Dyrektywa NIS2 – od kiedy obowiązuje i kogo dotyczy?

Dyrektywa NIS2 wprowadza nowe wymagania dotyczące cyberbezpieczeństwa. W Polsce przepisy wdrażające dyrektywę weszły w życie 3 kwietnia 2026 r. Obejmują określone podmioty działające w sektorach ważnych dla gospodarki i bezpieczeństwa państwa.

NIS2 nie wymaga korzystania z elektronicznego podpisu dokumentów. Organizacje objęte przepisami muszą jednak zarządzać ryzykiem cyberbezpieczeństwa i uwzględniać bezpieczeństwo usług, z których korzystają.

Jednym z procesów, które warto uporządkować, jest podpisywanie umów. Platforma doPodpisu.pl umożliwia elektroniczne podpisywanie dokumentów, monitorowanie ich statusów i wysyłanie przypomnień. Pomaga dzięki temu ograniczyć ręczną obsługę umów.

Czym jest dyrektywa NIS2?

NIS2 to dyrektywa Parlamentu Europejskiego i Rady (UE) 2022/2555 z 14 grudnia 2022 r. w sprawie środków na rzecz wysokiego wspólnego poziomu cyberbezpieczeństwa na terytorium Unii Europejskiej.

Dyrektywa zastąpiła wcześniejszą dyrektywę NIS z 2016 r. Rozszerzyła zakres organizacji objętych regulacjami i określiła wymagania dotyczące zarządzania ryzykiem, obsługi incydentów oraz bezpieczeństwa łańcucha dostaw.

W Polsce przepisy dyrektywy wdrożono przez nowelizację ustawy o krajowym systemie cyberbezpieczeństwa (KSC). Ustawa określa, które podmioty podlegają regulacjom oraz jakie obowiązki muszą realizować.

NIS2 – od kiedy obowiązuje w Polsce?

Dyrektywa NIS2 weszła w życie w Unii Europejskiej 16 stycznia 2023 r. Państwa członkowskie miały wdrożyć jej przepisy do 17 października 2024 r.

W Polsce nowelizacja ustawy o krajowym systemie cyberbezpieczeństwa weszła w życie 3 kwietnia 2026 r. Od tej daty rozpoczęły się terminy realizacji obowiązków określonych w polskich przepisach.

Najważniejsze terminy to:

• 3 kwietnia 2026 r. – wejście w życie nowelizacji ustawy o KSC.
• 3 października 2026 r. – upływ terminu samodzielnego złożenia wniosku o wpis do Wykazu KSC przez podmioty, które spełniały ustawowe kryteria już 3 kwietnia 2026 r. i podlegają samorejestracji.
• 3 kwietnia 2027 r. – upływ podstawowego terminu na wdrożenie nowych obowiązków przez podmioty, które spełniały ustawowe kryteria 3 kwietnia 2026 r.
• 3 kwietnia 2028 r. – termin pierwszego audytu bezpieczeństwa dla objętych nim podmiotów kluczowych, które nie były wcześniej operatorami usług kluczowych.

Terminy te dotyczą różnych obowiązków i kategorii podmiotów. Organizacja powinna ustalić, które przepisy mają do niej zastosowanie.

Termin samorejestracji 3 października 2026 r. już upłynął. Podmiot, który podlegał temu obowiązkowi, ale nie złożył wniosku, powinien niezwłocznie wyjaśnić swoją sytuację. Nie wszystkie organizacje wpisują się samodzielnie — część podmiotów jest wpisywana do wykazu z urzędu.

Aktualne informacje o terminach i zasadach rejestracji publikuje Ministerstwo Cyfryzacji.

NIS2 – kogo dotyczy?

NIS2 obejmuje określone podmioty działające w sektorach ważnych dla gospodarki, infrastruktury i bezpieczeństwa państwa. Nie każda firma podlega tym przepisom.

O objęciu regulacją decydują przede wszystkim sektor działalności, rodzaj świadczonych usług, wielkość podmiotu i szczególne kryteria określone w ustawie o KSC.

Podmioty kluczowe i podmioty ważne

Polskie przepisy rozróżniają dwie kategorie organizacji.

Podmioty kluczowe świadczą usługi o szczególnym znaczeniu dla gospodarki lub funkcjonowania państwa. Podlegają wymaganiom dotyczącym cyberbezpieczeństwa oraz nadzorowi przewidzianemu w ustawie.

Podmioty ważne również podlegają obowiązkom z zakresu cyberbezpieczeństwa, ale ich status wynika z odrębnych kryteriów ustawowych.

