NIS2 w 2026: kogo dotyczy i co teraz zrobić

7 marca 2026 w Wojewódzkim Szpitalu Zespolonym w Szczecinie zaszyfrowano ponad tysiąc stacji roboczych. Personel przez trzy tygodnie pracował długopisem i przepisywał ręcznie wyniki badań. Tydzień później ten sam scenariusz powtórzył się w Bonifraterskim Centrum Medycznym, sieci trzech szpitali w Katowicach, Krakowie i Łodzi, plus osiem powiązanych placówek.

To są tygodnie życia tysięcy pacjentów, którzy nie dostali wyniku histopatologii w terminie. To personel, który nie pamiętał, jaki lek wcześniej podawał. To lekarze, którzy zamiast leczyć przepisywali ręcznie kartoteki. I to nie jest jednorazowy wypadek, tylko codzienny argument za tym, że dyrektywa NIS2 wreszcie trafia do polskiego prawa.

Mniej więcej w tym samym czasie, po 17 miesiącach opóźnienia, Polska wdrożyła unijną dyrektywę NIS2. To nie jest zbieg okoliczności. Ustawodawca wie, że nasza ochrona zdrowia jest pod stałym ogniem. Nowa ustawa nie pomoże szpitalom, które już zostały zaatakowane. Może pomóc tym, którzy nie czekają na swoją kolej.

Ten tekst jest dla osób, które wiedzą, że NIS2 coś zmienia, ale nie są pewne, czy to dotyczy ich firmy, kiedy reagować i co realnie trzeba zrobić.

NIS2 to dyrektywa unijna o cyberbezpieczeństwie z grudnia 2022 roku (oficjalnie: dyrektywa 2022/2555). Zastąpiła starszą NIS z 2016 roku, która okazała się za wąska. Stara dyrektywa obejmowała siedem sektorów, nowa obejmuje osiemnaście. Stara dotyczyła garstki operatorów usług kluczowych, nowa obejmie w samej Polsce około 38 tysięcy podmiotów.

Trzy rzeczy są naprawdę nowe:

Karę, w odróżnieniu od RODO, można dostać nie tylko za wyciek danych. Można dostać za samo niewdrożenie wymaganych środków. Nawet jeśli nigdy nie miałeś incydentu.

Trzy regulacje, które brzmią podobnie i zwykle są mylone w rozmowach z zarządem. Krótkie rozróżnienie.

Chroni dane osobowe. Organem nadzoru jest UODO. Karze za wyciek danych lub niezgodne przetwarzanie. Stosuje się do każdej firmy w UE, która przetwarza dane osobowe.

Pierwsza unijna dyrektywa o cyberbezpieczeństwie infrastruktury krytycznej. W Polsce wdrożona w 2018 r. Objęła około 400 podmiotów. Zastąpiona przez NIS2.

Następczyni NIS. Szerszy zakres: 18 sektorów, około 38 tys. podmiotów w Polsce. Wymóg ochrony łańcucha dostaw i osobistej odpowiedzialności zarządu. Polskim organem nadzoru są sektorowe CSIRT-y i minister cyfryzacji.

Najczęstsza pułapka w rozmowach z zarządem: mam wdrożone RODO, więc spełniam NIS2. To nieprawda. RODO chroni dane osobowe, NIS2 chroni ciągłość usługi. Działają w tym samym kierunku, ale nie zastępują się nawzajem. Możesz dostać kary z obu reżimów za różne aspekty tego samego incydentu (z ograniczeniem ne bis in idem, o którym piszemy niżej).

Polska ratyfikowała dyrektywę przez nowelizację ustawy o krajowym systemie cyberbezpieczeństwa (uKSC).

Trzy daty zapisz w kalendarzu: październik 2026, kwiecień 2027, kwiecień 2028.

Trybunał Konstytucyjny może w międzyczasie uchylić jakąś część ustawy. Do dnia ewentualnego wyroku terminy biegną normalnie. Warto monitorować, nie warto czekać.

To pytanie pada w naszych rozmowach częściej niż jakiekolwiek inne. Odpowiedź zależy od dwóch rzeczy: sektora i wielkości. Niżej cztery najczęstsze przypadki.

Sektor ochrony zdrowia jest w załączniku pierwszym (najwyższa krytyczność). Praktyczne reguły:

Mała prywatna przychodnia poniżej 50 osób formalnie zwykle nie podlega. Ale jeżeli jest podwykonawcą podmiotu kluczowego (kontrakt NFZ, sieć z dużym szpitalem) albo świadczy usługę krytyczną w gminie, sytuacja się komplikuje. Praktycznie każdy szpital powiatowy, wojewódzki i kliniczny przekracza próg.

Generalnie nie. Sektor usług prawnych nie figuruje w załącznikach do NIS2. Niezależnie od liczby prawników.

Z dwoma zastrzeżeniami. Po pierwsze, kancelarie i tak podlegają RODO i tajemnicy zawodowej, więc cyberbezpieczeństwo jest tematem niezależnie od NIS2. Po drugie, jeżeli obsługujesz klienta kluczowego (szpital, bank, energetykę), prędzej czy później ten klient zażąda od Ciebie kontraktowych klauzul bezpieczeństwa. O łańcuchu dostaw piszemy niżej.

