Telefon od kontrahenta, ankieta bezpieczeństwa na dwadzieścia pytań, termin na odpowiedź: tydzień. Tak wygląda pierwsze zetknięcie z NIS2 w większości firm, z którymi rozmawiam. Nie od strony ustawy. Od strony klienta, który sam został objęty przepisami i właśnie zaczął prześwietlać swoich dostawców.
Czy moja firma podlega NIS2 — krótka odpowiedź
Podlegasz, jeśli spełniasz dwa warunki naraz: prowadzisz działalność w jednym z sektorów wymienionych w ustawie oraz przekraczasz próg wielkości — z grubsza od poziomu średniego przedsiębiorstwa w górę. Sam sektor nie wystarczy. Sama wielkość też nie. Jest natomiast trzecia furtka: część podmiotów jest objęta niezależnie od liczby pracowników, a jeszcze więcej firm dostaje twarde wymagania nie z ustawy, tylko z umowy z większym kontrahentem.
Znowelizowana ustawa o krajowym systemie cyberbezpieczeństwa, która wdraża do polskiego prawa dyrektywę NIS2, weszła w życie wiosną 2026 roku. Skalę zmiany najlepiej widać w liczbach: wcześniej krajowy system obejmował kilkaset podmiotów, po nowelizacji szacunki mówiły o kilkudziesięciu tysiącach. To nie jest korekta. To zmiana rzędu wielkości — i dlatego tylu przedsiębiorców dowiaduje się o swoich obowiązkach przypadkiem.
Filtr pierwszy: sektor działalności
Ustawa nie mówi „firmy powyżej X pracowników”. Mówi: energetyka, transport, bankowość, infrastruktura rynków finansowych, ochrona zdrowia, woda pitna, ścieki, infrastruktura cyfrowa, zarządzanie usługami ICT świadczone na rzecz innych podmiotów, administracja publiczna, przestrzeń kosmiczna. To grupa „wyższego ryzyka”. Obok niej jest druga lista, i to ona zaskakuje najczęściej: usługi pocztowe i kurierskie, gospodarka odpadami, produkcja i dystrybucja chemikaliów, produkcja i dystrybucja żywności, produkcja wyrobów medycznych, elektroniki, maszyn, pojazdów, a także dostawcy usług cyfrowych — platformy handlowe, wyszukiwarki, portale społecznościowe — oraz jednostki naukowe.
Zauważ, czego na tych listach nie ma. Nie ma „branży IT” jako takiej. Jest za to zarządzanie usługami ICT na rzecz innych podmiotów — czyli dokładnie to, co robi firma wystawiająca komuś serwery, obsługująca sieć albo świadcząca wsparcie użytkowników. Trzyosobowy software house piszący aplikacje na zamówienie zwykle się nie łapie. Trzyosobowa firma administrująca cudzą infrastrukturą — jak najbardziej może.
Filtr drugi: wielkość firmy
Progi liczy się według unijnej definicji przedsiębiorstw. Średnie przedsiębiorstwo to co najmniej 50 osób zatrudnionych albo roczny obrót lub suma bilansowa powyżej 10 mln euro. Duże — od 250 osób albo obrót powyżej 50 mln euro. Poniżej progu średniego, czyli w firmach mikro i małych, ustawa co do zasady nie sięga.
Co do zasady. Bo są wyjątki liczone nie wielkością, a rolą: dostawcy usług zaufania, rejestry nazw domen, dostawcy usług DNS, przedsiębiorcy telekomunikacyjni czy podmioty, które są jedynym dostawcą określonej usługi w kraju albo regionie. Tu liczba etatów nie chroni. Sprawdź też, czy nie wchodzisz w skład większej grupy kapitałowej — dane spółek powiązanych potrafią wciągnąć małą spółkę zależną powyżej progu.
Podmiot kluczowy czy ważny — co to zmienia w praktyce
Ustawa dzieli objęte firmy na dwie kategorie: kluczowe i ważne. Wymagania techniczne i organizacyjne są dla obu bardzo podobne — różnica leży w nadzorze i sankcjach. Podmioty kluczowe podlegają nadzorowi wyprzedzającemu: organ może przyjść na kontrolę planową, bez żadnego incydentu w tle. Podmioty ważne podlegają nadzorowi następczemu — kontrola pojawia się, gdy coś się wydarzy albo gdy wpłynie sygnał, że przepisy nie są przestrzegane.
Z grubsza: duże firmy z pierwszej listy sektorów trafiają do kluczowych, średnie z pierwszej listy oraz średnie i duże z drugiej listy — do ważnych. Nie planuj jednak bezpieczeństwa pod kategorię. Widziałem podejście „jesteśmy tylko ważni, zrobimy minimum” i ono się nie broni: pierwszy poważny incydent zamienia nadzór następczy w bardzo konkretną kontrolę.
