NIS2: trzy terminy, których nie wolno przegapić

Przepisy o KSC nakładają na firmy obowiązek zarządzania ryzykiem, weryfikacji dostawców i zgłaszania incydentów. Do 3 października br. trzeba złożyć wniosek o wpis do wykazu podmiotów kluczowych i ważnych.

Do 3 października br. tysiące firm objętych nowelizacją ustawy o krajowym systemie cyberbezpieczeństwa (KSC), których nie wpisano do wykazu z urzędu, muszą samodzielnie złożyć wniosek o wpis do wykazu podmiotów kluczowych i ważnych. To dopiero pierwszy z trzech istotnych dla przedsiębiorców terminów: obowiązki z rozdziału 3 ustawy trzeba wdrożyć co do zasady do 3 kwietnia 2027 r., a większość kar pieniężnych będzie można nałożyć dopiero po 3 kwietnia 2028 r. Odroczenie kar nie oznacza jednak, że z przygotowaniami można czekać do 2028 r. – terminy obowiązków biegną niezależnie.

Nowelizacja ustawy o KSC z 23 stycznia 2026 r., wdrażająca do polskiego porządku prawnego unijną dyrektywę NIS2 z 14 grudnia 2022 r., weszła w życie 3 kwietnia 2026 r. Dotychczasowy wąski krąg operatorów usług kluczowych objętych szczególnymi regułami cyberbezpieczeństwa, wyznaczanych decyzją administracyjną, zastąpiono modelem, w którym status podmiotu powstaje z mocy prawa. Objęcie tymi twardymi regułami następuje z chwilą spełnienia kryteriów sektorowych i wielkościowych, a sam wpis ma charakter deklaratoryjny. Według szacunków Ministerstwa Cyfryzacji regulacja obejmie blisko 40 tys. organizacji, z czego przeważającą część stanowią podmioty publiczne, a ponad 11 tys. – firmy...