Status NIS 2 w Irlandii
Czego wymaga dyrektywa, gdzie Irlandia stoi z transpozycją oraz kto sprawuje nadzór w okresie przejściowym.
Przegląd
Dyrektywa NIS 2 znajduje się na poziomie UE. Wiąże każde państwo członkowskie, w tym Irlandię, jednym progiem obowiązków dla podmiotów kluczowych i ważnych. Irlandia musi przełożyć ten próg na prawo irlandzkie i ustanowić pod nim nadzór.
Irlandia przekroczyła termin transpozycji 17 października 2024 r. General Scheme of the National Cyber Security Bill 2024 został opublikowany 30 sierpnia 2024 r. Według stanu na początek października 2026 r. w Oireachtas nie wniesiono żadnego National Cyber Security Bill. 8 lipca 2026 r. Komisja Europejska skierowała sprawę przeciwko Irlandii, wraz z Hiszpanią, Francją i Holandią, do Trybunału Sprawiedliwości UE i wniosła, by Trybunał nałożył ryczałt oraz dzienne kary pieniężne do czasu, aż Irlandia zgłosi pełną transpozycję. Dopóki ustawa nie wejdzie w życie, irlandzka transpozycja NIS 1 (European Union (Measures for a High Common Level of Security of Network and Information Systems) Regulations 2018, S.I. No. 360/2018) nadal obowiązuje.
National Cyber Security Centre (NCSC-IE) jest krajowym CSIRT. Według General Scheme ma zostać wiodącym organem właściwym i pojedynczym punktem kontaktowym dla NIS 2, obok sektorowych organów właściwych: CRU dla energii, wody pitnej i ścieków, ComReg dla infrastruktury cyfrowej, zarządzania usługami ICT, przestrzeni kosmicznej i dostawców cyfrowych, Central Bank of Ireland dla bankowości i infrastruktury rynków finansowych (gdzie DORA stosuje się jako lex specialis) oraz dalszych organów dla transportu i ochrony zdrowia. Od 1 czerwca 2025 r. NCSC i funkcje NIS należą do Department of Justice, Home Affairs and Migration, które przejęło je od Department of the Environment, Climate and Communications.
Dyrektywa UE
Directive (EU) 2022/2555 (NIS 2)
Unijna dyrektywa o cyberbezpieczeństwie. Ustanawia obowiązki, które każde państwo członkowskie musi transponować, w tym test wielkości i sektora dla podmiotów kluczowych i ważnych. Stosuje się do Irlandii niezależnie od stanu transpozycji krajowej.
Unijny akt wykonawczy
Implementing Regulation (EU) 2024/2690
Wymogi techniczne i metodyczne dla dostawców DNS, rejestrów TLD, dostawców chmury, centrów danych i CDN, dostawców usług zarządzanych (bezpieczeństwa), internetowych platform handlowych, wyszukiwarek, sieci społecznościowych i dostawców usług zaufania. Bezpośrednio stosowane w Irlandii, bez potrzeby transpozycji krajowej.
Irlandzka transpozycja
General Scheme of the National Cyber Security Bill 2024 (projekt); do uchwalenia: S.I. No. 360/2018 (NIS 1)
Rząd zatwierdził priorytetowe opracowanie projektu 24 lipca 2024 r. i opublikował General Scheme 30 sierpnia 2024 r. W Oireachtas nie wniesiono jeszcze projektu ustawy. Projekt ustawy oraz przepisy wykonawcze, które po nim nastąpią, będą niosły szczegóły operacyjne. Do tego czasu transpozycja NIS 1 pozostaje w mocy, uzupełniona wytycznymi NCSC-IE.
National Cyber Security Bill
Wprowadzi obowiązki NIS 2 do prawa irlandzkiego, zdefiniuje podmioty kluczowe i ważne, określi uprawnienia nadzorcze i egzekucyjne oraz zakotwiczy zgłaszanie incydentów. Szczegóły operacyjne uzupełnią przepisy wykonawcze oraz wytyczne NCSC-IE. Dziś: opublikowano Heads of Bill, ostateczny tekst jeszcze nie uchwalony.
