Czy NIS2 dotyczy każdej firmy zatrudniającej co najmniej 50 osób?

Nie. Wielkość jest jednym z kryteriów, ale konieczne jest również sprawdzenie sektora, dokładnego rodzaju działalności, wyjątków, przypadków niezależnych od wielkości oraz zasad dotyczących przedsiębiorstw powiązanych. Liczba pracowników nie może być jedynym testem.

Czy NIS2 jest już wdrożone w Polsce?

Tak. Nowelizacja ustawy o krajowym systemie cyberbezpieczeństwa weszła w życie 3 kwietnia 2026 r. Podmioty powinny korzystać z aktualnych polskich przepisów i komunikatów, a nie z wcześniejszych projektów ustawy.

Do kiedy trzeba wpisać się do Wykazu KSC?

Dla podmiotów podlegających samorejestracji, które spełniały kryteria w dniu wejścia przepisów, termin wskazany przez Ministerstwo Cyfryzacji upływa 3 października 2026 r. Część podmiotów jest wpisywana z urzędu i może otrzymać wezwanie do uzupełnienia danych.

Co trzeba zrobić do 3 kwietnia 2027 r.?

Podmioty objęte obowiązkami powinny wdrożyć wymagane środki, w tym działający SZBI, proces zarządzania incydentami, ciągłość działania, bezpieczeństwo dostawców, szkolenia, dokumentację i ocenę skuteczności, oraz rozpocząć korzystanie z S46 zgodnie z właściwym harmonogramem.

Czy NIS2 wymaga certyfikatu ISO 27001?

Nie ma ogólnego obowiązku uzyskania certyfikatu ISO 27001 wyłącznie dlatego, że organizacja podlega KSC. Norma może być bardzo pomocnym modelem zarządzania, ale trzeba osobno sprawdzić wszystkie wymagania polskiej ustawy i specyfikę organizacji.

Czy certyfikat ISO 27001 oznacza zgodność z NIS2/KSC?

Nie automatycznie. Ważne są zakres certyfikacji, aktualność systemu, działanie kontroli, wymagania KSC i dowody. Organizacja może posiadać certyfikat obejmujący tylko fragment działalności albo nie mieć wdrożonych wszystkich wymagań krajowych.

Ustawa wymaga adekwatnych i proporcjonalnych środków, a nie konkretnej nazwy produktu. EDR jest jednak dla wielu organizacji rozsądnym sposobem ochrony i monitorowania stacji oraz serwerów. Decyzja powinna wynikać z ryzyka, architektury i modelu operacyjnego.

Czy zwykły antywirus wystarczy?

W środowisku o istotnym ryzyku często nie zapewnia wystarczającej widoczności i reakcji. Trzeba ocenić zdolność wykrywania zachowań, izolacji urządzeń, analizy zdarzeń i obsługi alertów. Sam fakt posiadania antywirusa nie jest miarą skuteczności.

Czy trzeba posiadać SIEM i SOC?

Nie każda organizacja musi posiadać własną platformę SIEM i własny SOC. Musi jednak zapewnić adekwatne monitorowanie, wykrywanie i reakcję. Możliwe są modele wewnętrzne, zewnętrzne lub hybrydowe. Najważniejsze są zakres, scenariusze, SLA i skuteczna reakcja.

Czym różni się BCP od DRP?

BCP opisuje sposób utrzymania działalności biznesowej podczas zakłócenia. DRP koncentruje się na odtworzeniu technologii. BCP może obejmować procedury ręczne, zmianę lokalizacji, pracę z ograniczoną zdolnością i komunikację, podczas gdy DRP opisuje odtworzenie systemów, danych, sieci i infrastruktury.

Czym różni się RTO od RPO?

RTO to docelowy czas odtworzenia. RPO to maksymalna akceptowalna utrata danych wyrażona w czasie. System może mieć RTO osiem godzin i RPO jedną godzinę: ma wrócić w osiem godzin z danymi nie starszymi niż godzina przed awarią.

Czy „RTP” jest poprawnym skrótem?

W tym kontekście należy używać RTO — Recovery Time Objective. RTP nie jest standardowym zamiennikiem celu czasu odtworzenia.

Czy backup oznacza, że mamy disaster recovery?

Nie. Backup zapewnia źródło danych do odtworzenia. Disaster recovery obejmuje środowisko, kolejność, tożsamość, sieć, konfigurację, ludzi, runbooki, komunikację i test całej usługi.

Ile dokumentów wymaga NIS2?

Nie ma jednej uniwersalnej liczby dokumentów dla wszystkich organizacji. Ustawa wskazuje obszary dokumentacji normatywnej i operacyjnej, ale można je łączyć. Ważne, aby kompletne procesy były opisane, aktualne i potwierdzone zapisami.

