Czym jest NIS2? Unijna dyrektywa o cyberbezpieczeństwie prostymi słowami

Dyrektywa UE

NIS2 oznacza drugą dyrektywę w sprawie bezpieczeństwa sieci i systemów informatycznych. Została opublikowana w Dzienniku Urzędowym UE 27 grudnia 2022 r. i weszła w życie 16 stycznia 2023 r.

Jej celem jest wysoki wspólny poziom cyberbezpieczeństwa w całej UE. Zastępuje pierwszą dyrektywę NIS (UE) 2016/1148, uchyloną 18 października 2024 r.

Dyrektywa nie obowiązuje firm bezpośrednio. Każde państwo UE przenosi ją do swojego prawa. Termin na to upłynął 17 października 2024 r. Obowiązki dla Twojej firmy powstają dopiero z tą ustawą krajową.

Art. 1, 41, 44 i 45 NIS 2

Kto jest objęty

Firma jest objęta, jeśli działa w jednym z 18 sektorów z załączników I i II i jest co najmniej średnia: od 50 pracowników albo przy rocznym obrocie i sumie bilansowej, każde powyżej 10 mln EUR.

Niektórzy dostawcy są objęci bez względu na wielkość, na przykład dostawcy telekomunikacji, usług zaufania, domen najwyższego poziomu i DNS. Państwa członkowskie mogą wskazać dalsze podmioty.

Art. 2 i 3 NIS 2 · zalecenie 2003/361/WE

Podmioty kluczowe i ważne

Dyrektywa dzieli objęte firmy na dwie grupy. Wielkość liczy się według zalecenia 2003/361/WE; przedsiębiorstwa powiązane i partnerskie też mogą się liczyć.

Obowiązki są takie same dla obu grup. Różni się nadzór: organ może kontrolować podmioty kluczowe bez konkretnego powodu, a podmioty ważne następczo, gdy są przesłanki naruszenia (Art. 32 i 33 NIS 2).

Co obowiązuje przy naruszeniach

Dyrektywa wymaga, aby każde państwo przewidziało kary pieniężne z maksimum co najmniej 10 mln EUR lub 2 procent światowego obrotu (podmioty kluczowe) oraz 7 mln EUR lub 1,4 procent dla podmiotów ważnych, w zależności od tego, która kwota jest wyższa.

Prawo niemieckie ustala górne granice na 10 i 7 mln EUR. Procent obrotu ma tam znaczenie dopiero powyżej 500 mln EUR obrotu (§ 65 BSIG).

W przypadku podmiotów kluczowych osobie z kierownictwa można w ostateczności tymczasowo zakazać pełnienia funkcji kierowniczych. Dla podmiotów ważnych dyrektywa tego nie przewiduje.

Według naszego ostatniego sprawdzenia w sierpniu 2026 r. BSI nie opublikowało żadnej kary nałożonej na podstawie nowej BSIG.

Art. 32(5) i Art. 34 NIS 2 · § 65 BSIG

Co się zmieniło w porównaniu z NIS 1

W pierwszej dyrektywie NIS państwa członkowskie w dużej mierze same decydowały, którzy operatorzy są objęci. W NIS2 decydują sektor i wielkość, a firmy same sprawdzają, czy są objęte.

Nowe są między innymi kolejne sektory, stałe terminy zgłoszeń w trzech etapach, obowiązki kierownictwa i minimalna lista dziesięciu obszarów, która obejmuje łańcuch dostaw.

Art. 2, 20, 21, 23 i 44 NIS 2

W Niemczech i w innych państwach UE

W Niemczech NIS2 obowiązuje przez NIS2UmsuCG, która napisała ustawę o BSI na nowo. Weszła w życie 6 grudnia 2025 r. Właściwym organem jest BSI. Podmiot kluczowy nazywa się tam „besonders wichtige Einrichtung” (podmiot szczególnie ważny).

W innych państwach UE obowiązuje ustawa krajowa, w Holandii na przykład Cyberbeveiligingswet. Właściwe jest państwo, w którym Twoja firma ma siedzibę.

Art. 26 NIS 2 · BGBl. 2025 I nr 301

Co to oznacza przy 50 do 150 pracownikach

W jednym z 18 sektorów taka firma jest zwykle podmiotem ważnym. Przy tej wielkości jest kluczowa tylko w wyjątkach: w sektorze z załącznika I przy ponad 50 mln EUR obrotu i ponad 43 mln EUR sumy bilansowej, jako dostawca telekomunikacji albo gdy państwo ją za taką uzna.

Ma te same cztery obowiązki co duża firma. Ale środki muszą być tylko tak dokładne, jak wymagają tego ryzyko, wielkość i koszty.

Organ kontroluje podmiot ważny tylko wtedy, gdy są przesłanki naruszenia.

Art. 3, 21(1) i 33 NIS 2