NIS 2 – Kogo obejmą nowe obowiązki z zakresu cyberbezpieczeństwa?

 Przebieg prac legislacyjnych

Do Sejmu wpłynął rządowy projekt ustawy implementującej do polskiego porządku prawnego Dyrektywę Parlament Europejskiego i Rady (UE) nr 2022/2555 w sprawie środków na rzecz wysokiego wspólnego poziomu cyberbezpieczeństwa na terytorium Unii, zmieniającą rozporządzenie (UE) nr 910/2014 i dyrektywę (UE) 2018/1972 oraz uchylającą dyrektywę (UE) 2016/1148 (dalej jako: ,,Dyrektywa NIS 2”).

Projekt Ustawy wdrażającej Dyrektywę NIS 2 (druk sejmowy nr 1955, dalej jako: ,,Ustawa”), będzie jeszcze przedmiotem dalszych prac parlamentarnych. Można jednak założyć, że ze względu na techniczny i specjalistyczny charakter regulacji, kluczowe rozwiązania projektu nie ulegną istotnym zmianom. Dlatego podmioty, które na tym etapie mogą być adresatami nowych wymogów (tj. kwalifikowane  jako „kluczowe” lub „ważne”), powinny już teraz przeanalizować nowe obowiązki, które ustawa ma nałożyć.

Obowiązki wynikające z ustawy

Obowiązki nałożone na podmioty ważne i na podmioty kluczowe obejmują, w szczególności konieczność systematycznego szacowania ryzyka wystąpienia incydentów związanych z cyberzagrożeniami, zarządzania tym ryzykiem oraz wdrażania adekwatnych środków zapobiegawczych. Kluczowym elementem projektowanych wymogów jest wdrożenie systemu zarządzania bezpieczeństwem informacji w systemie informacyjnym – spełniającego standardy określone w ustawie. W tym zakresie przewiduje się m.in. obowiązek opracowania polityki szacowania ryzyka oraz bezpieczeństwa systemu informacyjnego, polityki i procedury oceny skuteczności środków technicznych i organizacyjnych, polityki i procedury stosowania kryptografii, jak i polityki kontroli dostępu. Ustawa ma również uregulować procedurę zgłaszania incydentów bezpieczeństwa do właściwego organu. Zgodnie z przepisem przejściowym, nowe obowiązki będą musiały zostać wdrożone w terminie 6 miesięcy od dnia wejścia w życie Ustawy.

Co do zasady, każdy podmiot kluczowy i podmiot ważny będzie zobowiązany do złożenia wniosku o wpis do specjalnego wykazu, prowadzonego przez organ właściwy do spraw cyberbezpieczeństwa, w terminie 3 miesięcy od dnia spełnienia przesłanek uznania go odpowiednio za podmiot kluczowy lub ważny. Jednocześnie projekt przewiduje przepis przejściowy, zgodnie z którym dany podmiot zobowiązany będzie zarejestrować się w wykazie podmiotów kluczowych i podmiotów ważnych zgodnie ze specjalnym harmonogramem. Sam wykaz ma zostać utworzony w terminie miesiąca od dnia wejścia Ustawy w życie. Natomiast harmonogram – ogłaszany przez Ministra ds. informatyzacji – ma określać zróżnicowane terminy rejestracji w zależności od kategorii podmiotów.

Nowym obowiązkiem będzie również konieczność wyznaczania osoby odpowiedzialnej tj. kierownika podmiotu kluczowego lub ważnego, który będzie ponosił odpowiedzialność za realizację obowiązków w zakresie bezpieczeństwa.

