Nowelizacja ustawy o krajowym systemie cyberbezpieczeństwa, która wdraża w Polsce dyrektywę NIS2, obowiązuje od 3 kwietnia 2026 roku. Dla części firm oznacza to konieczność samodzielnego sprawdzenia, czy podlegają nowym przepisom, wpisu do Wykazu KSC i przygotowania organizacji do kolejnych obowiązków.
Nie każda firma potrzebuje tego samego zestawu narzędzi. Dla jednej właściwy będzie podpis kwalifikowany konkretnej osoby. Dla innej pieczęć organizacji, certyfikat S/MIME albo zabezpieczenie systemów i oprogramowania. Dobór powinien wynikać z procesów firmy i odpowiedzialności konkretnych osób.
W tym artykule wyjaśniamy:
- kogo mogą dotyczyć nowe przepisy,
- jakie są najważniejsze terminy,
- za co odpowiada kierownictwo,
- jak wygląda wpis do Wykazu KSC,
- kiedy eSIGN rekomenduje podpis, pieczęć i inne certyfikaty.
NIS2 i KSC: co zmieniło się w Polsce
NIS2 to unijna dyrektywa dotycząca bezpieczeństwa sieci i systemów informacyjnych. W Polsce jej wymagania zostały wdrożone przez nowelizację ustawy o krajowym systemie cyberbezpieczeństwa. Prezydent podpisał nowelizację i skierował ją do Trybunału Konstytucyjnego w trybie kontroli następczej (sprawa K 19/26); taki wniosek nie wstrzymuje obowiązywania ustawy ani terminów.
Nowe przepisy wprowadzają podział na podmioty kluczowe i podmioty ważne. Rozszerzają też grupę organizacji objętych obowiązkami. Według Ministerstwa Cyfryzacji firmy powinny zweryfikować trzy obszary:
- faktyczny profil prowadzonej działalności,
- wielkość podmiotu, z uwzględnieniem przedsiębiorstw powiązanych i partnerskich,
- szczegółowe zasady z art. 5 ustawy oraz załączników nr 1 i 2.
Kody PKD mogą pomóc w analizie, ale nie rozstrzygają sprawy samodzielnie. Ministerstwo podkreśla, że decydujący jest rzeczywisty zakres usług i zadań wykonywanych przez organizację.
Wśród sektorów wskazanych w ustawie są między innymi energia, transport, bankowość, ochrona zdrowia, infrastruktura cyfrowa, usługi ICT, poczta i przesyłki kurierskie, gospodarka odpadami oraz wybrane obszary produkcji. Pełny zakres trzeba sprawdzić w ustawie i oficjalnych materiałach Ministerstwa Cyfryzacji.
Czy każda firma podlega pod NIS2?
Nie. Sama obecność hasła „NIS2” w branży albo współpraca z dużym klientem nie przesądza, że firma stała się podmiotem kluczowym lub ważnym.
Samoidentyfikacja powinna przebiegać w trzech krokach:
- Sprawdzenie sektora i rzeczywistej działalności. Należy porównać działalność firmy z załącznikami nr 1 i 2 do ustawy.
- Sprawdzenie wielkości organizacji. Trzeba uwzględnić nie tylko samą firmę, lecz także przedsiębiorstwa powiązane i partnerskie.
- Analiza art. 5 ustawy. Ten przepis zawiera zasady kwalifikacji oraz wyjątki, w których wielkość organizacji nie jest jedynym kryterium.
Pomocniczo można skorzystać z oficjalnej usługi Pre-weryfikacja zgodności z zaleceniami NIS2. Na tej podstawie firma może wstępnie określić, czy jest podmiotem kluczowym, podmiotem ważnym, czy nie podlega nowym obowiązkom. eSIGN może następnie pomóc uporządkować informacje i dobrać narzędzia do procesów, które firma musi zabezpieczyć. Jeśli konkretny przypadek pozostaje niejednoznaczny, kwalifikację prawną warto potwierdzić z prawnikiem lub osobą odpowiedzialną za compliance.
