Cyberbezpieczeństwo to element odpowiedzialnego zarządzania
Wielu przedsiębiorców postrzega nowe regulacje wyłącznie przez pryzmat biurokracji. Eksperci przekonują jednak, że do kwestii cyberochrony należy podejść strategicznie.
– Nie traktuję NIS2 jako kolejnego absurdalnego unijnego obowiązku, który trzeba formalnie odhaczyć. Te przepisy mają pomóc chronić ważne interesy przedsiębiorstwa – jego majątek, ciągłość działania, pracowników i klientów. Odpowiednie przygotowanie firmy na zagrożenia jest dziś elementem odpowiedzialnego zarządzania. Kilka lat temu nie było to tak istotne jak dzisiaj – mówi adw. Krzysztof Smaga, wspólnik 5E LEGAL i doradca strategiczny przedsiębiorców.
Kogo obowiązuje dyrektywa NIS2? Podmioty kluczowe i ważne
Dyrektywa NIS2 została wdrożona w Polsce poprzez nowelizację ustawy o krajowym systemie cyberbezpieczeństwa (KSC). Przepisy weszły w życie 3 kwietnia 2026 r. i objęły niezwykle szeroką grupę przedsiębiorstw oraz instytucji.
O tym, czy dana firma musi wdrożyć nowe przepisy, decyduje kilka czynników. Regulacje dotyczą tzw. podmiotów kluczowych i ważnych, działających w sektorach takich jak:
- energetyka,
- transport,
- ochrona zdrowia,
- produkcja,
- gospodarka odpadami,
- usługi pocztowe,
- infrastruktura cyfrowa.
Znaczenie mają również kryteria wielkościowe (liczba pracowników i wyniki finansowe). Temat jest jednak złożony, ponieważ kluczowy jest faktyczny, a nie tylko deklarowany zakres działalności biznesowej.
– Pierwszym krokiem dla firm jest ustalenie, czy przepisy NIS2 dotyczą ich konkretnej działalności. Kod PKD jest tylko wskazówką. Z naszej praktyki wynika, że czasem o powstaniu obowiązków decyduje niewielki fragment działalności, na przykład jedna dodatkowa usługa czy podmioty powiązane lub partnerskie – wyjaśnia mec. Ewelina Mirończuk-Wesołowska, odpowiedzialna w 5E LEGAL za prawne aspekty wdrażania NIS2.
Terminy wdrożenia NIS2: Rejestracja w KSC i System S46
Firmy i instytucje spełniające kryteria podmiotu kluczowego lub ważnego muszą być wpisane do wykazu Krajowego Systemu Cyberbezpieczeństwa. Termin wpisu minął 3 października 2026 r. Jeżeli firma tego nie zrobiła, powinna jak najszybciej zweryfikować swój status i podjąć działania naprawcze.
Rejestracja to zaledwie początek drogi do zgodności z prawem (tzw. compliance). Do 3 kwietnia 2027 r. podmioty objęte ustawą o KSC muszą:
- rozpocząć korzystanie z Systemu S46,
- wdrożyć wymagane rozwiązania w zakresie zarządzania ryzykiem,
- określić odpowiedzialność poszczególnych osób,
- przygotować procedury reagowania na incydenty,
- zadbać o ciągłość działania (BCP) i bezpieczeństwo łańcucha dostawców.
Właściwe wdrożenie dyrektywy NIS2 wymaga połączenia kompetencji technicznych, organizacyjnych i prawnych. Kancelaria prawna nie zastąpi specjalistów IT, a informatycy nie dokonają prawidłowej kwalifikacji prawnej firmy i nie zabezpieczą odpowiedzialności zarządu. Dopiero synergia tych dwóch obszarów pozwala na kompleksowe przygotowanie przedsiębiorstwa.
Odpowiedzialność zarządu za brak wdrożenia NIS2. Jakie kary grożą firmom?
Przepisy NIS2 jasno wskazują, że bezpieczeństwa cyfrowego nie można w całości delegować na dział IT. Zarząd musi rozumieć ryzyko, aktywnie zatwierdzać podejmowane działania i nadzorować ich realizację. Wymagane są jasne zasady: kto podejmuje decyzje, kto zgłasza incydenty oraz jak organizacja funkcjonuje w sytuacji kryzysowej.
– Jeden z naszych klientów – międzynarodowa firma działająca w województwie lubelskim – zdecydował się podnieść poziom zagrożenia ze średniego do najwyższego przewidzianego w swojej organizacji. Ta decyzja dobrze pokazuje, jak poważnie duże przedsiębiorstwa traktują dziś ochronę swoich systemów, danych i ciągłości działania. A to nie jest z pewnością pojedynczy przypadek – mówi r.pr. Tomasz Czapla, wspólnik w 5E LEGAL.
Konsekwencje braku dostosowania się do wymogów NIS2 są niezwykle surowe. Kary finansowe mogą wynosić:
- do 10 mln euro albo 2% globalnych przychodów (w przypadku podmiotu kluczowego),
- do 7 mln euro albo 1,4% globalnych przychodów (w przypadku podmiotu ważnego).
Równie dotkliwe dla biznesu mogą okazać się koszty niepoliczalne: przestoje operacyjne, utrata lukratywnych kontraktów oraz spadek zaufania partnerów biznesowych i klientów.
O ekspertach:
5E LEGAL to jedna z największych kancelarii prawnych w województwie lubelskim, skoncentrowana na kompleksowej obsłudze przedsiębiorców. Kancelaria wspiera właścicieli i zarządy zarówno w sprawach bieżących, jak i w strategicznych decyzjach dotyczących rozwoju i bezpieczeństwa firmy. Zespół 5E LEGAL specjalizuje się m.in. w prawie korporacyjnym, transakcjach M&A, prawie podatkowym i prawie pracy, zamówieniach publicznych, funduszach unijnych, a także restrukturyzacjach, sukcesji biznesu i wdrażaniu regulacji z zakresu cyberbezpieczeństwa (NIS2).
Komentarze