Nowelizacja ustawy o krajowym systemie cyberbezpieczeństwa, która wdraża dyrektywę NIS2, obowiązuje od 3 kwietnia 2026 r. To ustawa z 23 stycznia 2026 r., ogłoszona 2 marca 2026 r. w Dzienniku Ustaw pod pozycją 252. Podmioty spełniające jej kryteria mają sześć miesięcy na zgłoszenie się do wykazu, czyli czas do 3 października 2026 r.
Ta strona nie jest poradnikiem zgodności. Odpowiada na jedno pytanie, którego nie odpowiadają opracowania prawne: co z tych wymagań rozgrywa się na warstwie strony internetowej, a co nie ma z nią nic wspólnego.
Rozgraniczenie jest ważne w obie strony. Większość obowiązków z ustawy dotyczy organizacji, nie witryny, i żaden webmaster ich nie zdejmie. Ale kilka konkretnych wymagań, o które pyta audytor, realizuje się dokładnie tam, gdzie stoi strona: w kopiach zapasowych, w rejestrze aktualizacji i w monitoringu.
Ustawa obejmuje podmioty kluczowe i ważne z sektorów wymienionych w jej załącznikach, co do zasady od wielkości średniego przedsiębiorcy w górę, czyli od 50 pracowników albo od 10 mln euro rocznego obrotu. Część podmiotów podlega niezależnie od wielkości, między innymi rejestry nazw domen i dostawcy usług DNS.
Jeśli Twoja firma nie mieści się w żadnym z tych sektorów, nie podlegasz i strona nie wymaga z tego tytułu żadnych zmian. Jest jednak druga droga, którą przepisy docierają do małych firm, i to ona dotyczy dziś większości naszych klientów: łańcuch dostaw. Piszemy o niej niżej.
Kwalifikacja podmiotu to decyzja prawna, nie techniczna. Nie podejmujemy jej za nikogo i nie doradzamy w tym zakresie.
Z katalogu obowiązków wybraliśmy te, których dowód powstaje albo nie powstaje po stronie serwisu WWW.
Strona firmowa bywa jedynym systemem organizacji, który nie ma właściciela. Domena kupiona przez byłego pracownika, hosting opłacany z prywatnej karty, panel z hasłem, którego nikt nie pamięta. Zarządzanie ryzykiem zaczyna się od inwentarza, a nie od zabezpieczeń.
Nie wystarczy aktualizować. Trzeba umieć pokazać, kiedy i co zostało zaktualizowane oraz ile czasu minęło od publikacji łatki. Strona na systemie z kilkudziesięcioma dodatkami generuje ten dług każdego tygodnia, bo prawie wszystkie luki w tym ekosystemie pochodzą z dodatków, nie z rdzenia.
Kopia, której nikt nigdy nie przywrócił, jest założeniem, nie zabezpieczeniem. Liczy się retencja dłuższa niż czas, po którym zwykle wykrywa się infekcję, oraz przechowywanie poza serwerem, na którym stoi strona.
Panel administracyjny wystawiony publicznie, bez drugiego składnika uwierzytelnienia i z kontami po zakończonych współpracach to najczęstszy pojedynczy powód, dla którego strona wraca do nas po raz drugi.
Ustawa daje 24 godziny na wczesne ostrzeżenie, 72 godziny na zgłoszenie i 30 dni na raport końcowy. Bez monitoringu pierwszego terminu nie da się dotrzymać, bo zegar rusza od wykrycia, a przeciętną infekcję strony wykrywa się dopiero wtedy, gdy zauważy ją wyszukiwarka albo klient.
Firma prowadząca stronę jest dostawcą usług cyfrowych dla swojego klienta. Podmiot objęty ustawą musi ocenić wnoszone przez nią ryzyko, więc przekazuje w dół umowy, ankiety i wymóg zgłaszania incydentów.
Najczęstszy scenariusz, z którym się spotykamy, nie zaczyna się od ustawy, tylko od maila od kontrahenta.
Podstawowe obowiązki są zbliżone. Różnią się nadzór i górna granica kary.
| Kategoria | Przykładowe sektory | Nadzór | Górna granica kary |
|---|---|---|---|
| Podmiot kluczowy | Energetyka, transport, bankowość, ochrona zdrowia, woda, infrastruktura cyfrowa, administracja publiczna | Nadzór wyprzedzający, obowiązkowy audyt | 10 mln euro albo 2% rocznego obrotu |
| Podmiot ważny | Usługi pocztowe i kurierskie, gospodarka odpadami, produkcja żywności i chemikaliów, wytwarzanie, dostawcy usług cyfrowych | Nadzór następczy, po zdarzeniu | 7 mln euro albo 1,4% rocznego obrotu |
| Poza wykazem | Pozostałe firmy, w tym większość małych firm usługowych i handlowych | Brak nadzoru z tej ustawy | Brak, ale wymagania wracają przez umowy z klientami |
Wysokość kary liczy się od wartości wyższej z dwóch podanych. Ustawa przewiduje też odpowiedzialność kierownictwa, co w praktyce jest zmianą istotniejszą niż same kwoty: za zaniedbanie odpowiada zarząd, a nie dział informatyczny.
