Do 3 kwietnia 2027 r. podmioty kluczowe i ważne, które spełniały kryteria ustawy o krajowym systemie cyberbezpieczeństwa (KSC) już 3 kwietnia 2026 r., powinny co do zasady wdrożyć obowiązki wynikające z nowych przepisów związanych z dyrektywą NIS2. Obejmują one m.in. system zarządzania bezpieczeństwem informacji (SZBI), zarządzanie ryzykiem cyberbezpieczeństwa, bezpieczeństwo łańcucha dostaw, zgłaszanie incydentów oraz szkolenia kierownictwa. Jakie działania należy podjąć, jakie terminy obowiązują podmioty kluczowe i ważne oraz jakie sankcje grożą za naruszenie przepisów KSC? Sprawdź harmonogram, zasady audytu i listę kontrolną obowiązków. Pamiętaj, że termin 3 kwietnia 2027 r. nie dotyczy automatycznie wszystkich podmiotów – zależy od daty spełnienia ustawowych przesłanek lub właściwej decyzji.
Korzyści
- Kogo obowiązuje termin 3 kwietnia 2027 r. i jakie są najważniejsze terminy NIS2 i KSC? Podmioty kluczowe i ważne, które spełniały ustawowe przesłanki 3 kwietnia 2026 r., powinny co do zasady wdrożyć obowiązki KSC do 3 kwietnia 2027 r. Termin wpisu do wykazu upływał 3 października 2026 r., a pierwszy audyt podmiotu kluczowego należy przeprowadzić do 3 kwietnia 2028 r. Dla pozostałych podmiotów terminy ustala się indywidualnie.
- Jakie obowiązki dotyczące systemu zarządzania bezpieczeństwem informacji (SZBI) wynikają z NIS2 i KSC? Podmioty kluczowe i ważne muszą wdrożyć i utrzymywać SZBI, obejmujący m.in. zarządzanie ryzykiem, bezpieczeństwo łańcucha dostaw ICT, ciągłość działania i reagowanie na incydenty. Wymagane są także procedury zgłaszania incydentów poważnych w terminach 24 i 72 godzin, wyznaczenie osób kontaktowych oraz coroczne szkolenia kierownictwa. Dla niektórych podmiotów obowiązują szczególne wymagania.
- Jakie audyty, kontrole i kary przewiduje ustawa o KSC? Podmioty kluczowe podlegają obowiązkowym audytom cyberbezpieczeństwa, a podmioty ważne mogą zostać zobowiązane do audytu zewnętrznego. Za naruszenie obowiązków KSC grożą kary do 10 mln euro lub 2% przychodów dla podmiotów kluczowych oraz do 7 mln euro lub 1,4% przychodów dla podmiotów ważnych – zależnie od tego, która wartość jest wyższa. Odpowiedzialność finansową może ponosić także kierownik podmiotu.
Sprawdź również:
Wykaz KSC: samorejestracja podmiotów kluczowych i ważnych do 3 października 2026 r. – kto musi złożyć wniosek i jak to zrobić
15 pytań i odpowiedzi na temat NIS 2 – cyberbezpieczeństwo w praktyce
Lista kontrolna: Obowiązki zgłoszeniowe z perspektywy RODO i przepisów o Krajowym Systemie Cyberbezpieczeństwa
Lista sprawdzająca: podstawowe obowiązki kierownika PKW wynikające z ustawy o krajowym systemie cyberbezpieczeństwa w brzmieniu obowiązującym od 3 kwietnia 2026 r.
Webinar: NIS2 w praktyce: minimalne wymogi mimo zwolnienia
Pozostało jeszcze 87% treści
Aby zobaczyć cały artykuł, zaloguj się lub zamów dostęp.
Gotowe wzory dokumentów
– edytowalne, aktualne i zgodne z RODO- Listy kontrolne zgodności
– szybka weryfikacja poziomu dostosowania do RODO - Pełna baza porad 24/7
– stały dostęp do aktualnych i rzetelnych materiałów
Nie masz konta?
Kup dostęp jednorazowy do tego materiału.
Wyślij SMS o treści: WPR na numer 91968.
Otrzymasz kod dostępu - wpisz go poniżej.
Koszt: 49.08 zł brutto (39.9 zł netto)
Regulamin usługi SMS.
Autor: Marcin Sarna
Radca prawny, ekspert z zakresu ochrony danych osobowych. Specjalizuje się również w kompleksowej obsłudze prawnej podmiotów gospodarczych, w szczególności świadcząc pomoc prawną dla producentów maszyn i urządzeń, przedsiębiorców funkcjonujących w branży usługowej i w sektorze energetycznym.
