Wdrożenie NIS2 w Europie: które państwa przeniosły NIS2 do swojego prawa
Termin transpozycji upłynął 17 października 2024 r. Dziś ustawa krajowa obowiązuje w 24 z 27 państw UE. Nadal bez ustawy: Francja, Hiszpania i Irlandia. Twoja firma podlega prawu państwa, w którym ma siedzibę; tam się rejestrujesz.
Organ, portal i termin w każdym państwie
Tabele są pogrupowane według stanu rejestracji. Przy każdym państwie widać jego ustawę i termin.
22
Operacyjny
1
Wstępna rejestracja
0
Planowany
4
Jeszcze niedostępny
| Kraj | Właściwy organ | Portal rejestracyjny | Termin rejestracji | Prawo krajowe |
|---|---|---|---|---|
| Niemcy | BSI (Bundesamt für Sicherheit in der Informationstechnik) | BSI-Portal | 2026-03-06 | NIS2UmsuCG / BSIG |
| Belgia | CCB (Centre for Cybersecurity Belgium) | Safeonweb@Work | 2025-03-18 | NIS2 Law (Loi NIS2) |
| Włochy | ACN (Agenzia per la Cybersicurezza Nazionale) | ACN NIS Portal | 2027-02-28 | D.Lgs. 138/2024 |
| Austria | Bundesamt für Cybersicherheit | NIS2 Services (Unternehmensserviceportal) | 2027-01-04 | NISG 2026 (BGBl. I Nr. 94/2025); NISV 2026 (BGBl. II Nr. 290/2026) |
| Czechy | NÚKIB (Národní úřad pro kybernetickou a informační bezpečnost) | Portál NÚKIB | 2025-12-31 | Zákon č. 264/2025 Sb. o kybernetické bezpečnosti |
| Dania | SAMSIK (Styrelsen for Samfundssikkerhed) | Virk | 2025-10-01 | LOV nr 434 af 06/05/2025 (NIS 2-loven) |
| Holandia | NCSC-NL (since 1 Jan 2026 merged with DTC and CSIRT-DSP into "versterkt NCSC", SPOC + national CSIRT) + RDI (Rijksinspectie Digitale Infrastructuur, horizontal supervisor) | MijnNCSC / Entiteitenregister | 2026-08-15 | Cyberbeveiligingswet (Cbw), Stb. 2026, 187; Cyberbeveiligingsbesluit, Stb. 2026, 189 |
| Polska | Ministry of Digital Affairs / CSIRTs | System S46 | 2026-10-03 | Amended KSC Act (ustawa o KSC) |
| Szwecja | NCSC (Nationellt cybersäkerhetscenter, at the FRA) + CERT-SE | Jeszcze niedostępny | Do ustalenia | Cybersäkerhetslagen (SFS 2025:1506) |
| Chorwacja | NHCSC-HR (National Cybersecurity Center) | Jeszcze niedostępny | Do ustalenia | Zakon o kibernetičkoj sigurnosti |
| Litwa | NKSC (National Cybersecurity Center) | Jeszcze niedostępny | Do ustalenia | Kibernetinio saugumo įstatymas |
| Łotwa | NCSC (Nacionālais kiberdrošības centrs, Ministry of Defence) / CERT.LV | Jeszcze niedostępny | 2025-04-01 | Nacionālās kiberdrošības likums |
| Grecja | NCSA (National Cyber Security Authority) | NIS2 Register (Εγγραφή Οντοτήτων ν. 5160/2024) | 2025-09-30 | Law No. 5160/2024 |
| Słowacja | NBÚ (Národný bezpečnostný úrad) | NBÚ NIS2 portal (nis2.nbu.gov.sk) | Do ustalenia | Zákon o kybernetickej bezpečnosti |
| Rumunia | DNSC (Directoratul Național de Securitate Cibernetică) | NIS2@RO Platform | 2025-09-19 | Emergency Ordinance No. 155/2024; Laws No. 52/2025 & No. 124/2025 |
| Finlandia | Traficom + sector authorities (NCSC-FI as national CSIRT) | Jeszcze niedostępny | 2025-05-08 | Kyberturvallisuuslaki (124/2025) |
| Estonia | RIA (Riigi Infosüsteemi Amet) | Jeszcze niedostępny | 2026-03-31 | Küberturvalisuse seadus |
