NIS2: Czy UE wymusza nadregulację?

Dlaczego Polska wciąż nie wdrożyła dyrektywy NIS2 i jest jedynym państwem, które próbuje zrobić to razem z zaleceniami 5G Toolbox?

Integracja zaleceń odnoszących się do infrastruktury telekomunikacyjnej z wdrożeniem NIS2 i rozszerzenie ich na 18 sektorów gospodarki stanowi precedens w skali całej UE. Być może to ambitne, ale i ryzykowne posunięcie, gdyż inne kraje podeszły zdecydowanie ostrożniej, ograniczając się do wymogów NIS2.

Prace nad nowelizacją ustawy o krajowym systemie cyberbezpieczeństwa (UKSC), mającej transponować NIS2, nadal trwają. Brak wdrożenia NIS2 w Polsce oznacza ryzyko pojawienia się pozwu przed Trybunałem Sprawiedliwości Unii Europejskiej (TSUE) i nałożenia kar finansowych na Polskę. Termin wdrożenia NIS2 minął 17 października 2024 r., a Polska nie zgłosiła pełnej transpozycji dyrektywy do prawa krajowego. W efekcie 7 maja 2025 r. Komisja Europejska (KE) wystosowała do Polski tzw. uzasadnioną opinię.

To formalny krok w procedurze naruszeniowej, dający Polsce dwa miesiące na reakcję – w przeciwnym razie KE może skierować sprawę do Trybunału Sprawiedliwości UE (TSUE).

Kto wdrożył, kto się spóźnia?

Zgodnie z dyrektywą NIS2 państwa członkowskie miały czas do 17 października 2024 r. na przyjęcie krajowych przepisów o cyberbezpieczeństwie. Większość nie zdążyła – już w listopadzie 2024 r. Komisja wszczęła postępowania wobec 23 krajów. Od tego czasu tempo wdrażania przyspieszyło, choć niejednolicie. 14 państw (Belgia, Chorwacja, Włochy, Litwa, Dania, Finlandia, Łotwa,...