Czy moja firma podlega NIS2 w Polsce?

Podlegasz, gdy spelniasz oba warunki lacznie: dzialasz w sektorze objetym ustawa o krajowym systemie cyberbezpieczenstwa (Dz.U. 2026 poz. 252) i jestes co najmniej srednim przedsiebiorca (orientacyjnie od 50 pracownikow albo powyzej 10 mln EUR obrotu). Dla czesci podmiotow, np. krytycznej infrastruktury cyfrowej, prog wielkosci nie ma znaczenia.

Jaka jest roznica miedzy podmiotem kluczowym a waznym?

Status wynika z sektora i wielkosci. Roznica dotyczy glownie intensywnosci nadzoru i sankcji, a nie samego obowiazku posiadania srodkow bezpieczenstwa — te obowiazuja obie kategorie.

Od ilu pracownikow obowiazuje NIS2?

Co do zasady od poziomu sredniego przedsiebiorstwa, czyli orientacyjnie od 50 pracownikow lub powyzej 10 mln EUR obrotu albo sumy bilansowej. Niektore podmioty sa objete niezaleznie od wielkosci.

Wiedza / Zgodność

Czy moja firma podlega NIS2 i ustawie o KSC?

Aktualizacja: wrzesień 2026 · czas czytania ok. 6 min

Krótka odpowiedź: jeśli działasz w jednym z sektorów wymienionych w ustawie i jesteś co najmniej średnim przedsiębiorstwem, najprawdopodobniej podlegasz jako podmiot kluczowy albo ważny. Ostateczną klasyfikację i wpis do wykazu rozstrzyga organ właściwy, ale kryteria można sprawdzić samodzielnie w kilka minut.

Dwa warunki, które trzeba spełnić łącznie

Ustawa o krajowym systemie cyberbezpieczeństwa (Dz.U. 2026 poz. 252), która wdraża w Polsce dyrektywę NIS2 i obowiązuje od 3 kwietnia 2026 r., obejmuje podmiot, gdy spełnia oba poniższe warunki:


Warunek	Na czym polega
Sektor	Działalność w jednym z sektorów objętych ustawą (energia, transport, bankowość, ochrona zdrowia, woda, infrastruktura cyfrowa, zarządzanie usługami ICT, administracja publiczna i kolejne — oraz sektory „ważne": m.in. produkcja, chemia, żywność, gospodarka odpadami, usługi cyfrowe).
Wielkość	Co do zasady średni przedsiębiorca lub większy — orientacyjnie od 50 pracowników albo powyżej 10 mln EUR obrotu/sumy bilansowej. Dla części podmiotów (np. krytyczna infrastruktura cyfrowa, administracja) próg wielkości nie ma znaczenia.

Sektor decyduje, czy jesteś podmiotem kluczowym, czy ważnym. Różnica dotyczy głównie intensywności nadzoru i sankcji, nie samego obowiązku posiadania środków bezpieczeństwa.

Zasada praktyczna. „Sektor z załącznika + rozmiar co najmniej średni = podlegasz". Wyjątki działają w jedną stronę: niektóre podmioty są objęte niezależnie od wielkości. Jeśli jesteś na granicy, potraktuj to jako sygnał do sprawdzenia, a nie do odłożenia tematu.

Podlegam — i co dalej

Objęcie ustawą oznacza obowiązek wdrożenia środków zarządzania ryzykiem, zgłaszania poważnych incydentów oraz — co bywa zaskoczeniem — edukacji personelu i szkolenia kierownictwa. Obowiązek szkoleniowy opisujemy osobno w tekście o obowiązku szkoleń w ustawie o KSC, a to, czym grozi jego brak — w tekście o karach.

Nie jestem pewien klasyfikacji

Granica bywa niejednoznaczna: spółki z grup kapitałowych, dostawcy usług dla podmiotów objętych, firmy działające w kilku sektorach. W razie wątpliwości klasyfikację potwierdza organ właściwy dla danego sektora. Niezależnie od formalnego statusu, wymagane środki — szkolenia, cyberhigiena, testy, plan reagowania — to dziś minimum higieny, a nie wyłącznie wymóg papierowy. Jeśli chcesz przejść to konkretnie dla swojej firmy, napisz do nas — pomożemy ustalić zakres.

Ten tekst ma charakter informacyjny i nie jest opinią prawną. Ostateczna kwalifikacja podmiotu wynika z ustawy i decyzji organu właściwego.