Kto w Polsce wdroży NIS2 i ustawę o KSC - lista wykonawców

Ustawa o KSC nie jest jedynym obowiązkiem z twardym terminem w 2026 roku. Kalendarz obowiązków cyberbezpieczeństwa stawia ten termin obok terminów z CRA i naboru LCC, dla organizacji, które nie wiedzą jeszcze, które z tych przepisów w ogóle ich dotyczą.

Kogo dotyczy nowelizacja ustawy o KSC i dyrektywa NIS2

NIS2 to unijna dyrektywa (UE) 2022/2555⁸, którą polski ustawodawca wdrożył nowelizacją ustawy o krajowym systemie cyberbezpieczeństwa, w skrócie ustawy o KSC. To ustawa z 23 stycznia 2026 r., ogłoszona 2 marca 2026 r. (Dz.U. 2026 poz. 252)⁶, i to ona, nie sama dyrektywa unijna, rozstrzyga, kogo obowiązek dotyczy w Polsce. Sama ustawa nie podaje daty swojego wejścia w życie wprost - art. 49 mówi tylko, że wchodzi w życie po upływie miesiąca od dnia ogłoszenia⁶. Wypada to na 3 kwietnia 2026 r. i tę datę potwierdza rejestr ELI Sejmu oraz komunikaty Ministerstwa Cyfryzacji.

Przed nowelizacją ustawa obejmowała ok. 400 operatorów usług kluczowych, wskazywanych indywidualną decyzją organu⁴⁷. Po nowelizacji krąg podmiotów rośnie skokowo: Ministerstwo Cyfryzacji szacuje go na ok. 38 tys., w tym ok. 27 tys. podmiotów publicznych i ok. 11 tys. niepublicznych⁵. To szacunek resortu, bo sama ustawa żadnej liczby nie podaje. Zakres wyznaczają w niej załączniki sektorowe i progi wielkości przedsiębiorstwa, a nie lista imienna.

Nowy zakres dzieli się na dwa załączniki do ustawy. Załącznik nr 1 wymienia podmioty kluczowe: energetykę, zdrowie, transport, gospodarkę wodną, bankowość i infrastrukturę rynków finansowych. Załącznik nr 2 wymienia podmioty ważne, z szerszym katalogiem sektorów, od poczty po produkcję i chemię, a każda z tych grup podlega innemu trybowi nadzoru⁶.

Firma, która nie wie, czy podlega ustawie, ma dziś twardy punkt odniesienia: wykaz podmiotów kluczowych i ważnych, prowadzony w systemie S46²³. Sam obowiązek wpisu ma jednak dwa tryby i dwa różne terminy, a większość zestawień podaje tylko jeden z nich.

Ustawa rozróżnia dwie sytuacje. Podmiot, który spełniał przesłanki już w dniu wejścia ustawy w życie, składa wniosek nie w terminie zapisanym w ustawie, tylko zgodnie z harmonogramem ogłaszanym przez ministra właściwego do spraw informatyzacji (art. 33 ust. 3 w związku z art. 34 ust. 3 pkt 1)⁶. Podmiot, który w zakres ustawy wchodzi później, ma termin ustawowy: sześć miesięcy od dnia spełnienia przesłanek (art. 7c ust. 1)⁶.

Ten harmonogram już istnieje. Komunikat Ministra Cyfryzacji z 8 kwietnia 2026 r. (Dz. Urz. Min. Cyfryzacji z 2026 r. poz. 7) wyznacza okno składania wniosków od 7 maja do 3 października 2026 r.¹ - identyczne dla podmiotów kluczowych i ważnych, mimo że ustawa pozwalała je zróżnicować. Z tego okna wyłączone są podmioty wpisywane do wykazu z urzędu: dotychczasowi operatorzy usług kluczowych, przedsiębiorcy telekomunikacyjni, dostawcy usług zaufania i podmioty publiczne. Ich minister wpisał sam, a one uzupełniają tylko dane². Osobno biegnie termin rozpoczęcia korzystania z systemu S46: od 8 kwietnia 2026 r. dla podmiotów, które miały wcześniej zawarte porozumienie o korzystaniu z systemu, od 12 czerwca 2026 r. dla pozostałych, w obu przypadkach do 3 kwietnia 2027 r.¹

