16 sierpnia 2026 r. • NIS2
NIS2 to już nie tylko kwestia przygotowań. W Holandii dyrektywa stała się obowiązującym prawem krajowym 15 sierpnia 2026 r., kiedy to ustawa o cyberbezpieczeństwie (Cyberbeveiligingswet, Cbw) weszła w życie bez okresu przejściowego. Około 8 000 holenderskich organizacji musi teraz się zarejestrować, zarządzać ryzykiem cybernetycznym, przeszkolić kadrę kierowniczą i zgłaszać poważne incydenty.
Dyrektywa NIS2 (zwana również NIS-2 lub NIS 2.0) nakłada na organizacje z 18 sektorów obowiązek wdrożenia solidnych środków bezpieczeństwa cybernetycznego, w tym szkoleń z zakresu świadomości bezpieczeństwa dla wszystkich pracowników.
Trudno jeszcze dokładnie określić, czego w praktyce wymaga dyrektywa NIS2 i jak ustawa o cyberbezpieczeństwie przekłada to na holenderskie obowiązki. Ustawa działa na trzech poziomach, nadzór obejmuje różne sektory, a Komisja Europejska już pracuje nad poprawkami.
W tym przewodniku wyjaśniamy wszystko, co musisz wiedzieć: czym jest NIS2, kogo dotyczy, przedstawiamy pełną listę kontrolną NIS2 na rok 2026 oraz podpowiadamy, jak przygotować swoją organizację do audytu.
Czym jest dyrektywa NIS2?
Dyrektywa NIS2 (dyrektywa (UE) 2022/2555) to zaktualizowane ramy prawne Unii Europejskiej dotyczące bezpieczeństwa sieci i informacji. Zastąpiła ona pierwotną dyrektywę NIS (NIS1) z 2016 roku, która była pierwszym aktem prawnym UE w zakresie cyberbezpieczeństwa.
NIS2 weszło w życie 16 stycznia 2023 r., a państwa członkowskie UE miały obowiązek wdrożyć je do prawa krajowego do 17 października 2024 r. Jednak większość państw członkowskich, w tym Holandia, nie dotrzymała tego terminu.
Celem tej dyrektywy jest osiągnięcie wysokiego, jednolitego poziomu cyberbezpieczeństwa w całej UE poprzez nałożenie na organizacje działające w sektorach krytycznych następujących obowiązków:
- Wprowadź środki bezpieczeństwa cybernetycznego oparte na ocenie ryzyka
- Zgłaszaj poważne zdarzenia odpowiednim organom w ściśle określonych terminach
- Zadbaj o to, by kadra kierownicza była odpowiednio przeszkolona i ponosiła odpowiedzialność
- Organizuj regularne szkolenia uświadamiające dla wszystkich pracowników
- Zarządzaj ryzykiem związanym z bezpieczeństwem łańcucha dostaw
Szacuje się, że w całej UE w zakres dyrektywy NIS2 wchodzi około 160 000 podmiotów. To dziesięciokrotny wzrost w porównaniu z dyrektywą NIS1.
NIS2 zaczyna się od twoich ludzi
Hakerzy najpierw atakują ludzi, a dopiero potem systemy. Dlatego NIS2 wymaga regularnych szkoleń z zakresu świadomości bezpieczeństwa dla każdego pracownika, w tym kadry kierowniczej. Guardey przekształca to w krótkie cotygodniowe wyzwania i przygotowuje dokumentację dla twojego przełożonego.
Poznaj szkolenia z zakresu świadomości bezpieczeństwaNIS2 a NIS1: co się zmieniło?