NCSC-IE jako wiodący organ właściwy
National Cyber Security Centre jest krajowym CSIRT (CSIRT-IE). Według General Scheme ma zostać wiodącym organem właściwym i pojedynczym punktem kontaktowym dla NIS 2, a regulatorzy sektorowi, tacy jak CRU, ComReg i Central Bank, będą organami właściwymi dla swoich sektorów. Już publikuje wytyczne przygotowawcze, w tym projekt wytycznych Risk Management Measures z czerwca 2025 r., i odwołuje się do belgijskich ram CyFun jako praktycznego punktu odniesienia.
Rejestracja i zgłaszanie
Do 17 kwietnia 2025 r. każde państwo członkowskie musiało sporządzić listę podmiotów kluczowych i ważnych (art. 3 ust. 3 NIS 2). Irlandia nie ma jeszcze takiej podstawy prawnej, a portale rejestracji i zgłaszania incydentów otworzą się dopiero po wejściu ustawy w życie. Poważne incydenty będą wtedy podążać za dyrektywą: wczesne ostrzeżenie w ciągu 24 godzin, zgłoszenie incydentu w ciągu 72 godzin, sprawozdanie końcowe w ciągu jednego miesiąca.
Na terytorium irlandzkim stosuje się prawo irlandzkie
Działalność na terytorium irlandzkim podlega irlandzkiej transpozycji. Niemiecki dyrektor zarządzający z irlandzką spółką zależną czyta dla tej spółki nadchodzący National Cyber Security Act, a w międzyczasie Regulations 2018 (NIS 1), a nie niemiecką BSIG. Obowiązki dyrektywy są identyczne. Procedury, portale i kary żyją w prawie irlandzkim.
Irlandia nie może zejść poniżej progu UE
Dyrektywa to harmonizacja minimalna. Irlandia może iść surowiej. Irlandia nie może zejść poniżej dyrektywy, ani w zakresie obowiązków podmiotów kluczowych i ważnych, ani terminów zgłaszania, ani rozliczalności organu zarządzającego. Dopóki Irlandia nie dokona transpozycji, obowiązki z dyrektywy nie wiążą irlandzkich firm bezpośrednio. Gdy ustawa wejdzie w życie, nie może wyznaczyć niższego progu niż dyrektywa.
NCSC-IE
National Cyber Security Centre. Krajowy CSIRT (CSIRT-IE), a według General Scheme przyszły wiodący organ właściwy i pojedynczy punkt kontaktowy dla NIS 2. Publikuje wytyczne przygotowawcze, otworzy portale rejestracji i zgłaszania po wejściu ustawy w życie oraz koordynuje z ENISA i innymi państwami członkowskimi.
Department of Justice, Home Affairs and Migration
Wiodące ministerstwo dla transpozycji. 1 czerwca 2025 r. rząd przeniósł funkcje w zakresie cyberbezpieczeństwa, w tym te z NIS 1 Regulations (S.I. No. 360/2018), z Department of the Environment, Climate and Communications do Department of Justice (S.I. No. 234/2025). NCSC jest operacyjnym ramieniem tego ministerstwa. General Scheme of the National Cyber Security Bill 2024 jest opublikowany; sam projekt ustawy nie został jeszcze wniesiony do Oireachtas.
ENISA
Unijna agencja ds. cyberbezpieczeństwa. Publikuje wytyczne, prowadzi europejską bazę danych o podatnościach i koordynuje ponad granicami. Nie jest nadzorcą dla podmiotów irlandzkich. Według General Scheme ta rola będzie należeć do NCSC-IE i sektorowych organów właściwych po wejściu ustawy w życie.
Dopóki Irlandia nie transponuje, stosują się niemieckie reguły, bo nasz podmiot dominujący jest w Niemczech.
Nie. NIS 2 podąża za zasadą siedziby. Irlandzka spółka zależna jest regulowana w Irlandii, niemiecka w Niemczech. Niemiecki podmiot dominujący może wewnętrznie wspierać irlandzką spółkę zależną, ale prawny obowiązek rejestracji, zgłaszania i nadzoru spoczywa na podmiocie irlandzkim i biegnie do NCSC-IE, gdy ustawa wejdzie w życie. Do tego czasu NIS 1 (S.I. No. 360/2018) reguluje sektory już objęte.
Dopóki portal nie działa, nie muszę nic robić.