| Portugalia | CNCS (Centro Nacional de Cibersegurança) + CERT.PT | MyCiber | 2026-09-15 | Decreto-Lei n.º 125/2025 |
| Węgry | SZTFH (Szabályozott Tevékenységek Felügyeleti Hatósága) | Jeszcze niedostępny | Do ustalenia | Act LXIX of 2024 (Hungarian Cybersecurity Act) |
| Luksemburg | ILR (Institut Luxembourgeois de Régulation) | ILR Guichet (NISS_EE231) | 2026-07-10 | Loi du 5 mai 2026 relative à des mesures visant à assurer un niveau élevé de cybersécurité |
| Malta | CIPD (Critical Infrastructure Protection Department) | Jeszcze niedostępny | Do ustalenia | Legal Notice 71/2025, amended by Legal Notice 89/2026 (S.L. 460.41) |
| Słowenia | URSIV (Information Security Agency) | Jeszcze niedostępny | 2025-12-19 | ZInfV-1 (Information Security Act) |
| Kraj | Właściwy organ | Portal rejestracyjny | Termin rejestracji | Prawo krajowe |
|---|---|---|---|---|
| Francja | ANSSI (Agence nationale de la sécurité des systèmes d'information) | MonEspaceNIS2 | Do ustalenia | Loi Résilience (bundles NIS2 + DORA + CER) |
| Kraj | Właściwy organ | Portal rejestracyjny | Termin rejestracji | Prawo krajowe |
|---|---|---|---|---|
| Hiszpania | CCN-CERT / INCIBE | Jeszcze niedostępny | Do ustalenia | Jeszcze nieuchwalone |
| Bułgaria | Ministry of Innovation and Digital Transformation (formerly Ministry of e-Government) / State e-Government Agency | Jeszcze niedostępny | Do ustalenia | Cybersecurity Act (amended) |
| Cypr | DSA (Digital Security Authority) | NIS2 Self-Assessment Tool | Do ustalenia | Law on Security of Networks and Information Systems (Amendment) 2025 |
| Irlandia | NCSC (National Cyber Security Centre) | Jeszcze niedostępny | Do ustalenia | National Cyber Security Bill (draft) |
Które państwo jest właściwe dla Twojej firmy
Właściwe jest to państwo członkowskie UE, w którym Twoja firma ma siedzibę. Tam się rejestrujesz i tam zgłaszasz incydenty.
Dostawy do jakiegoś państwa nie czynią go właściwym. Spółka zależna w innym państwie UE ma tam siedzibę; stosuje się do niej prawo tego państwa.
Wyjątki dotyczą telekomunikacji, która podlega państwu, w którym świadczy usługi, oraz niektórych dostawców cyfrowych, takich jak chmura, centra danych i usługi zarządzane. Dla nich liczy się główna siedziba w UE: państwo, w którym głównie zapadają decyzje dotyczące cyberbezpieczeństwa.
Art. 26(1) i (2) NIS 2
Co jest wszędzie takie samo, a co nie
Minimalna lista środków bezpieczeństwa i terminy zgłoszeń, 24 godziny, 72 godziny i jeden miesiąc, są w samej dyrektywie. Każde państwo musi je przyjąć.
Różnią się organ, portal, termin rejestracji i niektóre szczegóły. Państwo może przyjąć surowsze przepisy.
Art. 5, 21 i 23 NIS 2
Co to oznacza przy 50 do 150 pracownikach
Jeśli Twoja firma ma siedzibę tylko w Niemczech, stosuje się do niej ustawa o BSI, nawet jeśli dostarcza do innych państw.
Jeśli ma spółki zależne w innych państwach UE, sprawdź dla każdej z nich, czy jest objęta prawem danego państwa. Przy wielkości liczą się przedsiębiorstwa powiązane i partnerskie według zalecenia 2003/361/WE.
Środki możesz wdrożyć wspólnie. Każda spółka musi się zarejestrować i zgłaszać we własnym państwie.
