Jakie środki zarządzania ryzykiem musi wdrożyć podmiot kluczowy?

Dlaczego to pytanie w ogóle powstaje

Podmioty spełniające przesłanki w dniu wejścia w życie nowelizacji realizują obowiązki z rozdziału 3 w terminie dwunastu miesięcy, czyli do 3 kwietnia 2027 r. (art. 33 ust. 1 nowelizacji). Zbliżanie się tej daty wywołuje jedno pytanie częściej niż wszystkie pozostałe. Organizacje szukają listy środków do wdrożenia, a dostawcy chętnie taką listę przedstawiają.

Ustawa jest zbudowana inaczej. Opisuje stan docelowy i wskazuje obszary, których musi dotyczyć, natomiast poziomu szczegółowości nie przesądza. Dla większości podmiotów nie ma też aktu, który by go przesądzał. Środki określone w rozporządzeniu wykonawczym Komisji (UE) 2024/2690 stosują podmioty cyfrowe wymienione w art. 8b ust. 1. To samo rozporządzenie obejmuje dostawców usług zaufania, którzy trafiają do niego przez odesłanie z art. 8b ust. 2. Część podsektora energii elektrycznej dodatkowo stosuje rozporządzenie delegowane Komisji (UE) 2024/1366 (art. 8b ust. 3). Wobec pozostałych rodzajów podmiotów ustawa odsyła do aktów wykonawczych wydanych na podstawie art. 21 ust. 5 dyrektywy 2022/2555 (art. 8b ust. 2). Dla nich dyrektywa czyni wydanie takich aktów fakultatywnym (art. 21 ust. 5 akapit drugi). Na początku września 2026 r. takich aktów nie odnotowano. Rada Ministrów również ma upoważnienie fakultatywne do określenia szczegółowych wymagań (art. 8a) i rozporządzenia na tej podstawie nie odnotowano.

Poziom szczegółowości, jaki mają mieć środki zarządzania ryzykiem NIS2, ustala więc sam podmiot. To nie jest swoboda bez konsekwencji, bo organ właściwy do spraw cyberbezpieczeństwa może wystąpić o przedstawienie dowodów realizacji wymogów z art. 8 ust. 1 (art. 53 ust. 2 pkt 6) oraz o informacje potrzebne do oceny samych środków (art. 53 ust. 2 pkt 4). Wobec podmiotu ważnego organ korzysta z tych samych uprawnień w ramach nadzoru następczego (art. 53 ust. 3 pkt 2 i ust. 17). Dobór środków musi być zatem obroniony, a nie tylko odhaczony.

Co trzeba ustalić przed decyzją

Z czego składa się system opisany w art. 8 ust. 1

System zarządzania bezpieczeństwem informacji obejmuje system informacyjny wykorzystywany w procesach wpływających na świadczenie usługi. Ustawa dzieli go na pięć części i każda odpowiada na inne pytanie. Ten sam przepis wiąże co do zasady podmiot kluczowy i podmiot ważny, a wyjątki przewidują art. 8 ust. 3 i art. 8i ust. 1.

Część systemu	Co przesądza ustawa	Co zostaje do rozstrzygnięcia w organizacji
Szacowanie ryzyka i zarządzanie nim (pkt 1)	wymóg systematyczności	metoda, skala, częstotliwość i próg akceptacji ryzyka
Środki techniczne i organizacyjne (pkt 2)	czternaście obszarów po słowach „w szczególności”	dobór środka i jego głębokość w każdym obszarze
Informacje o cyberzagrożeniach i podatnościach (pkt 3)	wymóg zbierania informacji	źródła, sposób obsługi i osoby odpowiedzialne
Zarządzanie incydentami (pkt 4)	wymóg zarządzania incydentami	podział ról, klasyfikacja i powiązanie ze zgłoszeniami
Środki zapobiegające incydentom i ograniczające ich wpływ (pkt 5)	otwarte wyliczenie działań, w tym aktualizacje i ochrona przed nieuprawnioną modyfikacją	tryb aktualizacji, zakres monitorowania i zasady ograniczania ruchu

Kolejność tych części ma znaczenie. Punkt 2 wymaga środków proporcjonalnych do oszacowanego ryzyka, więc dobór środków wynika z szacowania z punktu 1, a nie odwrotnie.

Co znaczy „w szczególności” w katalogu środków

Czternaście pozycji z art. 8 ust. 1 pkt 2 układa się w kilka grup tematycznych.

