Jedna zmiana prawa funkcjonuje w Polsce pod co najmniej sześcioma nazwami: NIS2, KSC, KSC 2.0 (albo KSC2), UKSC, „nowelizacja ustawy o KSC” i pełne „ustawa o krajowym systemie cyberbezpieczeństwa”. Wszystkie oznaczają w praktyce to samo zjawisko — i wszystkie prowadzą do tych samych obowiązków. Ten przewodnik porządkuje nazwy, terminy i obowiązki w jednym miejscu.
Co to jest NIS2 — i czym różni się od „ustawy o KSC”
NIS2 (Network and Information Security 2) to unijna dyrektywa o cyberbezpieczeństwie — następczyni pierwszej dyrektywy NIS. Jako dyrektywa nie działa bezpośrednio: każde państwo członkowskie wdraża ją własną ustawą.
W Polsce tą ustawą jest ustawa o krajowym systemie cyberbezpieczeństwa (w skrócie: ustawa o KSC albo UKSC). Obowiązywała już od 2018 roku, a dyrektywę NIS2 wdrożono jej nowelizacją — stąd potoczne określenia „KSC 2.0” i „KSC2”. Kiedy więc ktoś mówi o „wdrożeniu NIS2”, „nowelizacji UKSC” albo „KSC 2.0” — mówi o tym samym pakiecie obowiązków.
Od kiedy obowiązuje NIS2 w Polsce
Znowelizowana ustawa o KSC weszła w życie 3 kwietnia 2026 roku. Droga legislacyjna wyglądała tak:
| Data | Wydarzenie |
|---|---|
| 23 stycznia 2026 | Sejm uchwala nowelizację ustawy o KSC (407 głosów za) |
| 19 lutego 2026 | Prezydent podpisuje ustawę, kierując ją równocześnie do Trybunału Konstytucyjnego w trybie kontroli następczej |
| 3 kwietnia 2026 | Ustawa wchodzi w życie |
Skierowanie ustawy do TK nie wstrzymało jej obowiązywania — do czasu ewentualnego rozstrzygnięcia ustawa obowiązuje w całości.
Kogo dotyczy nowa ustawa o KSC
Ustawa objęła ponad 10 tysięcy podmiotów — wobec około 400 operatorów usług kluczowych pod poprzednią wersją. Podmioty dzielą się na kluczowe (ang. essential) i ważne (ang. important); od statusu zależy m.in. obowiązek audytu i progi sankcji.
Firmy prywatne podlegają ustawie co do zasady, gdy działają w sektorach z Załącznika I (m.in. energetyka, transport, ochrona zdrowia, woda i ścieki, infrastruktura cyfrowa) lub Załącznika II (m.in. usługi pocztowe, odpady, chemia, żywność, produkcja, usługi cyfrowe) oraz przekraczają progi wielkościowe: co najmniej 50 pracowników albo ponad 10 mln EUR obrotu lub sumy bilansowej.
Podmioty publiczne — w tym gminy, powiaty i ich jednostki — kwalifikują się inną ścieżką: o statusie przesądza charakter podmiotu, nie progi obrotowe. Starostwa i większe urzędy (od 50 pracowników) trafiają do podmiotów kluczowych; mniejsze urzędy, jednostki organizacyjne i spółki komunalne — co do zasady do ważnych. Spółki wod-kan i ciepłownie mogą mieć status kluczowy przez sektory Załącznika I.
Nie wiesz, jaki status ma Twoja jednostka? Sprawdź w naszym teście — wynik od razu, bez podawania kontaktu.
Harmonogram: cztery terminy, które trzeba znać
| Termin | Obowiązek |
|---|---|
| 13 kwietnia – 6 maja 2026 | Minister Cyfryzacji wpisuje z urzędu do wykazu KSC m.in. urzędy JST i inne podmioty publiczne; wpisani uzupełniają dane w 6 miesięcy od doręczenia wezwania |
| 3 października 2026 | Termin złożenia wniosku o wpis do wykazu dla podmiotów niewpisanych z urzędu, które spełniały przesłanki 3 kwietnia 2026 r. |
| 3 kwietnia 2027 | Koniec okresu dostosowawczego: wdrożony SZBI i operacyjne korzystanie z systemu S46 |
| 3 kwietnia 2028 | Pierwszy audyt bezpieczeństwa podmiotów kluczowych; od tej daty mogą być nakładane kary pieniężne |
Szczegóły obu ścieżek wpisu opisujemy w artykule o wykazie podmiotów kluczowych i ważnych.
