NIS2 i KSC
Terminy i obowiązki NIS2/KSC w Polsce
Terminy należy traktować jako punkty kontrolne programu, a nie daty rozpoczęcia pracy. Wdrożenie BIA, analizy ryzyka, dokumentacji, zabezpieczeń, planów ciągłości i testów wymaga udziału wielu obszarów oraz czasu na działania naprawcze.
Autor: Igor BieleckiAktualizacja: 2026-07-10Stan prawny: 10 lipca 2026 r.Wersja: 1.0
Odpowiedź w 30 sekund
- nowelizacja KSC obowiązuje od 3 kwietnia 2026 r.
- samorejestracja w Wykazie KSC: 7 maja – 3 października 2026 r.
- do 3 kwietnia 2027 r. — wdrożone wymagania, w tym SZBI, i korzystanie z S46
- do 3 kwietnia 2028 r. — pierwszy audyt określonych nowych podmiotów kluczowych
Oś czasu
| Data | Co się dzieje | Co powinna zrobić organizacja |
|---|---|---|
| 3 kwietnia 2026 | wejście w życie nowelizacji KSC | rozpocząć lub potwierdzić samoidentyfikację i program dostosowania |
| 13 kwietnia 2026 | uruchomienie Wykazu KSC | sprawdzić tryb wpisu i odpowiedzialne osoby |
| 13 kwietnia – 6 maja 2026 | wpisy z urzędu dla wskazanych grup | monitorować zawiadomienia i przygotować dane do uzupełnienia |
| 7 maja – 3 października 2026 | samorejestracja podmiotów niewpisywanych z urzędu | złożyć poprawny wniosek w terminie |
| od 12 czerwca 2026 | stopniowe udostępnianie S46 nowym podmiotom zgodnie z harmonogramem | przygotować osoby kontaktowe, dostęp i procedurę obsługi |
| do 3 kwietnia 2027 | wdrożenie obowiązków i rozpoczęcie korzystania z S46 zgodnie z przepisami | posiadać działający SZBI, procesy, zabezpieczenia i dowody |
| do 3 kwietnia 2028 | pierwszy audyt dla określonych nowych podmiotów kluczowych | wcześniej wykonać audyt wewnętrzny, testy i przegląd zarządczy |
Co należy mieć wdrożone, a nie tylko opisane
Do 3 kwietnia 2027 r. organizacja nie powinna posiadać wyłącznie planu wdrożenia. Powinna mieć działające mechanizmy obejmujące:
- SZBI i cykliczne zarządzanie ryzykiem
- aktualną dokumentację normatywną i operacyjną
- role, odpowiedzialności i osoby kontaktowe
- zarządzanie incydentami i raportowanie
- ciągłość działania, plany awaryjne i odtworzeniowe
- bezpieczeństwo dostawców
- szkolenia i świadomość
- ochronę dostępu, aktywów, komunikacji i informacji
- zarządzanie podatnościami i aktualizacjami
- monitoring i ocenę skuteczności
- dowody testów, przeglądów i decyzji
Obowiązki zarządcze
Co zarząd powinien wiedzieć?
Kierownik podmiotu lub zarząd ma zapewnić nadzór nad przygotowaniem, wdrożeniem, przeglądem i doskonaleniem systemu. Powinien podejmować decyzje dotyczące zasobów, ryzyka i priorytetów. Szkolenie wymagane ustawą powinno być realizowane i dokumentowane co najmniej raz w każdym roku kalendarzowym dla osób objętych obowiązkiem.
Raportowanie incydentów
Model raportowania jest wieloetapowy. W praktyce należy przygotować organizację do:
- wczesnego ostrzeżenia w ciągu 24 godzin od stwierdzenia poważnego incydentu
- zgłoszenia incydentu w ciągu 72 godzin
- przekazywania wymaganych aktualizacji
- raportu końcowego zasadniczo w ciągu miesiąca, z uwzględnieniem właściwych przepisów i instrukcji
Nie czekaj z odpowiedzialnością do incydentu
Playbook powinien z góry określać zegar, zakres danych, zatwierdzenia, zastępstwa i kanały komunikacji.
Audyt
Podmioty kluczowe podlegają obowiązkowi regularnego audytu bezpieczeństwa, co najmniej raz na trzy lata, zgodnie z warunkami ustawy. Audyt nie zastępuje ciągłego monitorowania, audytu wewnętrznego ani testów technicznych.
Zaplanuj drogę do gotowości
Sprawdź poziom gotowości organizacji i zobacz rekomendowaną kolejność działań.
Powiązane materiały
Źródła i podstawa opracowania
Igor Bielecki
CIO/CISO, praktyk wdrażający NIS2/KSC jako podmiot kluczowy · PMP · PRINCE2 · ITIL · MBA
Materiały mają charakter edukacyjny i nie stanowią opinii prawnej ani gwarancji zgodności. Zakres obowiązków zależy od indywidualnej sytuacji organizacji, aktualnych przepisów, aktów wykonawczych i stanowisk właściwych organów. Przed podjęciem decyzji wymagającej interpretacji prawa należy przeprowadzić analizę odpowiednią dla danego podmiotu.
Porozmawiajmy o Twojej sytuacji
Bezpłatna, ok. 15-minutowa rozmowa: kwalifikacja, terminy, poziom przygotowania i sensowny pierwszy krok. Bez zobowiązań.
igor.bielecki@gmail.com