NIS2 w Polsce dla dostawców infrastruktury cyfrowej: chmura, centra przetwarzania danych, komunikacja elektroniczna

Czy infrastruktura cyfrowa podlega NIS2 w Polsce? Krótka odpowiedź

Tak. Ustawa o krajowym systemie cyberbezpieczeństwa (uKSC, Dz. U. 2026 poz. 252) wymienia w załączniku nr 1 sektor „Infrastruktura cyfrowa z wyłączeniem komunikacji elektronicznej”, a także odrębne podsektory „Komunikacja elektroniczna” oraz „Zarządzanie usługami ICT”. O tym, czy konkretna firma jest podmiotem kluczowym, czy podmiotem ważnym, rozstrzygają art. 5 ust. 1 i art. 5 ust. 2 uKSC. Pierwszy krok jest zawsze ten sam: ustal, któremu rodzajowi podmiotu z załącznika nr 1 odpowiada twoja działalność, a następnie sprawdź wielkość przedsiębiorstwa według art. 2 ust. 1 załącznika I do rozporządzenia 651/2014/UE.

Ważna uwaga dla całej branży: uKSC nie tworzy odrębnego katalogu obowiązków dla chmury, centrów przetwarzania danych czy operatorów telekomunikacyjnych. Art. 8 i kolejne przepisy rozdziału 3 stosuje się jednakowo do każdego podmiotu kluczowego i każdego podmiotu ważnego. Sektor przesądza o objęciu ustawą i o właściwym CSIRT sektorowym, a klasyfikacja — o progach wielkości i maksymalnej wysokości kary.

Jak ustawa nazywa ten sektor — brzmienie załącznika nr 1

Załącznik nr 1 do uKSC („Sektory kluczowe”) w sektorze Infrastruktura cyfrowa z wyłączeniem komunikacji elektronicznej wskazuje następujące rodzaje podmiotów:

• „Dostawca punktu wymiany ruchu internetowego”
• „Dostawca usług DNS, z wyłączeniem operatorów głównych serwerów nazw”
• „Rejestr nazw domen najwyższego poziomu (TLD)”
• „Dostawca chmury obliczeniowej”
• „Dostawca usług centrum przetwarzania danych”
• „Dostawca sieci dostarczania treści”
• „Dostawca usług zaufania”
• „Podmiot świadczący usługę rejestracji nazw domen”

W tym samym załączniku występują dwa dalsze podsektory istotne dla branży:

• Komunikacja elektroniczna — „Przedsiębiorca komunikacji elektronicznej”;
• Zarządzanie usługami ICT — „Dostawca usług zarządzanych” oraz „Dostawca usług zarządzanych w zakresie cyberbezpieczeństwa”.

Jeżeli opis twojej usługi pasuje do któregokolwiek z tych sformułowań, jesteś w zakresie załącznika nr 1 — pozostaje ustalić klasyfikację.

Podmiot kluczowy czy podmiot ważny — progi wielkości

Podmiot kluczowy (art. 5 ust. 1 uKSC):

• podmiot wskazany w załączniku nr 1, który przewyższa wymogi dla średniego przedsiębiorstwa określone w art. 2 ust. 1 załącznika I do rozporządzenia 651/2014/UE (art. 5 ust. 1 pkt 1);
• przedsiębiorca komunikacji elektronicznej, który co najmniej spełnia wymogi dla średniego przedsiębiorcy lub je przewyższa (art. 5 ust. 1 pkt 2);
• dostawca usług zarządzanych w zakresie cyberbezpieczeństwa, który co najmniej spełnia wymogi dla małego albo średniego przedsiębiorcy lub je przewyższa (art. 5 ust. 1 pkt 3);
• niezależnie od wielkości podmiotu (art. 5 ust. 1 pkt 4): dostawca usług DNS, kwalifikowany dostawca usług zaufania w rozumieniu art. 3 pkt 20 rozporządzenia 910/2014, podmiot krytyczny, rejestr nazw domen najwyższego poziomu (TLD), podmiot świadczący usługi rejestracji nazw domen oraz podmiot zidentyfikowany jako podmiot kluczowy na podstawie art. 7l ust. 2 pkt 1.

Podmiot ważny (art. 5 ust. 2 uKSC):

• podmiot z załącznika nr 1, który spełnia wymogi dla średniego przedsiębiorcy i nie jest podmiotem kluczowym (art. 5 ust. 2 pkt 1);
• podmiot wskazany w załączniku nr 2, który spełnia wymogi dla średniego przedsiębiorcy lub je przewyższa i nie jest podmiotem kluczowym (art. 5 ust. 2 pkt 2);
• niekwalifikowany dostawca usług zaufania będący mikro-, małym lub średnim przedsiębiorcą (art. 5 ust. 2 pkt 3);
• przedsiębiorca komunikacji elektronicznej będący mikro- lub małym przedsiębiorcą (art. 5 ust. 2 pkt 4);
• podmiot zidentyfikowany jako podmiot ważny na podstawie art. 7l ust. 2 pkt 2.

Niezależnie od progów organ właściwy do spraw cyberbezpieczeństwa może decyzją uznać podmiot z załącznika nr 1 lub nr 2 za kluczowy albo ważny (art. 7l ust. 1), m.in. gdy jako jedyny świadczy usługę o kluczowym znaczeniu dla krytycznej działalności społecznej lub gospodarczej albo gdy zakłócenie jego usługi wywołałoby ryzyko systemowe. Podmiot, wobec którego wydano taką decyzję, realizuje obowiązki z rozdziału 3 w terminie 12 miesięcy, a pierwszy audyt zapewnia w terminie 24 miesięcy od doręczenia decyzji (art. 7l ust. 7).