Pierwotna dyrektywa NIS stanowiła solidny punkt wyjścia, ale zawierała spore luki. Dyrektywa NIS2 wypełnia je we wszystkich obszarach. Oto krótkie podsumowanie najważniejszych zmian:
| Aspekt | NIS1 | NIS2 |
|---|---|---|
| Obsługiwane sektory | 7 sektorów | 18 sektorów |
| Podmioty objęte zakresem | ~15,000 | ~160,000 |
| Zgłaszanie incydentów | Nie ma konkretnego harmonogramu | 24 godz. / 72 godz. / 1 miesiąc |
| Kary | Ustalane przez każde państwo członkowskie | Do 10 mln euro lub 2% obrotów |
| Odpowiedzialność kadry kierowniczej | Nie dotyczy | Odpowiedzialność cywilna za rażące niedbalstwo |
| Łańcuch dostaw | Nie jest to wyraźnie wymagane | Obowiązkowe zarządzanie ryzykiem |
| Szkolenie z zakresu zarządzania | Nie jest wymagane | Obowiązkowe dla zarządu i kadry kierowniczej |
Chcesz dowiedzieć się więcej o różnicach? Przeczytaj nasze pełne porównanie: Czym różni się NIS1 od NIS2?
Przepisy dotyczące NIS2 w Europie
NIS2 to dyrektywa UE, co oznacza, że nie ma bezpośredniego zastosowania do organizacji. Każde państwo członkowskie musi ją wdrożyć do prawa krajowego. Oto, jak wygląda sytuacja w 2026 roku.
Stan wdrożenia w całej UE
Postępy we wdrażaniu są bardzo zróżnicowane. Kraje takie jak Belgia, Chorwacja i Włochy jako jedne z pierwszych przyjęły przepisy krajowe. Inne, w tym Holandia i Niemcy, potrzebowały na to więcej czasu. W Polsce NIS2 wdraża nowelizacja ustawy o krajowym systemie cyberbezpieczeństwa (KSC), która obowiązuje od 3 kwietnia 2026 r.
Komisja Europejska wszczęła postępowania w sprawie uchybienia zobowiązaniom wobec 23 państw członkowskich za niedotrzymanie terminu transpozycji wyznaczonego napaździernik 2024 r., a wmaju 2025 r. wysłała uzasadnione opinie do 19 z nich. Do maja 2026 r. 22 z 27 państw członkowskich przyjęło przepisy transponujące dyrektywę. Te, które się ociągały, poczuły presję:8 lipca 2026 r. Komisja skierowała sprawę Holandii i Hiszpanii do Trybunału Sprawiedliwości UE za to, że nie zgłosiły pełnej transpozycji. Holenderska ustawa weszła w życie pięć tygodni później.
Pakiet UE dotyczący cyberbezpieczeństwa ze stycznia 2026 r.
20 stycznia 2026 r. Komisja Europejska opublikowała wniosek dotyczący zmiany dyrektywy NIS2 w ramach szerszego pakietu dotyczącego cyberbezpieczeństwa. Najważniejsze zmiany obejmują:
- Uproszczone zasady dotyczące jurysdykcji dla organizacji działających w wielu krajach UE
- Ścieżki zapewnienia zgodności oparte na certyfikacji, umożliwiające organizacjom wykazanie zgodności poprzez uznane certyfikaty
- Ulepszone raportowanie dotyczące oprogramowania ransomware wraz z bardziej szczegółowymi wymaganiami dotyczącymi danych o incydentach
- Zakres został rozszerzony o dostawców europejskich portfeli tożsamości cyfrowej oraz podwodnej infrastruktury danych
- Zmiana klasyfikacji około 22 500 podmiotów w celu zmniejszenia obciążeń związanych z przestrzeganiem przepisów dla mniejszych organizacji
- Wzmocnienie roli agencji ENISA w koordynowaniu nadzoru transgranicznego
Wniosek opiera się na pakiecie „Digital Omnibus” z listopada 2025 r., który już uprościł procedurę zgłaszania incydentów i wyjaśnił, jak dyrektywa NIS2 wiąże się z dyrektywą DORA i dyrektywą CER. Teraz wniosek przechodzi przez zwykłą procedurę ustawodawczą – negocjacje w Parlamencie Europejskim i Radzie potrwają przez cały 2026 r., a po przyjęciu wniosku nastąpi okres na transpozycję przepisów. Do tego czasu nic się nie zmienia w kwestii twoich obecnych obowiązków.
NIS2 w Holandii: ustawa o cyberbezpieczeństwie (Cwb)
W Holandii dyrektywa NIS2 jest wdrażana w ramach ustawy o cyberbezpieczeństwie (Cwb). Ustawa ta zastępuje dotychczasową ustawę Wbni (Wet beveiliging netwerk- en informatiesystemen).