To szczególnie istotna informacja dla członków zarządu spółek. Brak wyznaczenia j osoby odpowiedzialnej będzie w praktyce oznaczał, że odpowiedzialność za wykonywanie obowiązków z zakresu cyberbezpieczeństwa spoczywać będzie na wszystkich członkach zarządu. Co ważne, projekt nie przewiduje możliwości przeniesienia tej odpowiedzialności na osobę trzecią – np. zewnętrznego specjalistę. Ustawa dopuszcza wprawdzie wskazanie osoby odpowiedzialnej, jednak wyłącznie w obrębie kierownictwa podmiotu – w rozumieniu przepisów o rachunkowości (projektowany art. 8c ust. 1-3 ustawy o krajowym systemie cyberbezpieczeństwa). W przypadku spółek kapitałowych – będzie to więc zawsze członek zarządu. W przypadku spółki jawnej i spółki cywilnej – wspólnicy prowadzący sprawy spółki. W przypadku spółki partnerskiej – wspólnicy prowadzący sprawy spółki albo zarząd, a w odniesieniu do spółki komandytowej i spółki komandytowo-akcyjnej – komplementariusze prowadzący sprawy spółki.

Brak realizacji poszczególnych obowiązków przez podmioty kluczowe i ważne ma być zagrożony wysokimi karami. Niezależnie od sankcji nakładanych na sam podmiot, na odpowiedzialność (i ryzyko nałożenia kary) narażony będzie odrębnie kierownik podmiotu kluczowego lub ważnego, który wskazany został jako odpowiedzialny za realizację obowiązków w zakresie cyberbezpieczeństwa.

Z powyższych względów – kluczowe jest, aby każdy przedsiębiorca możliwie wcześnie ustalił, czy będzie miał status podmiotu kluczowego lub ważnego.

Kogo obejmą nowe obowiązki? – czyli kto będzie podmiotem kluczowym albo ważnym.

Projekt ustawy wyróżnia dwie główne kategorie podmiotów – podmioty kluczowe i podmioty ważne. Obowiązki podmiotów kluczowych wynikające z Ustawy będą bardziej rygorystyczne, niż dla podmiotów ważnych.

Przed oceną, jakie konkretne obowiązki mogą spoczywać na danym przedsiębiorcy należy w pierwszej kolejności ustalić jego status tj. czy jest mikro, małym, średnim czy dużym przedsiębiorcą. Od tego będzie zależeć między innymi klasyfikacja podmiotu.

I. Podmiotem kluczowym zasadniczo będzie duży przedsiębiorca, który działa w sektorach sklasyfikowanych jako kluczowe i w odpowiednim zakresie wskazanym w załączniku nr 1 do Ustawy.

SEKTORY KLUCZOWE to:

1. Sektor energetyczny z podsektorami:
   • wydobywanie kopalin,
   • energia elektryczna,
   • ciepło,
   • ropa i paliwa,
   • gaz,
   • energia jądrowa,
   • wodór
2. Sektor transportowy z podsektorami:
   • transport lotniczy,
   • transport kolejowy,
   • transport wodny,
   • transport drogowy (w ograniczonym zakresie: jedynie zarządcy dróg i podmioty świadczące usługę ITS),
3. Sektor bankowości i infrastruktury rynków finansowych,
4. Sektor ochrony zdrowia z podsektorami:
   • udzielanie świadczeń zdrowotnych i zdrowie publiczne,
   • produkcja i dystrybucja substancji czynnych, produktów leczniczych i wyrobów medycznych,
5. Sektor zaopatrzenia w wodę pitną i jej dystrybucji,
6. Sektor zbiorowego odprowadzania ścieków,
7. Sektor infrastruktury cyfrowej z podsektorami:
   • Infrastruktura cyfrowa z wyłączeniem komunikacji elektronicznej,
   • komunikacja elektroniczna,
8. Sektor zarządzania usługami ICT,
9. Sektor przestrzeni kosmicznej,
10. Sektor podmiotów publicznych.

