Nowe przepisy obowiązują od 3 kwietnia 2026 r. i obejmują tzw. podmioty kluczowe oraz podmioty ważne.

Przedsiębiorcy powinni przede wszystkim zweryfikować, czy ich działalność znajduje się w sektorach objętych regulacją oraz czy spełniają określone w ustawie kryteria. Obowiązek może dotyczyć m.in. firm działających w sektorach energii, transportu, ochrony zdrowia, infrastruktury cyfrowej, gospodarki odpadami czy produkcji określonych grup wyrobów. To przedsiębiorca powinien dokonać samoidentyfikacji i ustalić, czy podlega nowym przepisom.

Dla podmiotów, które spełniały kryteria w dniu wejścia w życie nowelizacji i nie zostały wpisane z urzędu, jednym z najważniejszych terminów jest 3 października 2026 r. – do tego dnia należy dokonać wpisu do Wykazu KSC. Rejestracja odbywa się elektronicznie.

Na samym wpisie obowiązki się jednak nie kończą. Podmioty objęte regulacją będą musiały m.in. wdrożyć System Zarządzania Bezpieczeństwem Informacji (SZBI), odpowiednio zarządzać ryzykiem i incydentami, stosować środki techniczne i organizacyjne chroniące systemy oraz zgłaszać incydenty do właściwych zespołów CSIRT. Przepisy przewidują również m.in. wymagania dotyczące cyberhigieny, szkoleń personelu, kontroli dostępu, zarządzania aktywami, aktualizacji oprogramowania czy – w stosownych przypadkach – uwierzytelniania wieloskładnikowego.

Co powinien zrobić przedsiębiorca? W pierwszej kolejności sprawdzić, czy jego firma podlega ustawie i czy powinna znaleźć się w Wykazie KSC. Następnie warto przeprowadzić analizę obecnego poziomu zabezpieczeń oraz zaplanować dostosowanie procedur, dokumentacji i systemów IT do nowych wymagań. Termin na wdrożenie zasadniczych obowiązków wynikających z nowych przepisów upływa 3 kwietnia 2027 r.

Na Biznes.gov.pl dostępna jest usługa pre-weryfikacji zgodności z wymaganiami NIS2, która może pomóc przedsiębiorcom w ustaleniu, czy nowe obowiązki dotyczą ich działalności.

‍