Aktualny stan (marzec 2026 r.)
- Izba Reprezentantów (Tweede Kamer) przyjęła projekt ustawy15 kwietnia 2026 r., a Izba Senatu (Eerste Kamer) zrobiła to samo7 lipca 2026 r.
- Ustawa o cyberbezpieczeństwie weszła w życie15 sierpnia 2026 r. wraz z ustawą o odporności podmiotów krytycznych (Wwke)
- Nie mażadnego okresu przejściowego: wszystkie obowiązki, w tym rejestracja, obowiązują od pierwszego dnia
- Pod Cbw podlega około8 000 organizacji, a pod Wwke – jeszcze około 500
- Cbw zastępuje Wbni, więc organizacje, które już składały sprawozdania zgodnie ze starą ustawą, muszą teraz spełniać szersze wymagania NIS2
Trzy elementy regulacyjne
Holenderska implementacja składa się z trzech warstw:
- Ustawa o cyberbezpieczeństwie, która jest głównym aktem prawnym wdrażającym dyrektywę NIS2
- Rozporządzenie w sprawie cyberbezpieczeństwa (AMvB) – ogólne rozporządzenie administracyjne określające konkretne obowiązki
- Rozporządzenia ministerialne dotyczące poszczególnych sektorów, zawierające wymagania dostosowane do potrzeb danej branży
Jeśli twoja organizacja podlega tym przepisom, nie chodzi już o to, czy podjąć działania, ale co zrobić w pierwszej kolejności. Te pięć kroków obejmuje obowiązki, które zaczęły obowiązywać od razu.
- Sprawdź, czy to dotyczy właśnie ciebie.Porównaj swoją branżę i wielkość firmy z poniższymi kryteriami. Sam musisz to ustalić – nikt nie wyśle ci listu z informacją, że to dotyczy właśnie ciebie.
- Zarejestruj swoją organizację.Rejestracja w krajowym rejestrze podmiotów odbywa się za pośrednictwem NCSC na stronie mijn.ncsc.nl. Jest to obowiązkowe od 15 sierpnia 2026 r., a organizacje same sąodpowiedzialne za terminowe dokonanie rejestracji.
- Zadbaj o szkolenia kadry kierowniczej.Członkowie zarządu muszą przejść szkolenia z cyberbezpieczeństwa i mogą zostać pociągnięci do osobistej odpowiedzialności. Naszeszkolenie NIS2 dla kadry kierowniczejdokładnie spełnia ten wymóg.
- Ustal proces zgłaszania incydentów.Zdecyduj już teraz, kto co zgłasza i komu, bo czasu jest mało: wczesne ostrzeżenie w ciągu 24 godzin, pełne zgłoszenie w ciągu 72 godzin i raport końcowy w ciągu miesiąca.
- Zacznij organizować cykliczne szkolenia z zakresu świadomości bezpieczeństwa.Obowiązek dbałości dotyczy zarówno twoich pracowników, jak i systemów. Krótkie, powtarzaneszkolenia z zakresu świadomości bezpieczeństwawraz z udokumentowanymi wynikami to właśnie to, co zamienia wymóg w konkretny dowód.
Organy nadzorcze dały do zrozumienia, że pierwszy rok poświęcą głównie na zapoznanie się z nowo objętymi regulacjami sektorami – za pomocą ankiet i spotkań wprowadzających. Łagodny początek nadzoru to nie to samo, co opóźnienie w wypełnianiu obowiązków, a organizacje, które wykażą się systematycznym podejściem, wyjdą z tych pierwszych rozmów w znacznie lepszej sytuacji.
