NIS2 / KSC 2026 — rejestracja, kary, obowiązki firm

Ustawa o Krajowym Systemie Cyberbezpieczeństwa weszła w życie 3 kwietnia 2026. Objęła dziesiątki tysięcy polskich firm z sektorów, których właściciele często w ogóle nie kojarzą ze słowem cyberbezpieczeństwo.

Kogo obejmuje ustawa i dlaczego odpowiedź może Cię zaskoczyć?

Zakres ustawy KSC jest szeroki: od energetyki i transportu, przez produkcję, po usługi cyfrowe, ochronę zdrowia i sektor żywności. Firmy nie muszą czekać na zawiadomienie z urzędu. Mają obowiązek samodzielnie ocenić, czy i w jakiej kategorii się kwalifikują — i zarejestrować się w wykazie KSC. Termin rejestracji: 3 października 2026.

Co grozi i dlaczego to nie są abstrakcyjne liczby?

Za każdy dzień zwłoki z rejestracją: kara od 500 do 100 000 zł. Naliczana każdego dnia zwłoki. Kierownik podmiotu — prezes, członek zarządu, dyrektor generalny — odpowiada osobiście. Do 300% swojego miesięcznego wynagrodzenia. Nie majątek spółki — majątek osobisty.

Czego wymaga ustawa?

Rejestracja w wykazie KSC. Wdrożenie polityki bezpieczeństwa i ocena ryzyk. Dokumentacja compliance. Szkolenie kierownictwa — ustawa wprost nakłada ten obowiązek. Procedura zgłaszania incydentów z konkretnymi terminami i ścieżkami.

Zajmuję się częścią prawną i organizacyjną. Kwestie techniczne IT wymagają współpracy ze specjalistą cyberbezpieczeństwa. Jeśli potrzeba, mogę połączyć z odpowiednią osobą.

Trzy miesiące to realny czas — pod warunkiem, że zaczniesz teraz. Jeśli chcesz sprawdzić, czy i w jakiej kategorii ustawa dotyczy Twojej firmy, napisz do mnie.

Napisz do mnie!