NIS2: co się zmienia od października 2026?

NIS2 w pigułce

Dyrektywa NIS2 rozszerza obowiązki bezpieczeństwa cyfrowego na znacznie szerszą grupę podmiotów niż jej poprzedniczka. Od października 2026 kluczowe wymagania staną się egzekwowane w całej Unii Europejskiej, a kary za brak zgodności mogą sięgać milionów euro.

Kogo dotyczy?

Przepisy dzielą objęte podmioty na dwie grupy: istotne i ważne. W praktyce obejmują one większość firm średnich i dużych działających w sektorach takich jak energetyka, transport, finanse, zdrowie, cyfryzacja, żywność, poczta, chemia oraz dostawcy usług cyfrowych.

Najważniejsze zmiany

• Zarządzanie ryzykiem cybernetycznym — formalna ocena ryzyk, polityki i procedury.
• Obowiązek zgłaszania incydentów w ciągu 24–72 godzin od wykrycia.
• Bezpieczeństwo łańcucha dostaw — wymagana ocena dostawców i podwykonawców.
• Odpowiedzialność zarządu — kierownictwo musi nadzorować cyberbezpieczeństwo.
• Sankcje administracyjne — do 10 mln EUR lub 2% obrotu rocznego.

Co zrobić teraz?

Najskuteczniejszym pierwszym krokiem jest audyt gotowości NIS2. Pozwala on szybko zweryfikować luki w zarządzaniu, dokumentacji i technicznych kontrolach oraz zaplanować działania naprawcze z uwzględnieniem terminów.