• polityki szacowania ryzyka i bezpieczeństwa systemu informacyjnego, polityki kryptografii oraz kontroli dostępu (lit. a, k, n);
• bezpieczeństwo w procesie nabywania, rozwoju, utrzymania i eksploatacji systemu wraz z jego testowaniem oraz zarządzanie aktywami (lit. b, m);
• bezpieczeństwo fizyczne i środowiskowe oraz bezpieczeństwo zasobów ludzkich (lit. c, d);
• bezpieczeństwo i ciągłość łańcucha dostaw produktów, usług i procesów ICT (lit. e);
• plany ciągłości działania, plany awaryjne i plany odtworzenia działalności (lit. f);
• monitorowanie systemu w trybie ciągłym oraz ocena skuteczności środków (lit. g, h);
• edukacja z zakresu cyberbezpieczeństwa i podstawowe zasady cyberhigieny (lit. i, j);
• bezpieczne środki komunikacji elektronicznej, w stosownych przypadkach z uwierzytelnianiem wieloskładnikowym (lit. l).

Słowo „w szczególności” działa w obie strony. Katalog jest minimum tematycznym, więc żadnego z czternastu obszarów nie można pominąć. Warunkowe są tylko elementy, które przepis sam opatruje słowami „w stosownych przypadkach”, jak szyfrowanie z lit. k i uwierzytelnianie wieloskładnikowe z lit. l. Katalog nie jest jednak sufitem, bo oszacowane ryzyko może wymagać środka spoza listy. Litery katalogu odpowiadają przede wszystkim na pytanie „czego”, a na pytanie „ile” tylko w kilku miejscach, jak monitorowanie w trybie ciągłym z lit. g.

Sześć czynników, którymi uzasadnia się dobór środków

Środki zarządzania ryzykiem NIS2 mają być odpowiednie i proporcjonalne do oszacowanego ryzyka. Przepis wymienia sześć czynników, które trzeba przy tym uwzględnić.

1. najnowszy stan wiedzy;
2. koszty wdrożenia;
3. wielkość podmiotu;
4. prawdopodobieństwo wystąpienia incydentów;
5. narażenie podmiotu na ryzyka;
6. skutki społeczne i gospodarcze.

Zbliżone czynniki wskazuje art. 21 ust. 1 dyrektywy 2022/2555, który dodaje w stosownych przypadkach normy europejskie i międzynarodowe oraz dotkliwość incydentów. Proporcjonalność bywa czytana wyłącznie jako podstawa do zrobienia mniej, a działa również w drugą stronę. Podmiot, którego przerwa w świadczeniu usługi wywołuje szerokie skutki społeczne, ma z art. 8 ust. 1 pkt 2 wyższą poprzeczkę niż podmiot o podobnej wielkości i innym profilu.

Rekomenduję zapisywanie zastosowania tych czynników przy każdej istotnej decyzji o zakresie środka. Zapis nie musi być długi. Wystarczy wskazanie ryzyka, wybranego wariantu i czynnika, który przesądził o rezygnacji z wariantu mocniejszego. Taki zapis przydaje się, gdy organ wystąpi o informacje niezbędne do oceny środków (art. 53 ust. 2 pkt 4).

Jak szczegółowe mają być środki zarządzania ryzykiem NIS2

Punktów odniesienia jest kilka i żaden nie zastępuje własnej analizy.

Pierwszy to rozporządzenie wykonawcze (UE) 2024/2690. Wiąże ono bezpośrednio podmioty cyfrowe wymienione w art. 8b ust. 1 i dostawców usług zaufania. Dla pozostałych podmiotów pozostaje wskazówką co do oczekiwanej dokładności opisu środków. Uzupełnia je techniczna wskazówka wdrożeniowa ENISA z czerwca 2025 r., która dla każdego wymogu podaje przykłady dowodów. Dokument ENISA nie jest wiążący i sam to zastrzega. W mojej ocenie jest dziś najlepszym dostępnym wzorcem poziomu szczegółowości, o ile organizacja pamięta, że przenosi go z innego reżimu.

Drugi punkt odniesienia to normy. Dyrektywa 2022/2555 wskazuje w motywie 79 normy europejskie i międzynarodowe, w tym serię ISO/IEC 27000, jako punkt odniesienia dla ochrony przed zdarzeniami fizycznymi i środowiskowymi. Ustawa nie wymaga certyfikacji ani wdrożenia konkretnej normy. Norma jest sposobem uporządkowania i wykazania, nie obowiązkiem.

Trzeci punkt odniesienia to wynik badania własnego. Zestawienie stanu faktycznego z katalogiem z art. 8 ust. 1 wraz z przypisaniem podstawy prawnej każdej luki opisuje materiał Co powinien zawierać wynik analizy luk NIS2?.

