Tracker NIS2: na jakim etapie transpozycji jest każde państwo UE
Stan na 16 października 2026: krajowa ustawa NIS2 obowiązuje w 24 z 27 państw UE. Nadal bez obowiązującej ustawy: Francja, Hiszpania i Irlandia. Unijny termin transpozycji upłynął 17 października 2024 r. Tabela pokazuje ustawę, organ, CSIRT i stan każdego państwa.
Stan w każdym państwie UE
Dla każdego państwa ustawa krajowa, główny organ, krajowy CSIRT i stan. Jeśli państwo ma własną stronę, jego nazwa do niej prowadzi.
| Państwo | Ustawa krajowa | Właściwy organ | Krajowy CSIRT | Stan |
|---|---|---|---|---|
ATAustria | NISG 2026 (BGBl. I Nr. 94/2025); NISV 2026 (BGBl. II Nr. 290/2026) Pierwotny NISG (BGBl. I Nr. 111/2018) transponował NIS 1; zastąpiony przez NISG 2026 (BGBl. I Nr. 94/2025), obowiązujący od 1 października 2026 r. | Bundesamt für Cybersicherheit | GovCERT (public administration, run by the Bundesamt für Cybersicherheit), HealthCERT (health sector), national CSIRT (all other sectors), under §§ 8 to 11 NISG 2026 | Obowiązuje |
BEBelgia | NIS2 Law (Loi NIS2) Jedno z pierwszych państw członkowskich, które dokonało transpozycji. Wejście w życie 18 października 2024 r. | CCB (Centre for Cybersecurity Belgium) | CERT.be (under CCB) | Obowiązuje |
BGBułgaria | Cybersecurity Act (amended) | Ministry of Innovation and Digital Transformation (formerly Ministry of e-Government) / State e-Government Agency | CERT Bulgaria | Obowiązuje |
Zakon o kibernetičkoj sigurnosti Przyjęte w 2024 r. Sektorowy model nadzoru. | NHCSC-HR (National Cybersecurity Center) | CERT.hr (CARNet) | Obowiązuje | |
CYCypr | Law on Security of Networks and Information Systems (Amendment) 2025 | DSA (Digital Security Authority) | CSIRT-CY | Obowiązuje |
CZCzechy | Zákon č. 264/2025 Sb. o kybernetické bezpečnosti Wcześniejsza ustawa o cyberbezpieczeństwie (Zákon č. 181/2014 Sb.) transponowała NIS 1. Zastąpiła ją ustawa 264/2025 Sb., obowiązująca od 1 listopada 2025 r. | NÚKIB (Národní úřad pro kybernetickou a informační bezpečnost) | GovCERT.CZ (NÚKIB), CSIRT.CZ | Obowiązuje |
DKDania | LOV nr 434 af 06/05/2025 (NIS 2-loven) Dania stosuje sektorowy model nadzoru. CFCS, który prowadzi krajowy CSIRT, jest częścią SAMSIK od 29 stycznia 2025. | SAMSIK (Styrelsen for Samfundssikkerhed) | CFCS (Centre for Cyber Security) | Obowiązuje |
EEEstonia | Küberturvalisuse seadus Estonia dokonała szybkiej transpozycji poprzez nowelizację swojej ustawy o cyberbezpieczeństwie z 2018 r. | RIA (Riigi Infosüsteemi Amet) | CERT-EE (within RIA) | Obowiązuje |
Kyberturvallisuuslaki (124/2025) Ustawa transponująca Kyberturvallisuuslaki (124/2025) obowiązuje od 8 kwietnia 2025 r. | Traficom + sector authorities (NCSC-FI as national CSIRT) | NCSC-FI (Kyberturvallisuuskeskus, within Traficom) | Obowiązuje | |
FRFrancja | Loi Résilience (bundles NIS2 + DORA + CER) Nałożony na istniejący reżim OIV / OSE przewidziany w Code de la défense. Rejestracja przez MonEspaceNIS2. Assemblée nationale wycofała projekt ustawy transponującej z posiedzeń plenarnych 7 i 9 października 2026 r.; nowy termin nie został wyznaczony (kolejna Conférence des présidents 20 października 2026 r.). | ANSSI (Agence nationale de la sécurité des systèmes d'information) | CERT-FR (ANSSI) | Uchwalona lub w procesie legislacyjnym |
GRGrecja | Law No. 5160/2024 | NCSA (National Cyber Security Authority) | GR-CERT (within NCA) | Obowiązuje |
