--- id: CP-366 slug: dyrektywa-nis-2 lang: pl title: Dyrektywa NIS 2 description: Czego dyrektywa NIS 2 wymaga od organizacji i ich kadry kierowniczej, co zmienia dla każdego pracownika i na jakim etapie jest ustawa we Francji. canonical_url: https://startbrain.io/cyberpedia/pl/articles/dyrektywa-nis-2/ markdown_url: https://startbrain.io/cyberpedia/pl/articles/dyrektywa-nis-2.md publisher: Brain (https://startbrain.io) license: CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/) cite_as: Brain, „Dyrektywa NIS 2”, Cyberpedia, 2026. https://startbrain.io/cyberpedia/pl/articles/dyrektywa-nis-2/ (CC BY 4.0) wing: 6 theme: report_incidents reflex: cr-017 schema: G3 updated: "2026-10-26" translations: pl: https://startbrain.io/cyberpedia/pl/articles/dyrektywa-nis-2/ fr: https://startbrain.io/cyberpedia/fr/articles/directive-nis-2/ en: https://startbrain.io/cyberpedia/en/articles/directive-nis-2/ de: https://startbrain.io/cyberpedia/de/articles/richtlinie-nis-2/ es: https://startbrain.io/cyberpedia/es/articles/directiva-nis-2/ it: https://startbrain.io/cyberpedia/it/articles/direttiva-nis-2/ nl: https://startbrain.io/cyberpedia/nl/articles/richtlijn-nis-2/ pt: https://startbrain.io/cyberpedia/pt/articles/diretiva-nis-2/ sources: - "n": 1 title: Directive (UE) 2022/2555 du Parlement européen et du Conseil du 14 décembre 2022 concernant des mesures destinées à assurer un niveau élevé commun de cybersécurité dans l'ensemble de l'Union, modifiant le règlement (UE) n° 910/2014 et la directive (UE) 2018/1972, et abrogeant la directive (UE) 2016/1148 (directive SRI 2) publisher: EUR-Lex, Journal officiel de l'Union européenne url: https://eur-lex.europa.eu/eli/dir/2022/2555/oj?locale=fr published: "2022-12-27" accessed: "2026-10-26" - "n": 2 title: NIS 2 | MesServicesCyber publisher: ANSSI url: https://messervices.cyber.gouv.fr/nis2 accessed: "2026-10-26" - "n": 3 title: SME definition publisher: Commission européenne url: https://single-market-economy.ec.europa.eu/smes/sme-fundamentals/sme-definition_en accessed: "2026-10-26" - "n": 4 title: "Violations de données personnelles : les règles à suivre" publisher: CNIL url: https://www.cnil.fr/fr/violations-de-donnees-personnelles-les-regles-suivre published: "2018-06-19" accessed: "2026-10-26" - "n": 5 title: Commission refers Ireland, Spain, France and the Netherlands to the Court of Justice for failing to transpose the rules on cybersecurity publisher: Commission européenne url: https://digital-strategy.ec.europa.eu/en/news/commission-refers-ireland-spain-france-and-netherlands-court-justice-failing-transpose-rules published: "2026-07-08" accessed: "2026-10-26" - "n": 6 title: Résilience des infrastructures critiques et renforcement de la cybersécurité publisher: Sénat url: https://www.senat.fr/leg/pjl24-033.html published: "2024-10-15" accessed: "2026-10-26" - "n": 7 title: "Projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité : dossier législatif" publisher: Assemblée nationale url: https://www.assemblee-nationale.fr/dyn/17/dossiers/DLR5L17N50731 accessed: "2026-10-26" - "n": 8 title: Réunion du mardi 22 septembre 2026 publisher: Assemblée nationale, Conférence des présidents (relevé de conclusions) url: https://www2.assemblee-nationale.fr/17/la-conference-des-presidents/releve-de-conclusions/reunion-du-mardi-22-septembre-2026 published: "2026-09-22" accessed: "2026-10-26" - "n": 9 title: Réunion du mardi 6 octobre 2026 publisher: Assemblée nationale, Conférence des présidents (relevé de conclusions) url: https://www2.assemblee-nationale.fr/17/la-conference-des-presidents/releve-de-conclusions/reunion-du-mardi-6-octobre-2026 published: "2026-10-06" accessed: "2026-10-26" --- # Dyrektywa NIS 2 NIS 2 to dyrektywa (UE) 2022/2555, przyjęta 14 grudnia 2022 r., która ustanawia wspólny poziom cyberbezpieczeństwa w Unii Europejskiej dla organizacji, których usługi mają znaczenie dla gospodarki i społeczeństwa. Zastępuje pierwszą dyrektywę NIS z 2016 r. [1]. We Francji ANSSI wskazuje, że objętych nią zostanie kilka tysięcy podmiotów z 18 sektorów działalności: głównie średnie i duże przedsiębiorstwa, jednostki samorządu terytorialnego i administracja [2]. Dyrektywa wymaga od państw, by nałożyły na te organizacje środki bezpieczeństwa oraz krótkie terminy zgłaszania poważnych incydentów, a ich kierownictwo uczyniły odpowiedzialnym za wdrożenie [1]. Według Komisji Europejskiej większość państw członkowskich przeniosła ją do swojego prawa [5]. Francja należy do czterech państw, które Komisja skierowała do Trybunału Sprawiedliwości Unii Europejskiej 8 lipca 2026 r. z powodu niepełnego wdrożenia dyrektywy [5]. ## W 30 sekund - Kogo dotyczy: przedsiębiorstw i administracji z 18 objętych sektorów, w tym energii, transportu, zdrowia, wody, sektora cyfrowego i części przemysłu, zasadniczo od wielkości średniego przedsiębiorstwa. - Co to zmienia dla Pana/Pani: we Francji, od wejścia w życie ustawy wdrażającej, surowsze zasady bezpieczeństwa w pracy, szkolenia oraz pierwsze ostrzeżenie do wysłania w ciągu 24 godzin po poważnym incydencie. - Odruch: proszę zgłaszać każdy incydent bezpieczeństwa zespołowi ds. cyberbezpieczeństwa, gdy tylko Pan/Pani go zauważy, nawet jeśli ma Pan/Pani wątpliwości co do jego wagi. - Jeśli to już się stało: kliknął(-ęła) Pan/Pani podejrzany link, zgubił(a) urządzenie albo kilka dni temu zauważył(a) coś nietypowego i nikomu o tym nie powiedział(a)? Proszę zgłosić to teraz, informacja nadal jest przydatna. ## Pytania wprost ### Czy moja firma jest objęta dyrektywą? Liczą się dwa kryteria: sektor i wielkość. Dyrektywa obejmuje podmioty z sektorów wymienionych w jej załącznikach I i II, które są co najmniej średnimi przedsiębiorstwami, oraz niektóre podmioty bez względu na wielkość, takie jak dostawcy usług DNS lub dostawcy usług zaufania [1]. Według europejskiej definicji przedsiębiorstwo przestaje być małe od 50 pracowników albo gdy jego obrót i suma bilansowa przekraczają po 10 milionów euro [3]. Progi te dotyczą samego przedsiębiorstwa, ale przedsiębiorstwo należące do grupy może być zobowiązane doliczyć także zatrudnienie i dane liczbowe tej grupy [3]. W rozumieniu dyrektywy duże przedsiębiorstwa z sektorów załącznika I są co do zasady „podmiotami kluczowymi”, większość pozostałych to „podmioty ważne”, a maksymalne kary różnią się między tymi kategoriami [1]. ### Czy jako pracownik ryzykuję