Zależy od działalności, nie formy prawnej. Fundacja prowadząca hospicjum lub przychodnię działa w sektorze zdrowia i może podlegać. Typowa fundacja kulturalna, edukacyjna czy charytatywna nie ma sektora w załącznikach.

Pamiętaj jednak: korzystanie z funduszy europejskich (FE, KPO) coraz częściej wymaga już wdrożonych polityk bezpieczeństwa informacji. NIS2 czy nie, recenzent grantowy chętnie zajrzy do regulaminu.

To miejsce, w którym najczęściej widzimy nieporozumienie.

Sektor zarządzania usługami ICT jest w załączniku pierwszym i obejmuje MSP i MSSP, czyli firmy świadczące zarządzane usługi IT i zarządzane usługi bezpieczeństwa. Polska ustawa idzie tu dalej niż minimum unijne: MSSP podlega już od progu małego przedsiębiorcy (10 osób, 2 mln EUR obrotu).

W praktyce:

Druga rzecz, o której rzadko się mówi: nawet jeśli formalnie nie podlegasz, Twoi klienci-podmioty kluczowe będą żądać od Ciebie zgodności z NIS2 kontraktowo. To nie jest fantazja sprzedawców MSSP. To wymóg art. 21 ust. 2 lit. d dyrektywy, który mówi o bezpieczeństwie łańcucha dostaw.

Większość czytelników tego tekstu nie podlega NIS2 bezpośrednio. To dobra wiadomość: nie musisz iść z oświadczeniami pod rygorem karnym do urzędu, nie musisz zatrudniać DPO-bisa.

Zła wiadomość: Twoi klienci, którzy podlegają, będą wymagać od Ciebie kontraktowych klauzul bezpieczeństwa. Już to widać w przetargach publicznych i w korporacyjnych zaproszeniach do współpracy. Pojawiają się ankiety bezpieczeństwa, klauzule o prawie do audytu, wymogi co do MFA, kopii zapasowych i czasu odpowiedzi na incydent.

W EPKO siedzimy po obu stronach tego stołu. Sami jesteśmy dostawcą IT dla klientów, którzy podlegają regulacjom UE (zdrowie, finanse, kancelarie obsługujące banki). I sami stosujemy te same wymagania wobec naszych dostawców (hosting, monitoring, zewnętrzne API).

Jeśli prowadzisz małą lub średnią firmę i jeden z Twoich największych kontraktów wymaga zgodności z NIS2, w praktyce chodzi o cztery rzeczy:

To minimum dla firmy 5 do 15 osobowej można wdrożyć w 2 do 3 miesięcy bez dramatów. Większy problem zaczyna się tam, gdzie klient chce widzieć certyfikat ISO 27001 albo równoważny. To temat na osobny artykuł.

Cztery fazy. Trzymaj się tej kolejności, niezależnie od rozmiaru firmy.

Pierwszy zewnętrzny audyt zgodności. Od tej daty można nakładać kary.

Jeśli zaczynasz dzisiaj (maj 2026), masz jeszcze pełen okres przewidziany ustawą. Jeśli zaczniesz w grudniu, drugą fazę będziesz robić pod presją czasu. Trzecia faza pod presją czasu po prostu się nie udaje.

Kary, o których słyszysz w mailach od sprzedawców MSSP, są realne, ale dopiero od kwietnia 2028 roku. Polska ustawa wprowadziła moratorium karne (art. 35 nowelizacji).

Maksymalne wymiary kar:

Plus zakaz pełnienia funkcji kierowniczych. Plus obowiązek publicznego oświadczenia o naruszeniu. Plus wiążące zalecenia naprawcze.

Ważna ulga: jeśli za ten sam czyn już zostałeś prawomocnie ukarany przez UODO za naruszenie RODO, postępowania KSC się nie wszczyna (klauzula ne bis in idem, art. 76c uKSC).

I uczciwa rzecz: dla większości czytelników tego tekstu realne ryzyko to nie kara administracyjna. Realne ryzyko to:

Każde z tych trzech ryzyk jest bliższe niż kwiecień 2028.

Dla osób, które trafiły tu z Google bez bagażu skrótów.

Jeśli prowadzisz klinikę, hospicjum, SPZOZ albo średnią firmę w jednym z 18 sektorów: NIS2 dotyczy Ciebie i przyda się plan. Pierwszy krok jest tani: nota statusowa, dwie osoby kontaktowe, członek zarządu jako sponsor.

Jeśli prowadzisz małą firmę IT, kancelarię albo fundację bez działalności medycznej: NIS2 nie dotyczy Ciebie bezpośrednio. Ale zerknij, kto jest Twoim największym klientem. Jeśli to szpital, bank albo dystrybutor energii, w ciągu roku Twoja umowa się zmieni.

Jeśli nie wiesz, w której z tych grup jesteś, napisz do nas. Zrobimy uczciwą ocenę statusu, nie audyt za 50 tysięcy.