NIS2 Polska 2026 — kogo dotyczy, obowiązki, terminy (kompletny przewodnik po nowelizacji KSC)

Trzeciego kwietnia 2026 roku weszła w życie nowelizacja Ustawy o Krajowym Systemie Cyberbezpieczeństwa, która wdraża do polskiego prawa unijną dyrektywę NIS2 (Network and Information Security 2 — Dyrektywa Parlamentu Europejskiego i Rady (UE) 2022/2555). Polska zrobiła to z ponad 17-miesięcznym opóźnieniem — unijny termin transpozycji minął 17 października 2024 r. — i dziś tysiące firm dowiaduje się, że w ciągu 12 miesięcy muszą wdrożyć kompletny system zarządzania cyberbezpieczeństwem, którego do tej pory nie miały.

Skala zmian jest ogromna. Do tej pory ustawa o KSC obejmowała około 400 podmiotów (głównie operatorów infrastruktury krytycznej). Po nowelizacji wpadnie do niej około 42 000 polskich firm — czyli stukrotny wzrost. Większość z nich to średnie i duże firmy, które do tej pory cyberbezpieczeństwa nie traktowały jako odrębnego priorytetu. Teraz muszą — bo kary dla podmiotów kluczowych sięgają 10 mln EUR lub 2% rocznego obrotu (w zależności od tego, która kwota jest wyższa), a członkowie zarządu mogą zapłacić osobiście do 300% rocznego wynagrodzenia za zaniedbania.

Ten przewodnik przeprowadzi Cię przez wszystko, co musisz wiedzieć: jak sprawdzić czy Twoja firma podlega NIS2, jakie są kluczowe terminy, jakie 10 środków technicznych trzeba wdrożyć, jak raportować incydenty w reżimie 24h/72h, jakie produkty i usługi (SIEM, EDR, MFA, backup, vCISO) realnie są potrzebne, oraz jakie dotacje (KPO, FENG) możesz wykorzystać na sfinansowanie wdrożenia. Na końcu znajdziesz praktyczną checklistę 90-dniową i porównanie NIS2 z RODO i DORA.

Skąd się wzięła NIS2 i co zmienia względem NIS1

Pierwsza dyrektywa NIS z 2016 r. była eksperymentem — wprowadzała podstawowe obowiązki cyberbezpieczeństwa dla "operatorów usług kluczowych" (OUK) i "dostawców usług cyfrowych" (DSP). W Polsce wdrożyła ją Ustawa o Krajowym Systemie Cyberbezpieczeństwa z 2018 r., która objęła garstkę dużych firm — banki, telekomy, operatorów energetycznych, szpitale wojewódzkie. Większość gospodarki była poza systemem.

Ataki ransomware na szpitale, łańcuchy dostaw (SolarWinds, Kaseya, MOVEit), infrastrukturę krytyczną (Colonial Pipeline) oraz lawinowy wzrost wyrafinowanych ataków państwowych (zwłaszcza po inwazji Rosji na Ukrainę) pokazały, że NIS1 to za mało. Komisja Europejska odpowiedziała dyrektywą NIS2, przyjętą w grudniu 2022 r. Jej cele: drastycznie rozszerzyć zakres, zharmonizować obowiązki w całej UE, wprowadzić realne sankcje i przenieść odpowiedzialność na najwyższy poziom zarządzania.

W praktyce NIS2 zmienia cztery rzeczy względem NIS1: (1) zakres rośnie z ~400 do ~42 000 podmiotów w PL; (2) samoidentyfikacja zastępuje decyzje administracyjne — firma sama musi sprawdzić, czy podlega; (3) kierownictwo ponosi osobistą odpowiedzialność za wdrożenie; (4) wymaga się zabezpieczenia całego łańcucha dostaw, co kaskaduje obowiązki na podwykonawców (nawet jeśli sami nie podlegają NIS2 wprost).

Implementacja w Polsce — nowelizacja Ustawy o KSC

Polska wdrożyła NIS2 nie nową ustawą, lecz nowelizacją Ustawy z 5 lipca 2018 r. o Krajowym Systemie Cyberbezpieczeństwa. Po blisko dwóch latach prac legislacyjnych i kilku rozbieżnościach interpretacyjnych w kwestii zakresu, projekt został podpisany przez Prezydenta i opublikowany w Dzienniku Ustaw. Ustawa weszła w życie 3 kwietnia 2026 r. — to dzień zero całego harmonogramu.

