NIS2 i UKSC 2026 - jakie dokumenty musisz mieć i jak zacząć wdrożenie
Aktualny przewodnik po NIS2 i polskiej nowelizacji KSC, która weszła w życie 3 kwietnia 2026 r. Zakres organizacji zawsze trzeba potwierdzić na podstawie ustawy i konkretnej działalności.
Najważniejsze wnioski
Najważniejsze liczby
Liczby porządkują zakres artykułu; dane zewnętrzne mają wskazane źródło.
Proces krok po kroku
Czym jest Dyrektywa NIS2 i co ma z nią wspólnego UKSC?
Dyrektywa NIS2 (Network and Information Security Directive 2) to unijne prawo dotyczące cyberbezpieczeństwa, które obowiązuje w Polsce od 18 października 2024 r. - ale w formie polskiej ustawy wdrożeniowej, czyli Ustawy o Krajowym Systemie Cyberbezpieczeństwa (UKSC) z 2026 roku.
Różnica jest istotna:
Jeśli Twoja organizacja jest podmiotem kluczowym lub ważnym (np. energetyka, transport, zdrowie, infrastruktura cyfrowa, sektor publiczny, finanse) - masz obowiązki wobec UKSC, nie tylko wobec NIS2.
Kto podlega obowiązkom?
Podmioty kluczowe (większe, wyższe wymagania):
Podmioty ważne (nieco łagodniejsze wymogi, takie same dokumenty):
Kryterium wielkości: co do zasady min. 50 pracowników lub 10 mln EUR obrotu - ale są wyjątki dla sektorów krytycznych bez progu.
Jakie dokumenty są wymagane przez UKSC?
Ustawa (Art. 7-11 UKSC) i NIS2 wymagają posiadania udokumentowanej polityki i procedur w kilku kluczowych obszarach:
1. Polityka Bezpieczeństwa Informacji / Cyberbezpieczeństwa
Obowiązkowy dokument nadrzędny. Musi odnosić się do cyberbezpieczeństwa systemów sieciowych i informatycznych. Zazwyczaj rozszerza lub zastępuje istniejącą politykę ISO 27001.
2. Procedura Zarządzania Incydentami (z terminami CSIRT)
To jeden z najważniejszych dokumentów. Musi obejmować:
3. Ocena Ryzyka Cyberbezpieczeństwa
Udokumentowana metoda identyfikacji, oceny i postępowania z ryzykami cyberbezpieczeństwa. Może opierać się na ISO 27005 lub innej uznanej metodyce.
4. Rejestr Ryzyk Cyberbezpieczeństwa
Zapis wyników oceny ryzyk - aktualizowany regularnie (co najmniej raz w roku lub po znaczących zmianach).
5. Procedura Zarządzania Łańcuchem Dostaw ICT
Wymaganie Art. 8 UKSC (dawniej Art. 21 NIS2). Obejmuje:
6. Polityka / Procedura Ciągłości Działania (BCP)
Plany zachowania ciągłości działania na wypadek poważnego incydentu cybernetycznego - z naciskiem na systemy ICT.
7. Deklaracja Stosowania (Statement of Applicability)
Dla podmiotów wdrażających ISO 27001 - obowiązkowa. Dokumentuje które zabezpieczenia z Zał. A normy są stosowane i dlaczego.
8. Procedura Zarządzania Podatnościami
Regularna identyfikacja, ocena i naprawa podatności w systemach ICT. Obejmuje patch management i monitorowanie CVE.
9. Procedura Audytów i Testów Bezpieczeństwa
Plan regularnych przeglądów, testów penetracyjnych lub innych form weryfikacji stanu cyberbezpieczeństwa (Art. 8 UKSC wymaga regularnych przeglądów).