Najważniejsze terminy dla firm
Nowelizacja weszła w życie 3 kwietnia 2026 roku. Od tego dnia zaczęły biec terminy dla podmiotów spełniających ustawowe kryteria.
- 3 października 2026 r. Minął termin wpisu do Wykazu KSC dla podmiotów, które spełniały kryteria w dniu wejścia ustawy w życie i nie są wpisywane z urzędu. Samorejestracja jest nadal dostępna.
- 3 kwietnia 2027 r. Termin podłączenia do systemu S46 oraz wdrożenia obowiązków wynikających z nowych przepisów.
- 3 kwietnia 2028 r. Termin pierwszego obowiązkowego audytu dla określonych podmiotów kluczowych, które wcześniej nie były operatorami usług kluczowych.
Nie wszystkie organizacje przechodzą ten sam tryb wpisu. Część podmiotów, między innymi podmioty publiczne, przedsiębiorcy telekomunikacyjni i dostawcy usług zaufania, jest wpisywana z urzędu. Pozostałe podmioty objęte samorejestracją składają wniosek samodzielnie.
Firma, która zacznie spełniać kryteria później, ma 6 miesięcy na wpis od dnia spełnienia przesłanek. Firma, która spełniała je już 3 kwietnia 2026 roku i nie złożyła wniosku do 3 października, nadal może się zarejestrować. Organ właściwy do spraw cyberbezpieczeństwa może też wpisać ją do wykazu z urzędu. Termin na pozostałe obowiązki liczy się od dnia spełnienia przesłanek, a nie od dnia wpisu.
Za co odpowiada kierownictwo?
Cyberbezpieczeństwo nie jest już wyłącznie sprawą działu IT. Oficjalne wyjaśnienia do ustawy wskazują konkretne zadania kierownika podmiotu kluczowego lub ważnego.
Kierownictwo odpowiada między innymi za:
- podejmowanie decyzji dotyczących przygotowania, wdrożenia i nadzoru nad systemem zarządzania bezpieczeństwem informacji,
- zaplanowanie odpowiednich środków finansowych,
- przydzielenie zadań i nadzór nad ich wykonaniem,
- zapewnienie, że pracownicy znają swoje obowiązki,
- aktualny wpis do Wykazu KSC,
- wdrożenie systemu zarządzania bezpieczeństwem informacji,
- korzystanie z systemu S46 i zgłaszanie incydentów,
- przeprowadzanie audytów, jeśli są wymagane.
Kierownik podmiotu ma też obowiązek regularnego szkolenia się z zadań dotyczących cyberbezpieczeństwa. Przekazanie części działań pracownikowi albo zewnętrznej firmie nie usuwa odpowiedzialności kierownictwa za nadzór.
To ważne rozróżnienie. Zarząd nie musi sam konfigurować systemów ani pisać procedur. Musi jednak wiedzieć, kto odpowiada za poszczególne obszary, jakie ryzyka są najważniejsze i czy przyjęte środki rzeczywiście działają.
Jak wygląda wpis do Wykazu KSC?
Samorejestracja jest dostępna w aplikacji Wykaz KSC, będącej częścią Systemu S46. Wniosek składa kierownik podmiotu albo osoba przez niego upoważniona.
Przed rozpoczęciem warto przygotować:
- dane identyfikacyjne firmy, w tym NIP, REGON i nazwę,
- klasyfikację sektorową,
- dane osób odpowiedzialnych za kontakt w sprawach KSC,
- informacje o publicznych adresach IP i domenach,
- dane dotyczące dostawców usług zarządzanych, jeśli dotyczą firmy,
- pełnomocnictwo w postaci elektronicznej, jeśli wniosek składa osoba upoważniona.
