NIS2, KSC, Wykaz KSC, SZBI i kolejne skróty mogą na początku wyglądać jak osobny język. Ten przewodnik zbiera najważniejsze informacje w jednym miejscu i wyjaśnia je spokojnie — od ustalenia, czy przepisy dotyczą organizacji, po praktyczne działania w IT.
NIS2 to dyrektywa Unii Europejskiej dotycząca wspólnego poziomu cyberbezpieczeństwa. Wyznacza kierunek i obowiązki, które państwa członkowskie przenoszą do własnego prawa.
W Polsce robi to znowelizowana ustawa o krajowym systemie cyberbezpieczeństwa, czyli ustawa KSC. Dlatego w codziennej rozmowie pojawia się nazwa NIS2, ale konkretne obowiązki polskiej organizacji wynikają przede wszystkim z KSC.
NIS2
↓
prawo Unii Europejskiej
↓
KSC
↓
polskie wymagania dla konkretnych podmiotów
NIS2 i KSC nie są tym samym pojęciem.
NIS2 jest dyrektywą UE, a KSC jest polską ustawą, która wdraża jej wymagania.
Diagram decyzji: sektor → wielkość → szczególne kryteria → dalsza analiza.
Nie. Sam fakt prowadzenia firmy albo korzystania z systemów IT nie oznacza automatycznie podlegania ustawie KSC. Znaczenie mają łącznie: sektor i rodzaj działalności, wielkość organizacji oraz szczególne przesłanki zapisane w ustawie.
Nie warto upraszczać tego do jednego progu zatrudnienia. Część podmiotów może podlegać regulacji niezależnie od wielkości, a w innych przypadkach trzeba uwzględnić relacje właścicielskie, charakter świadczonej usługi albo decyzję właściwego organu.
Najpierw trzeba ustalić, czy organizacja w ogóle podlega przepisom. Dopiero potem określa się kategorię. Obie grupy mają obowiązki w zakresie zarządzania ryzykiem, incydentów i dokumentacji, ale różnią się między innymi modelem nadzoru i zakresem obowiązkowych audytów.
| PODMIOT KLUCZOWY | PODMIOT WAŻNY |
|---|---|
| Zwykle większe organizacje z sektorów o wysokiej krytyczności oraz podmioty wskazane niezależnie od wielkości. Podlegają aktywnemu nadzorowi. Dla tej kategorii ustawa przewiduje okresowe obowiązkowe audyty. | Najczęściej średnie przedsiębiorstwa z sektorów kluczowych oraz średnie lub duże z sektorów ważnych, a także niektóre podmioty wskazane szczególnie. Nadzór ma zasadniczo charakter następczy. |
Wykaz KSC porządkuje informacje o podmiotach kluczowych i ważnych oraz służy komunikacji z krajowym systemem cyberbezpieczeństwa. Jest prowadzony w systemie S46.
Jeżeli organizacja spełnia kryteria, co do zasady powinna dokonać zgłoszenia. Wniosek składa elektronicznie kierownik podmiotu albo osoba upoważniona. Wpis ma charakter deklaratoryjny. Możliwy jest również wpis z urzędu — wtedy organizacja otrzymuje zawiadomienie, ale nie oznacza to, że wcześniejszy brak samorejestracji zawsze był prawidłowy.
Ważna data: 3 października 2026 r.
Dla podmiotów, które spełniały kryteria już 3 kwietnia 2026 r., jest to termin dokonania wpisu do Wykazu KSC. Dla podmiotów spełniających przesłanki później termin jest liczony indywidualnie — zasadniczo sześć miesięcy od ich spełnienia.
S46 to system teleinformatyczny wykorzystywany między innymi do prowadzenia Wykazu KSC, komunikacji oraz obsługi zgłoszeń incydentów. Samo konto w systemie nie zastępuje wdrożenia środków bezpieczeństwa.