Organami właściwymi do spraw cyberbezpieczeństwa pozostają — w zależności od sektora — odpowiedni ministrowie (np. minister właściwy ds. zdrowia dla sektora ochrony zdrowia, minister właściwy ds. energii dla sektora energetycznego). Funkcję CSIRT-ów (zespołów reagowania na incydenty) pełnią: CSIRT NASK (sektor cywilny — większość firm), CSIRT GOV (administracja i infrastruktura krytyczna), CSIRT MON (sektor wojskowy). System teleinformatyczny do zgłaszania nazywa się S46 i działa jako jedno okienko — raz zgłoszony incydent trafia automatycznie do właściwego CSIRT-u.

Co istotne, nowelizacja wprowadza CSIRT-y sektorowe — w docelowym modelu każdy duży sektor (energetyka, transport, finanse, zdrowie itp.) będzie miał własny zespół reagowania, działający bliżej specyfiki branży. W trybie przejściowym, dopóki sektorowe CSIRT-y nie osiągną pełnej zdolności operacyjnej, incydenty zgłasza się do CSIRT-ów krajowych.

Kluczowe terminy NIS2 / KSC 2.0 — harmonogram 2026-2028

Uwaga praktyczna: 12 miesięcy na pełne wdrożenie brzmi długo, ale realna praca — mapowanie aktywów, gap assessment, dobór dostawców, wdrożenie SIEM/EDR/MFA, dokumentacja, szkolenia, testy penetracyjne, wpisanie do wykazu — zajmuje 9-15 miesięcy. Firmy, które zaczynają planować w czerwcu 2026, są już opóźnione.

Kogo dotyczy NIS2 — podmioty kluczowe i ważne

NIS2 dzieli adresatów na dwie kategorie: podmioty kluczowe (essential entities) i podmioty ważne (important entities). Różnica nie sprowadza się tylko do nazwy — wpływa na wysokość kar, intensywność nadzoru i moment wejścia obowiązków.

Próg wielkości — średnia firma lub większa

Z zasady NIS2 obejmuje średnie i duże przedsiębiorstwa, czyli takie, które spełniają co najmniej jeden z warunków:

• zatrudniają 50 lub więcej pracowników, lub
• ich roczny obrót lub suma bilansowa przekracza 10 mln EUR.

Mikro i małe firmy (poniżej 50 osób i poniżej 10 mln EUR) co do zasady są poza systemem — ale są wyjątki (patrz: krytyczne wyjątki niżej oraz sekcja o łańcuchu dostaw).

18 sektorów krytycznych i ważnych

Sektory "kluczowe" to te, w których przerwa w działaniu uderza w państwo lub gospodarkę systemowo (energia, woda, finanse, zdrowie, telekomunikacja). Sektory "ważne" to te, w których incydent ma znaczący ale lokalniejszy wpływ. Praktyczna różnica: kary i nadzór dla "kluczowych" są ostrzejsze, a audyty zewnętrzne są obligatoryjne (dla "ważnych" — fakultatywne na żądanie organu).

Krytyczne wyjątki — kiedy nawet mała firma podlega

Niektóre podmioty podlegają NIS2 niezależnie od wielkości — nawet mikrofirma. To między innymi:

• dostawcy publicznych sieci łączności elektronicznej i publicznie dostępnych usług łączności elektronicznej,
• dostawcy usług zaufania (kwalifikowani),
• rejestry domen TLD i usługodawcy DNS,
• jedyni dostawcy danego rodzaju usługi w danym państwie członkowskim (np. jedyny rejestr lokalny),
• niektóre podmioty administracji publicznej.

Jeśli więc prowadzisz 8-osobowy zespół utrzymujący publiczny rejestr domen — i tak podlegasz NIS2.

~42 000 polskich podmiotów — jak sprawdzić czy moja firma podlega

Według szacunków Ministerstwa Cyfryzacji NIS2 obejmie w Polsce około 38 000 – 42 000 podmiotów — głównie średnich i dużych firm, z wyraźną nadreprezentacją sektora IT, ICT B2B, ochrony zdrowia, produkcji oraz administracji. To stukrotny wzrost względem ~400 podmiotów z poprzedniej ustawy.

W systemie NIS2 obowiązuje samoidentyfikacja — nikt nie wyśle Ci pisma "podlegasz". Musisz to ustalić sam i wpisać firmę do wykazu prowadzonego przez ministra właściwego ds. informatyzacji w terminie 6 miesięcy od wejścia w życie ustawy (czyli do około 3 października 2026 r.).