Najważniejsze holenderskie obowiązki
Organizacje objęte ustawą o cyberbezpieczeństwie muszą wypełniać cztery podstawowe obowiązki:
| Obowiązek | Co to znaczy | Podstawa NIS2 |
|---|---|---|
| Zorgplicht (obowiązek staranności) | Wprowadź odpowiednie środki techniczne i organizacyjne, żeby zarządzać ryzykiem związanym z cyberbezpieczeństwem | Artykuł 21 |
| Obowiązek rejestracji | Zarejestruj swoją organizację w krajowym rejestrze podmiotów za pośrednictwem NCSC na stronie mijn.ncsc.nl | Artykuł 3 i artykuł 27 |
| Obowiązek szkoleniowy dla kierowników (obowiązek szkolenia kadry kierowniczej) | Członkowie zarządu i kierownictwo muszą przejść szkolenie z zakresu cyberbezpieczeństwa | Artykuł 20 ust. 2 |
| Obowiązek zgłaszania zdarzeń (Meldplicht) | Zgłaszaj poważne incydenty do NCSC w wyznaczonych terminach: wczesne ostrzeżenie w ciągu 24 godzin, zgłoszenie w ciągu 72 godzin, a raport końcowy w ciągu miesiąca | Artykuł 23 |
Organy nadzorcze
Rejestracją, zgłaszaniem zdarzeń i egzekwowaniem przepisów zajmują się różne organizacje:
| Zadanie | Kto się tym zajmuje |
|---|---|
| Rejestr podmiotów | NCSC (Nationaal Cyber Security Centrum) |
| Zgłaszanie incydentów | NCSC jako główny zespół reagowania na incydenty, wraz z branżowymi zespołami CSIRT w niektórych sektorach |
| Nadzór i egzekwowanie przepisów | Organy nadzorcze odpowiedzialne za poszczególne sektory, wyznaczone na mocy rozporządzeń ministerialnych, sprawdzają, czy organizacje faktycznie wywiązują się ze swoich obowiązków |
Dla organizacji z sektora opieki zdrowotnej otoczenie regulacyjne jest wyjątkowo złożone, łącząc wymogi NIS2 z istniejącymi przepisami dotyczącymi ochrony danych pacjentów, specyficznymi dla tej branży.
Kogo dotyczy rozporządzenie NIS2?
Rozporządzenie NIS2 ma zastosowanie do organizacji na podstawie dwóch kryteriów: sektora i wielkości.
W dyrektywie wyróżniono dwie kategorie podmiotów, z których każda ma swoje sektory, zasady nadzoru i kary:
| Aspekt | Podmioty o kluczowym znaczeniu (sektory o szczególnym znaczeniu) | Ważne podmioty (inne kluczowe sektory) |
|---|---|---|
| Sektory |
|
|
| Nadzór | Proaktywny nadzór: regularne audyty i kontrole | Nadzór reaktywny: dochodzenia prowadzone wyłącznie po wystąpieniu incydentów lub zgłoszeniach dotyczących nieprzestrzegania przepisów |
| Maksymalna grzywna | Do 10 mln euro lub 2% globalnego rocznego obrotu | Do 7 mln euro lub 1,4% globalnego rocznego obrotu |
Progi wielkości
Organizacje z tych sektorów są objęte zakresem, jeśli spełniają następujące kryteria dotyczące wielkości:
- Średnie przedsiębiorstwa: ponad 50 pracowników lub ponad 10 mln euro rocznego obrotu
- Duże przedsiębiorstwa: ponad 250 pracowników lub ponad 50 mln euro rocznego obrotu
Niektóre podmioty podlegają tym przepisom niezależnie od wielkości, w tym dostawcy usług DNS, rejestry domen najwyższego poziomu oraz (zgodnie z proponowanymi zmianami z 2026 r.) dostawcy europejskich portfeli tożsamości cyfrowej.
Lista kontrolna NIS2 (2026)
Skorzystaj z tej obszernej listy kontrolnej, aby sprawdzić, czy Twoja organizacja spełnia wszystkie wymogi NIS2. Nie ogranicza się ona tylko do szkoleń uświadamiających, ale obejmuje pełen zakres obowiązków wynikających z NIS2, pomagając Ci przygotować się do zapewnienia zgodności z przepisami i audytów.