Wielkość przedsiębiorstwa ma znaczenie przy kwalifikacji do tych kategorii. Co do zasady przepisy obejmują średnie i większe podmioty działające w określonych sektorach. Ustawa przewiduje jednak wyjątki, dlatego również mniejsza organizacja może podlegać regulacjom.

Samo zatrudnianie określonej liczby pracowników nie przesądza o objęciu NIS2. Należy sprawdzić sektor, rodzaj działalności oraz pozostałe kryteria ustawowe.

Jakie sektory obejmuje NIS2?

Dyrektywa NIS2 rozszerzyła katalog sektorów objętych regulacjami.

Do sektorów kluczowych należą:

• energetyka;
• transport;
• bankowość;
• infrastruktura rynków finansowych;
• ochrona zdrowia;
• zaopatrzenie w wodę pitną i odprowadzanie ścieków;
• infrastruktura cyfrowa;
• zarządzanie usługami ICT;
• administracja publiczna;
• przestrzeń kosmiczna.

Do sektorów ważnych należą między innymi:

• usługi pocztowe i kurierskie;
• gospodarowanie odpadami;
• produkcja, przetwarzanie i dystrybucja chemikaliów;
• produkcja, przetwarzanie i dystrybucja żywności;
• wybrane obszary przemysłu produkcyjnego;
• dostawcy usług cyfrowych;
• badania naukowe.

O przypisaniu do danej kategorii decydują szczegółowe kryteria prawne. Samo działanie w wymienionym sektorze nie zawsze oznacza automatyczne objęcie wszystkich obowiązków.

Szczegóły można sprawdzić w informacjach Ministerstwa Cyfryzacji o podmiotach objętych nowelizacją KSC.

Jakie obowiązki wprowadza NIS2?

NIS2 wymaga od objętych nią organizacji zarządzania ryzykiem cyberbezpieczeństwa. W Polsce szczegółowe obowiązki wynikają z ustawy o KSC.

Najważniejsze obszary to:

• Analiza ryzyka – identyfikowanie zagrożeń dla sieci i systemów informatycznych oraz dobór odpowiednich zabezpieczeń.
• Obsługa incydentów – przygotowanie procedur wykrywania, obsługi i zgłaszania incydentów zgodnie z przepisami.
• Ciągłość działania – przygotowanie procedur na wypadek awarii, cyberataków i innych zdarzeń zakłócających działalność.
• Bezpieczeństwo łańcucha dostaw – ocena ryzyka związanego z dostawcami i usługodawcami.
• Kontrola dostępu – określenie zasad nadawania uprawnień do systemów i informacji.
• Ochrona informacji – stosowanie odpowiednich zabezpieczeń, w tym kryptografii i szyfrowania, gdy wymagają tego przepisy lub przyjęta ocena ryzyka.
• Szkolenia – podnoszenie wiedzy pracowników i osób odpowiedzialnych za cyberbezpieczeństwo.
• Nadzór kierownictwa – zatwierdzanie i nadzorowanie środków zarządzania ryzykiem zgodnie z obowiązkami określonymi w ustawie.

Zakres obowiązków zależy od kategorii podmiotu i właściwych przepisów. Organizacja powinna opracować procedury odpowiadające jej sytuacji oraz udokumentować działania wymagane przez ustawę.

Pełny tekst przepisów zawiera nowelizacja ustawy o krajowym systemie cyberbezpieczeństwa z 23 stycznia 2026 r.

Czy NIS2 wymaga podpisu elektronicznego?

Nie. Dyrektywa NIS2 nie nakazuje korzystania z konkretnej platformy do podpisywania dokumentów ani zastępowania każdego podpisu odręcznego podpisem elektronicznym.

Wybór narzędzi powinien wynikać z potrzeb organizacji, wymagań prawnych i oceny ryzyka. Dotyczy to również rozwiązań wykorzystywanych do przygotowywania, przekazywania, akceptowania i podpisywania umów.

Elektroniczne podpisywanie dokumentów może ograniczyć ręczne przekazywanie plików i ułatwić kontrolę nad przebiegiem procesu. Nie zastępuje jednak wymaganych zabezpieczeń systemów informatycznych ani obowiązków związanych z zarządzaniem ryzykiem cyberbezpieczeństwa.

Jak uporządkować obieg umów?

Podpisywanie umów angażuje często kilka osób. Dokument może wymagać akceptacji przełożonego, podpisu pracownika i kontrahenta, a następnie zapisania w odpowiednim miejscu.