Decision tree — sprawdź w 4 krokach

Krok 1: Czy moja firma działa w jednym z 18 sektorów objętych NIS2? Jeśli NIE → nie podlegasz NIS2 wprost (ale przeczytaj sekcję o łańcuchu dostaw — jeśli sprzedajesz do firm objętych NIS2, też masz obowiązki). Jeśli TAK → przejdź do kroku 2.

Krok 2: Czy spełniam próg wielkości (≥50 osób LUB >10 mln EUR obrotu/sumy bilansowej)? Jeśli NIE → przejdź do kroku 3 (mogą Cię dotyczyć wyjątki). Jeśli TAK → podlegasz NIS2. Idź do kroku 4.

Krok 3: Czy jestem w katalogu "podmiotów krytycznych niezależnie od wielkości"? (Telekomy, dostawcy usług zaufania, rejestry TLD, DNS, jedyny operator w PL.) Jeśli TAK → podlegasz NIS2 mimo małej skali. Jeśli NIE → nie podlegasz NIS2 wprost (ale uważaj na łańcuch dostaw).

Krok 4: Czy jestem podmiotem kluczowym czy ważnym?

• Duża firma (≥250 osób LUB >50 mln EUR obrotu/>43 mln EUR sumy bilansowej) w sektorze "wysokiej krytyczności" → kluczowa.
• Średnia firma (50-249 osób; 10-50 mln EUR) w sektorze "wysokiej krytyczności" → ważna.
• Firma w sektorze "innym ważnym" niezależnie od rozmiaru → ważna.

Praktyczny przykład: firma IT 80-osobowa, świadcząca outsourcing helpdesku dla 30 polskich klientów B2B

• Sektor: Zarządzanie usługami ICT B2B → krytyczny.
• Wielkość: 80 osób → spełnia próg.
• Klasyfikacja: średnia firma w sektorze krytycznym → podmiot ważny.
• Obowiązki: wpis do wykazu do 3.10.2026, wdrożenie 10 środków do 3.04.2027, raportowanie incydentów od 3.04.2026, gotowość na audyt na żądanie organu.

10 środków bezpieczeństwa technicznego — co realnie trzeba wdrożyć (art. 21 NIS2)

Artykuł 21 dyrektywy NIS2 wymienia dziesięć minimalnych środków bezpieczeństwa technicznego, operacyjnego i organizacyjnego, które każdy podmiot kluczowy lub ważny musi wdrożyć. To nie jest katalog "fajnie by było" — to twardy wymóg, którego brak udokumentowanego wdrożenia jest podstawą do nałożenia kary.

Najczęściej ignorowane środki (a najbardziej karane przez europejskie organy w pierwszych miesiącach NIS2): #4 łańcuch dostaw (firmy nie weryfikują dostawców), #7 szkolenia (jednorazowe e-learningi się nie liczą — wymagana cykliczność i dokumentacja), #10 MFA (wciąż wiele organizacji ma MFA tylko na VPN, a nie na panelu admina aplikacji biznesowych).

Reporting incydentów — reżim 24h / 72h / 30 dni

NIS2 wprowadza najbardziej restrykcyjny harmonogram raportowania incydentów w europejskim prawie cyber. Incydent poważny musi być zgłoszony do właściwego CSIRT-u (w Polsce: CSIRT NASK przez portal incydent.cert.pl lub system S46) trzykrotnie:

W przypadku incydentów trwających (ransomware, zaawansowane APT) wymagany jest raport postępu co 30 dni aż do zamknięcia. Dodatkowo, na żądanie odbiorców usług (klientów Twojej firmy), masz obowiązek poinformowania ich o incydencie, jeśli mogli zostać dotknięci.

Co liczy się jako "incydent poważny"

Definicja nie sprowadza się do "było źle". NIS2 mówi o incydencie, który:

• spowodował lub może spowodować poważne zakłócenia operacyjne świadczonej usługi, lub straty finansowe,
• może spowodować lub spowodował istotne szkody materialne lub niematerialne dla innych osób fizycznych lub prawnych.