| Obszar | Co warto mieć pod ręką | Kto jest właścicielem? | Podstawa NIS2 |
|---|---|---|---|
| Ład korporacyjny i odpowiedzialność kadry zarządzającej |
|
Zarząd i kierownictwo, przy wsparciu dyrektora ds. bezpieczeństwa informacji (CISO) lub specjalisty ds. zgodności | Artykuł 20 |
| Zarządzanie ryzykiem i środki bezpieczeństwa |
|
CISO i dział IT, a zarządzanie ryzykiem zatwierdzone przez zarząd | Artykuł 21 ust. 1 oraz art. 21 ust. 2 lit. a), c), e) i j) |
| Zgłaszanie incydentów i reagowanie na nie |
|
CISO i zespół reagowania na incydenty | Artykuł 23 (zgłaszanie) oraz art. 21 ust. 2 lit. b) (postępowanie w przypadku incydentów) |
| Bezpieczeństwo łańcucha dostaw |
|
Zamówienia we współpracy z CISO | Artykuł 21 ust. 2 lit. d) |
| Security awareness szkolenie |
|
Dział kadr i CISO, zarząd w ramach własnych szkoleń | Artykuł 20 ust. 2 i artykuł 21 ust. 2 lit. g) |
| Rejestracja i powiadomienia |
|
Specjalista ds. zgodności lub prawnik | Artykuł 3 (klasyfikacja i rejestracja) oraz artykuł 27 (rejestr dostawców usług cyfrowych, takich jak DNS i chmura) |
| Zasady i dokumentacja dotyczące bezpieczeństwa informacji |
|
CISO, za zgodą kierownictwa | Artykuł 21 ust. 2 lit. a), h) i i) |
| Monitorowanie, audytowanie i ciągłe doskonalenie |
|
CISO, z wskaźnikami KPI przekazywanymi kierownictwu | Artykuł 21 ust. 2 lit. f) i art. 21 ust. 4 |
Jedyny wymóg NIS2, który możesz już w tym tygodniu odhaczyć
Właśnie na szkoleniach z zakresu świadomości większość planów się kończy. Guardey zamienia je w krótkie, oparte na mechanizmach gier wyzwania z wbudowaną funkcją raportowania. Wypróbuj za darmo przez 14 dni – nie musisz podawać danych do płatności.
Testuj za darmoCertyfikat NIS2
Często zadawane pytanie: czy istnieje oficjalny certyfikat NIS2? Krótka odpowiedź brzmi: nie, jeszcze nie.
W przeciwieństwie do normy ISO 27001, która ma ugruntowany proces certyfikacji, NIS2 to wymóg prawny egzekwowany przez krajowe organy nadzorcze. Nie ma jednej plakietki z napisem „certyfikat NIS2”, którą można by zdobyć.
Są jednak pewne istotne zmiany.
Zgodność oparta na certyfikacji (proponowana na rok 2026)
W pakiecie dotyczącym cyberbezpieczeństwa z stycznia 2026 r. Komisja Europejska proponuje ścieżki zapewnienia zgodności oparte na certyfikacji. Oznacza to, że organizacje posiadające określone uznane certyfikaty mogą być w stanie wykazać zgodność z dyrektywą NIS2 – lub przynajmniej częściową zgodność – właśnie dzięki tym certyfikatom.
Norma ISO 27001 jako podstawa
Norma ISO 27001 jest powszechnie uznawana za standard najlepiej odpowiadający wymogom NIS2. Organizacje posiadające certyfikat ISO 27001 przekonają się, że wiele wymogów NIS2 jest już spełnionych. Jednak NIS2 zawiera dodatkowe wymagania wykraczające poza zakres normy ISO 27001, w tym:
- Terminy zgłaszania konkretnych zdarzeń (24 godziny, 72 godziny, 1 miesiąc)
- Odpowiedzialność kadry kierowniczej i obowiązkowe szkolenia dla członków zarządu
- Oceny bezpieczeństwa łańcucha dostaw
- Wymagania branżowe
Znaki jakości NIS2 i oceny gotowości
Kilka zewnętrznych organizacji oferuje oceny gotowości do wdrożenia NIS2, analizy dojrzałości lub certyfikaty jakości. Chociaż nie są to oficjalne certyfikaty, mogą pomóc firmom w porównaniu ich zgodności z przepisami oraz wykazaniu swojego zaangażowania wobec interesariuszy.
