Implementacja dyrektywy NIS2 w Polsce jest powiązana z nowelizacją Ustawy o Krajowym Systemie Cyberbezpieczeństwa. Projekt trafił do Sejmu 7 listopada 2025 r., a przepisy mają miesięczne vacatio legis i 6-miesięczny okres dostosowawczy po wdrożeniu zmian .
Dyrektywa odchodzi od dawnych pojęć „operatorów usług kluczowych” i „dostawców usług cyfrowych”. Zastępują je dwa nowe typy podmiotów:
Różnice dotyczą jedynie nadzoru — obowiązki są identyczne dla obu grup .
Podmioty kluczowe – przykłady sektorów
m.in. infrastruktura cyfrowa, data center, dostawcy DNS, energia, transport, woda, administracja publiczna .
Podmioty ważne – przykłady
m.in. platformy e-commerce, wyszukiwarki, logistyka, producenci, usługi pocztowe, badawcze, gospodarowanie odpadami .
Dla polskiego rynku hostingowego oznacza to jedno: większość profesjonalnych usługodawców IT, SaaS, MSP i e-commerce wchodzi w zakres NIS2 — i to niezależnie od tego, czy przechowują dane na własnej infrastrukturze, czy korzystają z podwykonawców.
NIS2 wprowadza konieczność wdrożenia systemu zarządzania bezpieczeństwem informacji w całej organizacji, a nie tylko w jednym systemie informatycznym .
Kluczowe elementy tego systemu obejmują m.in.:
Regularne identyfikowanie zagrożeń i podejmowanie działań minimalizujących ryzyko .
Dokumentacja nie jest papierologią — musi realnie działać i być stosowana.
Dotyczy usług, bibliotek open-source, podwykonawców, SOC, infrastruktury firm trzecich i wymaga ich oceny pod kątem ryzyka .
To oznacza, że hosting, DNS, software house’y czy dostawcy chmurowi również stają się elementem łańcucha odpowiedzialności klientów.
Uwierzytelnianie wieloskładnikowe i stałe monitorowanie incydentów to obowiązek, nie opcja .
Nie wystarczy „czekać na zgłoszenie od klienta”.
Nowa ustawa przewiduje trzyetapowy proces notyfikacji incydentów:
| Etap | Termin | Adresat |
|---|---|---|
|
Wczesne ostrzeżenie |
24h (12h dla telekomów) |
CSIRT sektorowy |
|
Zgłoszenie właściwe |
72h |
CSIRT właściwy |
|
Sprawozdanie końcowe |
1 miesiąc |
CSIRT |
Obowiązek dotyczy incydentów, które poważnie wpływają na ciągłość świadczenia usług lub mogą wywołać straty finansowe .
I tu robi się poważnie.
Dyrektywa promuje również techniki ograniczające ryzyko odpowiedzialności, m.in. anonimizację logów i danych przy analizie incydentów oraz wymianie informacji o zagrożeniach .
Twoja strona ma fajne treści? Zrobiłeś audyt SEO? Inwestujesz w link building, content, kampanie? A jednak nic się nie rusza.
🌥️ Wstęp — o co toczy się gra Coraz częściej słyszysz, że „chmura” to już nie tylko domena gigantów zza oceanu. W Polsce powstają inicjatywy, które mają budować krajową, suwerenną infrastrukturę chmurową — dla firm, administracji, sektora publicznego. Czy to oznacza, że mamy prawdziwą polską chmurę? Czy jednak wiele z tego to marketing? Jeśli myślisz …
Na większości rynków domenowych w Europie transfer domeny to proces trwający… sekundy. Wchodzisz do panelu, wygenerujesz kod auth-code, wklejasz go u nowego rejestratora i gotowe. Bez absurdów. Bez papierów. Bez błagania supportu. Bez pytań „a dlaczego Pan chce odejść?”.
Od 2025 r. polski rynek cyfrowy funkcjonuje już w realiach dyrektywy NIS 2. To najpoważniejsza od lat reforma prawa dotyczącego cyberbezpieczeństwa, a jej skutki odczuje nie tylko administracja, ale również firmy z sektora hostingowego, data center, usług ICT, platform e-commerce, a nawet producenci czy podmioty przetwarzające dane. Zmiany nie są kosmetyczne — to nowa architektura …
