Prezydent podpisał nowelizację ustawy o krajowym systemie cyberbezpieczeństwa (KSC), która ostatecznie implementuje do polskiego prawa unijną dyrektywę NIS2 (dyrektywa(UE)2022/2555). Dla polskich przedsiębiorstw oznacza to koniec okresu legislacyjnej próżni i początek bardzo intensywnych tygodni. Jako eksperci TECHOM Sp. z o.o. podkreślamy: czas na analizy dobiegł końca, nadeszła pora na konkretne działania biznesowe.

Ustawa weszła w życie 3 kwietnia 2026 roku (z jednoczesnym skierowaniem wybranych zapisów do Trybunału Konstytucyjnego). Organizacje mają zatem niezwykle mało czasu na weryfikację swojej pozycji w nowych realiach prawnych.

Nowe zasady gry i rozszerzona odpowiedzialność
Regulacje wynikające z NIS2 diametralnie zmieniają standardy cyberbezpieczeństwa w całej Unii Europejskiej. Opóźnienie we wdrożeniu tych przepisów w Polsce (niemal 18 miesięcy względem unijnego terminu) sprawiło, że wiele firm wstrzymywało kluczowe inwestycje. Teraz wymogi stają się twardym prawem, a nowe obowiązki obejmują m.in.:

• Rygorystyczne zarządzanie ryzykiem w cyberprzestrzeni.
• Zabezpieczenie łańcuchów dostaw (co oznacza, że wymogi spłyną również na mniejszych podwykonawców).
• Surowe zasady raportowania incydentów do odpowiednich organów.

Z perspektywy zarządów kluczowym argumentem do natychmiastowego działania powinny być sankcje. Niespełnienie nowych standardów to ryzyko kar finansowych sięgających 10 milionów euro lub 2% całkowitego rocznego światowego obrotu przedsiębiorstwa. Ponadto przepisy wprowadzają bezpośrednią odpowiedzialność (w tym finansową) kadry zarządzającej za zaniedbania w obszarze cyberbezpieczeństwa.

Samoocena to pierwszy krok
Nowelizacja obejmuje aż 18 sektorów gospodarki i wprowadza podział na podmioty kluczowe oraz ważne, które będą podlegać zróżnicowanemu poziomowi nadzoru.

Z obserwacji rynku wynika, że do niedawna ponad połowa firm nie miała pewności, czy nowe prawo w ogóle ich dotyczy. Należy wyraźnie zaznaczyć: to na przedsiębiorstwach spoczywa teraz obowiązek samooceny, klasyfikacji oraz rejestracji we właściwym organie. Błędna interpretacja przepisów lub brak zgłoszenia może skutkować natychmiastowymi sankcjami administracyjnymi, a także poważnymi stratami wizerunkowymi.

Cyberbezpieczeństwo to proces, nie jednorazowy projekt
TECHOM zwraca uwagę na szerszy kontekst. NIS2 to tylko jeden z elementów rosnącego tsunami regulacyjnego. Równolegle wdrażane są dyrektywy takie jak CER (odpornośćpodmiotów krytycznych) oraz unijne rozporządzenia Cyber Resilience Act (CRA) czy AI Act. Opóźnienia w legislacji NIS2 obnażyły słabość projektowego podejścia do bezpieczeństwa. Próba spełniania wymogów każdej kolejnej ustawy „od zera” doprowadzi do paraliżu organizacyjnego i kumulacji kosztów. Dlatego zalecamy:

• Oparcie się na międzynarodowych standardach. Wdrożenie norm takich jak ISO 27001 daje stabilny fundament i systemowe podejście, które wykracza poza pojedynczą ustawę.
• Odejście od „odhaczania” procedur. Sam zakup sprzętu czy oprogramowania nie załatwia sprawy. Należy zwracać uwagę na okresy wsparcia producentów i dostawców po zakupie. Systemy muszą być stale utrzymywane, aktualizowane i testowane.
• Inwestycję w kompetencje. Technologie są bezradne bez dojrzałych procesów i wykwalifikowanych ekspertów, którzy potrafią właściwie interpretować zagrożenia.

Rekomendacje
W najbliższych latach zgodność z przepisami przestanie być jedynie ładnie brzmiącą deklaracją w polityce bezpieczeństwa. Zastąpią ją rygorystyczne kontrole, audyty i wymóg
twardego dowodzenia swojej dojrzałości organizacyjnej. Przedsiębiorstwa, które potraktują ustawę o KSC jako impuls do zbudowania spójnego, długofalowego modelu zarządzania cyberbezpieczeństwem – przy wsparciu sprawdzonych partnerów technologicznych – zyskają spokój prawny i realną przewagę konkurencyjną na rynku.

Adam Tatarowski – prezes TECHOM Sp. z o.o.
www.techom.com