Jeśli dany podmiot co prawda działa w jednej z branż wskazanych w Ustawie, lecz nie jest dużym przedsiębiorcą, to co do zasady nie będzie kwalifikowany jako podmiot kluczowy (musi jednak zweryfikować, czy nie ma statusu podmiotu ważnego). Projekt przewiduje nadto wyjątki, w których także przedsiębiorca mniejszy niż duży, może zostać zaliczony do podmiotów kluczowych. Do takich wyjątków należą następujące podmioty:

1. Przedsiębiorca komunikacji elektronicznej, który co najmniej spełnia wymogi dla średniego przedsiębiorcy;
2. Dostawca usług zarządzanych w zakresie cyberbezpieczeństwa, który co najmniej spełnia wymogi dla małego przedsiębiorcy;
3. Niezależnie od wielkości:

• • dostawca usług DNS,
  • kwalifikowany dostawca usług zaufania,
  • podmiot posiadający odrębny status podmiotu krytycznego,
  • podmiot publiczny wskazany w załączniku nr 1 do ustawy w sektorze podmioty publiczne,
  • podmiot zidentyfikowany jako podmiot kluczowy w drodze odrębnej, indywidualnej procedury, zakończonej decyzją o uznaniu za taki podmiot,
  • państwowa osoba prawna zidentyfikowana jako podmiot kluczowy w drodze odrębnej, indywidualnej procedury, zakończonej decyzją o uznaniu za taki podmiot,
  • podmiot, który nie jest przedsiębiorcą, a jest wskazany w załączniku nr 1 do ustawy z nazwy albo przez określenie jego rodzaju,
  • podmiot będący operatorem obiektu energetyki jądrowej,
  • rejestr nazw domen najwyższego poziomu (TLD),
  • podmiot świadczący usługi rejestracji nazw domen.

II. Podmiotami ważnymi będą co do zasady:

• podmioty działające w wyżej omówionych sektorach kluczowych, wskazanych w załączniku nr 1 do ustawy, które jednak nie mają statusu dużego przedsiębiorcy, ale spełniają wymogi uznania za średniego przedsiębiorcę;
• podmioty spełniające wymogi uznania za średniego przedsiębiorcę działające w sektorach ważnych, wskazanych w załączniku nr 2 do ustawy.

SEKTORY WAŻNE to:

1. Sektor usług pocztowych,
2. Sektor inwestycji energetyki jądrowej,
3. Sektor gospodarowania odpadami z podsektorami:
   • zbieranie odpadów,
   • transport odpadów,
   • przetwarzanie odpadów, w tym sortowanie, wraz z nadzorem nad wymienionymi działaniami, a także późniejsze postępowanie z miejscami unieszkodliwiania odpadów,
   • działania wykonywane w charakterze sprzedawcy odpadów lub pośrednika w obrocie odpadami,
4. Sektor produkcji, wytwarzania i dystrybucji chemikaliów,
5. Sektor produkcji, przetwarzania i dystrybucji żywności,
6. Sektor produkcji, podsektorami:
   • produkcja wyrobów medycznych i wyrobów medycznych do diagnostyki in vitro,
   • produkcja komputerów, wyrobów elektronicznych i optycznych,
   • produkcja urządzeń elektrycznych,
   • produkcja maszyn i urządzeń, gdzie indziej niesklasyfikowana,
   • produkcja pojazdów samochodowych, przyczep i naczep,
   • produkcja pozostałego sprzętu transportowego,
7. Sektor dostawy usług cyfrowych,
8. Sektor badań naukowych,
9. Sektor podmiotów publicznych.

Projekt przewiduje jednak kilka przypadków, gdy nawet przedsiębiorca mniejszy, niż średni, będzie zaliczany do podmiotów ważnych. Będą to:

1. niekwalifikowany dostawca usług zaufania,
2. przedsiębiorca komunikacji elektronicznej,
3. podmiot będący inwestorem obiektu energetyki jądrowej,
4. podmiot zidentyfikowany jako podmiot ważny w drodze odrębnej, indywidualnej procedury, zakończonej decyzją o uznaniu za taki podmiot,
5. podmiot, który nie jest przedsiębiorcą, a został wskazany w załączniku nr 2 do Ustawy z nazwy albo przez określenie jego rodzaju,
6. podmiot publiczny, który nie jest podmiotem kluczowym oraz jest samorządową jednostką budżetową, samorządowym zakładem budżetowym, samorządową instytucją kultury albo spółką wykonującą zadania o charakterze użyteczności publicznej.

