Co to jest KSC i NIS2 i czy dotyczy Twojej organizacji? Szybki start

KSC i NIS2 w trzech zdaniach

NIS2 to unijna dyrektywa o cyberbezpieczeństwie. KSC to polska ustawa o krajowym systemie cyberbezpieczeństwa, która tę dyrektywę wdraża — jej nowelizacja obowiązuje od 3 kwietnia 2026 roku. W praktyce chodzi o jedno: organizacja, od której zależą ważne usługi albo produkty, ma znać swoje ryzyka, wiedzieć, co robić po ataku lub awarii, i umieć to pokazać.

Dlaczego to może dotyczyć także Ciebie

Wcześniej przepisy obejmowały wąską grupę operatorów usług kluczowych i dostawców usług cyfrowych. Teraz, według szacunków Ministerstwa Cyfryzacji, może to być około 38 tysięcy podmiotów, w tym około 27 tysięcy publicznych. Dlatego warto sprawdzić, czy nie myślisz o sobie w jeden z tych sposobów:

• „Jesteśmy tylko producentem”. Produkcja żywności, maszyn, pojazdów, elektroniki czy wyrobów medycznych jest na liście sektorów.
• „To nie dotyczy urzędów”. Dotyczy: ustawa obejmuje między innymi starostwa, urzędy gmin zatrudniające co najmniej 50 osób, a także — jeśli realizują zadania publiczne z użyciem systemów informacyjnych — samorządowe jednostki budżetowe, instytucje kultury i spółki komunalne.
• „Od tego mamy informatyka”. Za obowiązki odpowiada kierownik podmiotu, czyli w spółce zarząd. Więcej we wpisie o odpowiedzialności zarządu.
• „Jesteśmy małą firmą, która tylko obsługuje dużego klienta”. Możesz nie podlegać ustawie, ale klient objęty przepisami musi zadbać o bezpieczeństwo łańcucha dostaw ICT — może więc zapytać, jak chronisz jego dane i usługi, albo wpisać to do umowy.

Jak sprawdzić, czy podlegasz: dwa pytania

1. W jakim sektorze działasz? Listy są w dwóch załącznikach do ustawy.

Sektory kluczowe (załącznik nr 1)	Sektory ważne (załącznik nr 2)
energia, transport, bankowość i rynki finansowe, ochrona zdrowia, woda pitna i ścieki, infrastruktura cyfrowa, zarządzanie usługami ICT, przestrzeń kosmiczna, podmioty publiczne	usługi pocztowe, gospodarka odpadami, chemikalia, żywność, produkcja, dostawcy usług cyfrowych, badania naukowe, inwestycje w energetykę jądrową, część podmiotów publicznych

2. Jak duża jest organizacja? Co do zasady ustawa obejmuje firmy co najmniej średnie: zatrudniające 50 lub więcej osób albo mające roczny obrót i sumę bilansową powyżej 10 mln euro. Liczą się też firmy powiązane. Część podmiotów podlega niezależnie od wielkości, na przykład dostawcy usług DNS, podmioty krytyczne czy podmioty publiczne z załącznika nr 1.

Najszybciej sprawdzisz to w naszym teście samooceny: sześć kroków, około dwóch minut. Wynik jest wstępny i nie zastępuje opinii prawnej, ale od razu wiesz, czy temat Cię dotyczy.

Co trzeba zrobić, jeśli podlegasz

• Wpis do wykazu w systemie S46. Termin dla organizacji, które spełniały kryteria 3 kwietnia 2026 roku, minął 3 października 2026 roku. Jeśli to Ty i wniosku nie ma — złóż go jak najszybciej.
• Do 3 kwietnia 2027 roku: wdrożenie obowiązków, w tym systemu zarządzania bezpieczeństwem informacji: szacowanie ryzyka, plany ciągłości działania, bezpieczeństwo dostawców.
• Zgłaszanie poważnych incydentów: wczesne ostrzeżenie w ciągu 24 godzin i zgłoszenie w ciągu 72 godzin od wykrycia.
• Do 3 kwietnia 2028 roku: pierwszy audyt podmiotów kluczowych.

Za niewykonanie obowiązków grożą kary: dla podmiotu kluczowego do 10 mln euro albo 2% przychodów, dla ważnego do 7 mln euro albo 1,4% przychodów. Wszystkie daty znajdziesz w harmonogramie KSC.

Od czego zacząć

Nie od kupowania narzędzi ani pisania polityk. Zacznij od odpowiedzi na trzy pytania: co w organizacji nie może stanąć, od jakich systemów i dostawców to zależy i co może pójść nie tak.

Tak jest ułożony KSC Manager. Droga do zgodności prowadzi przez kolejne etapy: od procesów i analizy ich krytyczności, przez aktywa, dostawców i ryzyka, po dokumentację i obsługę incydentów.

Chcesz zobaczyć, jak to wygląda? Załóż organizację demo z przykładowymi danymi albo napisz do nas — pokażemy system i pomożemy ustalić pierwsze kroki.

Najczęstsze pytania

Czy KSC i NIS2 to to samo?

Prawie. NIS2 to dyrektywa, która wyznacza zasady dla całej Unii Europejskiej, a ustawa o KSC to polskie prawo, które ją wdraża. Polską organizację obowiązuje ustawa o KSC.

Czy firma zatrudniająca mniej niż 50 osób może spokojnie to pominąć?

Nie zawsze. Decyduje też obrót z sumą bilansową i firmy powiązane, a część podmiotów podlega niezależnie od wielkości. Nawet poza ustawą możesz dostać wymagania od klientów, których przepisy obejmują.

Mamy wdrożone RODO. Czy to wystarczy?

Nie. RODO chroni dane osobowe, a ustawa o KSC dotyczy bezpieczeństwa systemów i ciągłości usług: ryzyka, incydentów, dostawców i planów na wypadek awarii.

Czy trzeba mieć certyfikat ISO 27001?

Nie. Certyfikat nie jest wymogiem ustawowym, choć organizacji z systemem zbudowanym według tej normy zwykle łatwiej spełnić wymagania ustawy.