- Strona główna
- Narzędzia
- Kwalifikacja NIS2
Kwalifikacja NIS2
Czy Twoja firma podlega nowym przepisom o cyberbezpieczeństwie? Znowelizowana ustawa o krajowym systemie cyberbezpieczeństwa (NIS2) obowiązuje od 3 kwietnia 2026. W wykazie podmiotów kluczowych i ważnych jest około 70 tysięcy podmiotów. Do 3 kwietnia 2027 muszą wdrożyć system zarządzania bezpieczeństwem informacji. Sprawdź w 5 minut, czy Twoja firma podlega ustawie i czy jej wpis jest prawidłowy.
Sprawdź za darmo Umów rozmowę online
Dlaczego to ważne
- 10 mln EURnajwyższa kara
Podmioty kluczowe: do 10 mln EUR lub 2% globalnego obrotu. Podmioty ważne: do 7 mln EUR. Według Ministerstwa Cyfryzacji za większość obowiązków kary będą mogły być nakładane po 3.04.2028.
- 6 miesięcyna wniosek o wpis do wykazu
Firma sama sprawdza, czy podlega ustawie, i składa wniosek w systemie S46 w 6 miesięcy od spełnienia przesłanek. Dla podmiotów objętych ustawą od 3.04.2026 termin minął 3.10.2026. Gdy firma przestaje spełniać przesłanki, składa wniosek o wykreślenie (art. 7f ust. 3).
- 3.04.2027termin wdrożenia
System bezpieczeństwa informacji, procedura incydentów, plan ciągłości działania, audyt dostawców, szkolenia zarządu.
- co 3 lataobowiązkowy audyt
Podmiot kluczowy przeprowadza audyt bezpieczeństwa systemu informacyjnego co najmniej raz na 3 lata, pierwszy do 3.04.2028. Organ może zarządzić audyt doraźny. ISO 27001 nie zwalnia.
Dla kogo
Firmy IT
Hosting, chmura, SaaS, data center, MSP i MSSP, DNS.
Energetyka
Prąd, gaz, ciepło, OZE, operatorzy sieci, wodór.
Zdrowie
Szpitale, kliniki, producenci leków i wyrobów medycznych.
Transport
Lotniczy, kolejowy, morski, drogowy.
Producenci
Elektronika, maszyny, pojazdy, żywność, chemikalia.
Woda i odpady
Wodociągi, kanalizacja, oczyszczalnie, gospodarka odpadami.
Finanse
Banki, instytucje finansowe, operatorzy systemów obrotu.
Nie wiesz?
Każda średnia lub duża firma niepewna, czy NIS2 jej dotyczy.
Co sprawdzam
8 obszarów wymaganych przez ustawę o krajowym systemie cyberbezpieczeństwa.
Kwalifikacja sektorowa
18 sektorów: energetyka, transport, zdrowie, bankowość, IT, woda, ścieki, poczta, odpady, chemia, żywność, produkcja i inne. Sprawdzam według załączników do ustawy o krajowym systemie cyberbezpieczeństwa.
Kwalifikacja wielkościowa
Próg średniego przedsiębiorcy: co najmniej 50 pracowników albo roczny obrót i suma bilansowa powyżej 10 mln EUR, liczone z przedsiębiorstwami powiązanymi i partnerskimi, chyba że system informacyjny firmy jest od nich niezależny (art. 5 ust. 6 i 7 ustawy). Uwzględniam podmioty objęte ustawą bez względu na wielkość, np. DNS, rejestry TLD, kwalifikowanych dostawców usług zaufania i podmioty krytyczne.
Polityka bezpieczeństwa i analiza ryzyka
Czy firma ma udokumentowaną politykę bezpieczeństwa informacji zatwierdzoną przez zarząd? Czy przeprowadza regularną analizę ryzyka cyberbezpieczeństwa?
Obsługa incydentów
Czy firma jest w stanie zgłosić poważny incydent do CSIRT: wczesne ostrzeżenie w 24 godziny, pełne zgłoszenie w 72 godziny, raport końcowy w ciągu miesiąca?
Ciągłość działania
Plan ciągłości działania, plan odzyskiwania po awarii, regularne kopie zapasowe z testowaniem odtwarzalności. Jak szybko wrócisz do działania po cyberataku?