Gdzie ten termin jest zapisany, ma znaczenie dla jego statusu. Ustawa daty nie podaje, bo art. 33 ust. 3 odsyła do harmonogramu ministra⁶. Oba tryby odmierzają sześć miesięcy, ale od innego punktu i na innej podstawie: pierwszy od wejścia ustawy w życie i mocą komunikatu, drugi od dnia spełnienia przesłanek i mocą art. 7c ust. 1.

Różnica ma skutek praktyczny, bo komunikat może zostać zmieniony, jeżeli wpisy okażą się niewykonalne z przyczyn technicznych lub organizacyjnych (art. 34 ust. 5)⁶, a termin zapisany w ustawie byłby nieruchomy. Na 30 września 2026 r. żaden komunikat zmieniający nie został ogłoszony: rocznik 2026 Dziennika Urzędowego Ministra Cyfryzacji obejmuje pozycje 1-25, a poz. 7 pozostaje jedynym aktem dotyczącym wykazu.

Pełny wykaz aktów prawnych, które o tym rozstrzygają (ustawę, rozporządzenia wykonawcze i załączniki sektorowe), zestawiliśmy w narzędziu do sprawdzania Krajowego Systemu Cyberbezpieczeństwa.

Co obejmuje wdrożenie zgodności - pięć elementów, które kupujesz

Marketing lubi jedno zdanie: "wdrożymy Wam NIS2". Obowiązki ustawowe rozkładają się jednak na pięć osobnych prac, a każda z nich ma innego typowego wykonawcę.

Pierwsza to gap analysis, czyli porównanie dzisiejszego stanu organizacji z wymaganiami ustawy, od którego zaczyna się każde wdrożenie. Druga to budowa Systemu Zarządzania Bezpieczeństwem Informacji (SZBI), zwykle wzorowanego na normie ISO 27001. SZBI nie jest formalnością na papierze, tylko systemem decyzji i kontroli, który dopiero GRC (Governance, Risk and Compliance) spina w jedną całość z szerszym zarządzaniem ryzykiem i zgodnością regulacyjną. Trzecia to dokumentacja: polityki, procedury, rejestry ryzyka i incydentów, bez których SZBI istnieje tylko deklaratywnie.

Czwarta to audyt bezpieczeństwa, obowiązkowy cyklicznie dla podmiotów kluczowych⁶. Piąta to monitoring, jedyna praca, która nie kończy się po wdrożeniu: zespół SOC (Security Operations Center), pracujący na danych z SIEM (Security Information and Event Management), wykrywa i klasyfikuje incydenty na bieżąco. Obowiązku zgłaszania incydentów do właściwego CSIRT nie da się spełnić bez kogoś, kto całą dobę obserwuje alerty, dlatego monitoring oparty na SIEM jako jedyny z pięciu elementów generuje koszt w każdym kolejnym miesiącu, nie tylko w kwartale wdrożenia.

Nadzór nad całością, czyli koordynacja pięciu elementów i odpowiedzialność przed zarządem, typowo spada na CISO (Chief Information Security Officer), własnego albo wynajętego w modelu vCISO.

Zgłaszanie incydentów - obowiązek, który wdrożenie musi objąć

Ustawa nakłada trzy terminy (art. 11 ust. 1 pkt 4-4c)⁶, a popularne skróty myślowe zniekształcają ich brzmienie. Pierwszy to wczesne ostrzeżenie, czyli sam sygnał, że coś się dzieje, jeszcze bez pełnego zgłoszenia. Wysyła się je niezwłocznie, nie później niż w ciągu 24 godzin od wykrycia incydentu poważnego. Drugi to zgłoszenie incydentu poważnego, nie później niż w ciągu 72 godzin od wykrycia. Trzeci to sprawozdanie końcowe z obsługi incydentu, nie później niż w ciągu miesiąca. Ten miesiąc liczy się jednak od dnia zgłoszenia z drugiego kroku, a dwa pierwsze terminy biegną od wykrycia.