Najprościej można to ująć tak: potrzebny jest działający sposób zarządzania bezpieczeństwem, a nie pojedynczy zakup. Firewall może być ważny, ale nie zastąpi wiedzy o aktywach, dostępie, ryzyku, incydentach i ciągłości działania.
Zacznij od inwentaryzacji urządzeń, systemów, usług, danych i dostawców. Bez aktualnego obrazu środowiska trudno ocenić ryzyko i ustalić odpowiedzialność.
Wskaż procesy i usługi, których przerwa najbardziej uderzy w organizację. Powiąż je z systemami, ludźmi, lokalizacjami i dostawcami.
Sprawdź konta administratorów, uprawnienia, konta nieużywane i sposób odbierania dostępu. Tam, gdzie jest to uzasadnione, włącz MFA i rozdziel role.
Zobacz, czy cała infrastruktura nie działa w jednej płaskiej sieci. Oceń reguły firewall, VPN i dostęp zdalny oraz możliwość ograniczenia ruchu między obszarami.
Liczy się nie tylko wykonanie kopii. Trzeba wiedzieć, co jest kopiowane, gdzie, jak długo i czy dane oraz usługi można rzeczywiście odtworzyć.
Ustal, kto śledzi poprawki, jak szybko są wdrażane i co dzieje się z systemami niewspieranymi. Krytyczne luki powinny mieć jasną ścieżkę decyzji.
Określ, kto podejmuje decyzje, kto zabezpiecza dowody i kto kontaktuje się z CSIRT. Procedura powinna działać także poza idealnym scenariuszem.
Zapisz architekturę, kluczowe konfiguracje, kontakty, zależności i decyzje. Dokumentacja techniczna ma pomagać działać i wykazać sposób zarządzania bezpieczeństwem.
Nazwij realne scenariusze awarii i ataków, oceń skutki oraz istniejące zabezpieczenia. Analiza ryzyka IT łączy technikę z wpływem na działalność.
Nie wszystko ma ten sam priorytet. Ułóż działania według ryzyka, zależności, kosztu i czasu, a następnie przypisz odpowiedzialność i termin przeglądu.
Mapa drogi:
stan środowiska → ryzyko → priorytety → plan działania.
| PRZEPIS / OBSZAR | CO TO OZNACZA W PRAKTYCE |
|---|---|
| Zarządzanie ryzykiem | Wiedza, co może zawieść, jakie będą skutki i które zabezpieczenia mają największe znaczenie. |
| Ciągłość działania | Backup, sprawdzone odtwarzanie, plan awaryjny i decyzje na wypadek niedostępności usług. |
| Kontrola dostępu | Konta, role, uprawnienia administratorów, odbieranie dostępu oraz MFA tam, gdzie ogranicza realne ryzyko. |
| Bezpieczeństwo sieci | Segmentacja, firewall, VPN, bezpieczny dostęp zdalny i kontrola komunikacji między strefami. |
| Obsługa incydentów | Odpowiedzialność, wykrycie, rejestracja, reakcja i terminowe zgłoszenie do właściwego CSIRT. |
| Dostawcy | Wiedza, kto ma dostęp, od jakich usług zależy organizacja i jakie wymagania bezpieczeństwa obowiązują dostawcę. |
| Dokumentacja | Możliwość wykazania, jak bezpieczeństwo jest zarządzane, kto odpowiada i dlaczego podjęto konkretne decyzje. |
SZBI to System Zarządzania Bezpieczeństwem Informacji. Brzmi formalnie, ale jego sens jest praktyczny: organizacja ma wiedzieć, kto odpowiada za bezpieczeństwo, jakie ma ryzyka, jak zarządza dostępem i incydentami oraz jak utrzymuje ciągłość działania.
Nie chodzi o zakup kilkuset stron dokumentacji. Dobrze działający SZBI łączy odpowiedzialność, polityki, analizę ryzyka, dostęp, obsługę incydentów, ciągłość działania, regularne przeglądy i doskonalenie. Dokumenty powinny opisywać rzeczywisty sposób pracy, a nie istnieć obok niego.
