Twoja firma podlega pod NIS2. Pytanie brzmi: od kiedy i w jakim zakresie.

Potrzebne są dwie informacje naraz: czy Wasza działalność mieści się w sektorze z Załącznika I lub II ustawy o KSC, oraz czy przekraczacie próg wielkości. Próg dla podmiotu ważnego to zatrudnienie od 50 osób albo roczny obrót lub suma bilansowa powyżej 10 mln euro. Podmiotem kluczowym jest duże przedsiębiorstwo z Załącznika I — od 250 osób lub obrót powyżej 50 mln euro.

Uwaga na przedsiębiorstwa partnerskie i powiązane: przy ocenie wielkości uwzględnia się grupę, więc spółka zatrudniająca 30 osób może przekroczyć próg. Kwalifikację robimy w ramach bezpłatnej konsultacji.

Obowiązki w zakresie zarządzania ryzykiem są dla obu kategorii zbliżone. Różni je tryb nadzoru i wysokość kar. Podmioty kluczowe podlegają nadzorowi wyprzedzającemu — kontrola może zostać przeprowadzona bez sygnału o naruszeniu. Podmioty ważne podlegają nadzorowi następczemu, czyli działaniom kontrolnym po otrzymaniu informacji o nieprawidłowości. Kary: do 10 mln euro lub 2% obrotu dla kluczowych, do 7 mln euro lub 1,4% dla ważnych.

Termin samodzielnej rejestracji w wykazie podmiotów kluczowych i ważnych upływa 3 października 2026 r. To obowiązek po stronie firmy — organ nie wysyła przypomnień. Obowiązki związane z systemem zarządzania bezpieczeństwem informacji i zgłaszaniem incydentów przez system S46 mają być wdrożone do 3 kwietnia 2027 r., a kary pieniężne zaczynają być stosowane od 3 kwietnia 2028 r.

Kierownikowi podmiotu kluczowego lub ważnego w sektorze prywatnym grozi kara pieniężna do 300% otrzymywanego wynagrodzenia. W podmiotach publicznych limit wynosi 100%. Kierownictwo ma też obowiązek odbycia dedykowanego szkolenia z cyberbezpieczeństwa raz w roku kalendarzowym oraz zatwierdzenia środków zarządzania ryzykiem — to nie jest zadanie, które da się w całości scedować na dział IT.

Obowiązuje model trzystopniowy: wczesne ostrzeżenie w ciągu 24 godzin od wykrycia, pełne zgłoszenie w ciągu 72 godzin oraz sprawozdanie końcowe po zakończeniu obsługi incydentu, nie później niż w ciągu miesiąca. Zgłoszenia realizowane są przez system S46. Prowadzimy cały proces za klienta i przygotowujemy wymaganą dokumentację.

Formalnie obowiązki Was nie obejmują, ale NIS2 wymaga od objętych firm zarządzania bezpieczeństwem łańcucha dostaw. W praktyce oznacza to ankiety bezpieczeństwa, klauzule umowne i wymagania weryfikacyjne spływające do dostawców i podwykonawców. Coraz częściej jest to warunek utrzymania lub zdobycia kontraktu — a przygotowanie dokumentacji i zabezpieczeń kosztuje wielokrotnie mniej niż utrata klienta.

Nie. Ustawa wymaga środków proporcjonalnych do skali i ryzyka, nie konkretnej struktury organizacyjnej. Dla większości średnich firm własne centrum operacji bezpieczeństwa jest ekonomicznie nierealne. Zapewniamy całodobowy monitoring z automatycznym alertowaniem i zdefiniowaną ścieżką reakcji, z czasami odpowiedzi zapisanymi w umowie — i to jest rozwiązanie adekwatne do wymogu.

Współpracujemy z wewnętrznymi zespołami IT i to częsty układ. Dział IT zna systemy i utrzymuje je na co dzień, my wnosimy zakres regulacyjny, monitoring i odpowiedzialność za zgłoszenia. Podział obowiązków zapisujemy w umowie, żeby przy kontroli lub incydencie było jasne, kto za co odpowiada.

Audyt otwarcia i kwalifikacja to zwykle dwa do trzech tygodni. Pełne wdrożenie dokumentacji i zabezpieczeń technicznych zajmuje najczęściej od dwóch do czterech miesięcy, zależnie od wielkości firmy, liczby lokalizacji i stanu wyjściowego infrastruktury. Monitoring uruchamiamy równolegle, nie na końcu — żeby chronić firmę już w trakcie wdrożenia.

Model jest dwuczęściowy: jednorazowe wdrożenie oraz miesięczny abonament za monitoring i utrzymanie. Wycena zależy od liczby lokalizacji, stanowisk i serwerów, sektora oraz stanu wyjściowego dokumentacji. Konkretną kwotę przedstawiamy po audycie otwarcia — bez niego każda liczba byłaby zgadywaniem.