Adresatem wszystkich trzech jest właściwy CSIRT sektorowy, a nie bezpośrednio CSIRT NASK, GOV czy MON. Bez procedury zgłoszeniowej reszta dokumentacji zostaje martwa na papierze, więc żadne wdrożenie SZBI nie może tego elementu pominąć.

To coś innego niż zgłoszenie phishingu czy oszustwa, z którym może się zetknąć każda organizacja, niezależnie od tego, czy podlega ustawie o KSC. Jeśli podejrzewasz phishing lub oszustwo skierowane do Twojej organizacji, zgłoś je do CERT Polska przez zgłoś incydent. Obowiązek regulacyjny 24/72/30 dni dotyczy natomiast zgłoszeń do właściwego CSIRT poprzez system S46, a nie tego formularza. Mylenie tych dwóch kanałów to najczęstszy błąd firm, które dopiero zaczynają wdrożenie.

Kolejne kroki po wykryciu incydentu oraz terminy, które obok ustawy o KSC wyznaczają RODO i DORA, opisujemy w poradniku o tym, co robić, gdy dojdzie do incydentu.

Kto w Polsce wdraża NIS2 i ustawę o KSC - lista firm

Pięć elementów wdrożenia nie ma jednego wspólnego wykonawcy, bo w praktyce kupuje się je od dostawców z trzech różnych specjalizacji, którym w katalogu CyberKatalog odpowiadają trzy kategorie.

Gap analysis, budowę SZBI i dokumentację typowo prowadzą firmy z kategorii GRC i Zgodność. Audyt bezpieczeństwa, w tym audyt zgodności z NIS2, to domena firm z kategorii Testy Penetracyjne i Audyty, a monitoring i obsługę zgłoszeń incydentowych realizują firmy z kategorii Monitoring i SOC. Każda z tych kategorii liczy w katalogu około stu firm, więc sama przynależność do kategorii nie mówi jeszcze, czy firma podejmie się wdrożenia NIS2. Wśród firm z monitoringu są też dostawcy platform SIEM, czyli oprogramowania, którego szukają firmy przygotowujące się do zgodności z nowelizacją ustawy o KSC. Na liście niżej są także firmy z innych kategorii, na przykład infrastruktury, chmury i ochrony danych, bo o wejściu decyduje opis usługi na własnej stronie firmy, a nie kategoria.

Węższa grupa opisuje na własnej stronie usługę wdrożenia, audytu albo doradztwa dla NIS2 i ustawy o KSC: według stanu katalogu z 13 października 2026 r. jest to 73 firmy. Przy każdej firmie stoją wszystkie jej kategorie z katalogu, bo spora część rynku łączy audyt z wdrożeniem albo wdrożenie z bieżącym monitoringiem. Ostatnia kolumna zaznacza 33 firmy, które opisują też usługę dla DORA, co ma znaczenie dla podmiotów z sektora finansowego podlegających obu przepisom naraz. Bieżącą wersję tej listy, aktualizowaną razem z katalogiem, pokazuje strona Wdrożenie NIS2 i KSC, a firmy z usługą dla DORA zbiera strona Wdrożenie DORA, na której są też firmy bez usługi dla NIS2, więc jest ich tam więcej niż w ostatniej kolumnie.

Kryterium wejścia na listę i weryfikacja

Kryterium jest jedno i jest obserwowalne: firma jest wpisana do katalogu CyberKatalog, a na jej własnej stronie stoi opis usługi audytu, wdrożenia albo doradztwa dla NIS2 lub ustawy o KSC. Nie wystarcza wzmianka, wpis na blogu, pozycja w menu bez strony usługi ani certyfikat samej firmy, a produkt wspierający zgodność nie jest usługą wdrożenia. Każdy wpis na liście opiera się na stronie usługi na witrynie firmy, sprawdzonej przed nadaniem znacznika NIS2, a lista pokazuje stan katalogu z 13 października 2026 r.

