Polska wdrożyła NIS2, nowelizując ustawę o krajowym systemie cyberbezpieczeństwa (KSC). Ustawa z dnia 23 stycznia 2026 r. o zmianie ustawy o krajowym systemie cyberbezpieczeństwa oraz niektórych innych ustaw została ogłoszona w Dzienniku Ustaw 2 marca 2026 r. (Dz.U. 2026 poz. 252) i weszła w życie 3 kwietnia 2026 r. Dotychczasowy podział na operatorów usług kluczowych i dostawców usług cyfrowych zastępują kategorie z NIS2: podmioty kluczowe i podmioty ważne.
Kogo obejmuje
Progi wielkości wynikają z NIS2. Co do zasady przepisy obejmują firmę, która działa w jednym z sektorów wymienionych w ustawie i jest co najmniej średnim przedsiębiorstwem: zatrudnia 50 lub więcej osób albo ma roczny obrót i sumę bilansową przekraczające 10 mln EUR. Niektóre podmioty są objęte niezależnie od wielkości. Podmioty objęte ustawą same się identyfikują i składają wniosek o wpis do wykazu podmiotów kluczowych i ważnych; nowelizacja przewiduje okresy przejściowe na wpis i na wdrożenie wymaganych środków, więc terminy, które dotyczą Twojej firmy, sprawdź w samej ustawie.
Zgłaszanie poważnego incydentu
NIS2 wyznacza ścieżkę zgłoszeń, którą wdraża znowelizowana ustawa: wczesne ostrzeżenie w ciągu 24 godzin od powzięcia wiadomości o poważnym incydencie, zgłoszenie incydentu w ciągu 72 godzin i sprawozdanie końcowe najpóźniej miesiąc po zgłoszeniu. Zgodnie z ustawą o KSC zgłoszenia trafiają do jednego z trzech CSIRT-ów poziomu krajowego (CSIRT NASK, CSIRT GOV lub CSIRT MON), zależnie od podmiotu. Nasz kalkulator terminów NIS2 zamienia moment powzięcia wiadomości na konkretne daty.
Środki zarządzania ryzykiem
Ustawa przejmuje środki zarządzania ryzykiem z art. 21 NIS2: analizę ryzyka, obsługę incydentów, ciągłość działania, bezpieczeństwo łańcucha dostaw, procedury oceny skuteczności środków i inne. Nie wskazuje żadnego produktu. W praktyce wymaga jednak, by firma potrafiła wykryć incydent i opisać go w terminie.
Co to oznacza dla monitorowania sieci
Nie wyślesz wczesnego ostrzeżenia o incydencie, którego nie zauważyłeś. Większość włamań kończących się incydentem do zgłoszenia przechodzi przez sieć na długo przed szkodą: stacja robocza łącząca się z zewnętrznym serwerem, jeden host skanujący inne, nowe sesje administracyjne, duży transfer danych w nocy. Ciągła obserwacja tego ruchu to jeden z niewielu sposobów, by mały zespół zauważył to na czas, i obejmuje też urządzenia, na których nie da się uruchomić agenta, takie jak drukarki, kamery i maszyny produkcyjne.
Co robi NetSenX, a czego nie
NetSenX obserwuje, jak każdy host zachowuje się w sieci, i wykrywa beaconing C2, skanowanie, ruch boczny oraz nietypowy wolumen danych wychodzących, w każdym planie, także w Free. Wyjaśnia każdy alert prostym językiem, zapisuje alerty, decyzje analityków i zmiany konfiguracji w dzienniku audytu oraz śledzi każdy incydent względem terminów z art. 23 NIS2. Dane klientów są przechowywane w UE.
NetSenX nie rozstrzyga, czy Twoja firma jest podmiotem kluczowym lub ważnym, nie składa wniosku o wpis do wykazu i nie zgłasza incydentów do CSIRT w Twoim imieniu: te obowiązki pozostają po Twojej stronie. Plan Free monitoruje do 3 urządzeń bez limitu czasu; zobacz cennik i monitorowanie sieci pod NIS2.
FAQ
Czy Polska wdrożyła NIS2?
Tak. Ustawa z dnia 23 stycznia 2026 r. o zmianie ustawy o krajowym systemie cyberbezpieczeństwa (Dz.U. 2026 poz. 252) weszła w życie 3 kwietnia 2026 r. i wdraża NIS2 do polskiego prawa.
Czym są podmioty kluczowe i ważne?
To dwie kategorie z NIS2, które znowelizowana ustawa o KSC stosuje zamiast dawnych operatorów usług kluczowych. To, która z nich dotyczy firmy, zależy głównie od sektora i wielkości; sektory wymienia ustawa.
Gdzie zgłasza się incydenty w Polsce?
Do jednego z trzech CSIRT-ów poziomu krajowego, CSIRT NASK, CSIRT GOV lub CSIRT MON, zależnie od podmiotu, w terminach z NIS2: wczesne ostrzeżenie w ciągu 24 godzin, zgłoszenie w ciągu 72 godzin, sprawozdanie końcowe w ciągu miesiąca od zgłoszenia.
Czy NetSenX zgłasza incydenty do CSIRT za nas?
Nie. NetSenX wykrywa podejrzane zachowanie w sieci, przechowuje alerty i dziennik audytu, na których opiera się zgłoszenie, i śledzi terminy. Wpis do wykazu i zgłoszenia pozostają po stronie Twojej firmy.
Źródła
Wszystkie sprawdzone 7 listopada 2026 r.
- ISAP — Ustawa z dnia 23 stycznia 2026 r. o zmianie ustawy o krajowym systemie cyberbezpieczeństwa oraz niektórych innych ustaw (Dz.U. 2026 poz. 252) — status i data wejścia w życie
- Dziennik Ustaw 2026 poz. 252 — ogłoszony tekst
- UKE — zmiana ustawy o krajowym systemie cyberbezpieczeństwa
- Dyrektywa (UE) 2022/2555 (NIS2) — EUR-Lex
- Komisja Europejska — stan transpozycji NIS2 w państwach członkowskich
Opracował zespół NetSenX w TriStiX S.L. Artykuł ma charakter ogólnej informacji i nie stanowi porady prawnej; swoje obowiązki sprawdź w ustawie albo z doradcą prawnym. Pytania: info@netsenx.com.