NIS2 i odpowiedzialność zarządu. To już nie jest sprawa działu IT
Przez lata często słyszałem od właścicieli lub zarządów firm to samo zdanie: „cyberbezpieczeństwo? To sprawa informatyka”, „Teraz mamy inne priorytety”, „Nie ma na to pieniędzy”… itp. Kończyło się różnie, ale nie o tym chcę dziś napisać.
Po zmianie ustawy o krajowym systemie cyberbezpieczeństwa (KSC) ciężar odpowiedzialności znacznie bardziej może dotknąć właśnie zarząd. Nowelizacja wdrażająca dyrektywę NIS2 weszła w życie na początku kwietnia 2026 r., a przepisy przesuwają odpowiedzialność za cyberbezpieczeństwo na poziom kierownictwa. Co istotne, przekazanie zadań działowi IT, CISO lub firmie zewnętrznej nie zwalnia kierownictwa z odpowiedzialności. dyrektywa nis2 +2
Mówię to wprost: mnie to nie dziwi, tylko cieszy. Wreszcie ktoś nazwał rzecz po imieniu. Bezpieczeństwo firmy to decyzja zarządu, tak jak budżet czy strategia.
Czy to dotyczy mojej firmy?
Nie każdej. Przepisy obejmują podmioty z określonych sektorów i o określonej wielkości, nazywane kluczowymi i ważnymi. Pierwszy krok to sprawdzić, czy Twoja organizacja się w nich mieści. Pierwsze obowiązki przedsiębiorcy miały zostać spełnione do 3 października 2026 r., więc jeśli jeszcze tego nie zrobiłeś, to dobry moment, żeby zacząć dziś. infor
Pięć pytań, które zadałbym na najbliższym posiedzeniu zarządu
- Czy wiemy, czy podlegamy NIS2, i kto to ustalił na piśmie?
- Kto w firmie jest właścicielem ryzyka cyberbezpieczeństwa i czy zarząd dostaje od niego regularny raport?
- Czy zarząd zatwierdził środki zarządzania ryzykiem, czy tylko „przyjął do wiadomości”?
- Czy wiemy, jak zgłosić incydent, w jakim czasie i kto o tym decyduje, także w czasie urlopów?
- Co z naszymi dostawcami? Nowe przepisy rozszerzają odpowiedzialność także na relacje z dostawcami usług i technologii. pit
Od czego zacząłbym w 30 dni
- Ustalić, czy firma podlega przepisom, i zapisać decyzję.
- Wyznaczyć osobę odpowiedzialną za ryzyko cyber i ustalić rytm raportowania do zarządu.
- Opisać procedurę zgłaszania incydentów (jeśli macie już ją dla RODO, to dobry punkt wyjścia).
- Zrobić listę kluczowych dostawców IT.
- Zaplanować krótkie szkolenie dla zarządu, bo wiedza członków zarządu to też element nadzoru.
Dlaczego to nie jest tylko obowiązek
Firma, która raz uporządkuje, kto za co odpowiada przy incydencie, łatwiej wdraża kolejne rzeczy: procedury, zasady korzystania z AI, onboarding. Widziałem to wielokrotnie. Incydenty się zdarzają i będą się zdarzały coraz częściej. Pytanie najważniejsze: Czy wiemy co robić kiedy się zdarzą?
Najczęstsze pytania
Czy odpowiada tylko firma, czy także prezes? Źródła wskazują, że ustawa przewiduje odpowiedzialność zarówno podmiotu, jak i jego kierownika. Szczegóły zawsze zależą od sytuacji, dlatego warto je omówić z prawnikiem. pit
Czy mała firma też musi się przejmować? Zależy od sektora i wielkości. Pierwszy krok to sprawdzenie, czy firma wchodzi w zakres przepisów.
Od czego zacząć? Od rozmowy zarządu o ryzyku, nie od zakupu narzędzi.
Stan prawny na 26 października 2026 r. Artykuł ma charakter informacyjny i nie stanowi porady prawnej.