karę? Kary przewidziane w dyrektywie dotyczą podmiotów i ich kierownictwa [1]. Na co dzień dotkną Pana/Panią wewnętrzne zasady, które pracodawca wprowadzi, by dostosować się do przepisów, takie jak szkolenie, uwierzytelnianie dwuskładnikowe czy procedura zgłaszania. ### Czy Francja wdrożyła NIS 2? Jeszcze nie, według stanu na dzień aktualizacji tego artykułu. ANSSI wskazuje, że wdrażanie trwa [2], a projekt ustawy, który to wdraża, przyjęty przez Senat, nie był jeszcze rozpatrywany na posiedzeniu plenarnym Zgromadzenia Narodowego [7]. ## Co się zmienia dla pracowników Dla pracownika NIS 2 oznacza przede wszystkim wyraźniejsze zasady wewnętrzne, we Francji od wejścia w życie ustawy wdrażającej. Artykuł 21 wymaga, by każdy objęty podmiot przyjął minimalny wykaz środków, w tym podstawowe praktyki cyberhigieny, szkolenia z cyberbezpieczeństwa, polityki kontroli dostępu oraz, stosownie do potrzeb, uwierzytelnianie wieloskładnikowe [1]. Artykuł 20 wymaga też od państw, by zachęcały podmioty do regularnego szkolenia personelu, tak aby każdy umiał rozpoznawać zagrożenia i oceniać praktyki bezpieczeństwa [1]. Najbardziej od Pana/Pani zależy zgłaszanie incydentów. Dyrektywa wymaga, by podmiot wysłał wczesne ostrzeżenie do CSIRT lub właściwego organu w ciągu 24 godzin od uzyskania wiedzy o incydencie poważnym, następnie powiadomienie o incydencie w ciągu 72 godzin i sprawozdanie końcowe w ciągu miesiąca po nim [1]. Terminy te tracą sens, jeśli informacja utknie po drodze. Podejrzany e-mail otwarty w poniedziałek i zgłoszony w czwartek to trzy dni, w których atakujący mógł działać, a nikt go nie szukał. W rozumieniu dyrektywy incydent jest „poważny”, jeśli powoduje lub może powodować poważne zakłócenie usług bądź straty finansowe dla podmiotu albo znaczne szkody dla innych osób [1]. Ocena należy do zespołu bezpieczeństwa; Pana/Pani rola to zgłosić. Jeśli incydent dotyczy danych osobowych, RODO dodaje własny obowiązek: zgłoszenie do CNIL najpóźniej 72 godziny po naruszeniu, które stwarza ryzyko dla osób [4]. Artykuł o RODO opisuje tę procedurę szczegółowo. W programie Brain to działanie odpowiada odruchowi „Zgłaszać każdy incydent bezpieczeństwa zespołowi ds. cyberbezpieczeństwa”. Proszę zgłaszać także własne błędy, na przykład nieszczęśliwe kliknięcie: bez Pana/Pani zgłoszenia zespół bezpieczeństwa może nigdy nie dowiedzieć się, że atak się rozpoczął. Artykuł o kulturze karania wyjaśnia, dlaczego obawa przed karą skłania do ukrywania incydentów. ## Co się zmienia dla zarządu NIS 2 przenosi cyberbezpieczeństwo na poziom organów zarządzających. Dyrektywa wymaga, by zatwierdzały środki zarządzania ryzykiem i nadzorowały ich wdrożenie, by mogły ponosić odpowiedzialność, jeśli podmiot naruszy te obowiązki, oraz by ich członkowie przechodzili szkolenia [1]. We Francji obowiązki te będą miały zastosowanie od wejścia w życie ustawy wdrażającej. Państwa muszą przewidzieć kary pieniężne w maksymalnej wysokości co najmniej 10 milionów euro lub 2% całkowitego rocznego obrotu światowego, przy czym stosuje się kwotę wyższą, gdy podmiot kluczowy narusza obowiązki w zakresie bezpieczeństwa lub zgłaszania. W przypadku podmiotu ważnego górna granica wynosi co