Obowiązki samorządowej instytucji kultury w związku z wdrożeniem dyrektywy NIS2

Przepisy ustawy o krajowym systemie cyberbezpieczeństwa stosuje się do jednostek organizacyjnych wymienionych w załącznikach nr 1 (podmioty kluczowe) i nr 2 (podmioty ważne). Samorządowe instytucje kultury zostały zaliczone do podmiotów ważnych. Czy w związku z wdrożeniem dyrektywy NIS2 samorządowa instytucja kultury powinna zarejestrować się w Krajowym Systemie Cyberbezpieczeństwa (KSC)? Czy przewiduje się tu wyłączenia albo ułatwienia w wykonaniu tego obowiązku?

Wdrożenie dyrektywy Parlamentu Europejskiego i Rady UE 2022/2555 z 14 grudnia 2022 r. w sprawie środków na rzecz wysokiego wspólnego poziomu cyberbezpieczeństwa na terytorium Unii (NIS2) nastąpiło w Polsce ustawą z 23 stycznia 2026 r. o zmianie ustawy o krajowym systemie cyberbezpieczeństwa oraz niektórych innych ustaw (Dz.U. z 2026 r. poz. 252). Ustawa ta weszła w życie 2 kwietnia 2026 r. Zmieniono nią przede wszystkim ustawę z 5 lipca 2018 r. o krajowym systemie cyberbezpieczeństwa (dalej: ustawa o KSC).