3 kwietnia 2026 r. weszła w życie nowelizacja ustawy o krajowym systemie cyberbezpieczeństwa (ustawa o KSC), która wdraża do polskiego porządku prawnego unijną dyrektywę NIS2. To jedna z najważniejszych zmian w obszarze cyberbezpieczeństwa ostatnich lat, obejmująca znacznie szersze grono podmiotów niż dotychczasowe przepisy.
Kogo dotyczy nowelizacja?
Nowe przepisy obejmują organizacje spełniające określone w ustawie kryteria sektorowe i wielkościowe. Jak wskazują media branżowe, aż 36% specjalistów ds. cyberbezpieczeństwa nie wie, czy ich pracodawca podlega regulacjom NIS2 – warto to zweryfikować możliwie jak najszybciej, ponieważ harmonogram wdrożenia już biegnie.
Najważniejsze obowiązki
Podmioty objęte ustawą muszą wdrożyć:
- system zarządzania ryzykiem zgodny z wymogami ustawowymi,
- odpowiednie środki techniczne i organizacyjne zabezpieczające systemy informacyjne,
- procedury zgłaszania incydentów,
- procedury zapewnienia ciągłości działania,
- mechanizmy odpowiedzialności kierownictwa za nadzór nad cyberbezpieczeństwem.
Harmonogram wdrożenia
- 3 kwietnia 2026 r. – wejście w życie nowelizacji ustawy o KSC,
- 3 października 2026 r. – termin rejestracji podmiotów objętych regulacją,
- 3 kwietnia 2027 r. – termin wdrożenia systemów zarządzania ryzykiem i procedur bezpieczeństwa,
- 3 kwietnia 2028 r. – pierwsze obowiązkowe audyty cyberbezpieczeństwa dla podmiotów kluczowych; od tego momentu mogą być nakładane kary administracyjne.
Co to oznacza dla organizacji już teraz?
Choć realne sankcje pojawią się dopiero za około dwa lata, ustawodawca celowo rozłożył wdrożenie w czasie, dając podmiotom możliwość przygotowania się. Nie warto jednak zwlekać z analizą, czy dana organizacja podlega nowym przepisom – zwłaszcza że zbliża się pierwszy istotny termin: rejestracja w październiku 2026 r.
Źródło: itwiz.pl – Nowelizacja ustawy o KSC zaczyna obowiązywać. Rusza harmonogram wdrożenia NIS2 w Polsce