Jeżeli zespół przesyła pliki między skrzynkami e-mail, trudno szybko ustalić, kto powinien podpisać dokument jako następny i czy proces został zakończony.

Platforma doPodpisu.pl pozwala prowadzić dokument przez elektroniczny proces podpisywania. Użytkownik może:

• wskazać jednego lub wielu odbiorców i ustalić kolejność podpisywania;
• wysyłać przypomnienia o oczekujących podpisach;
• monitorować status dokumentu;
• dobrać rodzaj podpisu do wymagań dotyczących dokumentu;
• korzystać z dodatkowej weryfikacji odbiorcy, gdy jest potrzebna;
• przechowywać podpisane dokumenty w e-archiwum.

Dzięki temu łatwiej sprawdzić, na jakim etapie jest umowa i kto powinien wykonać kolejny krok. Zespół może ograniczyć ręczne przypominanie o podpisach oraz czas poświęcany na szukanie aktualnych wersji dokumentów.

Rozwiązanie można wykorzystać przy umowach handlowych, dokumentach kadrowych, aneksach i innych dokumentach wymagających podpisu.

W doPodpisu.pl dostępne są trzy rodzaje podpisów elektronicznych: zwykły (SES), zaawansowany (AES) i kwalifikowany (QES). Rodzaj podpisu należy dopasować do wymagań prawnych i charakteru dokumentu.

Jak ocenić dostawcę platformy do podpisywania dokumentów?

NIS2 obejmuje również zarządzanie ryzykiem związanym z dostawcami. Organizacja powinna uwzględniać bezpieczeństwo usług, z których korzysta, jeśli mają one znaczenie dla jej działalności lub przetwarzania informacji.

Przed wyborem platformy warto sprawdzić:

• gdzie przetwarzane i przechowywane są dane;
• jak chronione są dane podczas przesyłania i przechowywania;
• jak zarządza się dostępem do kont i dokumentów;
• jakie procedury dotyczą kopii zapasowych i ciągłości działania;
• jak dostawca obsługuje incydenty i informuje o nich klientów;
• z jakich podwykonawców korzysta i jaką dokumentację bezpieczeństwa udostępnia.

Ocenę dostawcy należy dostosować do ryzyka i wymagań organizacji. Sam wybór platformy do podpisywania dokumentów nie potwierdza zgodności z NIS2 i nie zwalnia organizacji z obowiązków wynikających z ustawy o KSC.

Uporządkuj podpisywanie umów z doPodpisu.pl

NIS2 wymaga od objętych nią organizacji uporządkowanego podejścia do zarządzania cyberbezpieczeństwem. Jednym z procesów, które warto przeanalizować, jest codzienna obsługa dokumentów.

doPodpisu.pl umożliwia elektroniczne podpisywanie umów, monitorowanie statusów i wysyłanie przypomnień. Pozwala ograniczyć część ręcznych czynności i ułatwia kontrolowanie procesu podpisywania dokumentów.

Chcesz usprawnić podpisywanie umów w swojej firmie? Sprawdź plany doPodpisu.pl i wybierz rozwiązanie odpowiednie do liczby dokumentów oraz potrzeb swojego zespołu.

Najczęściej zadawane pytania o NIS2

NIS2 – od kiedy obowiązuje w Polsce?

Nowelizacja ustawy o krajowym systemie cyberbezpieczeństwa, wdrażająca dyrektywę NIS2, weszła w życie 3 kwietnia 2026 r. Podmioty spełniające ustawowe kryteria już w tym dniu mają podstawowy termin na wdrożenie nowych obowiązków do 3 kwietnia 2027 r.

NIS2 – kogo dotyczy?

NIS2 obejmuje podmioty działające w sektorach określonych w przepisach oraz spełniające kryteria dotyczące rodzaju działalności, wielkości lub szczególnego statusu. O tym, czy konkretna organizacja podlega ustawie, decyduje analiza jej działalności i właściwych przepisów.

Czy NIS2 dotyczy małych firm?

Nie każda mała firma podlega NIS2. Przepisy przewidują jednak wyjątki od ogólnych kryteriów wielkościowych. Mała organizacja również może być objęta ustawą, jeśli spełnia określone przesłanki.

Czy NIS2 wymaga podpisu elektronicznego?

NIS2 nie nakazuje stosowania podpisu elektronicznego. Firmy same dobierają rozwiązania do podpisywania dokumentów zgodnie z wymaganiami prawnymi i potrzebami biznesowymi.