Ile naprawdę kosztuje niewdrożenie NIS2

Rynek zaczyna karać firmę za niski poziom cyberbezpieczeństwa i – jeśli sprawdzą się zapowiedzi ze strony państwa – zrobi to szybciej niż organ nadzorczy

W kwietniu 2026 r. weszła w życie nowelizacja ustawy o krajowym systemie cyberbezpieczeństwa (dalej: ustawa o KSC), która transponuje do polskiego porządku prawnego dyrektywę NIS2. Tym samym na podmioty zobowiązane do jej stosowania zostały nałożone liczne obowiązki, a terminy na ich wykonanie już płyną. Do 3 października należy dokonać samoidentyfikacji i złożyć wniosek o wpis do wykazu podmiotów kluczowych i ważnych poprzez System S46. A to tylko początek drogi – kolejnym krokiem jest wdrożenie (do 3 kwietnia 2027 r.) zgodności z wymogami ustawy, w tym m.in. systemu zarządzania bezpieczeństwem informacji.

Dziś, kiedy obowiązki i terminy ich wdrożenia są znane, pytanie nie brzmi już, czy NIS2 wdrażać, lecz ile tak naprawdę kosztuje niewdrożenie. I nie chodzi wyłącznie o administracyjne kary pieniężne. Tutaj resort cyfryzacji uspokaja: celem rządu w początkowym okresie jest edukacja i płynne wdrożenie odpowiedniego poziomu bezpieczeństwa. Mechanizmy nakładania administracyjnych kar pieniężnych za brak realizacji obowiązków wejdą w życie dopiero za jakiś czas. Wyjątkiem jest kara ekstra ordynaryjna – do 100 mln zł – którą organ może wymierzyć od razu, niezależnie od dwuletniego okresu przejściowego, w razie bezpośredniego i poważnego cyberzagrożenia m.in. dla bezpieczeństwa państwa czy życia i zdrowia ludzi.