NIS2 w Polsce: czy Twoja firma podlega ustawie o KSC? Sprawdź w darmowym teście

Krótko: Dyrektywa NIS2 została wdrożona do polskiego prawa nowelizacją ustawy o krajowym systemie cyberbezpieczeństwa (KSC). Objęła znacznie więcej firm niż poprzednie przepisy — nie tylko „infrastrukturę krytyczną”, ale tysiące średnich i dużych podmiotów z kilkunastu sektorów. Wkrótce ruszają pierwsze kontrole. Jeśli nie wiesz, czy jesteś podmiotem kluczowym albo ważnym, nasz darmowy test zgodności z KSC rozstrzyga to od razu po wypełnieniu profilu firmy — jeszcze przed odpowiedzią na jakiekolwiek pytanie. Dane zostają lokalnie w Twojej przeglądarce.

Zbudowaliśmy je specjalnie dla operatorów i innych firm, bo takiego narzędzia w polskim internecie brakowało — dotąd podobne rozwiązania były płatne. Nasze jest bezpłatne i ma jeden cel: pomóc przygotować się do nadchodzących kontroli i uniknąć kar oraz problemów z tytułu niezgodności.

Czym jest NIS2 i ustawa o KSC

NIS2 to unijna dyrektywa 2022/2555 podnosząca wymogi cyberbezpieczeństwa dla firm i instytucji w UE. W Polsce jej przepisy działają przez ustawę o krajowym systemie cyberbezpieczeństwa (KSC) — w brzmieniu nadanym nowelizacją z 23 stycznia 2026 r. To ustawa krajowa, na którą trzeba patrzeć w praktyce; sama dyrektywa jest tylko źródłem.

Najważniejsza zmiana względem „starej” NIS: znika wąska lista wskazanych operatorów. Teraz obowiązek wynika z sektora + wielkości firmy — obejmuje Cię automatycznie, jeśli spełniasz kryteria, nawet bez decyzji administracyjnej.

Kogo dotyczy NIS2? Podmioty kluczowe i ważne

Ustawa dzieli objęte firmy na dwie kategorie:

• Podmiot kluczowy — najważniejsze sektory i najwięksi gracze; ostrzejszy nadzór (m.in. kontrole z urzędu).
• Podmiot ważny — pozostałe objęte firmy; nadzór głównie „po fakcie”, ale obowiązki bardzo podobne.

Zakres sektorów jest szeroki: energetyka, transport, bankowość i infrastruktura rynków finansowych, ochrona zdrowia, woda pitna i ścieki, infrastruktura cyfrowa (w tym ISP, data center, DNS, chmura), ICT B2B, administracja publiczna, przestrzeń kosmiczna, a także produkcja, chemia, żywność, gospodarka odpadami i usługi pocztowe. Próg wielkości to zwykle firma średnia lub większa (≈ od 50 osób lub 10 mln € obrotu), choć część podmiotów jest objęta niezależnie od wielkości.

W praktyce jeden podmiot łączy zwykle kilka ról naraz — a każda może uruchamiać inne obowiązki i innego regulatora. Dlatego samą kwalifikację najlepiej przejść narzędziem, a nie „na oko”.

Jakie obowiązki nakłada ustawa o KSC

Objęte firmy muszą m.in.:

• wdrożyć system zarządzania bezpieczeństwem informacji i szacowania ryzyka;
• stosować konkretne środki techniczne i organizacyjne (kontrola dostępu, ciągłość działania, kopie zapasowe, bezpieczeństwo łańcucha dostaw, obsługa podatności);
• zgłaszać poważne incydenty do właściwego CSIRT w ustawowych terminach (wczesne ostrzeżenie liczone w godzinach);
• zapewnić odporność na ataki, w tym DDoS — dostępność usługi jest wprost elementem bezpieczeństwa;
• rozliczać odpowiedzialność kierownictwa — zarząd odpowiada za nadzór nad cyberbezpieczeństwem.

Kary za brak zgodności

Nowe przepisy przewidują dotkliwe kary finansowe (liczone jako procent obrotu lub kwotowo, z wyższym pułapem dla podmiotów kluczowych) oraz osobistą odpowiedzialność osób zarządzających, aż po czasowe zakazy pełnienia funkcji. To realna zmiana kalibru sankcji względem poprzedniego stanu — dlatego temat trafił na poziom zarządów, a nie tylko działów IT.

Do kiedy trzeba się dostosować

Obowiązki wynikają wprost z ustawy — nie czekaj na „wezwanie”. Po nowelizacji z 23 stycznia 2026 r. liczą się terminy na rejestrację/identyfikację podmiotu oraz na wdrożenie środków; część wymogów (jak zgłaszanie incydentów) obowiązuje od razu. Pierwszy krok to ustalić, czy i jako kto jesteś objęty — bo od tego zależy reszta.