najmniej 7 milionów euro lub 1,4% [1]. W podmiocie kluczowym, który nie usuwa uchybień mimo nakazów organu, dyrektywa pozwala też temu organowi zażądać, by osobie pełniącej funkcje kierownicze, na poziomie dyrektora generalnego lub przedstawiciela prawnego, czasowo zakazano pełnienia tych funkcji w podmiocie [1]. Bezpieczeństwo łańcucha dostaw należy do środków wymaganych przez dyrektywę, w tym relacje z bezpośrednimi dostawcami i usługodawcami [1]: poświęcony mu jest artykuł o ocenie ryzyka dostawcy. Aby pomóc organizacjom, ANSSI opublikowała roboczą wersję swojego Référentiel Cyber France (ReCyF), która wylicza środki zalecane do osiągnięcia celów bezpieczeństwa NIS 2 [2]. Ćwiczenie kryzysowe przy stole pozwala sprawdzić jeszcze przed prawdziwym incydentem, że ostrzeżenie może wyjść w mniej niż 24 godziny. ## Co mówi tekst Dyrektywa została opublikowana w Dzienniku Urzędowym Unii Europejskiej 27 grudnia 2022 r. Państwa miały ją wdrożyć najpóźniej do 17 października 2024 r. i stosować od 18 października 2024 r., czyli od dnia, w którym uchylono dyrektywę NIS z 2016 r. [1]. Miały też sporządzić wykaz swoich podmiotów kluczowych i ważnych najpóźniej do 17 kwietnia 2025 r. [1]. Artykuł 21 ustala minimalny wykaz środków, oparty na podejściu „uwzględniającym wszystkie zagrożenia” [1]: - analiza ryzyka i polityki bezpieczeństwa systemów informacyjnych; - obsługa incydentów; - ciągłość działania, kopie zapasowe i zarządzanie kryzysowe; - bezpieczeństwo łańcucha dostaw; - bezpieczeństwo przy nabywaniu, rozwijaniu i utrzymaniu sieci i systemów informacyjnych, w tym postępowanie z podatnościami i ich ujawnianie; - ocena skuteczności środków; - podstawowa cyberhigiena i szkolenia z cyberbezpieczeństwa; - kryptografia oraz, w stosownych przypadkach, szyfrowanie; - bezpieczeństwo zasobów ludzkich, kontrola dostępu i zarządzanie aktywami; - uwierzytelnianie wieloskładnikowe i bezpieczna komunikacja, stosownie do potrzeb. Artykuł 23 ustala harmonogram zgłaszania incydentu poważnego [1]: ```text Terminy liczone od chwili, w której podmiot uzyskał wiedzę o incydencie poważnym 24 godziny wczesne ostrzeżenie do CSIRT lub właściwego organu 72 godziny powiadomienie o incydencie, z wstępną oceną wagi i skutków na żądanie sprawozdanie okresowe 1 miesiąc sprawozdanie końcowe, liczone od powiadomienia o incydencie ``` ## Stan wdrożenia Komisja Europejska wysłała wezwania do usunięcia uchybień 28 listopada 2024 r., a następnie uzasadnione opinie 7 maja 2025 r. 8 lipca 2026 r. skierowała sprawę do Trybunału Sprawiedliwości Unii Europejskiej przeciwko Irlandii, Hiszpanii, Francji i Holandii, wnosząc o ryczałt oraz dzienne kary pieniężne do czasu pełnego wdrożenia [5]. We Francji wdrożenie odbywa się przez projekt ustawy o odporności infrastruktury krytycznej i wzmocnieniu cyberbezpieczeństwa. W wersji złożonej jego tytuł II, poświęcony cyberbezpieczeństwu, odsyła do dyrektywy (UE) 2022/2555 i określa podmioty kluczowe i ważne, na przykład z progiem co najmniej 50 pracowników dla podmiotu ważnego [6]. Rząd złożył go w Senacie 15 października 2024 r. w trybie przyspieszonym, a Senat przyjął go 12 marca 2025 r. Komisja specjalna Zgromadzenia Narodowego złożyła