Wniosek jest elektroniczny. Po uzupełnieniu formularza można podpisać go Profilem Zaufanym albo pobrać plik XML, podpisać go w zewnętrznej aplikacji i wgrać ponownie do systemu.
Art. 7c ust. 6 ustawy o KSC wskazuje, że wniosek może zostać opatrzony:
- kwalifikowanym podpisem elektronicznym,
- podpisem zaufanym,
- podpisem osobistym,
- kwalifikowaną pieczęcią elektroniczną, ze wskazaniem w treści pisma osoby opatrującej pismo pieczęcią.
Prawo daje więc kilka możliwości. Z perspektywy firmy ważniejsze od samej liczby dostępnych metod jest jednak to, która z nich tworzy kontrolowany i powtarzalny proces.
Profil Zaufany pozostaje dopuszczalną metodą podpisania wniosku. Jest jednak środkiem identyfikacji przypisanym do konkretnej osoby. Firma nie musi opierać procesu służbowego na indywidualnym Profilu Zaufanym pracownika firmy. Firmowy proces z podpisem lub pieczęcią pozwala z góry ustalić sposób użycia, wsparcie i pilnowanie terminów ważności.
Kiedy eSIGN rekomenduje podpis, a kiedy pieczęć?
Do samego wpisu do Wykazu KSC można użyć kilku metod. Nie oznacza to, że każda będzie równie wygodna dla danej organizacji.
Podpis kwalifikowany rekomendujemy, gdy dokument podpisuje wskazana osoba i firma chce wykorzystać to samo narzędzie także w innych procesach urzędowych oraz biznesowych. eSIGN pomaga w doborze i uruchomieniu podpisu kwalifikowanego. W usłudze Premium obejmuje to instalację, szkolenie użytkownika i wsparcie telefoniczne.
Pieczęć kwalifikowaną rekomendujemy, gdy ważniejsze jest potwierdzenie pochodzenia dokumentu od firmy niż podpis konkretnej osoby, a przepisy lub system pozwalają na użycie pieczęci. eSIGN pomaga również dobrać i wdrożyć pieczęć kwalifikowaną.
Przed rekomendacją pytamy między innymi:
- kto będzie podpisywał lub opatrywał dokumenty,
- ile osób uczestniczy w procesie,
- w jakich systemach narzędzie będzie używane,
- jakie certyfikaty firma już posiada,
- kto będzie odpowiadał za ich odnowienie i wsparcie użytkowników.
Rekomendujemy podpis lub pieczęć nie dlatego, że NIS2 nakazuje zakup konkretnego produktu. Rekomendujemy je wtedy, gdy porządkują odpowiedzialność, ograniczają zależność od prywatnych narzędzi pracowników i mogą być używane w wielu procesach firmy.
Jakie inne narzędzia może dobrać eSIGN?
Poza podpisem i pieczęcią eSIGN może dobrać narzędzia wspierające cyfrową tożsamość, integralność dokumentów i bezpieczną komunikację.
S/MIME
Rekomendujemy go firmom, które przesyłają poufne informacje pocztą albo chcą ograniczyć ryzyko podszywania się pod nadawcę. Certyfikat S/MIME pozwala podpisywać i szyfrować wiadomości oraz potwierdzać ich pochodzenie.
SSL i Code Signing
SSL rekomendujemy do ochrony połączeń z serwisami i systemami internetowymi. Code Signing rekomendujemy organizacjom, które wydają oprogramowanie lub aktualizacje i chcą umożliwić odbiorcy weryfikację wydawcy oraz integralności pliku.
Kwalifikowane e-Doręczenia
Rekomendujemy je w procesach, w których firma potrzebuje dowodów nadania i doręczenia korespondencji elektronicznej. Pomagają uporządkować formalną komunikację i jej dokumentowanie. Więcej informacji znajduje się na stronie e-Doręczeń eSIGN.
Prosta checklista porządku cyfrowego
Przed doborem narzędzi warto odpowiedzieć na kilka pytań:
- Czy wiemy, czy organizacja podlega ustawie i na jakiej podstawie?