Nie wprost. Ustawa o krajowym systemie cyberbezpieczeństwa nie reguluje stron internetowych jako takich, tylko nakłada obowiązki na wskazane w niej podmioty kluczowe i ważne. Jeśli Twoja firma nie mieści się w wykazie sektorów z załączników i nie osiąga progu wielkości, nie podlegasz jej wcale i strona nie wymaga z tego tytułu żadnych zmian. Jeśli podlegasz, strona jest jednym z Twoich systemów informacyjnych i wchodzi w zakres zarządzania ryzykiem na równi z pocztą i systemami wewnętrznymi. W praktyce bywa najsłabszym elementem, bo stoi publicznie, a często nikt nie odpowiada za nią imiennie.
Podmioty, które spełniały kryteria w dniu wejścia nowelizacji w życie, czyli 3 kwietnia 2026 r., mają na zgłoszenie sześć miesięcy, więc termin upływa 3 października 2026 r. Kto przekroczy próg później, liczy sześć miesięcy od dnia spełnienia kryteriów. Na wdrożenie systemu zarządzania bezpieczeństwem informacji ustawa daje dwanaście miesięcy, a podmioty kluczowe mają dodatkowo dwadzieścia cztery miesiące na pierwszy audyt.
Dla podmiotów kluczowych kara może sięgnąć 10 mln euro albo 2 procent rocznego obrotu, w zależności od tego, która kwota jest wyższa. Dla podmiotów ważnych jest to 7 mln euro albo 1,4 procent obrotu. Ustawa przewiduje też kwoty minimalne oraz odpowiedzialność kierownictwa, co jest zmianą istotniejszą niż sama wysokość kar: za zaniedbanie odpowiada zarząd, a nie dział informatyczny.
Bo bezpieczeństwo łańcucha dostaw jest jednym z wymaganych obszarów zarządzania ryzykiem. Podmiot objęty ustawą musi ocenić ryzyko wnoszone przez swoich dostawców, więc przenosi część wymagań na nich w formie ankiet, klauzul umownych i pytań o incydenty. Firma spoza wykazu może więc dostać kwestionariusz bezpieczeństwa nie dlatego, że podlega przepisom, tylko dlatego, że jej klient podlega. To dziś najczęstszy sposób, w jaki NIS2 dociera do małych firm.
Obowiązują trzy terminy liczone od momentu wykrycia poważnego incydentu: wczesne ostrzeżenie do 24 godzin, właściwe zgłoszenie incydentu do 72 godzin oraz raport końcowy do 30 dni. Ta konstrukcja ma konsekwencję praktyczną dla strony internetowej: bez monitoringu i bez kopii zapasowych sprzed infekcji nie da się dotrzymać ani pierwszego terminu, bo nikt nie zauważy zdarzenia, ani ostatniego, bo nie będzie z czego odtworzyć przebiegu.
Nie. Nie prowadzimy wdrożeń systemu zarządzania bezpieczeństwem informacji, nie piszemy polityk bezpieczeństwa, nie kwalifikujemy podmiotu do wykazu i nie reprezentujemy nikogo przed organem nadzoru. To praca dla kancelarii i audytora, nie dla studia stron internetowych. Robimy jedną warstwę: doprowadzamy stronę do stanu, w którym przestaje być najsłabszym elementem, i dostarczamy dowody, których wymaga audytor, czyli rejestr kopii zapasowych, historię aktualizacji i monitoring dostępności.
Retencja, miejsce przechowywania i próbne odtworzenie, czyli trzy rzeczy, o które pyta audytor i których zwykle nie ma.
Zobacz szczegółyPatrol za 170 zł miesięcznie: kopie, monitoring i aktualizacje, czyli materiał dowodowy, który powstaje sam.
Zobacz zakresNajprostsza odpowiedź na pytanie o zarządzanie podatnościami: nie mieć dodatków, które trzeba łatać.
Porównaj podejściaPodaj adres. Odeślemy raport z tego, co widać z zewnątrz: nagłówki, certyfikat, wersje, widoczne podatności. Jeśli strona jest w porządku, napiszemy to i nie zaproponujemy niczego do kupienia.