 III. Klasyfikacja NACE

W odniesieniu do wielu sektorów – zwłaszcza sektorów ważnych – katalog podmiotów, na które zostaną nałożone nowe obowiązki, został dodatkowo zawężony do określonych rodzajów działalności gospodarczej, poprzez odesłanie do klasyfikacji NACE Rev. 2, ujętej w załączniku I do rozporządzenia (WE) nr 1893/2006 Parlamentu Europejskiego i Rady z dnia 20 grudnia 2006 r. (dalej jako: „NACE 2”). Warto zauważyć, że na klasyfikacji NACE 2 opierają się również polskie kody PKD.

W praktyce oznacza to,, że nie każdy podmiot działający w danej branży będzie podmiotem kluczowym albo ważnym (przy założeniu, że spełnia wymagania dot. wielkości). Niekiedy o statusie takiego podmiotu przesądzi to, czy dany podmiot działa w branży z klasyfikacji NACE 2, do której odnosi się Ustawa.

Poniżej przedstawiamy kilka przykładów.

W sektorze produkcji:

1. Podsektor produkcji komputerów, wyrobów elektronicznych i optycznych, ograniczony został do działalności z sekcji C działu 26 klasyfikacji NACE 2,
2. Podsektor urządzeń elektrycznych ograniczony został do działalności z sekcji C działu 27 klasyfikacji NACE 2; wymienia się tu np.:
   • 27.31 Produkcję kabli światłowodowych,
   • 27.32 Produkcję pozostałych elektronicznych i elektrycznych przewodów i kabli,
   • 27.51 Produkcję elektrycznego sprzętu gospodarstwa domowego,
   • 27.52 Produkcję nieelektrycznego sprzętu gospodarstwa domowego,
3. Podsektor produkcji maszyn i urządzeń, gdzie indziej niesklasyfikowanych ograniczony został do działalności z sekcji C działu 28 klasyfikacji NACE 2; wymienia się tu np.:
   • 28.15 Produkcję łożysk, kół zębatych, przekładni zębatych i elementów napędowych,
   • 28.23 Produkcję maszyn i sprzętu biurowego (z wyłączeniem komputerów i urządzeń peryferyjnych),
   • 28.25 Produkcję przemysłowych urządzeń chłodniczych i wentylacyjnych
4. Podsektor produkcji pojazdów samochodowych, przyczep i naczep ograniczony został do działalności z sekcji C działu 29 klasyfikacji NACE 2; wymienia się tu np.:
   • 29.31 Produkcję wyposażenia elektrycznego i elektronicznego do pojazdów silnikowych,
   • 29.32 Produkcję pozostałych części i akcesoriów do pojazdów silnikowych.
5. Podsektor produkcji pozostałego sprzętu transportowego ograniczony został do działalności z sekcji C działu 30 klasyfikacji NACE 2; wymienia się tu np.:
   • 30.11 Produkcję statków i konstrukcji pływających
   • 30.12 Produkcję łodzi wycieczkowych i sportowych
   • 30.20 Produkcję lokomotyw kolejowych oraz taboru szynowego
   • 30.30 Produkcję statków powietrznych, statków kosmicznych i podobnych maszyn
   • 30.91 Produkcję motocykli
   • 30.92 Produkcję rowerów i wózków inwalidzkich
   • 30.99 Produkcję pozostałego sprzętu transportowego, gdzie indziej niesklasyfikowaną

Zwraca uwagę, że nie w każdym podsektorze ujęty został producent komponentów do docelowych maszyn, urządzeń czy środków transportu. Co do zasady – ujęci są producenci końcowych produktów (jak np. tabor szynowy), a nie ich części (jak np. koła wagonu). Producenci komponentów występują raczej jako wyjątek – przykładem jest wyżej przedstawiony podsektor produkcji maszyn i urządzeń, gdzie indziej niesklasyfikowanych, gdzie wymieniono wprost:

28.15 Produkcję łożysk, kół zębatych, przekładni zębatych i elementów napędowych.

Jak widać, nie ma zatem jednolitego podejścia do producentów komponentów – każdorazowo należy zweryfikować listę z załącznika nr 1 i 2 do ustawy – jak i klasyfikację NACE Rev. 2, ilekroć załączniki do niej odsyłają.