W praktyce — pożar serwerowni, udane ransomware z szyfrowaniem produkcji, wyciek bazy klientów, ataki DDoS trwające >2h na usługę publiczną, naruszenie dostępu do systemów administracyjnych z konsekwencjami biznesowymi. Awaria sprzętowa naprawiona w 15 minut bez wpływu na klientów — nie jest incydentem poważnym.

Praktyczna pułapka: zegar startuje od "wykrycia"

24h liczy się od pierwszego potwierdzonego wykrycia przez firmę — nie od początku ataku. To rzecz, której wiele firm nie rozumie. Jeśli atakujący był w sieci 4 miesiące, ale incydent wykryto w środę o 14:30, czwartek 14:30 to deadline na early warning. Dlatego krytyczna jest detekcja (SIEM, EDR) i gotowy runbook reagowania — bez tych dwóch elementów nikt nie zdąży w 24h.

Kary — do 10 mln EUR, 2% obrotu i osobista odpowiedzialność zarządu

Sankcje administracyjne w NIS2 są ostre i mają konkretny powód: poprzednie reżimy regulacyjne (NIS1, krajowe ustawy) były ignorowane, bo kary były symboliczne. NIS2 zmienia to radykalnie.

Maksymalne kary administracyjne

Dla podmiotu kluczowego z obrotem 1 mld EUR maksymalna kara to 20 mln EUR (2% obrotu, bo wyższa). Dla mniejszej firmy z obrotem 50 mln EUR — 10 mln EUR (kwota nominalna, bo wyższa). To kary porównywalne z RODO i — w przypadku największych firm — wyższe.

Osobista odpowiedzialność członków zarządu

To największa nowość względem NIS1. Ustawa stanowi, że za wykonywanie obowiązków z cyberbezpieczeństwa odpowiada kierownik podmiotu — w praktyce zarząd. Jeśli organ jest wieloosobowy i nie wyznaczono konkretnej osoby, odpowiedzialność ponoszą wszyscy członkowie.

W przypadku incydentu poważnego wynikającego z rażących zaniedbań, organ właściwy może nałożyć na członka kierownictwa karę finansową do 300% jego rocznego wynagrodzenia. Dla CEO zarabiającego 600 000 zł rocznie to ekspozycja na 1,8 mln zł kary osobistej — niepokrywanej przez polisy D&O w standardzie (większość polis wyłącza kary administracyjne).

Dodatkowo organ może:

• czasowo zakazać osobie pełnienia funkcji kierowniczych w danym podmiocie,
• nakazać publiczne ujawnienie naruszenia (reputational hit),
• zlecić obowiązkowy audyt na koszt podmiotu,
• nakazać wdrożenie konkretnych zaleceń bezpieczeństwa.

Co znaczy "rażące zaniedbanie"

W praktyce orzecznictwa NIS2 z innych krajów UE: brak udokumentowanej polityki bezpieczeństwa, brak MFA na kontach administracyjnych mimo wcześniejszych zaleceń audytora, brak kopii zapasowych testowanych w ostatnich 12 miesiącach, brak szkoleń pracowników w ostatnich 24 miesiącach, ignorowanie znanych CVE z dostępnym patchem przez >90 dni. Każde z tych — udokumentowane — może być podstawą oskarżenia zarządu o rażące zaniedbanie.

Checklist 90-dniowa — praktyczny plan wdrożenia tydzień po tygodniu

90 dni nie wystarczy na pełną zgodność, ale wystarczy, by wyjść z czerwonej strefy — zamknąć największe luki, zarejestrować podmiot i uniknąć kar za podstawowe braki. Dla średniej firmy (50-250 osób) plan wygląda tak:

Faza 1: Diagnoza (tygodnie 1-2)

• Tydzień 1: Decyzja zarządu o wdrożeniu — formalna uchwała, wyznaczenie osoby odpowiedzialnej (kierownik podmiotu / pełnomocnik ds. cyberbezpieczeństwa), przydzielenie budżetu.
• Tydzień 1: Self-assessment kwalifikacji — czy jesteśmy podmiotem kluczowym, ważnym, czy poza zakresem (użyj decision tree z tego artykułu).
• Tydzień 2: Inwentaryzacja aktywów IT — wszystkie serwery, stacje robocze, aplikacje SaaS, dostawcy, dane przetwarzane. To podstawa pod cały dalszy proces.
• Tydzień 2: Gap assessment względem 10 środków art. 21 — co już mamy, czego nie ma, co jest niedokumentowane.

