Przyznajmy uczciwie: tego scenariusza nikt nie planował. Ustawa, która miała uporządkować cyberbezpieczeństwo w Polsce, wchodzi w życie z zastrzeżeniem, że część przepisów może zostać uchylona. Dla ponad 10 tysięcy organizacji objętych nowymi obowiązkami to sytuacja bez precedensu – trzeba się przygotowywać do czegoś, co może się zmienić. Ale niedziałanie nie wchodzi w grę.
Jak do tego doszło
Prace legislacyjne ciągnęły się od 2020 roku, gdy we wrześniu zaprezentowano pierwszy formalny projekt nowelizacji. Kolejne rządy, kolejne wersje projektu, kolejne poprawki senackie. Termin transpozycji NIS2 upłynął 17 października 2024 r. – Polska go przegapiła, narażając się na postępowanie Komisji Europejskiej. W połowie lutego Niebezpiecznik donosił, że ustawa czeka na podpis. Sześć dni później podpis się pojawił, ale z niespodzianką.
Prezydent nie miał wątpliwości co do całości – zakwestionował trzy konkretne obszary.
Trzy sporne punkty
Dostawcy wysokiego ryzyka. To przepis, o którym w branży mówi się od lat. Ustawa pozwala uznać dostawcę sprzętu lub oprogramowania za dostawcę wysokiego ryzyka, co de facto zmusza organizacje do wymiany jego produktów. Bez odszkodowania. Bez zabezpieczenia finansowego na ten cel. Wiadomo, że chodzi przede wszystkim o chińskich producentów infrastruktury telekomunikacyjnej, choć ustawa elegancko unika wskazywania kogokolwiek z nazwy. Prezydent uznał, że to za daleko idąca ingerencja w autonomię gospodarczą.
Sankcje. Grzywny do 10 mln EUR albo 2% rocznego obrotu dla podmiotów kluczowych. Dla ważnych – 7 mln EUR albo 1,4%. Do tego osobista odpowiedzialność członków zarządu, włącznie z możliwością nałożenia kary na konkretną osobę. Prezydent zakwestionował proporcjonalność systemu – i trudno się dziwić, bo w połączeniu z odpowiedzialnością osobistą robi to wrażenie.
Rozszerzony zakres. Dyrektywa NIS2 wymienia 18 sektorów w załącznikach I i II. Polska ustawa obejmuje te same sektory, ale – zdaniem Prezydenta – sposób ich pogrupowania i zakres podmiotów objętych regulacją wykracza poza unijne minimum. Produkcja żywności, usługi pocztowe, zarządzanie odpadami, samorządy, sektor kosmiczny, dostawcy chmury – lista jest długa, a kryteria włączenia szerokie. Dotychczasowy system KSC obejmował kilkaset podmiotów. Teraz mówimy o ponad 10 tysiącach.
Kontrola następcza – i co z tego wynika
Tu jest sedno sprawy. Prezydent nie zawetował ustawy. Podpisał ją i jednocześnie skierował do TK w trybie kontroli następczej. Vacatio legis biegnie, obowiązki wchodzą w życie, organizacje powinny się przygotowywać. Trybunał może orzec za kilka miesięcy albo za kilkanaście – i dopiero wtedy ewentualnie uchylić zakwestionowane przepisy.
Co to oznacza? Że nawet jeśli TK uzna przepisy o DWR za niekonstytucyjne albo złagodzi sankcje, rdzeń obowiązków NIS2 pozostanie. Zarządzanie ryzykiem, zgłaszanie incydentów, szkolenia zarządu, bezpieczeństwo łańcucha dostaw – to wymogi dyrektywy unijnej, nie polskiej ustawy. I tu się nic nie zmieni.
Zamiast podsumowania – od czego zacząć
Gdybym miał jedną radę dla organizacji, które jeszcze nie zaczęły przygotowań: zacznijcie od klasyfikacji. Sprawdźcie, czy spełniacie kryteria podmiotu kluczowego lub ważnego – sektor, ponad 50 pracowników lub obrót powyżej 10 mln EUR. Są wyjątki (dostawcy DNS, rejestry TLD, usługi zaufania podlegają niezależnie od wielkości), ale większość firm tę odpowiedź zna w pięć minut.
Potem analiza luk wobec art. 21 NIS2: polityki bezpieczeństwa, obsługa incydentów, ciągłość działania, łańcuch dostaw, szkolenia, kryptografia, kontrola dostępu. Kto ma za sobą ISO 27001, będzie miał łatwiej – choć NIS2 w kilku miejscach idzie dalej niż norma.
Gotowość do zgłaszania incydentów? 24 godziny na wczesne ostrzeżenie, 72 na formalne zgłoszenie, miesiąc na raport końcowy. Sprawdźcie, czy wasze procedury działają też w sobotę o trzeciej w nocy. Poważnie.
I kwestia zarządu. Art. 20 NIS2 wymaga, by organy zarządzające zatwierdzały środki cyberbezpieczeństwa i przechodzili szkolenia. Odpowiedzialność jest osobista. Zarząd, który traktuje cyberbezpieczeństwo jako „temat IT”, ryzykuje nie reputację – ryzykuje kary nakładane z imienia i nazwiska.
Strategia „poczekamy na TK” jest kusząca, ale błędna. Komisja Europejska już prowadzi postępowania wobec państw opóźniających transpozycję. Ci, którzy zaczną teraz, będą gotowi – niezależnie od wyroku Trybunału.
Źródła
- Prezydent podpisał ustawę KSC/NIS2 i wysłał ją do Trybunału – Niebezpiecznik, 20.02.2026
- „Bezpieczeństwo nie ma barw partyjnych” – Prezydent ogłosił decyzję ws. KSC – Prawo.pl, 19.02.2026
- Ustawa o KSC podpisana: NIS2 wchodzi do polskiego prawa – Portal Komunalny, 19.02.2026
- Koniec 7-letniej sagi: Prezydent podpisuje ustawę o KSC – iMagazine, 20.02.2026
- Dyrektywa Parlamentu Europejskiego i Rady (UE) 2022/2555 z dnia 14 grudnia 2022 r. (NIS2)
Artykuł pochodzi z newslettera AURACO (2026-03). Autor: Piotr Janiszewski.