Najważniejsze obowiązki w skrócie
- Wpis do wykazu KSC i aktualne dane — wykaz prowadzi Minister Cyfryzacji w aplikacji wykaz-ksc.gov.pl; zmiany danych zgłasza się w 14 dni.
- System zarządzania bezpieczeństwem informacji (SZBI) — analiza ryzyka, polityki, zabezpieczenia techniczne i organizacyjne (art. 8 ustawy) — wdrożony do 3 kwietnia 2027 r. Zakres wdrożenia opisujemy tutaj.
- Zgłaszanie incydentów — wczesne ostrzeżenie w 24 godziny, zgłoszenie w 72 godziny, raport końcowy w miesiąc — przez system S46 do właściwego CSIRT (dla JST: CSIRT NASK).
- Osobista odpowiedzialność kierownika podmiotu (art. 8c) — wójt, burmistrz, starosta czy prezes zarządu zatwierdza analizę ryzyka, zapewnia środki i odpowiada także wtedy, gdy powierzył obowiązki innej osobie (art. 8c ust. 3).
- Coroczne szkolenie kierownika (art. 8e) — raz w roku kalendarzowym, z udokumentowanym udziałem. Szczegóły szkolenia.
- Audyt bezpieczeństwa (art. 15) — podmioty kluczowe, co 3 lata; pierwszy do 3 kwietnia 2028 r.
NIS2 a RODO, DORA i ISO 27001
- NIS2 a RODO: reżimy są rozłączne, ale nakładają się operacyjnie — incydent cyberbezpieczeństwa bywa jednocześnie naruszeniem ochrony danych (zgłoszenie do CSIRT i do UODO). Dlatego wdrażanie ich osobno oznacza podwójną, często sprzeczną dokumentację.
- NIS2 a DORA: sektor finansowy stosuje DORA jako regulację szczególną — bank czy instytucja płatnicza nie wdraża NIS2 „obok”, lecz DORA w swoim zakresie.
- NIS2 a ISO 27001: ustawa nie odsyła do normy, ale SZBI zbudowany na strukturze ISO 27001 dobrze mapuje się na wymogi art. 8 — to najczęstszy fundament wdrożeń.
Ile kosztuje brak zgodności
Ustawa przewiduje kary administracyjne: dla podmiotów kluczowych do 10 mln EUR lub 2% przychodu, dla ważnych do 7 mln EUR lub 1,4%, a dla kierownika podmiotu karę pieniężną liczoną od jego wynagrodzenia. Istotny jest jednak kalendarz: kary mogą być nakładane najwcześniej od 3 kwietnia 2028 r. Do tego czasu priorytetem nie jest strach przed sankcją, tylko wykorzystanie okresu dostosowawczego — i dostępnego finansowania — na rzetelne wdrożenie.
Najczęstsze pytania
Co to jest KSC 2.0? Potoczna nazwa znowelizowanej ustawy o krajowym systemie cyberbezpieczeństwa — wersji wdrażającej dyrektywę NIS2. To nie jest odrębny akt prawny.
Od kiedy obowiązuje NIS2 w Polsce? Nowelizacja ustawy o KSC weszła w życie 3 kwietnia 2026 r. Obowiązki wchodzą etapami: wykaz (2026), SZBI i S46 (do 3.04.2027), audyt i kary (od 3.04.2028).
Czy gmina musiała się sama rejestrować? Nie — urzędy JST i inne podmioty publiczne zostały wpisane do wykazu z urzędu (13.04–6.05.2026). Uzupełniają tylko dane, w 6 miesięcy od doręczenia wezwania. Wniosek do 3 października 2026 r. składają podmioty, których nie wpisano z urzędu.
Czym różni się podmiot kluczowy od ważnego? Statusem i zakresem obowiązków: podmioty kluczowe podlegają m.in. obowiązkowemu audytowi co 3 lata i wyższym progom kar; obowiązki podstawowe (wykaz, SZBI, incydenty, szkolenie kierownika) dotyczą obu kategorii.
Kancelaria Kozłowski prowadzi wdrożenia ustawy o KSC dla samorządów i firm — od ustalenia statusu, przez SZBI, po przygotowanie do audytu. Nie sprzedajemy sprzętu ani oprogramowania. Sprawdź status jednostki albo umów bezpłatną konsultację.