NIS2 i szkolenia z zakresu świadomości bezpieczeństwa
Szkolenia z zakresu świadomości bezpieczeństwa to jeden z najbardziej wyraźnych wymogów dyrektywy NIS2. Artykuł 20 stanowi, że organy zarządzające muszą przejść takie szkolenia, a organizacje powinny regularnie organizować podobne szkolenia dla swoich pracowników.
Dlaczego w NIS2 kładzie się nacisk na szkolenia uświadamiające
Liczby mówią same za siebie. Według raportu ENISA „Threat Landscape 2025”:
- Phishing stanowi 60% wszystkich punktów dostępu wykorzystywanych do włamań
- Ponad 80% ataków socjotechnicznych wykorzystuje obecnie treści generowane przez sztuczną inteligencję
- 53,7% incydentów cybernetycznych dotyczyło organizacji uznanych za podmioty o znaczeniu krytycznym zgodnie z dyrektywą NIS2
- Sama administracja publiczna stanowiła 38,2% wszystkich ukierunkowanych ataków
Czynnik ludzki pozostaje największym słabym punktem. Bez przeszkolonych pracowników, którzy potrafią rozpoznać zagrożenia i je zgłaszać, nawet najbardziej zaawansowane zabezpieczenia techniczne mogą zostać obejście.
Czego NIS2 oczekuje od twojego programu szkoleń uświadamiających
| Oczekiwania | Co to znaczy |
|---|---|
| Regularne szkolenia, a nie tylko raz w roku | Oczekuje się, że będziesz regularnie uczestniczyć w szkoleniach. |
| Udział kadry kierowniczej | Członkowie zarządu i kadra kierownicza najwyższego szczebla muszą się zaangażować. |
| Trafność | Szkolenie musi obejmować obecne i pojawiające się zagrożenia, w tym ataki oparte na sztucznej inteligencji. |
| Dowody | Musisz być w stanie wykazać, że szkolenia się odbywają i są skuteczne. |
| Zakres | Wszyscy pracownicy mający dostęp do systemów i danych, w tym wykonawcy. |
Jak Guardey pomaga spełnić wymogi dotyczące świadomości w zakresie NIS2
Dzięki Guardey Twoi pracownicy co tydzień podejmują wyzwania związane z cyberbezpieczeństwem, których wykonanie zajmuje nie więcej niż trzy minuty. Tematy obejmują rozpoznawanie phishingu, bezpieczeństwo haseł, postępowanie z danymi, inżynierię społeczną i wiele innych zagadnień, a wszystko to zgodne z wymogami NIS2.
Podejście oparte na mechanizmach gier zapewnia wysoki poziom zaangażowania i wysoki wskaźnik ukończenia. A dzięki panelowi raportowemu Guardey możesz wykazać audytorom zgodność z przepisami, przedstawiając dowody w postaci:
- Wskaźniki ukończenia szkoleń w podziale na pracowników i działy
- Wyniki ocen i trendy w zakresie wiedzy
- Wyniki symulacji phishingu i postępy w czasie
- Zakres tematyczny zgodny z wymogami NIS2
Typowe błędy związane z zapewnieniem zgodności z NIS2
Wiele organizacji nie docenia nakładu pracy, jaki trzeba włożyć w zapewnienie zgodności z NIS2. Oto najczęstsze pułapki, z jakimi się spotykamy.