Łańcuch dostaw ma własne kryteria

Bezpieczeństwo łańcucha dostaw jest jedynym środkiem z katalogu, dla którego ustawa dopisała osobne kryteria doboru. Wdrażając ten środek, podmiot uwzględnia podatności związane z dostawcą sprzętu lub oprogramowania oraz ogólną jakość jego produktów, usług i procesów ICT (art. 8 ust. 2). Uwzględnia także wyniki skoordynowanej oceny bezpieczeństwa przeprowadzonej przez Grupę Współpracy oraz wyniki postępowania z art. 67b. Sam katalog wskazuje przy tym wprost związki z bezpośrednim dostawcą sprzętu lub oprogramowania (art. 8 ust. 1 pkt 2 lit. e).

Kto nie stosuje art. 8 ust. 1

Podmiot ważny będący podmiotem publicznym nie stosuje art. 8 ust. 1. Jego system zarządzania bezpieczeństwem informacji ma spełniać wymogi z załącznika nr 4 do ustawy (art. 8 ust. 3). Ten sam przepis obejmuje podmiot ważny będący wskazanym w nim podmiotem systemu szkolnictwa wyższego i nauki, na przykład uczelnią. Warunkiem jest to, że nie jest on organizacją badawczą, a wyłączenie dotyczy zadań publicznych realizowanych z wykorzystaniem systemów informacyjnych. Odrębnie podmioty z sektora bankowości i infrastruktury rynków finansowych stosują z art. 8 ust. 1 tylko pkt 1 oraz pkt 2 lit. j (art. 8i ust. 1).

Załącznik nr 4 dzieli wymogi na obowiązkowe i dodatkowe, co bywa przeoczane. Część I wymienia osiemnaście pozycji, które system obejmuje „co najmniej”, od inwentaryzacji produktów ICT po procedury na wypadek incydentu. Część II wymienia dziewięć elementów, które system „może dodatkowo obejmować”, w tym zasady korzystania z ogólnodostępnych usług chmurowych i dużych modeli generatywnych. Traktowanie części II jak wymogu podnosi poprzeczkę bez podstawy w przepisie. Część III nakazuje przegląd systemu co najmniej raz w roku. Przegląd trzeba też przeprowadzić bezzwłocznie po rekomendacji Pełnomocnika Rządu do Spraw Cyberbezpieczeństwa dotyczącej systemów informacyjnych, produktów ICT lub usług ICT podmiotu. To samo dotyczy okoliczności, które mogą wpłynąć na ryzyko incydentu poważnego i wymagają ponownego zrealizowania działań albo zmiany systemu. Część IV nakazuje dokumentowanie realizacji działań.

Czym organizacja wykaże, że środki zarządzania ryzykiem NIS2 działają

Dowód jest częścią obowiązku, a nie dodatkiem do niego. Podmiot kluczowy i podmiot ważny opracowuje, stosuje i aktualizuje dokumentację bezpieczeństwa systemu informacyjnego (art. 10 ust. 1). Ustawa dzieli ją na dokumentację normatywną oraz operacyjną, czyli na zapisy poświadczające wykonanie czynności wymaganych przez dokumenty normatywne. Do drugiej grupy należą również automatycznie generowane zapisy w dziennikach systemów informacyjnych.

Ten podział przydaje się w rozmowie z organem. Organ może żądać dowodów realizacji wymogów z art. 8 ust. 1, a nie samego opisu przyjętych zasad. Środek opisany w polityce i niepotwierdzony żadnym zapisem jest w rozmowie z organem środkiem, którego nie da się wykazać.

Drugim mechanizmem wykazywania jest audyt. Podmiot kluczowy przeprowadza audyt bezpieczeństwa systemu informacyjnego na własny koszt co najmniej raz na trzy lata (art. 15 ust. 1). Kopię raportu przekazuje organowi w ciągu trzech dni roboczych od jego otrzymania (art. 15 ust. 1a). Pierwszy audyt przeprowadzają do 3 kwietnia 2028 r. podmioty spełniające w dniu wejścia nowelizacji w życie przesłanki uznania za podmiot kluczowy (art. 33 ust. 2 nowelizacji). Termin wynosi dwadzieścia cztery miesiące. Niezależnie od tego cyklu organ może nakazać podmiotowi kluczowemu audyt zewnętrzny w każdym czasie (art. 15 ust. 1b).

Co obowiązuje przed 3 kwietnia 2027 r.

Podmioty, które przed nowelizacją były operatorami usług kluczowych, nie mają w tym okresie luki. Do czasu wdrożenia systemu zgodnego z nowym brzmieniem art. 8 stosują system zgodny z brzmieniem dotychczasowym (art. 33 ust. 6 nowelizacji). Przedsiębiorcy telekomunikacyjni, którzy przed nowelizacją wykonywali obowiązki z działu VIIa Prawa telekomunikacyjnego, wykonują je na podstawie dotychczasowych przepisów do czasu rozpoczęcia realizacji obowiązków z rozdziału 3 (art. 33 ust. 5 nowelizacji). Dla podmiotów objętych ustawą po raz pierwszy obowiązek pojawia się w pełnym zakresie z upływem terminu dwunastu miesięcy.