Bezpieczeństwo łańcucha dostaw
Ocena cyberbezpieczeństwa dostawców IT, klauzule bezpieczeństwa w umowach, monitoring dostawców. Ustawa wymaga zarządzania ryzykiem w całym łańcuchu dostaw.
Szkolenia zarządu i pracowników
Nowość: kierownik podmiotu ma osobisty obowiązek corocznego szkolenia z cyberbezpieczeństwa i ponosi odpowiedzialność za wdrożenie środków ochrony. Plus regularne szkolenia pracowników i zasady cyberhigieny.
MFA, kryptografia i kontrola dostępu
Uwierzytelnianie wieloskładnikowe, szyfrowanie danych, inwentaryzacja aktywów IT, polityki kontroli dostępu, zasada minimalnych uprawnień, bezpieczna komunikacja awaryjna.
Co otrzymasz za darmo
- Klasyfikacja podmiotu
Czy Twoja firma jest podmiotem kluczowym, ważnym, czy nie podlega NIS2? Odpowiedź natychmiast na ekranie, z uzasadnieniem prawnym.
- Ocena cyberbezpieczeństwa
Ocena dojrzałości w 8 obszarach wymaganych przez ustawę o krajowym systemie cyberbezpieczeństwa. Zobaczysz, gdzie masz luki i co naprawić najpierw.
- 7 dokumentów
Polityka bezpieczeństwa informacji, procedura incydentów (24h, 72h, 1 miesiąc), plan ciągłości działania, polityka ryzyka, lista kontrolna NIS2, klauzule do umów z dostawcami IT i raport kwalifikacyjny.
- Konsultacja z radcą prawnym
Bezpłatna 20-minutowa rozmowa o wynikach i kolejnych krokach. Radca prawny specjalizujący się w cyberbezpieczeństwie i prawie IT, nie konsultant.
Jak to działa
- Odpowiadasz na pytania (około 5 minut).
Sektor działalności, wielkość firmy, 10 pytań o cyberbezpieczeństwo. Większość to wybór z listy. Nie musisz niczego przygotowywać.
- Klasyfikacja i ocena.
Natychmiastowy wynik: podmiot kluczowy, ważny albo poza zakresem. Plus ocena dojrzałości z priorytetową listą luk do zamknięcia.
- Pobierasz 7 dokumentów.
Zakładasz darmowe konto i pobierasz spersonalizowane dokumenty compliance w wersji roboczej. Gotowe do przeglądu z prawnikiem.
Podmiot kluczowy a podmiot ważny
| Podmiot kluczowy | Podmiot ważny | |
|---|---|---|
| Sektory | Energetyka, transport, zdrowie, woda, ścieki, IT, bankowość, administracja, przestrzeń kosmiczna | Poczta, odpady, chemia, żywność, produkcja, usługi cyfrowe, badania |
| Wielkość firmy | Co do zasady duże z sektorów z załącznika 1: co najmniej 250 pracowników albo obrót powyżej 50 mln EUR i suma bilansowa powyżej 43 mln EUR. Bez względu na wielkość m.in. DNS, rejestry TLD, kwalifikowani dostawcy usług zaufania, podmioty krytyczne | Co do zasady średnie z załącznika 1 oraz średnie i duże z załącznika 2. Odrębne reguły m.in. dla komunikacji elektronicznej i podmiotów publicznych |
| Nadzór | Proaktywny: audyty planowe, kontrole wyprzedzające | Reaktywny: kontrola po incydencie lub zgłoszeniu |
| Najwyższa kara | 10 mln EUR lub 2% obrotu | 7 mln EUR lub 1,4% obrotu |
| Odpowiedzialność zarządu | Tak, osobista | Tak, osobista |
| Obowiązki | System zarządzania bezpieczeństwem informacji plus audyt co najmniej raz na 3 lata | System zarządzania bezpieczeństwem informacji, audyt tylko na żądanie organu, np. po poważnym incydencie |
Dlaczego to narzędzie
- Narzędzie stworzyłem jako radca prawny. Ocenę i dokumenty oparłem na mojej praktyce w obsłudze firm IT, fintech i e-commerce (OIRP Warszawa, WA-13427).