- Hiszpania stosuje model dwóch CSIRT. Nadzór sektorowy na podstawie obowiązującego Real Decreto 43/2021 (NIS 1). | CCN-CERT / INCIBE | CCN-CERT (public sector), INCIBE-CERT (private sector) | W przygotowaniu | |
NLHolandia | Cyberbeveiligingswet (Cbw), Stb. 2026, 187; Cyberbeveiligingsbesluit, Stb. 2026, 189 Cbw opublikowana 10 lipca 2026 r. (Stb. 2026, 187), wchodzi w zycie 15 sierpnia 2026 r. Zastepuje Wbni (transpozycja NIS 1). | NCSC-NL (since 1 Jan 2026 merged with DTC and CSIRT-DSP into "versterkt NCSC", SPOC + national CSIRT) + RDI (Rijksinspectie Digitale Infrastructuur, horizontal supervisor) | NCSC-NL | Obowiązuje |
IEIrlandia | National Cyber Security Bill (draft) Projekt ustawy w toku procesu legislacyjnego w Houses of the Oireachtas; skierowanie do TSUE 8 lipca 2026 r. | NCSC (National Cyber Security Centre) | NCSC-IE | W przygotowaniu |
LTLitwa | Kibernetinio saugumo įstatymas Litwa przyjęła akt transponujący pod koniec 2024 r. | NKSC (National Cybersecurity Center) | CERT-LT (within NKSC) | Obowiązuje |
Loi du 5 mai 2026 relative à des mesures visant à assurer un niveau élevé de cybersécurité | ILR (Institut Luxembourgeois de Régulation) | CIRCL (Computer Incident Response Center Luxembourg) | Obowiązuje | |
LVŁotwa | Nacionālās kiberdrošības likums Łotwa przyjęła w 2024 r. krajową ustawę o cyberbezpieczeństwie, transponując NIS 2. | NCSC (Nacionālais kiberdrošības centrs, Ministry of Defence) / CERT.LV | CERT.LV | Obowiązuje |
MTMalta | Legal Notice 71/2025, amended by Legal Notice 89/2026 (S.L. 460.41) | CIPD (Critical Infrastructure Protection Department) | CSIRTMalta | Obowiązuje |
DENiemcy | NIS2UmsuCG / BSIG Niemcy nie dotrzymały unijnego terminu 17 października 2024 r. Komisja wszczęła postępowanie w sprawie uchybienia zobowiązaniom w maju 2025 r. | BSI (Bundesamt für Sicherheit in der Informationstechnik) | CERT-Bund (BSI) | Obowiązuje |
PLPolska | Amended KSC Act (ustawa o KSC) Nowelizacja ustawy o krajowym systemie cyberbezpieczeństwa (Ustawa o KSC) obowiązuje od 3 kwietnia 2026 r. Samorejestracja w wykazie zakończyła się 3 października 2026 r. | Ministry of Digital Affairs / CSIRTs | CSIRT NASK, CSIRT GOV, CSIRT MON | Obowiązuje |
Decreto-Lei n.º 125/2025 | CNCS (Centro Nacional de Cibersegurança) + CERT.PT | CERT.PT (within CNCS) | Obowiązuje | |
RORumunia | Emergency Ordinance No. 155/2024; Laws No. 52/2025 & No. 124/2025 Rumunia dokonała transpozycji w drodze OUG 155/2024 w grudniu 2024 r. | DNSC (Directoratul Național de Securitate Cibernetică) | DNSC CSIRT | Obowiązuje |
SKSłowacja | Zákon o kybernetickej bezpečnosti | NBÚ (Národný bezpečnostný úrad) | SK-CERT (within NBÚ) | Obowiązuje |
SISłowenia | ZInfV-1 (Information Security Act) | URSIV (Information Security Agency) | SI-CERT | Obowiązuje |
SESzwecja | Cybersäkerhetslagen (SFS 2025:1506) | NCSC (Nationellt cybersäkerhetscenter, at the FRA) + CERT-SE | CERT-SE (within the NCSC at the FRA since 1 July 2026) | Obowiązuje |
HUWęgry | Act LXIX of 2024 (Hungarian Cybersecurity Act) Węgry dokonały transpozycji wcześnie w drodze ustawy XXIII z 2023 r. Nałożone z SZTFH jako organem nadzoru nad cyberbezpieczeństwem. | SZTFH (Szabályozott Tevékenységek Felügyeleti Hatósága) | National Cyber Defence Institute (NBSZ) | Obowiązuje |
ITWłochy | D.Lgs. 138/2024 Wejście w życie 16 października 2024 r. Jedno z nielicznych państw członkowskich, które dotrzymało unijnego terminu. | ACN (Agenzia per la Cybersicurezza Nazionale) | CSIRT Italia (within ACN) | Obowiązuje |
Ostatnio weszły w życie
Państwa, których ustawa weszła w życie najpóźniej, od najnowszej.