Schemat SZBI: odpowiedzialność, ryzyko, dostęp, incydenty, ciągłość i doskonalenie.
Porównanie relacji: wymagania KSC/NIS2 oraz system zarządzania ISO/IEC 27001 — obszary wspólne, ale nie tożsame.
NIS2 i KSC określają obowiązki prawne dla podmiotów objętych regulacją. ISO/IEC 27001 jest natomiast międzynarodową normą opisującą system zarządzania bezpieczeństwem informacji i może dostarczyć uporządkowanego modelu pracy.
Certyfikacja ISO/IEC 27001 nie jest automatycznie tym samym co zgodność z KSC, a sama KSC nie oznacza w każdym przypadku obowiązku posiadania certyfikatu. Norma może wspierać organizację, lecz ocenę obowiązków trzeba odnieść do właściwych przepisów i faktycznego zakresu działalności.
W internecie określenie „audyt NIS2” jest używane bardzo szeroko. Może oznaczać wstępną analizę gotowości, analizę luk, analizę ryzyka, przegląd środowiska IT albo formalny audyt wymagany ustawą. To nie są pojęcia wymienne.
Przed rozpoczęciem warto ustalić cel, zakres, podstawę oceny, oczekiwany rezultat oraz wymagane kwalifikacje wykonawcy. BeeClever realizuje techniczne analizy środowiska i przygotowanie infrastruktury. W projektach wymagających kompetencji audytowych możliwa jest współpraca z audytorem ISO/IEC 27001 — jego doświadczenie nie jest przedstawiane jako realizacja BeeClever.
3 KWIETNIA 2026
Wejście w życie nowelizacji ustawy KSC wdrażającej NIS2.
3 PAŹDZIERNIKA 2026
Termin wpisu do Wykazu KSC dla podmiotów, które spełniały kryteria w dniu wejścia nowelizacji.
3 KWIETNIA 2027
Koniec okresu dostosowawczego dla tych podmiotów: wdrożenie obowiązków, SZBI, procedur, dokumentacji i podłączenie do S46.
3 KWIETNIA 2028
Termin pierwszego obowiązkowego audytu dla podmiotów kluczowych, które nie były wcześniej operatorami usług kluczowych. Dla podmiotów spełniających przesłanki później terminy liczy się indywidualnie.
Nie trzeba zaczynać od idealnego programu bezpieczeństwa. Najpierw potrzebny jest uczciwy obraz sytuacji, a potem lista działań uporządkowana według ryzyka.
□ ustal status organizacji
□ sprawdź Wykaz KSC
□ zinwentaryzuj środowisko
□ zidentyfikuj kluczowe systemy
□ sprawdź konta i dostęp
□ sprawdź backup
□ sprawdź możliwość odtworzenia
□ sprawdź sieć i segmentację
□ uporządkuj dostawców
□ sprawdź procedurę incydentu
□ przygotuj listę największych ryzyk
□ zaplanuj działania i odpowiedzialność
Nie zaczynaj od kupowania przypadkowego sprzętu ani od wdrażania narzędzi bez ustalenia problemu. Nie twórz dokumentacji oderwanej od faktycznego środowiska.
Najlepsza kolejność to: stan → ryzyko → priorytety → działanie.
Dyrektywa UE 2022/2555 określająca wspólny poziom cyberbezpieczeństwa i obowiązki dotyczące zarządzania ryzykiem oraz incydentami.
Ustawa o krajowym systemie cyberbezpieczeństwa. Jej znowelizowana wersja wdraża NIS2 do polskiego prawa.
Tak. Nowelizacja KSC obowiązuje od 3 kwietnia 2026 r., przy czym część terminów dostosowawczych przypada w 2026–2028.
