Nowelizacja ustawy o krajowym systemie cyberbezpieczeństwa, wdrażająca dyrektywę NIS2, obowiązuje od 3 kwietnia 2026 r. To największa od lat zmiana w polskim prawie cyberbezpieczeństwa i pierwsza, która tak wyraźnie kieruje obowiązki bezpośrednio do kierownictwa organizacji.

Kogo obejmuje. Ustawa dotyczy podmiotów kluczowych i ważnych z kilkunastu sektorów — obok energetyki, transportu, zdrowia i infrastruktury cyfrowej także m.in. produkcji, gospodarki odpadami i usług pocztowych. Podmioty identyfikują się same: wniosek o wpis do wykazu należy złożyć do 3 października 2026 r.
Rola kierownika jednostki. Kierownik odpowiada za wdrożenie i funkcjonowanie systemu zarządzania bezpieczeństwem informacji, zatwierdza kluczową dokumentację i ma obowiązek odbycia szkolenia. Ustawa przewiduje kary pieniężne nakładane bezpośrednio na kierownika — obok kar dla samego podmiotu.
Incydenty. Obsługa incydentów według reżimu NIS2: wczesne ostrzeżenie w 24 godziny, zgłoszenie w 72 godziny, raportowanie przez system S46, współpraca z właściwym CSIRT.
Sankcje. Kary administracyjne dla podmiotów liczą się od przychodu, według progów przewidzianych dla podmiotów kluczowych i ważnych; część obowiązków i sankcji wchodzi w życie etapami.

Co to oznacza dla zarządu i rady nadzorczej

Cyberbezpieczeństwo przestaje być zadaniem wyłącznie działu IT — staje się obowiązkiem zarządczym z osobistą odpowiedzialnością. W pierwszej kolejności warto: ustalić status własnej organizacji (podmiot kluczowy, ważny czy poza zakresem), przypisać odpowiedzialności wewnątrz organizacji i w grupie, zaplanować wpis do wykazu przed upływem terminu, przejrzeć umowy z dostawcami usług ICT pod kątem wymogów łańcucha dostaw oraz wprowadzić temat na stałe do agendy rady nadzorczej.