- Austria: obowiązuje od 1 października 2026
- Holandia: obowiązuje od 15 sierpnia 2026
- Luksemburg: obowiązuje od 10 maja 2026
- Polska: obowiązuje od 3 kwietnia 2026
- Portugalia: obowiązuje od 3 kwietnia 2026
Dlaczego państwa są na różnych etapach
NIS2 jest dyrektywą. Jest skierowana do państw członkowskich. Każde państwo UE musi przenieść ją do swojego prawa.
Termin na to upłynął 17 października 2024 r. Wiele państw zrobiło to później. Komisja Europejska wszczęła więc postępowania przeciwko kilku państwom, a niektóre skierowała do Trybunału Sprawiedliwości UE.
Obowiązki dla firm powstają dopiero z ustawą krajową. Do tego czasu mogą w danym państwie nadal obowiązywać starsze przepisy z pierwszej dyrektywy NIS.
Art. 41(1) NIS 2
Co to oznacza przy 50 do 150 pracownikach
Dla Twojej firmy najważniejsze jest państwo, w którym ma siedzibę. Jeśli ma siedzibę tylko w Niemczech, obowiązuje ją ustawa o BSI, od 6 grudnia 2025 r.
Tracker pomaga, jeśli masz spółki zależne lub zakłady w innych państwach UE. Tam prawo danego państwa decyduje, czy i od kiedy obowiązują obowiązki.
Obowiązująca ustawa nie oznacza, że wszystkie terminy już upłynęły. Każde państwo ustala własny termin rejestracji.
Które państwo jest właściwe dla Twojej firmyPrzykład
Fikcyjna firma: producent maszyn pakujących, 110 pracowników w Niemczech, własny zakład w Polsce i spółka zależna ds. sprzedaży w Irlandii.
Niemiecka GmbH: budowa maszyn jest wymieniona w załączniku 2 do BSIG, a przy 110 pracownikach jest ona podmiotem ważnym. Rejestruje się w BSI.
Zakład w Polsce jest odrębną spółką. Jeśli tracker pokazuje dla Polski obowiązującą ustawę, firma sprawdza, czy zakład jest objęty polskim prawem i do kiedy musi się tam zarejestrować.
Spółka zależna ds. sprzedaży w Irlandii sama niczego nie produkuje. Czy podlega NIS2, zależy od tego, czym się zajmuje. Jeśli tracker nie pokazuje jeszcze dla Irlandii obowiązującej ustawy, nie powstają tam jeszcze obowiązki z irlandzkiej ustawy NIS2.
Firma sprawdza tracker raz na kwartał. Ten odstęp wybrała sama.
Jak robi to przewodnik
Przewodnik na nisd2.eu korzysta z tych samych danych co ta tabela.
Krok rejestracji pokazuje właściwy organ dla Twojego państwa i jego portal, z tej samej listy co ta strona.
Wyjaśnia, w którym państwie UE się rejestrujesz, z wyjątkami dla telekomunikacji i dostawców cyfrowych.
Środki bezpieczeństwa opierają się na minimalnej liście z dyrektywy, która obowiązuje w każdym państwie UE.
Wyjaśnienia w przewodniku są dostępne po niemiecku i po angielsku.