| Błąd | Dlaczego to się nie udaje | Co zrobić zamiast tego |
|---|---|---|
| Traktowanie pierwszego roku jako okresu karencji | Ustawa o cyberbezpieczeństwie weszła w życie 15 sierpnia 2026 r. bez okresu przejściowego. To, że organy nadzorcze zaczynają działać stopniowo, nie oznacza, że obowiązki zaczną obowiązywać później. | Zarejestruj się i zadbaj o dokumentację już teraz. Organizacje, które czekają na pierwszą kontrolę, w końcu muszą pracować przez wiele miesięcy pod presją czasu, a nadzorcą już na nie patrzy. |
| Traktowanie NIS2 wyłącznie jako problemu informatycznego | NIS2 wyraźnie wymaga, żeby kierownictwo ponosiło odpowiedzialność. Nie jest to coś, co możesz całkowicie zlecić swojemu działowi IT. | Upewnij się, że członkowie zarządu są odpowiednio przeszkoleni, zatwierdzają środki bezpieczeństwa cybernetycznego i zdają sobie sprawę, że mogą zostać pociągnięci do osobistej odpowiedzialności. |
| Ignorowanie wymagań dotyczących łańcucha dostaw | Wiele firm skupia się na własnym bezpieczeństwie, ale zapomina o swoich dostawcach. | Oceń i zarządzaj ryzykiem związanym z cyberbezpieczeństwem w całym swoim łańcuchu dostaw, zgodnie z wymogami dyrektywy NIS2. |
| Tylko coroczne szkolenie uświadamiające | Jedno szkolenie w ciągu roku nie spełnia wymogu „regularnego” szkolenia. | Pokaż, że dbasz o stałe zaangażowanie, czego oczekują audytorzy: comiesięczne krótkie szkolenia, regularne symulacje ataków phishingowych i ciągłe monitorowanie. |
| Nie wiesz, czy przepis NIS2 dotyczy ciebie | Co zaskakujące, wiele organizacji nawet nie sprawdziło, czy w ogóle wchodzą w zakres NIS2. | Nie zakładaj, że nie kwalifikujesz się. Dokładnie sprawdź kryteria dotyczące branży i wielkości firmy. |
| Brak testów reagowania na incydenty | Samo sporządzenie planu reagowania na incydenty na papierze to za mało. NIS2 wymaga, żebyś go przetestował. | Przeprowadź ćwiczenia symulacyjne, odtwarzaj scenariusze zdarzeń i upewnij się, że twój zespół jest w stanie dotrzymać 24-godzinnego terminu na wydanie wczesnego ostrzeżenia. |
| Brak spełnienia wymogu rejestracji | Nikt nie zarejestruje twojej organizacji za ciebie i nie dostaniesz żadnego listu z przypomnieniem, przez co jest to obowiązek, o którym najłatwiej zapomnieć. | Samodzielnie zgłoś swoją organizację do wykazu podmiotów kluczowych i ważnych, jak wymaga tego ustawa o KSC. |
NIS2, ISO 27001 i DORA: jak wypadają w porównaniu?
Wiele organizacji musi spełniać wymagania wielu różnych standardów. Oto porównanie NIS2 z normą ISO 27001 i ustawą DORA (Digital Operational Resilience Act).
| Wymagania | NIS2 | ISO 27001 | DORA |
|---|---|---|---|
| Typ | Dyrektywa UE (wymóg prawny) | Międzynarodowa norma (dobrowolna) | Rozporządzenie UE (wymóg prawny) |
| Zakres | 18 sektorów, kluczowe i ważne podmioty | Każda organizacja (z własnej woli) | Tylko sektor finansowy |
| Czy szkolenie z zakresu świadomości jest obowiązkowe? | Tak (art. 20) | Tak (punkt 7.3, A.6.3) | Tak (art. 13) |
| Potrzebujesz szkolenia z zakresu zarządzania? | Tak (obowiązkowe, na poziomie zarządu) | Wymagane (punkt 5.1) | Tak (obowiązkowe, na poziomie zarządu) |
| Harmonogram zgłaszania incydentów | 24 godz. / 72 godz. / 1 miesiąc | Nie określono (zdefiniuj samodzielnie) | 4 godz. / 72 godz. (poważne awarie informatyczne) |
| Bezpieczeństwo łańcucha dostaw | Obowiązkowe | A.5.19–A.5.22 (kontrola dostawców) | Obowiązkowe (ryzyko związane z zewnętrznymi dostawcami usług ICT) |
| Kary | Do 10 mln euro lub 2% obrotów | Utrata certyfikatu | Do 10 mln euro lub 2% obrotów |
| Czy jest dostępna certyfikacja? | Jeszcze nie (planowane na 2026 r.) | Tak (akredytowane jednostki certyfikujące) | Jeszcze nie |
| Czy kierownictwo ponosi osobistą odpowiedzialność? | Tak | Nie | Tak |
Dobra wiadomość: organizacje posiadające certyfikat ISO 27001 mają sporą przewagę, jeśli chodzi o zgodność z NIS2. Podejście do zarządzania ryzykiem, wymagania dotyczące dokumentacji oraz obowiązki w zakresie szkoleń uświadamiających w znacznym stopniu się pokrywają.