Najczęstsze błędy

• Traktowanie czternastu liter katalogu jak listy kontrolnej. Litery wskazują przede wszystkim obszary, a zakres środka w każdym z nich wynika z szacowania ryzyka.
• Dobór środków przed oszacowaniem ryzyka. Przepis wymaga środków proporcjonalnych do oszacowanego ryzyka, więc szacowanie musi być pierwsze.
• Czytanie proporcjonalności wyłącznie jako podstawy do zrobienia mniej. Skutki społeczne przerwy w usłudze podnoszą wymagany poziom.
• Uznanie certyfikatu normy za wykonanie obowiązku ustawowego. Norma pomaga wykazać, ale zakres obowiązku wynika z ustawy.
• Stosowanie części II załącznika nr 4 jak wymogu obowiązkowego. Część II jest fakultatywna, a obowiązkowe są części I, III i IV.
• Pominięcie warstwy dowodowej. Bez dokumentacji operacyjnej organ nie ma czego ocenić.
• Odkładanie prac do wiosny 2027 r. Wdrożenie planów ciągłości działania i monitorowania ciągłego wymaga więcej niż jednego kwartału.

Wnioski i dalsze kroki

Pytanie „jakie środki wdrożyć” ma sens dopiero po pytaniu „jakie ryzyko oszacowaliśmy”. Środki zarządzania ryzykiem NIS2 nie muszą być kompletem rozwiązań technicznych z górnej półki. Muszą wynikać z doboru, który organizacja potrafi uzasadnić i pokazać. Kolejność pracy jest w większości organizacji podobna.

1. Ustalić zakres systemu, czyli wskazać procesy wpływające na świadczenie usługi oraz obsługujące je systemy informacyjne.
2. Przeprowadzić szacowanie ryzyka i zapisać metodę, skalę i próg akceptacji, bo od nich zależy uzasadnienie każdego dalszego wyboru.
3. Zestawić czternaście obszarów z art. 8 ust. 1 pkt 2 ze stanem faktycznym i wskazać braki.
4. Przy każdej decyzji o zakresie środka zapisać czynnik, który o niej przesądził.
5. Przypisać każdemu środkowi właściciela oraz zapis, który będzie dowodem jego stosowania.
6. Uporządkować dokumentację normatywną i operacyjną, z nadzorem nad wersjami i dostępem.
7. Zaplanować audyt z wyprzedzeniem, tak aby dowody powstawały od początku, a nie na trzy miesiące przed jego terminem.

Materiały powiązane

• Co powinien zawierać wynik analizy luk NIS2? — jak opisać lukę, żeby dało się z niej zrobić zadanie
• Czy każda organizacja podlega NIS2? — kwalifikacja podmiotu, od której zależy zakres obowiązków
• Od czego zarząd powinien rozpocząć przygotowanie do NIS2? — kolejność decyzji przed rozpoczęciem wdrożenia
• Co zrobić po wykryciu incydentu? — zarządzanie incydentami w praktyce pierwszej doby

Źródła

• Ustawa z dnia 5 lipca 2018 r. o krajowym systemie cyberbezpieczeństwa, tekst ujednolicony (stan na 7 lipca 2026 r.), art. 8, art. 8a, art. 8b, art. 8i, art. 10, art. 15, art. 53 oraz załącznik nr 4 — ISAP, Kancelaria Sejmu: isap.sejm.gov.pl (dostęp: 10.09.2026)
• Ustawa z dnia 23 stycznia 2026 r. o zmianie ustawy o krajowym systemie cyberbezpieczeństwa oraz niektórych innych ustaw (Dz.U. 2026 poz. 252), art. 33 i art. 49 — Dziennik Ustaw: dziennikustaw.gov.pl (dostęp: 10.09.2026)
• Dyrektywa Parlamentu Europejskiego i Rady (UE) 2022/2555 z dnia 14 grudnia 2022 r. (NIS2), art. 21 oraz motywy 79–82 — EUR-Lex: eur-lex.europa.eu (dostęp: 10.09.2026)
• Rozporządzenie wykonawcze Komisji (UE) 2024/2690 z dnia 17 października 2024 r. — wymogi techniczne i metodyczne dla podmiotów wymienionych w art. 8b ust. 1 ustawy oraz dostawców usług zaufania — EUR-Lex: eur-lex.europa.eu (dostęp: 10.09.2026)
• ENISA, „Technical Implementation Guidance on Cybersecurity Risk Management Measures”, wersja 1.0, czerwiec 2025 r. — dokument o charakterze doradczym — ENISA: enisa.europa.eu (dostęp: 10.09.2026)