Strony o poszczególnych państwach
Bundesamt für Cybersicherheit
CCB (Centre for Cybersecurity Belgium)
Ministry of Innovation and Digital Transformation (formerly Ministry of e-Government) / State e-Government Agency
NHCSC-HR (National Cybersecurity Center)
DSA (Digital Security Authority)
NÚKIB (Národní úřad pro kybernetickou a informační bezpečnost)
SAMSIK (Styrelsen for Samfundssikkerhed)
RIA (Riigi Infosüsteemi Amet)
Traficom + sector authorities (NCSC-FI as national CSIRT)
ANSSI (Agence nationale de la sécurité des systèmes d'information)
NCSA (National Cyber Security Authority)
CCN-CERT / INCIBE
NCSC-NL (since 1 Jan 2026 merged with DTC and CSIRT-DSP into "versterkt NCSC", SPOC + national CSIRT) + RDI (Rijksinspectie Digitale Infrastructuur, horizontal supervisor)
NCSC (National Cyber Security Centre)
NKSC (National Cybersecurity Center)
ILR (Institut Luxembourgeois de Régulation)
NCSC (Nacionālais kiberdrošības centrs, Ministry of Defence) / CERT.LV
CIPD (Critical Infrastructure Protection Department)
Ministry of Digital Affairs / CSIRTs
CNCS (Centro Nacional de Cibersegurança) + CERT.PT
DNSC (Directoratul Național de Securitate Cibernetică)
NBÚ (Národný bezpečnostný úrad)
URSIV (Information Security Agency)
NCSC (Nationellt cybersäkerhetscenter, at the FRA) + CERT-SE
SZTFH (Szabályozott Tevékenységek Felügyeleti Hatósága)
ACN (Agenzia per la Cybersicurezza Nazionale)
Częste pytania
Które państwa przeniosły NIS2 do swojego prawa?
Stan na 16 października 2026: krajowa ustawa NIS2 obowiązuje w 24 z 27 państw UE. Tabela powyżej pokazuje ustawę, organ i stan każdego państwa.
Które państwa nie przeniosły jeszcze NIS2 do swojego prawa?
Stan na 16 października 2026: ustawa krajowa nie obowiązuje jeszcze w: Francja, Hiszpania i Irlandia.
Czym jest CSIRT?
CSIRT (zespół reagowania na incydenty bezpieczeństwa komputerowego) to zespół, który przyjmuje zgłoszenia incydentów bezpieczeństwa w danym państwie i pomaga je opanować. Każde państwo UE wyznacza co najmniej jeden (Art. 10 NIS 2). W Niemczech jest to CERT-Bund w BSI.
Jak aktualny jest tracker?
Tabela przedstawia stan na 16 października 2026. Wiążącymi źródłami są dzienniki urzędowe poszczególnych państw i przegląd Komisji Europejskiej, wymienione poniżej.
Źródła
- Dyrektywa (UE) 2022/2555 (NIS 2), Art. 10 i 41, EUR-Lex
- Komisja Europejska, stan transpozycji NIS 2: digital-strategy.ec.europa.eu/en/policies/nis-transposition
- Komisja Europejska, postępowania w sprawie uchybienia zobowiązaniom z powodu niezgłoszenia transpozycji (wezwania do usunięcia uchybienia 28 listopada 2024 r., uzasadnione opinie 7 maja 2025 r., skargi do Trybunału Sprawiedliwości UE 8 lipca 2026 r., IP/26/1499)
- Krajowe dzienniki urzędowe, na przykład BGBl (DE), Moniteur belge / Belgisch Staatsblad (BE), Gazzetta Ufficiale (IT), BOE (ES), JORF (FR), Sbírka zákonů (CZ)
W praktyce
Co zmienia prawo krajowe, a czego nie
Prawo krajowe określa między innymi, gdzie się rejestrujesz i komu zgłaszasz incydenty. Same środki wychodzą w każdym państwie członkowskim z tej samej minimalnej listy (art. 21 NIS 2). Przewodnik prowadzi przez nie krok po kroku:
Sam przewodnik jest po niemiecku i po angielsku.
Risk Management
Write down what your company has
A list of the processes, software and devices you work with.
Incident Handling
Plan what happens in an incident
Who decides, whom you call, how you reach each other.
Effectiveness Assessment
Record the management review
Management checks whether the measures work and approves your documents.
Ile kosztuje przewodnik
4800 € netto rocznie, plus VAT
30 dni na zwrot pieniędzyNa fakturę, płatną w 30 dni. Rezygnacja w ciągu pierwszych 30 dni: faktura zostaje anulowana albo zwracamy pieniądze.
Wdrożenie NIS 2 z przewodnikiem, krok po kroku
Historia zmian i zatwierdzeń do pokazania organowi nadzoru
Terminy i przypomnienia dla każdego wymagania
Kwestionariusz bezpieczeństwa dla Twoich dostawców
Eksport do PDF lub CSV w dowolnym momencie
Masz zająć się NIS2?
Prowadzimy Cię krok po kroku. Ty wypełniasz, my wyjaśniamy każdy punkt prostymi słowami, a na końcu podpisuje kierownictwo.