swój tekst 10 września 2025 r. [7]. Konferencja Przewodniczących Zgromadzenia wpisała projekt na posiedzenia 7 i 9 października 2026 r. [8], a następnie 6 października 2026 r. go z nich wycofała, nie wyznaczając nowej daty [9]. Według stanu na dzień sprawdzenia akta legislacyjne nie wspominają o żadnym rozpatrzeniu na posiedzeniu plenarnym Zgromadzenia [7]. Tymczasem ANSSI zachęca przyszłe podmioty kluczowe i ważne, by już teraz podniosły poziom bezpieczeństwa, i zaznacza, że jej wytyczne ReCyF mogą zostać dostosowane w toku debat parlamentarnych [2]. ## Źródła 1. EUR-Lex, Journal officiel de l'Union européenne, „Directive (UE) 2022/2555 du Parlement européen et du Conseil du 14 décembre 2022 concernant des mesures destinées à assurer un niveau élevé commun de cybersécurité dans l'ensemble de l'Union, modifiant le règlement (UE) n° 910/2014 et la directive (UE) 2018/1972, et abrogeant la directive (UE) 2016/1148 (directive SRI 2)”, 27 grudnia 2022. https://eur-lex.europa.eu/eli/dir/2022/2555/oj?locale=fr (dostęp 26 października 2026) 2. ANSSI, „NIS 2 | MesServicesCyber”. https://messervices.cyber.gouv.fr/nis2 (dostęp 26 października 2026) 3. Commission européenne, „SME definition”. https://single-market-economy.ec.europa.eu/smes/sme-fundamentals/sme-definition_en (dostęp 26 października 2026) 4. CNIL, „Violations de données personnelles : les règles à suivre”, 19 czerwca 2018. https://www.cnil.fr/fr/violations-de-donnees-personnelles-les-regles-suivre (dostęp 26 października 2026) 5. Commission européenne, „Commission refers Ireland, Spain, France and the Netherlands to the Court of Justice for failing to transpose the rules on cybersecurity”, 8 lipca 2026. https://digital-strategy.ec.europa.eu/en/news/commission-refers-ireland-spain-france-and-netherlands-court-justice-failing-transpose-rules (dostęp 26 października 2026) 6. Sénat, „Résilience des infrastructures critiques et renforcement de la cybersécurité”, 15 października 2024. https://www.senat.fr/leg/pjl24-033.html (dostęp 26 października 2026) 7. Assemblée nationale, „Projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité : dossier législatif”. https://www.assemblee-nationale.fr/dyn/17/dossiers/DLR5L17N50731 (dostęp 26 października 2026) 8. Assemblée nationale, Conférence des présidents (relevé de conclusions), „Réunion du mardi 22 septembre 2026”, 22 września 2026. https://www2.assemblee-nationale.fr/17/la-conference-des-presidents/releve-de-conclusions/reunion-du-mardi-22-septembre-2026 (dostęp 26 października 2026) 9. Assemblée nationale, Conférence des présidents (relevé de conclusions), „Réunion du mardi 6 octobre 2026”, 6 października 2026. https://www2.assemblee-nationale.fr/17/la-conference-des-presidents/releve-de-conclusions/reunion-du-mardi-6-octobre-2026 (dostęp 26 października 2026) --- Źródło oryginalne: Cyberpedia, publiczna encyklopedia cyberbezpieczeństwa i AI wydawana przez Brain. Wersja kanoniczna: https://startbrain.io/cyberpedia/pl/articles/dyrektywa-nis-2/ Możesz swobodnie wykorzystywać ten tekst na licencji CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/), pod warunkiem podania „Brain, Cyberpedia” wraz z odnośnikiem do powyższego adresu.