Faza 2: Quick wins i polityki (tygodnie 3-6)

• Tydzień 3: Wpis do wykazu podmiotów przez system S46 (jeśli już dostępny) lub przygotowanie zgłoszenia na termin październikowy.
• Tydzień 3-4: Polityka bezpieczeństwa informacji (ISMS) — choćby w wersji 1.0, podpisana przez zarząd. Wzór jest dostępny na stronie CERT.pl.
• Tydzień 4: MFA na wszystkich kontach z dostępem zdalnym i administracyjnym (najpilniejszy quick win — często można wdrożyć w tydzień przez Microsoft Entra lub Google Workspace).
• Tydzień 5: Procedura raportowania incydentów — runbook, kontakty CSIRT, szablon zgłoszenia, kto dzwoni w nocy.
• Tydzień 5-6: Polityka kopii zapasowych — 3-2-1, szyfrowane, testowane raz na kwartał, off-site.
• Tydzień 6: Klauzule cyberbezpieczeństwa w nowych umowach z dostawcami (zwłaszcza IT i chmurowymi).

Faza 3: Wdrożenie techniczne (tygodnie 7-10)

• Tydzień 7: Wdrożenie EDR/XDR na wszystkich endpointach (Bitdefender GravityZone, ESET PROTECT Enterprise, Microsoft Defender for Endpoint, CrowdStrike).
• Tydzień 7-8: SIEM lub log management (centralizacja logów z serwerów, firewalla, AD, aplikacji kluczowych). Dla MŚP: Wazuh, Splunk Enterprise Trial, Microsoft Sentinel.
• Tydzień 8: Skaner podatności — pierwszy skan, lista CVE >7.0, plan patchowania top-20 podatności.
• Tydzień 9: Pierwsze szkolenie security awareness dla wszystkich pracowników + symulowany phishing — dokumentacja.
• Tydzień 9-10: Wdrożenie PAM (Privileged Access Management) dla kont uprzywilejowanych — minimum: vault haseł admin, sesje nagrywane.

Faza 4: Test, audyt, dokumentacja (tygodnie 11-12)

• Tydzień 11: Pierwszy test BCP/DR — symulacja przywrócenia kluczowej aplikacji z backupu.
• Tydzień 11: Wewnętrzny pre-audit — przejście całej checklisty 10 środków, identyfikacja luk dokumentacyjnych.
• Tydzień 12: Pakiet dokumentacji do prezentacji organowi — polityki, rejestry, dowody szkoleń, raporty z testów. Podsumowanie dla zarządu z mapą drogową na kolejne 9 miesięcy.

Po 90 dniach firma nie jest jeszcze w 100% zgodna, ale jest w bezpiecznej strefie — najwięcej ryzyk technicznych zaadresowano, dokumentacja istnieje, samoidentyfikacja zrobiona, raportowanie incydentów działa. Kolejne 9 miesięcy to dopracowanie szczegółów, pierwszy pełny audyt zewnętrzny, testy penetracyjne i ciągłe doskonalenie.

Wymagane produkty i usługi — co kupić, by się zgodzić

NIS2 nie wskazuje konkretnych produktów, ale 10 środków art. 21 w praktyce mapuje się na konkretne kategorie narzędzi. Oto co realnie potrzebuje średnia polska firma:

Łączny budżet startowy dla średniej firmy (50-100 osób): 70 000 – 200 000 zł rocznie w abonamentach plus jednorazowe ~30 000-100 000 zł na wdrożenie i konfigurację. To wydatek na poziomie kosztu jednego dobrego inżyniera IT — i znacznie niższy niż maksymalna kara za niezgodność.

Wszystkie wymienione produkty (EDR, MFA, backup, vulnerability scanner, SIEM, SAT) są dostępne w sklepie KluczeSoft.pl w wersjach z licencją wieczystą lub subskrypcyjną, z polskim wsparciem i fakturą VAT z odroczonym terminem płatności dla firm.

Dla małych firm w łańcuchu dostaw — kaskada obowiązków

Najmniej zrozumiana część NIS2 to kaskadowanie obowiązków przez łańcuch dostaw. Zasada brzmi prosto: jeśli sprzedajesz lub świadczysz usługi podmiotowi kluczowemu lub ważnemu — masz obowiązki cyberbezpieczeństwa nawet jeśli sam nie podlegasz NIS2 wprost.