TÜV NORD Polska, ISOCERT i DEKRA Certification są jednostkami certyfikującymi, więc oferują audyt zgodności, a wdrożenie wymagań w organizacji prowadzą firmy doradcze i wykonawcze z tej samej listy.

Wpis do katalogu jest bezpłatny. Kolejność na liście nie jest rankingiem: tabela wyżej jest posortowana alfabetycznie, bez wyróżnień, powiększonych logo ani etykiet "polecane", więc o miejscu firmy w tabeli decyduje wyłącznie jej nazwa.

Katalog zawiera też Orange Polska, Atende, Asseco Poland, Clico i firmy Wielkiej Czwórki doradczej. Brak firmy z katalogu w tabeli oznacza, że katalog nie ma dla niej potwierdzonej strony usługi wdrożenia NIS2, a nie ocenę jej kompetencji, więc jej zakres warto sprawdzić po kategoriach na stronie profilu. Firma, która opisuje na swojej stronie usługę dla NIS2 albo ustawy o KSC, a nie ma jej w tabeli, może zgłosić korektę albo wpis przez stronę dla dostawców.

Terminy i kary za brak zgodności

Ustawa nie podaje żadnej daty kalendarzowej, tylko okresy, a punkt, od którego je liczyć, zależy od tego, kiedy podmiot wszedł w jej zakres. To rozróżnienie gubi większość zestawień terminów.

Dla podmiotów, które spełniały przesłanki już 3 kwietnia 2026 r., zegar jest wspólny i biegnie od tego dnia: dwanaście miesięcy na obowiązki z rozdziału 3, w tym wdrożenie SZBI (art. 33 ust. 1), czyli do 3 kwietnia 2027 r., i dwadzieścia cztery miesiące na pierwszy audyt (art. 33 ust. 2), czyli do 3 kwietnia 2028 r.⁶ Dotychczasowi operatorzy usług kluczowych mieli dodatkowo sześć miesięcy na przejście na nowe zasady zgłaszania incydentów (art. 33 ust. 4)⁶.

Dla podmiotów, które wejdą w zakres później, punktem zerowym jest dzień spełnienia przesłanek: sześć miesięcy na wniosek o wpis (art. 7c ust. 1)⁶. Gdy podmiot został uznany decyzją organu, dwanaście i dwadzieścia cztery miesiące liczą się od dnia doręczenia tej decyzji (art. 7l ust. 7 i art. 7m ust. 6)⁶. Dla nich żadna z dat kwietniowych nie obowiązuje.

Osobno biegnie zegar kar. Kary pieniężne z art. 73 ust. 1-4, art. 73a-73c i art. 76b mogą zostać nałożone po raz pierwszy dopiero po upływie dwóch lat od dnia wejścia ustawy w życie (art. 35)⁶, czyli po 3 kwietnia 2028 r. Odroczenie nie obejmuje kary do 100 mln zł z art. 73 ust. 5, bo art. 35 jej nie wymienia. Grozi ona za naruszenie przepisów ustawy, które powoduje bezpośrednie i poważne cyberzagrożenie dla obronności, bezpieczeństwa państwa, bezpieczeństwa i porządku publicznego lub życia i zdrowia ludzi. Grozi też za naruszenie, które powoduje zagrożenie wywołania poważnej szkody majątkowej lub poważnych utrudnień w świadczeniu usług⁶.

Termin pierwszego audytu i termin kar z art. 35 wypadają tego samego dnia, bo oba liczą dwadzieścia cztery miesiące od tej samej daty bazowej, ale to dwa różne przepisy o dwóch różnych skutkach. Sam audyt nie jest też zdarzeniem jednorazowym: podmiot kluczowy przeprowadza go na własny koszt co najmniej raz na 3 lata (art. 15 ust. 1)⁶, więc pierwszy termin dwudziestu czterech miesięcy dopiero otwiera cykl.

Widełki kar ustawa podaje wprost, z osobną odpowiedzialnością kierownika obok kary dla samego podmiotu⁶.