- Kto w zarządzie odpowiada za nadzór nad cyberbezpieczeństwem?
- Kto ma dostęp do najważniejszych systemów, dokumentów i poczty?
- Jak potwierdzamy tożsamość osób oraz pochodzenie dokumentów firmowych?
- Jak chronimy poufną korespondencję i połączenia z systemami?
- Kto pilnuje ważności podpisów, pieczęci i pozostałych certyfikatów?
- Czy mamy udokumentowane procedury, które są stosowane i testowane w praktyce?
Odpowiedzi tworzą podstawę do krótkiej diagnozy i rekomendacji eSIGN. Dzięki temu firma wybiera narzędzia do konkretnych procesów, zamiast kupować pojedynczy produkt bez ustalenia, jaki problem ma rozwiązać i kto będzie za niego odpowiadał.
Najczęstsze pytania o NIS2 i Wykaz KSC
Co, jeśli firma nie wpisała się do Wykazu KSC do 3 października 2026 roku?
Termin 3 października 2026 roku dotyczył podmiotów, które spełniały ustawowe kryteria w dniu wejścia nowelizacji w życie i podlegają samorejestracji. Samorejestracja jest dostępna przez cały czas, więc taka firma nadal może złożyć wniosek. Organ właściwy może też wpisać ją do wykazu z urzędu. Firmy, które spełnią przesłanki później, mają 6 miesięcy od dnia ich spełnienia.
Jak sprawdzić, czy firma podlega pod NIS2?
Trzeba przeanalizować rzeczywisty profil działalności, sektor, wielkość organizacji z uwzględnieniem firm powiązanych i partnerskich oraz zasady z art. 5 ustawy. W razie wątpliwości właściwa jest konsultacja prawna lub compliance.
Kto składa wniosek do Wykazu KSC?
Wniosek składa kierownik podmiotu albo osoba przez niego upoważniona. Może go opatrzyć jedną z metod wskazanych w art. 7c ust. 6 ustawy. Jeżeli działa pełnomocnik, w określonych przypadkach trzeba dołączyć elektroniczne pełnomocnictwo.
Czy do wpisu potrzebny jest podpis kwalifikowany?
Art. 7c ust. 6 ustawy wymienia kwalifikowany podpis elektroniczny, podpis zaufany, podpis osobisty oraz kwalifikowaną pieczęć elektroniczną. eSIGN zwykle rekomenduje podpis kwalifikowany kierownikowi lub pełnomocnikowi, jeśli firma chce używać go również w innych procesach. Gdy dokument ma potwierdzać organizacja i dany proces na to pozwala, warto rozważyć pieczęć kwalifikowaną.
Czy zakup certyfikatu zapewnia zgodność z NIS2?
Nie. Zgodność wymaga wdrożenia odpowiednich środków technicznych i organizacyjnych, zarządzania ryzykiem, procedur oraz wykonywania obowiązków wynikających z ustawy. Właściwie dobrane certyfikaty porządkują jednak ważne procesy związane z tożsamością, dokumentami i komunikacją.
Od czego zacząć?
Pierwszy krok to wstępna samoidentyfikacja firmy oraz ustalenie odpowiedzialności kierownictwa. Kolejny to dobór narzędzi do procesów, które organizacja ma zabezpieczyć.
eSIGN działa od 2014 roku i pomaga firmom dobrać, wydać oraz uruchomić podpisy, pieczęcie i pozostałe certyfikaty, przeszkolić użytkowników i pilnować terminów ważności podpisów i pieczęci. Możemy ogólnie doradzić, które rozwiązania pasują do sytuacji firmy. W niejednoznacznych przypadkach kwalifikację prawną pod KSC warto potwierdzić z prawnikiem lub osobą odpowiedzialną za compliance.
Porozmawiaj z eSIGN o doborze i wdrożeniu właściwych narzędzi.