Mechanizm działa przez środek #4 (bezpieczeństwo łańcucha dostaw). Podmiot kluczowy musi ocenić ryzyko swoich dostawców i wymagać od nich konkretnych zabezpieczeń. W praktyce to oznacza, że bank, szpital wojewódzki, producent leków, operator energetyczny zaczynają wysyłać do swoich dostawców (firmy IT, drukarnie, prawników, biura księgowe, dostawców mebli serwerowniach) kwestionariusze bezpieczeństwa i wymagają udowodnionych praktyk.

W skrajnym przypadku Twoja umowa z dużym klientem może zostać zerwana po 3.04.2027, jeśli nie udowodnisz wdrożenia podstawowych praktyk: MFA, szyfrowania, backupu, szkoleń, polityki bezpieczeństwa. Dla wielu MŚP to oznacza, że NIS2 dotyczy ich pośrednio — i pilnie.

NIS2 vs DORA vs RODO — porównanie i przekrywanie

NIS2 nie funkcjonuje w próżni. Równolegle obowiązują w Polsce RODO (od 2018) oraz DORA (Digital Operational Resilience Act, dla sektora finansowego od 17 stycznia 2025 r.). Każdy reżim ma inne cele, inny zakres i inne kary — ale w praktyce wymagania techniczne się nakładają.

Overlap — co można zrobić raz dla wszystkich trzech

• Polityka bezpieczeństwa informacji (ISMS) — wymagana przez wszystkie trzy. Zrób raz, używaj wszędzie.
• MFA i kontrola dostępu — wymóg techniczny we wszystkich trzech.
• Backup i DR — RODO wymaga "zdolność do odtworzenia danych", NIS2 wymaga BCP, DORA wymaga testowanej odporności.
• Szkolenia pracowników — wymagane przez wszystkie trzy (RODO: nieoficjalnie przez UODO, NIS2: wprost w art. 21, DORA: roczna obligatoryjność).
• Raportowanie incydentów — różne terminy, ale ten sam typ infrastruktury (SIEM + SOC + runbook + kontakty do regulatora).

W praktyce: jeśli wdrożysz solidnie NIS2, masz pokryte 80% RODO i 60% DORA. Odwrotnie — RODO samo w sobie nie wystarcza dla NIS2 (RODO nie wymaga MFA, EDR, SIEM, pentestów, łańcucha dostaw).

vCISO / Zewnętrzny CISO — dla firm bez własnego CISO

NIS2 wymaga, by ktoś w organizacji odpowiadał formalnie za cyberbezpieczeństwo — w praktyce CISO (Chief Information Security Officer) lub pełnomocnik ds. bezpieczeństwa informacji. Dla podmiotu kluczowego, w którym taka rola nie istnieje, NIS2 staje się trudna do wdrożenia bez kompetencji wewnętrznych.

Pełnoetatowy CISO — koszt i dostępność

Senior CISO w Polsce zarabia 300 000 – 500 000 zł rocznie plus benefity i bonusy. Średni czas rekrutacji to 9-12 miesięcy — rynek jest mocno deficytowy. Dla firmy 80-200 osobowej zatrudnienie CISO na etat jest często niewykonalne finansowo lub operacyjnie.

vCISO (Virtual CISO) — outsourcing strategicznej roli

vCISO to model, w którym doświadczony senior security leader pracuje dla Twojej firmy w wymiarze 8-40 godzin miesięcznie w abonamencie. Buduje strategię, nadzoruje wdrożenie NIS2, prowadzi przeglądy ryzyk, reprezentuje firmę przed organem, mentorzuje wewnętrzny zespół IT.

Cennik w Polsce (2026):

• Pakiet Silver (8-12h/mc, podstawowy nadzór): 5 000 – 10 000 zł netto/mc
• Pakiet Gold (16-24h/mc, aktywne wdrożenie): 10 000 – 18 000 zł netto/mc
• Pakiet Platinum (32-40h/mc, pełna obecność, dyżury): 18 000 – 30 000 zł netto/mc

Roczny koszt vCISO (Gold) to 120 000 – 220 000 zł — czyli 2-3x taniej niż pełnoetatowy CISO, dostępny od razu, bez ryzyka rekrutacji. Dla firm 50-300 osobowych to często najlepsza ścieżka do zgodności z NIS2.

