# NIS2 w Polsce: co oznacza nowelizacja ustawy o KSC > Znowelizowana ustawa o KSC wdraża NIS2 od 3 kwietnia 2026 r.: kogo obejmuje, terminy zgłoszeń, środki zarządzania ryzykiem i monitorowanie sieci. Source page: https://netsenx.com/pl/blog/2026-11-07_nis2-poland-ksc · NetSenX Team · 2026-11-07 Polska wdrożyła NIS2, nowelizując ustawę o krajowym systemie cyberbezpieczeństwa (KSC). Ustawa z dnia 23 stycznia 2026 r. o zmianie ustawy o krajowym systemie cyberbezpieczeństwa oraz niektórych innych ustaw została ogłoszona w Dzienniku Ustaw 2 marca 2026 r. (Dz.U. 2026 poz. 252) i weszła w życie 3 kwietnia 2026 r. Dotychczasowy podział na operatorów usług kluczowych i dostawców usług cyfrowych zastępują kategorie z NIS2: podmioty kluczowe i podmioty ważne. ## Kogo obejmuje Progi wielkości wynikają z NIS2. Co do zasady przepisy obejmują firmę, która działa w jednym z sektorów wymienionych w ustawie i jest co najmniej średnim przedsiębiorstwem: zatrudnia 50 lub więcej osób albo ma roczny obrót i sumę bilansową przekraczające 10 mln EUR. Niektóre podmioty są objęte niezależnie od wielkości. Podmioty objęte ustawą same się identyfikują i składają wniosek o wpis do wykazu podmiotów kluczowych i ważnych; nowelizacja przewiduje okresy przejściowe na wpis i na wdrożenie wymaganych środków, więc terminy, które dotyczą Twojej firmy, sprawdź w samej ustawie. ## Zgłaszanie poważnego incydentu NIS2 wyznacza ścieżkę zgłoszeń, którą wdraża znowelizowana ustawa: wczesne ostrzeżenie w ciągu 24 godzin od powzięcia wiadomości o poważnym incydencie, zgłoszenie incydentu w ciągu 72 godzin i sprawozdanie końcowe najpóźniej miesiąc po zgłoszeniu. Zgodnie z ustawą o KSC zgłoszenia trafiają do jednego z trzech CSIRT-ów poziomu krajowego (CSIRT NASK, CSIRT GOV lub CSIRT MON), zależnie od podmiotu. Nasz [kalkulator terminów NIS2](/pl/nis2-incident-reporting-deadlines) zamienia moment powzięcia wiadomości na konkretne daty. ## Środki zarządzania ryzykiem Ustawa przejmuje środki zarządzania ryzykiem z art. 21 NIS2: analizę ryzyka, obsługę incydentów, ciągłość działania, bezpieczeństwo łańcucha dostaw, procedury oceny skuteczności środków i inne. Nie wskazuje żadnego produktu. W praktyce wymaga jednak, by firma potrafiła wykryć incydent i opisać go w terminie. ## Co to oznacza dla monitorowania sieci Nie wyślesz wczesnego ostrzeżenia o incydencie, którego nie zauważyłeś. Większość włamań kończących się incydentem do zgłoszenia przechodzi przez sieć na długo przed szkodą: stacja robocza łącząca się z zewnętrznym serwerem, jeden host skanujący inne, nowe sesje administracyjne, duży transfer danych w nocy. Ciągła obserwacja tego ruchu to jeden z niewielu sposobów, by mały zespół zauważył to na czas, i obejmuje też urządzenia, na których nie da się uruchomić agenta, takie jak drukarki, kamery i maszyny produkcyjne. ## Co robi NetSenX, a czego nie NetSenX obserwuje, jak każdy host zachowuje się w sieci, i wykrywa beaconing C2, skanowanie, ruch boczny oraz nietypowy wolumen danych wychodzących, w każdym planie, także w Free. Wyjaśnia każdy alert prostym językiem, zapisuje alerty, decyzje analityków i zmiany konfiguracji w dzienniku audytu oraz śledzi każdy incydent względem terminów z art. 23 NIS2. Dane klientów są przechowywane w UE. NetSenX nie rozstrzyga, czy Twoja firma jest podmiotem kluczowym lub ważnym, nie składa wniosku o wpis do wykazu i nie zgłasza incydentów do CSIRT w Twoim imieniu: te obowiązki pozostają po Twojej stronie. Plan Free monitoruje do 3 urządzeń bez limitu czasu; zobacz [cennik](/pl/pricing) i [monitorowanie sieci pod NIS2](/pl/nis2-network-monitoring). ## FAQ ### Czy Polska wdrożyła NIS2? Tak. Ustawa z dnia 23 stycznia 2026 r. o zmianie ustawy o krajowym systemie cyberbezpieczeństwa (Dz.U. 2026 poz. 252) weszła w życie 3 kwietnia 2026 r. i wdraża NIS2 do polskiego prawa. ### Czym są podmioty kluczowe i ważne? To dwie kategorie z NIS2, które znowelizowana ustawa o KSC stosuje zamiast dawnych operatorów usług kluczowych. To, która z nich dotyczy firmy, zależy głównie od sektora i wielkości; sektory wymienia ustawa. ### Gdzie zgłasza się incydenty w Polsce? Do jednego z trzech CSIRT-ów poziomu krajowego, CSIRT NASK, CSIRT GOV lub CSIRT MON, zależnie od podmiotu, w terminach z NIS2: wczesne ostrzeżenie w ciągu 24 godzin, zgłoszenie w ciągu 72 godzin, sprawozdanie końcowe w ciągu miesiąca od zgłoszenia. ### Czy NetSenX zgłasza incydenty do CSIRT za nas? Nie. NetSenX wykrywa podejrzane zachowanie w sieci, przechowuje alerty i dziennik audytu, na których opiera się zgłoszenie, i śledzi terminy. Wpis do wykazu i zgłoszenia pozostają po stronie Twojej firmy. ## Źródła Wszystkie sprawdzone 7 listopada 2026 r. - [ISAP — Ustawa z dnia 23 stycznia 2026 r. o zmianie ustawy o krajowym systemie cyberbezpieczeństwa oraz niektórych innych ustaw (Dz.U. 2026 poz. 252)](https://isap.sejm.gov.pl/isap.nsf/DocDetails.xsp?id=WDU20260000252) — status i data wejścia w życie - [Dziennik Ustaw 2026 poz. 252](https://dziennikustaw.gov.pl/DU/2026/252) — ogłoszony tekst - [UKE — zmiana ustawy o krajowym systemie cyberbezpieczeństwa](https://www.uke.gov.pl/akt/zmiana-ustawy-o-krajowym-systemie-cyberbezpieczenstwa,647.html) - [Dyrektywa (UE) 2022/2555 (NIS2) — EUR-Lex](https://eur-lex.europa.eu/eli/dir/2022/2555/oj) - [Komisja Europejska — stan transpozycji NIS2 w państwach członkowskich](https://digital-strategy.ec.europa.eu/en/policies/nis-transposition) --- *Opracował zespół NetSenX w TriStiX S.L. Artykuł ma charakter ogólnej informacji i nie stanowi porady prawnej; swoje obowiązki sprawdź w ustawie albo z doradcą prawnym. Pytania: [info@netsenx.com](mailto:info@netsenx.com).*