Czy można kupić gotową dokumentację?

Można wykorzystać wzory jako punkt startowy, ale bez dopasowania do zakresu, procesów, ról, architektury, ryzyka i dostawców dokumenty nie będą wiarygodne ani użyteczne. Audyt powinien sprawdzić działanie, nie tylko brzmienie procedury.

Kto powinien prowadzić projekt NIS2?

Program powinien mieć sponsora w zarządzie i Komitet Sterujący. CIO może być dyrektorem programu i koordynatorem. Właścicielami wyników biznesowych pozostają dyrektorzy procesów. CISO odpowiada za metodykę i system bezpieczeństwa, a prawo, HR, zakupy, audyt i komunikacja realizują swoje strumienie.

Czy odpowiedzialność można przekazać firmie zewnętrznej?

Można zlecić wykonanie prac, audyt, monitoring czy przygotowanie dokumentacji, ale nie można skutecznie przenieść całej odpowiedzialności kierownictwa za decyzje, nadzór i zapewnienie adekwatnych środków.

Jak często zarząd powinien być szkolony?

Aktualna polska ustawa przewiduje udokumentowane szkolenie osób objętych tym obowiązkiem co najmniej raz w każdym roku kalendarzowym. Dodatkowo szkolenie powinno być aktualizowane po istotnych zmianach lub incydentach.

Jak szybko trzeba zgłaszać incydent?

Model obejmuje wczesne ostrzeżenie w ciągu 24 godzin, zgłoszenie w ciągu 72 godzin oraz raport końcowy zasadniczo w ciągu miesiąca, z uwzględnieniem aktualnych przepisów, klasyfikacji i instrukcji właściwego zespołu CSIRT.

Czy mała organizacja może wdrożyć NIS2 bez rozbudowanego GRC?

Tak. Dobrze zaprojektowane rejestry, odpowiedzialności i cykl przeglądów mogą być utrzymywane w prostych narzędziach. Platforma GRC ma sens, gdy skala, liczba jednostek, wymagań i kontroli uzasadniają koszt oraz administrację.

Ile kosztuje wdrożenie NIS2?

Koszt zależy od stanu obecnego, liczby lokalizacji, IT/OT, krytyczności, liczby systemów, dostawców, wymagań ciągłości, istniejących licencji i zakresu pracy wewnętrznej. Najpierw należy wykonać diagnozę i BIA, a następnie zbudować wieloletni plan kosztów zamiast podawać jedną cenę dla wszystkich.

Od czego zacząć, jeżeli termin jest blisko?

Najpierw potwierdź kwalifikację, zakres, osoby kontaktowe i formalności Wykazu KSC. Równolegle uruchom audyt GAP, BIA i analizę największych ryzyk. Wprowadź szybkie zabezpieczenia o wysokiej wartości, szczególnie MFA, ochronę endpointów, podatności, backup, incydenty i dostępy uprzywilejowane.

Baza wiedzy

Najczęstsze pytania o NIS2 i KSC

Zebrane w jednym miejscu odpowiedzi na pytania, które najczęściej zadają zarządy, IT i compliance — prostym językiem, ze wskazaniem, co wynika z prawa, a co jest dobrą praktyką.

Autor: Igor BieleckiAktualizacja: 2026-07-10Stan prawny: 10 lipca 2026 r.Wersja: 1.0

: Nie. Wielkość jest jednym z kryteriów, ale konieczne jest również sprawdzenie sektora, dokładnego rodzaju działalności, wyjątków, przypadków niezależnych od wielkości oraz zasad dotyczących przedsiębiorstw powiązanych. Liczba pracowników nie może być jedynym testem.

Nie znalazłeś odpowiedzi?

Zadaj pytanie ekspertowi Słownik pojęć

Powiązane materiały

Przewodnik NIS2/KSC Terminy i obowiązki Test kwalifikacji Test zarządczy gotowości

Źródła i podstawa opracowania

Igor Bielecki

CIO/CISO, praktyk wdrażający NIS2/KSC jako podmiot kluczowy · PMP · PRINCE2 · ITIL · MBA

O zespole

Materiały mają charakter edukacyjny i nie stanowią opinii prawnej ani gwarancji zgodności. Zakres obowiązków zależy od indywidualnej sytuacji organizacji, aktualnych przepisów, aktów wykonawczych i stanowisk właściwych organów. Przed podjęciem decyzji wymagającej interpretacji prawa należy przeprowadzić analizę odpowiednią dla danego podmiotu.

Porozmawiajmy o Twojej sytuacji

Bezpłatna, ok. 15-minutowa rozmowa: kwalifikacja, terminy, poziom przygotowania i sensowny pierwszy krok. Bez zobowiązań.

Umów konsultację tel. 662 064 068

igor.bielecki@gmail.com