Jak sprawdzić, czy podlegasz — darmowy test

Zbudowaliśmy interaktywne narzędzie: Ocena zgodności z ustawą o KSC. Działa dwuetapowo — i to ważne rozróżnienie:

Etap 1 — czy i jako kto podlegasz (od razu). Wypełniasz profil podmiotu: sektor, wielkość, dane z KRS i rejestru Prezesa UKE. Na tej podstawie narzędzie natychmiast pokazuje raport: czy jesteś podmiotem kluczowym czy ważnym, jaki jest organ nadzoru i jakie ryzyko kar — bez odpowiadania na jakiekolwiek pytania. To zajmuje kilka minut.

Etap 2 — ocena zgodności (to już rzetelny przegląd). Dopiero jeśli chcesz sprawdzić, na ile jesteś przygotowany, przechodzisz do kwestionariusza. I tu trzeba być uczciwym: pytań jest sporo — pełny katalog to blisko 350 punktów kontrolnych. Dlaczego tak dużo? Bo narzędzie rozkłada wymogi na pojedyncze, sprawdzalne punkty z kilku aktów prawnych naraz: ustawy o KSC (art. 8), obowiązków formalnych, rozporządzenia wykonawczego (UE) 2024/2690, załącznika nr 4 oraz Prawa komunikacji elektronicznej. Każdy wymóg to osobne pytanie, żeby dało się je pojedynczo odhaczać i wracać do braków.

Na koniec dostajesz raport zgodności — z podsumowaniem dla zarządu: status podmiotu, stopień przygotowania, największe luki, terminy ustawowe i pułap kar. Tak to wygląda:

Chcesz zobaczyć, co dokładnie zawiera gotowy dokument? Pobierz przykładowy raport zgodności (PDF, 14 stron) →

Nie musisz robić wszystkiego naraz. Kwestionariusz jest podzielony na moduły, które wybierasz sam, a startowy moduł „Szybka ocena ryzyka” to kilkadziesiąt pytań nadrzędnych — realnie około 20 minut. Pełny przegląd wszystkich modułów trwa odpowiednio dłużej; przy każdym module narzędzie pokazuje szacowany czas, więc planujesz pracę świadomie.

Narzędzie nie wymaga instalacji, jest po polsku i dotyczy wyłącznie polskiego rynku. Nie zastępuje opinii prawnej — ale w kilka minut mówi, czy w ogóle jesteś objęty, a potem pozwala stopniowo domykać brakujące punkty.

→ Przejdź do testu zgodności z KSC

Najczęstsze pytania

Czy mała firma podlega NIS2?

Zwykle nie — próg to na ogół firma średnia (≈ od 50 osób lub 10 mln € obrotu). Ale są wyjątki objęte niezależnie od wielkości (np. część infrastruktury cyfrowej i zaufania). Test rozstrzyga Twój przypadek.

Czym różni się podmiot kluczowy od ważnego?

Zakresem nadzoru i pułapem kar. Obowiązki bezpieczeństwa są w obu przypadkach zbliżone — różnica dotyczy głównie intensywności kontroli i sankcji.

Czy ISP i data center są objęte?

Tak — infrastruktura cyfrowa (dostawcy internetu, data center, DNS, chmura, IXP) jest jednym z rdzennych sektorów NIS2/KSC, często jako podmiot kluczowy.

Czy ochrona przed DDoS jest wymagana?

Dostępność usługi to element bezpieczeństwa wymaganego przez ustawę. Odporność na DDoS (wykrywanie i mitygacja) wpisuje się wprost w obowiązek zapewnienia ciągłości działania.

Ile czasu zajmuje wypełnienie testu?

Samo ustalenie, czy i jako kto podlegasz, jest natychmiastowe — wynika z profilu firmy (sektor, wielkość, KRS/UKE), bez odpowiadania na pytania. Jeśli chcesz ocenić stopień przygotowania, kwestionariusz jest obszerny: pełny katalog to blisko 350 punktów kontrolnych (bo wymogi z ustawy o KSC, rozporządzenia 2024/2690, załącznika nr 4 i PKE są rozłożone na pojedyncze pytania). Startowa „Szybka ocena ryzyka” to jednak tylko kilkadziesiąt pytań nadrzędnych — około 20 minut — a resztę modułów robisz wtedy, kiedy chcesz.

Kto jest organem nadzoru?

Zależy od sektora i roli podmiotu — dlatego narzędzie wskazuje właściwy organ dla Twojego profilu.

---

Test jest bezpłatny i orientacyjny (nie stanowi porady prawnej). Jeśli po wyniku chcesz przełożyć wymogi KSC na konkretne wdrożenie techniczne — m.in. odporność na DDoS — napisz do ITORO.