Czy ma znaczenie, że dana działalność z sektora kluczowego lub ważnego – stanowi jedynie drobny wycinek działalności gospodarczej przedsiębiorcy?

W praktyce może się okazać, że o uzyskanym statusie nie zdecyduje główna działalność, ale działalność prowadzona pomocniczo lub w niewielkim zakresie.

Projekt nie przewiduje bowiem żadnego kryterium procentowego, ilościowego czy dochodowego, które pozwalałoby porównać „skalę” działalności w sektorach kluczowych lub ważnych z innym obszarami aktywności przedsiębiorcy. Pośrednio potwierdza to wyjątek – przewidziany jedynie w sektorze odpadowym. Otóż czy to przy zbieraniu, przetwarzaniu czy transporcie odpadów wprost przewidziano, że z grupy podmiotów ważnych wyłączone są te przedsiębiorstwa, dla których dane usługi odpadowe nie stanowią podstawowej działalności gospodarczej.

Należy wobec tego założyć, że skoro takiego wyjątku nie zapisano w innych sektorach, niż odpadowy, wyjątek taki nie zachodzi. Jeśli dane przedsiębiorstwo jedynie w drobnym procencie poświęca swoje zasoby czy uzyskuje przychody – w sektorze kluczowym lub ważnym, to i tak będzie podmiotem kluczowym lub ważnym.

Przykład: przedsiębiorca w 99% zajmuje się produkcją zabawek nieelektronicznych i w 99% uzyskuje z tego tytułu przychody. Jednak w 1% zajmuje się produkcją urządzeń elektrycznych – z działu 27 NACE 2, a konkretnie: produkcją nieelektrycznego sprzętu gospodarstwa domowego (27.52).

W rozumieniu nowej Ustawy, gdy jest co najmniej średnim przedsiębiorcą – jest podmiotem ważnym.

W związku z powyższym – warto również zweryfikować, czy w kodach PKD wskazanych przez dany podmiot we właściwym dla niego rejestrze (kody PKD opierają się na klasyfikacji NACE 2) nie ma zbędnych pozycji, które mogłyby wskazywać na to, że dany podmiot jest podmiotem kluczowym lub ważnym, mimo iż zasadniczo nie prowadzi działalności w branżach kluczowych lub ważnych.

Podmioty powiązane i partnerskie

Co do zasady, ustalając wielkość przedsiębiorcy – zgodnie z wymogami załącznika I do rozporządzenia 651/2014/UE – uwzględnia się nie tylko liczbę własnych pracowników i własne dane dotyczące obrotu lub rocznej sumie bilansowej, ale również (w określonym zakresie) dane przedsiębiorstw powiązanych i partnerskich.

Powyższe rzutuje zatem również na badanie wielkości przedsiębiorcy w kontekście posiadania statusu podmiotów kluczowego lub podmiotu ważnego.

Projekt Ustawy przewiduje jednak pewien wyjątek. Otóż, jeżeli system informacyjny danego podmiotu jest niezależny od systemów informacyjnych jego przedsiębiorstw powiązanych lub przedsiębiorstw partnerskich lub nie świadczy on usług wspólnie z jego przedsiębiorstwami powiązanymi lub przedsiębiorstwami partnerskimi, to pomija te inne przedsiębiorstwa przy badaniu, czy jest wystarczająco duży, by być podmiotem kluczowym lub podmiotem ważnym.

Na co zwrócić uwagę będąc podwykonawcą podmiotu kluczowego lub podmiotu ważnego?

Jeśli dany podmiot sam nie ma statusu podmiotu kluczowego ani ważnego, a jedynie świadczy usługi jako podwykonawca na rzecz takich podmiotów, generalnie nie będzie podlegał obowiązkom wynikającym z Ustawy.

Natomiast należy pamiętać, że podmioty kluczowe i podmioty ważne mogą nałożyć na swoich podwykonawców różne nowe obowiązki, które będą umożliwiały im wypełnianie swoich zobowiązań w zakresie cyberbezpieczeństwa.