Podstawowe obowiązki: zarządzanie ryzykiem i odpowiedzialność kierownictwa

Zgodnie z art. 8 ust. 1 uKSC podmiot kluczowy lub podmiot ważny wdraża system zarządzania bezpieczeństwem informacji zapewniający systematyczne szacowanie ryzyka i zarządzanie nim oraz wdrożenie środków technicznych i organizacyjnych proporcjonalnych do ryzyka, w szczególności:

• polityki szacowania ryzyka i bezpieczeństwa systemu informacyjnego;
• bezpieczeństwo w procesie nabywania, rozwoju, utrzymania i eksploatacji systemu informacyjnego, w tym testowanie;
• bezpieczeństwo fizyczne i środowiskowe z kontrolą dostępu oraz bezpieczeństwo zasobów ludzkich;
• bezpieczeństwo i ciągłość łańcucha dostaw produktów, usług i procesów ICT, od których zależy świadczenie usługi;
• plany ciągłości działania, plany awaryjne i plany odtworzenia działalności;
• monitorowanie systemu informacyjnego w trybie ciągłym;
• edukację z zakresu cyberbezpieczeństwa dla personelu i podstawowe zasady cyberhigieny;
• polityki i procedury stosowania kryptografii, w tym szyfrowania;
• bezpieczne środki komunikacji elektronicznej z uwierzytelnianiem wieloskładnikowym w stosownych przypadkach;
• zarządzanie aktywami i polityki kontroli dostępu.

Katalog ten odpowiada środkom wymienionym w art. 21(2) dyrektywy (UE) 2022/2555. Przy zabezpieczaniu łańcucha dostaw podmiot uwzględnia m.in. podatności związane z dostawcą sprzętu lub oprogramowania, ogólną jakość jego produktów ICT oraz wyniki postępowania, o którym mowa w art. 67b uKSC — na podstawie art. 67b ust. 15 minister właściwy do spraw informatyzacji może w drodze decyzji uznać dostawcę sprzętu lub oprogramowania za dostawcę wysokiego ryzyka. Przed zastosowaniem tych przepisów sprawdź opublikowane wytyczne organu właściwego do spraw cyberbezpieczeństwa.

Odpowiedzialność kierownictwa. Kierownik podmiotu kluczowego lub podmiotu ważnego ponosi odpowiedzialność za wykonywanie obowiązków w zakresie cyberbezpieczeństwa, w tym gdy powierzył je innej osobie za jej zgodą; przy organie wieloosobowym bez wskazania osoby odpowiedzialnej odpowiadają wszyscy członkowie (art. 8c). Kierownik podejmuje decyzje o systemie zarządzania bezpieczeństwem informacji, planuje adekwatne środki finansowe, przydziela zadania i nadzoruje ich wykonanie (art. 8d) oraz raz w roku kalendarzowym przechodzi udokumentowane szkolenie (art. 8e).

W zakresie wpisu do wykazu podmiotów oraz tego, który organ jest właściwy dla twojego podsektora (model wieloorganowy), potwierdź szczegóły w opublikowanych wytycznych organu właściwego do spraw cyberbezpieczeństwa.

Zgłaszanie incydentów poważnych i terminy

Incydent poważny to incydent, który powoduje lub może spowodować poważne obniżenie jakości lub przerwanie ciągłości świadczenia usługi przez podmiot kluczowy lub podmiot ważny, straty finansowe dla tego podmiotu albo wpływa na inne osoby przez wywołanie poważnej szkody materialnej lub niematerialnej (art. 2 pkt 7 uKSC).

Ścieżka zgłoszeniowa prowadzi do właściwego CSIRT sektorowego:

Dla firm z branży infrastruktury cyfrowej praktyczny wniosek jest prosty: procedura wykrywania i eskalacji musi działać w trybie ciągłym, a osoba dyżurna powinna wiedzieć, do którego CSIRT sektorowego kierować zgłoszenie, zanim wydarzy się pierwszy incydent.

Kary pieniężne

Kwoty w euro przelicza się na złote według kursu średniego ogłaszanego przez Narodowy Bank Polski obowiązującego w dniu 31 grudnia roku poprzedzającego rok wydania decyzji o wymierzeniu kary.

Odrębna, najwyższa sankcja dotyczy sytuacji szczególnie groźnych: jeżeli podmiot kluczowy albo podmiot ważny narusza przepisy ustawy, powodując bezpośrednie i poważne cyberzagrożenie dla obronności, bezpieczeństwa państwa, bezpieczeństwa i porządku publicznego lub życia i zdrowia ludzi, albo zagrożenie wywołania poważnej szkody majątkowej lub poważnych utrudnień w świadczeniu usług — organ właściwy do spraw cyberbezpieczeństwa nakłada karę w wysokości do 100 000 000 zł (art. 73 ust. 5).

Najtańszym sposobem uniknięcia sporu o kwalifikację jest wcześniejsza samoocena: rodzaj podmiotu z załącznika nr 1, wielkość przedsiębiorstwa, a następnie luka między art. 8 uKSC a stanem faktycznym w firmie.