Trzecia droga: łapiesz się przez łańcuch dostaw
Tu jest największe zaskoczenie. Ustawa nakłada na objęte podmioty obowiązek zarządzania bezpieczeństwem łańcucha dostaw. Przekłada się to na rzecz bardzo namacalną: twój klient, który podlega przepisom, musi wiedzieć, jak wygląda bezpieczeństwo u ciebie. Więc pyta. Ankietą, załącznikiem do umowy, aneksem z klauzulami o zgłaszaniu incydentów w określonym czasie i prawie do audytu.
Formalnie taka firma nie podlega ustawie. Praktycznie — musi udokumentować te same rzeczy, bo inaczej wypada z przetargu albo traci kontrakt. Mała pracownia projektowa obsługująca szpital, dostawca oprogramowania dla operatora wodociągów, firma sprzątająca z dostępem do systemu kontroli wejść. Żadna z nich nie jest podmiotem kluczowym. Wszystkie trzy dostaną ankietę.
Najczęstszy scenariusz w małej firmie nie brzmi „urząd nas objął”. Brzmi „klient postawił warunek”.
Sprawdź się w pięciu krokach
- Wypisz, co faktycznie robisz. Nie z KRS-u, nie z listy PKD — z faktur. PKD bywa historyczne i zwodzi w obie strony.
- Porównaj z listami sektorów. Osobno pierwsza grupa, osobno druga. Jeśli świadczysz usługi dla innych podmiotów w obszarze ICT, zatrzymaj się na tej pozycji dłużej.
- Policz wielkość. Zatrudnienie, obrót, suma bilansowa — i dane spółek powiązanych, jeśli takie masz.
- Sprawdź wyjątki niezależne od wielkości. Usługi zaufania, DNS, telekomunikacja, wyłączność świadczenia usługi.
- Przejrzyj listę klientów. Czy któryś z nich jest szpitalem, bankiem, wodociągiem, energetyką, dużym producentem? Jeśli tak, przygotuj się na pytania nawet przy odpowiedzi „nie podlegam”.
Nikt nie przyśle ci zawiadomienia
To punkt, na którym wykłada się najwięcej firm. Kwalifikacja działa w trybie samoidentyfikacji: to podmiot ma sam ocenić, czy spełnia kryteria, i sam zgłosić się do prowadzonego przez państwo wykazu. Nie ma listu z urzędu otwierającego sprawę. Nie ma automatycznego wpisu na starcie. Brak wiedzy o obowiązku nie jest okolicznością, która cokolwiek zawiesza — bieg terminów też nie.
Odpowiada za to kierownik podmiotu, czyli zarząd albo właściciel. Nie informatyk, nie firma zewnętrzna. Można delegować wykonanie, nie można delegować odpowiedzialności.
Trzy pomyłki, które widzę najczęściej
- „Jesteśmy za mali”. Prawda tylko wtedy, gdy jesteś poniżej progu średniego przedsiębiorstwa i nie łapiesz się w żaden wyjątek. Zatrudnienie 48 osób i rosnący zespół to nie jest odpowiedź na lata.
- „To dotyczy infrastruktury krytycznej”. Dotyczyło. Poprzednia wersja przepisów obejmowała wąską grupę operatorów usług kluczowych. Nowelizacja rozjechała ten krąg na kilkadziesiąt tysięcy podmiotów.
- „Mamy antywirusa i firewall”. Wymagania są organizacyjne, nie sprzętowe: analiza ryzyka, inwentaryzacja zasobów, procedura zgłaszania incydentów, kontrola dostępu, testowane kopie zapasowe, ciągłość działania, szkolenia. Pudełko z licencją nie zamyka żadnego z tych punktów.
Co zrobić w tym tygodniu
Trzy rzeczy, każda do wykonania w kilka godzin. Po pierwsze: przejdź pięć kroków powyżej i zapisz wynik na jednej stronie, z datą i uzasadnieniem. Nawet jeśli wynik brzmi „nie podlegamy” — to jest dokument, który pokażesz kontrahentowi i sobie za rok. Po drugie: wyznacz osobę do kontaktu w sprawach bezpieczeństwa i jej zastępcę, z adresem, który ktoś naprawdę czyta. Po trzecie: zrób szybki przegląd tego, co i tak powinno działać — czy kopie zapasowe są testowane, a nie tylko wykonywane, czy dostęp do systemów jest chroniony drugim składnikiem logowania i czy ktokolwiek zauważy awarię przed klientem.
Jeśli odpowiedzi są niepewne, punktem startu jest inwentaryzacja i ocena stanu — audyt IT daje listę zasobów, ryzyk i braków, czyli dokładnie ten materiał, na którym opiera się cała dalsza dokumentacja. W branżach regulowanych, takich jak ochrona zdrowia, część tej pracy jest już zrobiona przy okazji innych przepisów i wystarczy ją uporządkować.
Na koniec zastrzeżenie, bo to poradnik informatyka, nie opinia prawna: kwalifikacja konkretnej firmy potrafi być niejednoznaczna, a przepisy i komunikaty organów zmieniają się w czasie. Wynik samosprawdzenia potraktuj jako punkt wyjścia i zweryfikuj aktualny stan prawny — przy wątpliwościach z prawnikiem znającym temat. Techniczną stronę mogę wziąć na siebie; napisz, co macie i czego brakuje.