Przykład
Fikcyjna firma: producent techniki pomiarowej, 130 pracowników w Niemczech i spółka zależna ds. sprzedaży w Austrii z 12 pracownikami.
Produkcja wyrobów elektronicznych i optycznych jest wymieniona w załączniku 2 do BSIG. Niemiecka GmbH jest podmiotem ważnym i rejestruje się w BSI.
Spółka austriacka jest odrębną firmą. Czy jest objęta prawem austriackim, zależy od jej sektora i wielkości, z uwzględnieniem spółki matki.
Firma dostarcza z Niemiec do klientów we Francji i we Włoszech. Z tego powodu nie musi się tam rejestrować.
Jak robi to przewodnik
Przewodnik na nisd2.eu pyta, gdzie Twoja firma ma siedzibę, i na tej podstawie działa.
Krok rejestracji pokazuje właściwy organ dla Twojego państwa i jego portal.
Wyjaśnia, w którym państwie UE się rejestrujesz, z wyjątkami dla telekomunikacji i dostawców cyfrowych.
Środki bezpieczeństwa opierają się na minimalnej liście z dyrektywy, która obowiązuje w każdym państwie UE.
Wyjaśnienia w przewodniku są dostępne po niemiecku i po angielsku.
Częste pytania
Które państwa przeniosły NIS2 do swojego prawa?
Ustawa krajowa obowiązuje w 24 z 27 państw UE. Nadal bez ustawy: Francja, Hiszpania i Irlandia. Tabele powyżej pokazują ustawę, organ, portal i termin każdego państwa.
Czy muszę się rejestrować w każdym państwie, do którego dostarczam?
Nie. Właściwe jest państwo, w którym Twoja firma ma siedzibę (Art. 26(1) NIS 2). Spółka zależna w innym państwie rejestruje się tam, jeśli jest tam objęta przepisami.
Czy istnieje rejestr dla całej UE?
Nie. Każde państwo prowadzi własny. Dla niektórych dostawców cyfrowych, takich jak chmura i centra danych, ENISA prowadzi dodatkowo rejestr (Art. 27 NIS 2).
Co obowiązuje w państwie, które jeszcze nie przeniosło NIS2 do swojego prawa?
Dyrektywa jest skierowana do państw członkowskich. Obowiązki dla firm powstają dopiero z ustawą krajową. Do tego czasu mogą tam nadal obowiązywać starsze przepisy z pierwszej dyrektywy NIS.
Źródła
- Dyrektywa (UE) 2022/2555 (NIS 2), Art. 5, 21, 23, 26, 27 i 41, EUR-Lex
- Zalecenie Komisji 2003/361/WE, EUR-Lex
- Ustawy, organy i portale w poszczególnych państwach: informacje samych organów krajowych, podlinkowane w tabelach
W praktyce
Co zmienia prawo krajowe, a czego nie
Prawo krajowe określa między innymi, gdzie się rejestrujesz i komu zgłaszasz incydenty. Same środki wychodzą w każdym państwie członkowskim z tej samej minimalnej listy (art. 21 NIS 2). Przewodnik prowadzi przez nie krok po kroku:
Sam przewodnik jest po niemiecku i po angielsku.
Risk Management
Write down what your company has
A list of the processes, software and devices you work with.
Incident Handling
Plan what happens in an incident
Who decides, whom you call, how you reach each other.
Effectiveness Assessment
Record the management review
Management checks whether the measures work and approves your documents.
Ile kosztuje przewodnik
4800 € netto rocznie, plus VAT
30 dni na zwrot pieniędzyNa fakturę, płatną w 30 dni. Rezygnacja w ciągu pierwszych 30 dni: faktura zostaje anulowana albo zwracamy pieniądze.
Wdrożenie NIS 2 z przewodnikiem, krok po kroku
Historia zmian i zatwierdzeń do pokazania organowi nadzoru
Terminy i przypomnienia dla każdego wymagania
Kwestionariusz bezpieczeństwa dla Twoich dostawców
Eksport do PDF lub CSV w dowolnym momencie
Masz zająć się NIS2?
Prowadzimy Cię krok po kroku. Ty wypełniasz, my wyjaśniamy każdy punkt prostymi słowami, a na końcu podpisuje kierownictwo.