Co vCISO nie zastąpi

vCISO to rola strategiczna i nadzorcza, nie operacyjna. Nie zastąpi:

• SOC analyst (osoba reagująca na alerty w SIEM 24/7) — to rola operacyjna,
• inżyniera bezpieczeństwa (wdrażającego konkretne kontrole techniczne),
• administratora IT (utrzymującego infrastrukturę).

vCISO sprawdza się najlepiej w połączeniu z istniejącym zespołem IT plus outsourcowanym SOC (SOCaaS) i własnym lub outsourcowanym helpdeskiem.

Dotacje na wdrożenie NIS2 — KPO, FENG, EFRR

Wdrożenie NIS2 to koszt 70 000 – 500 000 zł dla średniej firmy. Dobra wiadomość: dostępne są publiczne dotacje, które pokrywają 40-85% kosztów wdrożenia narzędzi i usług cyberbezpieczeństwa.

Krajowy Plan Odbudowy (KPO) — komponent cyfryzacja

KPO finansuje cyberbezpieczeństwo MŚP przez programy:

• "Inwestycje w MŚP zwiększające ich konkurencyjność" — refundacja 40-70% kosztów oprogramowania, sprzętu cyber i usług doradczych. Limity 50 000 – 500 000 zł na projekt.
• "Cyfryzacja sektora ochrony zdrowia" — dedykowane wsparcie dla szpitali i placówek medycznych na cybersecurity (NIS2-driven), do 85% refundacji.

FENG (Fundusze Europejskie dla Nowoczesnej Gospodarki) 2021-2027

• Działanie 02.32 "Cyfryzacja MŚP" — refundacja do 70% kosztów wdrożenia rozwiązań cyber (EDR, SIEM, backup), pula ~600 mln zł w skali Polski.
• Działanie 02.04 "Wsparcie ICT" — dla średnich firm na zaawansowane wdrożenia, w tym pakiety NIS2-ready.

EFRR (programy regionalne) — Fundusze Europejskie dla województw

Każde województwo (RPO) ma własne nabory na cyfryzację i bezpieczeństwo IT MŚP. Dofinansowanie zwykle 40-70% kosztów kwalifikowanych. Najlepsze nabory: Mazowsze, Małopolska, Dolny Śląsk, Wielkopolska — często z preferencją dla firm w sektorach NIS2.

Praktyczna rada: rozpoczynając wdrożenie NIS2 w czerwcu 2026, najpierw sprawdź dostępne nabory w PARP, BGK i swoim Urzędzie Marszałkowskim. Wniosek dotacyjny zajmuje 2-4 miesiące, więc warto go uruchomić równolegle z fazą diagnozy. Niektóre firmy doradcze (np. Grant Thornton, PwC, EY) oferują pakiet "NIS2 + dotacja" — kompleksowe wsparcie z gwarancją uzyskania dofinansowania.

Źródła oficjalne — gdzie szukać aktualnych informacji

• Cyberpolicy NASK — cyberpolicy.nask.pl — autorytatywne wytyczne CSIRT NASK do NIS2.
• CERT.pl — cert.pl — zgłaszanie incydentów, biuletyny zagrożeń, wzory dokumentów.
• Ministerstwo Cyfryzacji — gov.pl/web/cyfryzacja — projekt ustawy, FAQ, harmonogram.
• Biznes.gov.pl — biznes.gov.pl/pl/portal/005120 — przewodnik dla przedsiębiorców NIS2/KSC.
• System S46 — będzie udostępniony przez Ministerstwo Cyfryzacji od kwietnia 2026.

Podsumowanie — czego nie odkładać

NIS2 to nie jest "kolejne RODO, które przeczekamy". To reżim, który realnie zmienia ekspozycję ryzyka firmy i jej zarządu — przez wysokość kar, osobistą odpowiedzialność i obowiązek udokumentowanego wdrożenia. Trzy rzeczy, których nie należy odkładać:

1. Decyzja zarządu + budżet w pierwszych 30 dniach. Bez tego nic się nie ruszy.
2. Wpis do wykazu do 3.10.2026 — termin twardy, brak wpisu = automatyczna kara.
3. MFA + backup + szkolenie w pierwszych 90 dniach — to quick wins, które domknięcia 70% największych ryzyk.

Najgorsze, co można zrobić, to czekać do października 2026 z myślą "mam jeszcze 6 miesięcy". Realnie nie ma — przy dostępności konsultantów i kolejkach do audytów w Q1 2027, ostatnie wagony pociągu odjeżdżają we wrześniu 2026. Firmy, które zaczęły planować już w 2025, mają znaczącą przewagę.