Kary NIS2/UKSC 2026 - ile grozi za brak zgodności i kto je nakłada

Kara to nie jedna liczba - to proces

Większość materiałów o NIS2 podaje jedną cyfrę: "do 10 mln EUR". To prawda, ale niepełna - ustawa przewiduje różne środki nadzorcze i sankcje, a ich zastosowanie zależy od rodzaju naruszenia oraz postępowania właściwego organu. Poniżej pokazujemy ustawowe limity i mechanizm, bez obiecywania, że organ zawsze najpierw pozwoli naprawić naruszenie.

Wysokość kar - kluczowe kontra ważne podmioty

Maksymalne sankcje różnią się w zależności od kategorii podmiotu:

Te poziomy wynikają z polskiej nowelizacji KSC ([Dz.U. 2026 poz. 252](https://eli.gov.pl/eli/DU/2026/252/ogl/pol)). Ustawa przewiduje też odrębne sankcje dla określonych naruszeń oraz szczególne rozwiązania dla naruszeń powodujących bezpośrednie i poważne zagrożenie cyberbezpieczeństwa.

To są progi maksymalne, nie automatyczne stawki. Organ nadzorczy ustala wysokość kary indywidualnie, biorąc pod uwagę m.in. wagę naruszenia, czas jego trwania, współpracę z organem podczas kontroli i to, czy naruszenie było powtarzalne.

Kto nakłada kary i jak wygląda proces

Nadzór nad podmiotami kluczowymi i ważnymi sprawują właściwe organy sektorowe (dla każdego z sektorów załącznika 1 i 2 wskazany jest inny organ nadzorczy - np. dla energetyki, transportu, ochrony zdrowia), koordynowane przez organ właściwy ds. cyberbezpieczeństwa na poziomie krajowym.

Postępowanie może obejmować następujące etapy, ale ich kolejność i dobór zależą od podstawy prawnej oraz ustaleń organu:

Dokumentacja i wdrożone procedury nie gwarantują uniknięcia sankcji, ale pozwalają wykazać sposób zarządzania ryzykiem, odpowiedzialność i wykonane działania.

Odpowiedzialność osobista kierownictwa

To część, o której najczęściej się zapomina. NIS2 nie ogranicza odpowiedzialności do samej organizacji - organy zarządzające (zarząd, osoby kierujące) mają obowiązek zatwierdzać i nadzorować wdrożone środki zarządzania ryzykiem, a także przechodzić szkolenia z cyberbezpieczeństwa. Za zaniedbanie tego obowiązku członkowie zarządu mogą ponosić odpowiedzialność osobistą, niezależnie od kary nałożonej na samą organizację.

W praktyce oznacza to, że samo zlecenie tematu działowi IT bez formalnego zatwierdzenia polityk przez zarząd już jest ryzykiem compliance.

Kiedy przepisy zaczynają obowiązywać

Dyrektywa NIS2 (UE 2022/2555) weszła w życie w całej Unii z terminem transpozycji do prawa krajowego do 17 października 2024. Polska nowelizacja Ustawy o Krajowym Systemie Cyberbezpieczeństwa weszła w życie 3 kwietnia 2026 r. i zawiera okresy przejściowe dla wybranych obowiązków. Co istotne, przepisy o nakładaniu administracyjnych kar pieniężnych na podstawie tej nowelizacji stosuje się po upływie dwóch lat od jej wejścia w życie; nie oznacza to odroczenia pozostałych obowiązków organizacyjnych i rejestracyjnych ([tekst ustawy](https://eli.gov.pl/eli/DU/2026/252/ogl/pol)).

Jeśli Twoja firma podlega ustawie, nie warto czekać na ostateczne doprecyzowanie terminów - wdrożenie dokumentacji i procedur to proces, który realnie zajmuje tygodnie, a kontrola może przyjść zanim skończysz.

Jak się przygotować, zanim ktoś to sprawdzi

Trzy rzeczy, które realnie obniżają ryzyko kary:

ISO Forge generuje kompletny pakiet dokumentów NIS2/UKSC dopasowany do Twojej organizacji, z terminami CSIRT wbudowanymi w procedury - gotowy do przeglądu i zatwierdzenia przez zarząd w minuty, nie tygodnie.

Podsumowanie

Kara NIS2/UKSC to górny limit, nie automatyczna stawka. Nie należy jednak zakładać gwarantowanej „szansy na naprawę” przed każdą sankcją. Organizacja powinna wykazać klasyfikację podmiotu, nadzór kierownictwa, środki zarządzania ryzykiem i wykonanie obowiązków w ustawowych terminach.

Sprawdź generator NIS2/UKSC w ISO Forge - kompletna dokumentacja gotowa do przeglądu w 30 minut.

Generator dokumentów NIS2 i UKSC 2026

99 zł jednorazowo, 30 dni dostępu.

Inne artykuły