Dodatkowe dokumenty przy wdrożeniu UKSC + ISO 27001
Jeśli jednocześnie wdrażasz ISO 27001 (rekomendowane!), potrzebujesz również:
Harmonogram i sankcje
Terminy (szacunkowe, weryfikuj aktualny stan UKSC):
Kary za nieprzestrzeganie:
Jak zacząć wdrożenie NIS2/UKSC - 5 kroków
Krok 1: Ustal czy podlegasz UKSC
Sprawdź listę sektorów i kryteriów w ustawie. Wiele organizacji jest objętych bez swojej wiedzy.
Krok 2: Oceń aktualny stan (Gap Audit)
Porównaj istniejącą dokumentację z wymaganiami UKSC/NIS2. Zidentyfikuj luki dokumentacyjne i proceduralne.
Krok 3: Zbuduj dokumentację bazową
Zacznij od: Polityka Cyberbezpieczeństwa + Procedura Incydentów (z terminami CSIRT) + Ocena Ryzyka. To minimum które musisz mieć.
Krok 4: Rejestr i notyfikacja
Dokonaj rejestracji w odpowiednim organie sektorowym lub u KNF/UODO/MC (zależnie od sektora).
Krok 5: Wdróż pozostałe procedury iteracyjnie
Łańcuch dostaw ICT, BCP, procedura podatności, testy bezpieczeństwa - w kolejności priorytetu ryzyk.
ISO Forge i dokumentacja NIS2/UKSC
ISO Forge generuje kompletny pakiet NIS2/UKSC - 19 dokumentów (NS-001 do NS-019): polityka, incydenty z terminami CSIRT, ocena i rejestr ryzyk, łańcuch dostaw ICT, BCP, procedura podatności, Deklaracja Stosowania i pozostałe wymagane elementy.
Dla podmiotów budujących pełny System Zarządzania Bezpieczeństwem Informacji z certyfikacją ISO 27001:2022, dostępny jest rozszerzony pakiet NIS2 + ISO 27001 (UKSC Complete) - łączy dokumentację NIS2/UKSC z dokumentacją ISO/IEC 27001:2022 (m.in. własną Deklaracją Stosowania SoA i oceną ryzyka ISMS).
Każdy dokument jest dostosowany do sektora i wielkości podmiotu, z odwołaniami do konkretnych artykułów UKSC 2026 (Art. 7, Art. 8, Art. 11).
Potrzebujesz dokumentacji NIS2/UKSC? Zaloguj się do ISO Forge i wygeneruj bundle NIS2 lub UKSC Complete.
Najczęściej zadawane pytania
Czy każda firma podlega NIS2?
Nie. Zakres zależy m.in. od sektora, rodzaju usługi, wielkości i szczególnych przepisów. Klasyfikację trzeba wykonać na podstawie ustawy.
Czy ISO 27001 automatycznie zapewnia zgodnosc z KSC?
Nie. ISO 27001 może stanowić ważną podstawę SZBI, ale trzeba wykonać odrębne mapowanie wymagań prawnych i uzupełnić luki.
Czy wystarczy kupić komplet polityk?
Nie. Dokumenty muszą opisywać faktycznie wdrożone środki, role, decyzje, testy i dowody działania.
Źródła i stan informacji
Linki prowadzą do publicznych źródeł pierwotnych. Artykuł nie powiela chronionej treści norm.
- NIS2 Directive: securing network and information systems - European Commission; dostęp: 2026-10-09
- Directive (EU) 2022/2555 (NIS2) - EUR-Lex; dostęp: 2026-10-09
- Nowelizacja ustawy o krajowym systemie cyberbezpieczenstwa - Portal Gov.pl; dostęp: 2026-10-09
- Ustawa z dnia 23 stycznia 2026 r. o zmianie ustawy o KSC - Elektroniczny Dziennik Ustaw; dostęp: 2026-10-13
- Samorejestracja w wykazie podmiotow kluczowych i waznych - Ministerstwo Cyfryzacji; dostęp: 2026-10-13
Materiał ma charakter informacyjny. Zakres prawny i certyfikacyjny należy potwierdzić dla konkretnej organizacji.
Generator dokumentów NIS2 i UKSC 2026
99 zł jednorazowo, 30 dni dostępu.
Generator dokumentów NIS2 / UKSC →