przed 3 października 2026 r. — termin z komunikatu Ministra Cyfryzacji dotyczy podmiotów spełniających przesłanki 3 kwietnia 2026 r.; przy późniejszym spełnieniu przesłanek biegnie sześć miesięcy od tego momentu.
- Wyznaczono co najmniej dwie osoby odpowiedzialne za kontakty z podmiotami krajowego systemu cyberbezpieczeństwa (jedna — tylko przy mikro- lub małym przedsiębiorcy albo w podmiocie ważnym będącym podmiotem publicznym).
- Sporządzono zestawienie tego, co organizacja już ma. Są to analiza ryzyka, zarządzanie dostępem, kopie zapasowe, logi, procedura incydentowa, ciągłość działania, wymagania wobec dostawców.
- Ustalono, jaką drogą i w jakim czasie informacja o incydencie poważnym dociera do kierownika podmiotu.
- Zaplanowano szkolenie kierownika podmiotu i sposób jego udokumentowania.
- Wyznaczono termin, w którym zarząd otrzyma analizę luk wraz z propozycją priorytetów.
Dopiero po tej liście rozmowa o budżecie ma podstawę, ponieważ zakres prac wynika z różnicy między stanem wymaganym a rzeczywistym, a nie z katalogu ofert dostawców.
Wnioski i dalsze kroki
Przygotowanie do NIS2 zaczyna się od decyzji o odpowiedzialności, nie od wdrożenia. Zarząd, który najpierw nazwie kierownika podmiotu, potwierdzi kwalifikację na piśmie i zestawi punkt wyjścia, kupuje sobie coś więcej niż porządek. Kupuje możliwość uzasadnienia każdego kolejnego wydatku konkretnym obowiązkiem ustawowym.
Sensowna kolejność na najbliższe miesiące wygląda tak. Do jesieni 2026 roku zamknij kwalifikację, dokumentację samooceny i wpis do Wykazu KSC — to prace formalne, ale bez nich nie ruszy nic dalej. Równolegle zleć zestawienie stanu obecnego i analizę luk, żeby zarząd mógł na jednym posiedzeniu przyjąć zakres, priorytety i budżet. Do 3 kwietnia 2027 r. zamknij wdrożenie systemu zarządzania bezpieczeństwem informacji i podłączenie do systemu S46. Po tej dacie zostaje utrwalanie procesów i przygotowanie do pierwszego audytu, który przypada do 3 kwietnia 2028 r.
Miarą postępu nie jest liczba dokumentów. Jest nią odpowiedź na pytanie, czy organizacja potrafi wskazać, kto odpowiada, jak dowiaduje się o incydencie, co robi w pierwszej dobie i czym wykaże, że tak właśnie działa.
Materiały powiązane
- Czy każde naruszenie ochrony danych trzeba zgłosić? — decyzja o zgłoszeniu i rozróżnienie zdarzenia bezpieczeństwa od naruszenia ochrony danych; wątek pokrewny dla organizacji, które równolegle podlegają RODO.
- Jak często szkolić pracowników z ochrony danych osobowych? — obowiązek szkoleniowy a dobra praktyka, w tym w odniesieniu do kadry kierowniczej.
- Kiedy i jak złożyć wniosek o wpis do wykazu podmiotów kluczowych i ważnych? — terminy, dane do wniosku i oświadczenie kierownika podmiotu.
- Co zrobić po 3 października 2026 r., gdy termin na wpis do wykazu minął? — obowiązki rejestrowe po zamknięciu harmonogramu, w tym wpis z urzędu
Źródła
- Ustawa z dnia 5 lipca 2018 r. o krajowym systemie cyberbezpieczeństwa, tekst ujednolicony — ISAP: isap.sejm.gov.pl (dostęp: 18.08.2026)
- Dyrektywa Parlamentu Europejskiego i Rady (UE) 2022/2555 z dnia 14 grudnia 2022 r. (NIS2) — EUR-Lex: eur-lex.europa.eu (dostęp: 17.08.2026)
- Ustawa z dnia 23 stycznia 2026 r. o zmianie ustawy o krajowym systemie cyberbezpieczeństwa oraz niektórych innych ustaw (Dz.U. 2026 poz. 252) — Dziennik Ustaw: dziennikustaw.gov.pl (dostęp: 17.08.2026)
- Komunikat Ministra Cyfryzacji z dnia 8 kwietnia 2026 r. w sprawie terminów wynikających z nowelizacji ustawy o KSC (Dz. Urz. Min. Cyfr. poz. 7) — Ministerstwo Cyfryzacji: gov.pl (dostęp: 18.08.2026)
- Nowelizacja ustawy o KSC — obowiązki podmiotów kluczowych i ważnych — Ministerstwo Cyfryzacji: gov.pl (dostęp: 17.08.2026)
- Prezydent podpisał ustawę o krajowym systemie cyberbezpieczeństwa i skierował wniosek do TK — Prawo.pl: prawo.pl (dostęp: 17.08.2026)
Ustalmy pierwszy krok dla Twojej organizacji
Jeżeli kwalifikacja jest już rozstrzygnięta, a otwarte pozostaje pytanie o zakres i kolejność prac, warto zacząć od analizy luk — ona pokazuje, ile z wymagań organizacja spełnia dziś i czego naprawdę brakuje. Wsparcie w przygotowaniu do NIS2 i KSC obejmuje ustalenie zakresu obowiązków, analizę luk oraz plan działań możliwych do utrzymania i wykazania podczas audytu.
Materiał ma charakter ogólny i edukacyjny. Nie stanowi indywidualnej opinii prawnej ani rekomendacji dla konkretnej organizacji. Zakres obowiązków należy ocenić z uwzględnieniem jej sytuacji.
Stan prawny: sierpień 2026.