Oznacza to, że podmiot ważny lub kluczowy może zobowiązać swoich podwykonawców do wdrożenia określonych procedur, które umożliwią mu wykonywanie własnych obowiązków wynikających z Ustawy. Bez tego przestrzeganie przez niego własnych polityk i procedur  mogłoby okazać się fikcją.

Czy jeśli na dzień wejścia w życie ustawy dany podmiot nie jest podmiotem kluczowym lub ważnym, może się nim stać później?

Tak. Status podmiotu (tj. czy dany przedsiębiorca jest dużym, średnim, małym czy mikro przedsiębiorcą) ustala się na dzień sporządzenia sprawozdania finansowego. W konsekwencji podmiot działający w sektorze objętym regulacją może uzyskać status podmiotu ważnego lub kluczowego jeżeli w kolejnych okresach sprawozdawczych zmieni się jego kwalifikacja wielkościowa.

Niezależnie od powyższego, status na gruncie ustawy może ulec zmianie również wskutek zmiany zakresu działalności (np. rozszerzenia usług), jeżeli przedsiębiorca zacznie spełniać przesłanki przedmiotowe – przykładowo poprzez wejście do sektora wskazanego w załącznikach do ustawy. Każda zmiana rodzaju prowadzonej działalności powinna być zgłaszana, jeśli powoduje uzyskanie statusu podmiotu kluczowego lub ważnego. Docelowo wniosek o wpis do wykazu taki podmiot zobowiązany będzie złożyć w terminie 3 miesięcy od dnia spełnienia przesłanek uznania go za podmiot kluczowy lub ważny.

Niemniej, dla przypomnienia, na początkowym etapie funkcjonowania Ustawy, podmioty, które „na wejściu” spełniać będą przesłanki do uznania za podmiot kluczowy lub ważny, na wpis będą miały inny termin – określony w ministerialnym harmonogramie. Zaś na samo spełnienie nowych obowiązków – będą mieć 6 miesięcy od dnia wejścia w życie Ustawy.

Podsumowanie

Projekt ustawy wprowadza szereg nowych wymogów, do których przedsiębiorcy będą musieli się dostosować.

Jednym z najbardziej problematycznych zagadnień, może być ustalenie, czy dany podmiot należy zakwalifikować jako podmiot kluczowy lub podmiot ważny. W związku z tym, jak szeroko ustawodawca uregulował tę kwestię może się okazać, że wielu przedsiębiorców, zwłaszcza mających status średnich lub dużych przedsiębiorców, zostanie uznanych za podmioty kluczowe lub podmioty ważne – o ile tylko działają w przewidzianych w Ustawie sektorach. W wielu sytuacjach może okazać się, że o uzyskanym statusie nie zdecyduje główna działalność, ale działalność prowadzona pomocniczo lub w niewielkim zakresie.

Mimo że Ustawa w obecnym kształcie nie nakłada na podwykonawców podmiotów kluczowych i podmiotów ważnych szczególnych obowiązków – należy liczyć się z tym, że te podmioty mogą zostać zobowiązane przez swoich partnerów biznesowych do wprowadzenia bardziej rygorystycznych zasad cyberbezpieczeństwa.

Źródła:

• Dyrektywa Parlamentu Europejskiego I Rady (UE) 2022/2555 z dnia 14 grudnia 2022 r. w sprawie środków na rzecz wysokiego wspólnego poziomu cyberbezpieczeństwa na terytorium Unii, zmieniająca rozporządzenie (UE) nr 910/2014 i dyrektywę (UE) 2018/1972 oraz uchylająca dyrektywę (UE) 2016/1148 (dyrektywa NIS 2);
• Projekt ustawy o zmianie ustawy o krajowym systemie cyberbezpieczeństwa oraz niektórych innych ustaw wraz z uzasadnieniem [Sejm Rzeczypospolitej Polskiej. Druk nr 1955. Sejm RP, 2025, https://www.sejm.gov.pl/sejm10.nsf/druk.xsp?nr=1955. Data dostępu: 27.11.2025 r.]

Autorzy:

Iga Ciesielska, radca prawny

Łukasz Jankowski, adwokat