- Oparte na polskiej ustawie. Nie ogólna dyrektywa UE, ale ustawa o krajowym systemie cyberbezpieczeństwa w brzmieniu nadanym nowelizacją z 23 stycznia 2026 r., z polskimi załącznikami sektorowymi, organami właściwymi i CSIRT-ami.
- Objęte tajemnicą zawodową. Twoje odpowiedzi i wyniki chronię tajemnicą zawodową radcy prawnego. Nie trafiają do podmiotów trzecich, firm IT ani ubezpieczycieli.
- Spersonalizowane dokumenty. Nie szablony z internetu. 7 dokumentów uwzględniających Twój sektor, wielkość firmy, luki w cyberbezpieczeństwie i właściwy CSIRT.
Najczęstsze pytania
Czy Kwalifikacja NIS2 jest naprawdę za darmo?
Tak. Klasyfikacja podmiotu, ocena dojrzałości, analiza luk i 7 dokumentów w wersji roboczej, wszystko bezpłatnie. Dokumenty generowane automatycznie na podstawie Twoich odpowiedzi. Jeśli potrzebujesz pełnego wdrożenia systemu bezpieczeństwa lub audytu, oferuję płatne usługi.
Ile trwa wypełnienie formularza?
Około 5 minut. Formularz ma 4 kroki: dane firmy, sektor, wielkość firmy, 10 pytań o cyberbezpieczeństwo. Większość pytań to wybór z listy.
Co jeśli nie wiem, czy moja firma podlega NIS2?
Właśnie dlatego stworzyłem to narzędzie. Obowiązek samoweryfikacji leży po stronie firmy, ustawa wymaga, żebyś sam sprawdził, czy spełniasz kryteria. Narzędzie przeprowadzi Cię przez tę weryfikację krok po kroku.
Jakie dokumenty otrzymam?
7 dokumentów: raport kwalifikacyjny NIS2, polityka bezpieczeństwa informacji, procedura zarządzania incydentami (24h / 72h / 1 miesiąc), plan ciągłości działania, polityka zarządzania ryzykiem, lista kontrolna zgodności NIS2 z priorytetami, wzorcowe klauzule cyberbezpieczeństwa do umów z dostawcami.
Czy dokumenty są gotowe do użycia?
Dokumenty są w wersji roboczej: spersonalizowane pod Twoją firmę, ale wymagają przeglądu i dostosowania do konkretnej infrastruktury IT. Dlatego oferuję bezpłatną 20-minutową konsultację.
Czym NIS2 różni się od RODO?
RODO chroni dane osobowe, NIS2 chroni bezpieczeństwo sieci i systemów informatycznych. Jedno nie zastępuje drugiego, firma może podlegać obu regulacjom jednocześnie. Dlatego oferuję też darmowy audyt RODO.
Kto stoi za narzędziem?
Ja, radca prawny Przemysław Kołakowski (WA-13427). Narzędzie objęte tajemnicą zawodową radcy prawnego.
Wynik ma charakter orientacyjny, jest niewiążący i nie stanowi porady prawnej.
NIS2 w Polsce, kogo dotyczy i co musisz wdrożyć? Praktyczny przewodnik 2026
Pozostałe narzędzia
Audyt RODO
Sprawdź zgodność z RODO w 10 minut. Wynik od 0 do 100, 12 dokumentów i instrukcja wdrożenia, około 10 minut.
Weryfikacja umowy B2B
Czy Twoja umowa B2B przetrwa kontrolę PIP? 20 pytań, kryteria z orzecznictwa Sądu Najwyższego, raport i wzorcowa umowa.
Klasyfikacja AI Act
Czy Twoja firma jest gotowa na AI Act? 5 dokumentów, około 10 minut, kontrole i kary od 28.10.2026.
Przegląd Tygodnia
Zmiany w prawie, raz w tygodniu, prosto na email. Poniedziałek, 5 działów, 19 źródeł.
Napisz albo zadzwoń.
Harbor LEGAL Kancelaria Radcy Prawnego Przemysław Kołakowski
ul. Lekarska 2/1, 00-610 Warszawa
Pierwsza rozmowa jest bezpłatna, na ogół online, może być też telefon.