Obowiązki NIS 2 dotyczące rejestracji i zgłaszania dotyczą irlandzkiej firmy tylko przez irlandzką ustawę, która nie weszła jeszcze w życie. Do tego czasu NIS 1 (S.I. No. 360/2018) stosuje się do operatorów usług kluczowych już wyznaczonych na jego podstawie. Przygotowanie nadal się opłaca: zarządzanie ryzykiem, proces incydentów, klauzule łańcucha dostaw i szkolenie organu zarządzającego wymagają miesięcy, a ustawa wyznaczy termin rejestracji, gdy NCSC-IE otworzy portal.
Tylko stare OES z NIS 1 są objęte przez NIS 2.
Nie. NIS 2 znacznie poszerza katalog sektorów i wielkości. Operatorzy usług kluczowych (Operators of Essential Services) z NIS 1 są zwykle nadal objęci NIS 2, ale obwód jest szerszy i teraz rozróżnia podmioty kluczowe i ważne. Średnie i duże podmioty wymienione w załącznikach I i II dyrektywy są objęte zakresem, podobnie jak niektórzy mali dostawcy o szczególnej roli oraz części administracji publicznej.
Większość irlandzkich operatorów ze średniego rynku, których spotykamy, traktuje NIS 2 jak odroczony termin i czeka na National Cyber Security Bill. Prawnie na razie to się zgadza: dyrektywa wiąże państwo, a nie firmę, więc dopóki ustawa nie wejdzie w życie, obowiązują tylko NIS 1 Regulations, i to tylko dla operatorów już wyznaczonych na ich podstawie. W praktyce praca zajmuje miesiące, więc kto zacznie teraz, spotka ustawę z dokumentacją już na miejscu.
Praktyczny krok jest taki sam jak wszędzie w UE: przeprowadź test stosowalności względem dyrektywy, użyj wytycznych przygotowawczych NCSC-IE (projekt Risk Management Measures, CyFun) jako orientacji, ustanów cztery ciągłe obowiązki (utrzymywanie aktualnych danych rejestracyjnych, zgłaszanie incydentów, ryzyko łańcucha dostaw, nadzór przez organ zarządzający) i udokumentuj minimum. Gdy ustawa wejdzie w życie, pozostała praca to głównie wpięcie gotowej dokumentacji w procedury irlandzkie.
- Directive (EU) 2022/2555 (NIS 2): EUR-Lex
- Implementing Regulation (EU) 2024/2690
- General Scheme of the National Cyber Security Bill 2024: Department of Justice, Home Affairs and Migration (gov.ie)
- European Union (Measures for a High Common Level of Security of Network and Information Systems) Regulations 2018 (S.I. No. 360/2018): Irish Statute Book
- NCSC-IE: National Cyber Security Centre, status i wytyczne NIS 2 (ncsc.gov.ie)
- NCSC-IE: Draft Risk Management Measures Guidance (czerwiec 2025)
- ComReg: według General Scheme organ właściwy dla infrastruktury cyfrowej, zarządzania usługami ICT, przestrzeni kosmicznej i dostawców cyfrowych
- Central Bank of Ireland: organ właściwy dla DORA w sektorze finansowym
- S.I. No. 234/2025, Cyber Security (Transfer of Departmental Administration and Ministerial Functions) Order 2025: Irish Statute Book
- Komisja Europejska, 8 lipca 2026 r.: Komisja kieruje sprawę przeciwko Irlandii, Hiszpanii, Francji i Holandii do Trybunału Sprawiedliwości (digital-strategy.ec.europa.eu)
W praktyce
Co zmienia prawo krajowe, a czego nie
Prawo krajowe określa między innymi, gdzie się rejestrujesz i komu zgłaszasz incydenty. Same środki wychodzą w każdym państwie członkowskim z tej samej minimalnej listy (art. 21 NIS 2). Przewodnik prowadzi przez nie krok po kroku:
Sam przewodnik jest po niemiecku i po angielsku.
Risk Management
Write down what your company has
A list of the processes, software and devices you work with.
Incident Handling
Plan what happens in an incident
Who decides, whom you call, how you reach each other.
Effectiveness Assessment
Record the management review
Management checks whether the measures work and approves your documents.
Masz zająć się NIS2?
Prowadzimy Cię krok po kroku. Ty wypełniasz, my wyjaśniamy każdy punkt prostymi słowami, a na końcu podpisuje kierownictwo.