Podmiotów działających w określonych sektorach i spełniających kryteria ustawowe. Istnieją także szczególne przypadki niezależne od typowego progu wielkości.
Nie. Trzeba zbadać sektor, usługę, wielkość i szczególne przesłanki ustawowe.
Kategoria podmiotów o szczególnym znaczeniu, objęta aktywnym nadzorem i — w określonych przypadkach — cyklicznym obowiązkowym audytem.
Druga główna kategoria podmiotów objętych KSC. Obowiązki bezpieczeństwa pozostają istotne, ale model nadzoru jest zasadniczo następczy.
Elektroniczny wykaz podmiotów kluczowych i ważnych prowadzony w systemie S46 przez właściwe organy.
System teleinformatyczny wykorzystywany do Wykazu KSC, komunikacji i obsługi zgłoszeń incydentów.
Jeżeli spełnia kryteria, co do zasady składa elektroniczny wniosek o wpis. Wpis może też nastąpić z urzędu.
Otrzymuje zawiadomienie i powinien zweryfikować dane, podstawę wpisu oraz terminy obowiązków. Wpis z urzędu nie zwalnia z dalszych działań.
System Zarządzania Bezpieczeństwem Informacji: odpowiedzialność, ryzyko, zasady, dostęp, incydenty, ciągłość, dokumentacja i przeglądy.
Nie należy utożsamiać certyfikatu ISO z automatyczną zgodnością z KSC. Norma może wspierać SZBI, ale obowiązki wynikają z przepisów.
Potoczne określenie różnych usług. Może oznaczać analizę gotowości lub luk, a także formalny audyt przewidziany ustawą — zakres trzeba nazwać precyzyjnie.
Podmioty kluczowe mają ustawowe obowiązki audytowe. Inne organizacje mogą wykonać analizę techniczną lub luk, ale nie należy nazywać jej automatycznie formalnym audytem.
Ustawa wymaga adekwatnych środków zarządzania ryzykiem. MFA jest ważnym środkiem kontroli dostępu, ale sposób wdrożenia powinien wynikać z ryzyka i architektury.
Ciągłość działania i odtwarzanie są elementami zarządzania ryzykiem. Zakres kopii powinien odpowiadać usługom, danym i skutkom ich utraty.
Sama informacja o wykonanej kopii nie potwierdza możliwości powrotu do pracy. Test odtworzenia daje dowód, że procedura i dane są użyteczne.
Trzeba znać zależności, dostęp dostawców, krytyczne usługi i wymagania bezpieczeństwa w łańcuchu dostaw.
Bezpieczeństwo obejmuje role, odpowiedzialność i kompetencje. Ustawa przewiduje również szkolenia kierownictwa i osób realizujących zadania cyberbezpieczeństwa.
Aktualny schemat, adresacja, strefy i reguły dostępu znacznie ułatwiają analizę ryzyka, reakcję na incydent i odtworzenie środowiska.
Obowiązkowa jest zdolność zarządzania aktywami i ryzykiem, nie konkretny produkt. GLPI może pomóc, ale nie jest jedynym dopuszczalnym narzędziem.
Od ustalenia statusu organizacji i aktualnego stanu środowiska: aktywów, usług, dostępu, sieci, backupu, dostawców i dokumentacji.
Nie zawsze pierwszym krokiem musi być kolejny dokument lub zakup nowego narzędzia. Często więcej daje uporządkowanie faktycznego stanu infrastruktury, systemów, kont, dostępu, sieci, backupu, dostawców i dokumentacji.
BeeClever może pomóc w technicznej analizie środowiska, uporządkowaniu infrastruktury i przygotowaniu planu dalszych działań.
Spokojny diagram przejścia od obrazu środowiska do uporządkowanego planu poprawy.
Stan informacji na: 29 września 2026 r. Treść ma charakter informacyjny i nie zastępuje indywidualnej analizy prawnej ani formalnego audytu.