3 października mija termin rejestracji podmiotów kluczowych i ważnych.

Treść do weryfikacji prawnej przed publikacją.

Kogo dotyczy

Ustawa dzieli adresatów na podmioty kluczowe i ważne. O kwalifikacji decydują przede wszystkim sektor działalności i wielkość organizacji, a w niektórych przypadkach także inne kryteria ustawowe. Wśród sektorów kluczowych są m.in. administracja publiczna, ochrona zdrowia, energetyka, transport, bankowość, woda pitna i infrastruktura cyfrowa. Wśród ważnych m.in. usługi pocztowe, gospodarowanie odpadami, produkcja żywności i chemikaliów, dostawcy usług cyfrowych i jednostki naukowe.

Ocenę, czy organizacja jest podmiotem kluczowym lub ważnym, warto przeprowadzić z prawnikiem, bo od niej zależy zakres obowiązków i sankcji.

Trzy terminy do zapamiętania

Do 3 kwietnia 2027 r. wszystkie obowiązki bezpieczeństwa wynikające z ustawy muszą być wdrożone. 3 kwietnia 2028 r. to termin pierwszego obowiązkowego audytu i początek stosowania kar administracyjnych, które dla podmiotu kluczowego mogą sięgać 10 mln euro albo 2% rocznego obrotu.

Co warto zrobić teraz

• ustalić, czy organizacja jest podmiotem kluczowym lub ważnym, i dopełnić obowiązku zgłoszenia
• spisać systemy, usługi i dostawców, od których zależy działalność
• ocenić ryzyko i luki w zabezpieczeniach: dostęp, kopie, monitoring, aktualizacje
• sprawdzić umowy z dostawcami IT pod kątem bezpieczeństwa i obsługi incydentów
• zaplanować wdrożenie brakujących środków do kwietnia 2027 r.
• przeszkolić kierownictwo i pracowników

Jak możemy pomóc

Pomagamy w części technicznej i dokumentacyjnej: oceniamy gotowość systemów, zabezpieczamy serwisy i infrastrukturę, wdrażamy monitoring i procedury oraz szkolimy zespoły. Nie obiecujemy „zgodności z prawem”, bo za nią odpowiada Państwa organizacja. Dostarczamy mechanizmy, dokumentację i dowody, na których opiera się ta odpowiedzialność.

Autor: zespół INOVEO. Podstawa: ustawa z 23 stycznia 2026 r. o zmianie ustawy o krajowym systemie cyberbezpieczeństwa oraz niektórych innych ustaw (Dz.U. 2026 poz. 252), dyrektywa (UE) 2022/2555 (NIS2).