Procent przychodu liczy się od roku obrotowego poprzedzającego wymierzenie kary. Gdy podmiot działał krócej niż dwanaście miesięcy albo nie osiągnął przychodu, podstawą jest równowartość 500 tys. EUR dla podmiotu kluczowego i 250 tys. EUR dla ważnego (art. 73 ust. 3a)⁶.

Organ właściwy jest przypisany sektorowo. Bankowością zajmuje się Komisja Nadzoru Finansowego, usługami ICT Minister Cyfryzacji, energetyką Prezes Urzędu Regulacji Energetyki, a ochroną zdrowia Minister Zdrowia. Na poziomie krajowym incydenty trafiają do CSIRT NASK, CSIRT GOV albo CSIRT MON, w zależności od sektora.

Tę samą firmę mogą objąć także inne przepisy niż ustawa o KSC. Cyber Resilience Act nakłada obowiązki zgłoszeniowe na producentów sprzętu i oprogramowania, a nie na operatorów usług⁹, więc dostawca oprogramowania, który jest jednocześnie podmiotem ważnym, ma dwa osobne obowiązki z dwóch osobnych aktów. W sektorze finansowym DORA (Digital Operational Resilience Act) wymaga zaawansowanych testów penetracyjnych opartych na analizie zagrożeń tylko od podmiotów wskazanych przez organ nadzoru¹⁰. Terminy z CRA i DORA wynikają z ich własnych przepisów, więc sprawdź je u źródła, zanim wpiszesz je do jednego harmonogramu z terminami ustawy o KSC.

Źródła

1. Minister Cyfryzacji, "Komunikat Ministra Cyfryzacji z dnia 08 kwietnia 2026 r. w sprawie harmonogramu złożenia wniosków o wpis do wykazu podmiotów kluczowych i podmiotów ważnych oraz rozpoczęcia korzystania z systemu teleinformatycznego przez podmioty kluczowe lub podmioty ważne", Dz. Urz. Min. Cyfryzacji z 2026 r. poz. 7 - pkt 1 i pkt 2 (odczyt 26.08.2026)
2. Ministerstwo Cyfryzacji, "Nowelizacja ustawy o krajowym systemie cyberbezpieczeństwa (KSC) - najważniejsze terminy", 10.04.2026 - uruchomienie wykazu i okres wpisów z urzędu (odczyt 27.08.2026)
3. Ministerstwo Cyfryzacji, "Wyższy poziom zarządzania cyberbezpieczeństwem - platforma S46 Cyber Hub", 15.06.2026 - system S46 po nowelizacji (odczyt 27.08.2026)
4. Cyberpolicy NASK, "Ustawa o krajowym systemie cyberbezpieczeństwa" (odczyt 22.08.2026)
5. Bankier.pl, "Tysiące firm nie zdają sobie sprawy z nowych obowiązków. Co i do kiedy muszą zrobić?", Sylwester Sacharczuk, 21.07.2026 - szacunek Ministerstwa Cyfryzacji z podziałem na podmioty publiczne i niepubliczne (odczyt 27.08.2026)
6. Ustawa z dnia 23 stycznia 2026 r. o zmianie ustawy o krajowym systemie cyberbezpieczeństwa oraz niektórych innych ustaw (Dz.U. 2026 poz. 252), art. 7c ust. 1, art. 7l ust. 7, art. 7m ust. 6, art. 15 ust. 1, art. 35, art. 49, art. 73 ust. 3-5, art. 73a ust. 4 oraz załączniki nr 1 i 2 (odczyt 27.08.2026, art. 35 i art. 73 ust. 5 ponownie 30.09.2026)
7. Ustawa z dnia 5 lipca 2018 r. o krajowym systemie cyberbezpieczeństwa (tekst jednolity Dz.U. 2026 poz. 20) (odczyt 27.08.2026)
8. Dyrektywa Parlamentu Europejskiego i Rady (UE) 2022/2555 (NIS2), załączniki I i II (odczyt 27.08.2026)
9. Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2024/2847 (Cyber Resilience Act), art. 14 (odczyt 27.08.2026)
10. Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2022/2554 (DORA), rozdział o zaawansowanych testach penetracyjnych opartych na analizie zagrożeń (odczyt 27.08.2026)