Najczęściej zadawane pytania dotyczące dyrektywy NIS2
Co oznacza skrót NIS2?
Skrót NIS2 oznacza dyrektywę w sprawie bezpieczeństwa sieci i informacji (wersja 2). Często pisze się ją też jako NIS-2 lub NIS 2.0. To druga wersja unijnej dyrektywy o cyberbezpieczeństwie, która zastępuje pierwotną dyrektywę NIS z 2016 roku.
Kiedy NIS2 wejdzie w życie w Holandii?
To już się stało. Ustawa o cyberbezpieczeństwie weszła w życie15 sierpnia 2026 r., po tym jak Izba Reprezentantów (Tweede Kamer) przyjęła projekt ustawy 15 kwietnia 2026 r., a Izba Senatu (Eerste Kamer) – 7 lipca 2026 r. Nie ma żadnego okresu przejściowego, więc obowiązek staranności, obowiązek rejestracji, szkolenia kadry zarządzającej i zgłaszania incydentów obowiązują już od teraz.
Czy szkolenia z zakresu świadomości bezpieczeństwa są obowiązkowe zgodnie z dyrektywą NIS2?
Tak. Artykuł 20 dyrektywy NIS2 wyraźnie nakłada na organy zarządzające obowiązek odbycia szkoleń z zakresu cyberbezpieczeństwa oraz regularnego organizowania podobnych szkoleń dla pracowników. Oznacza to, że szkolenia uświadamiające są obowiązkiem prawnym, a nie opcjonalnym.
Czy rozporządzenie NIS2 dotyczy małych i średnich przedsiębiorstw?
Tak, to możliwe. Zakresem objęte są organizacje zatrudniające co najmniej 50 pracowników lub osiągające roczny obrót w wysokości co najmniej 10 mln euro, działające w jednej z 18 objętych sektorów. Niektóre podmioty są uwzględnione niezależnie od wielkości (np. dostawcy usług DNS, rejestry domen najwyższego poziomu).
Jakie są kary za nieprzestrzeganie przepisów NIS2?
Podmioty o kluczowym znaczeniu mogą zostać ukarane grzywną w wysokości do 10 mln euro lub 2% globalnego rocznego obrotu. Podmioty o istotnym znaczeniu mogą zostać ukarane grzywną w wysokości do 7 mln euro lub 1,4% globalnego obrotu. Dodatkowo kierownictwo może zostać pociągnięte do odpowiedzialności osobistej.
Czy mogę uzyskać certyfikat NIS2?
Na razie nie. Nie ma oficjalnego certyfikatu zgodności z NIS2. Jednak pakiet Komisji Europejskiej dotyczący cyberbezpieczeństwa z 2026 roku proponuje ścieżki zgodności oparte na certyfikacji. Certyfikat ISO 27001 obejmuje wiele wymagań NIS2 i jest uznawany przez audytorów za solidną podstawę.
Czym NIS2 różni się od RODO?
RODO skupia się na ochronie danych osobowych. Dyrektywa NIS2 dotyczy szeroko pojętego bezpieczeństwa sieci i systemów informatycznych. Te dwa akty prawne wzajemnie się uzupełniają: środki przewidziane w dyrektywie NIS2 pomagają chronić systemy przetwarzające dane osobowe, wspierając tym samym zgodność z RODO.
Jaki jest związek między NIS2 a ustawą o cyberbezpieczeństwie?
Cyberbeveiligingswet to holenderska ustawa krajowa, która wdraża dyrektywę UE NIS2. Przekłada ona wymogi dyrektywy na obowiązujące holenderskie przepisy i 15 sierpnia 2026 r. zastąpiła poprzednią ustawę Wbni (Wet beveiliging netwerk- en informatiesystemen). Mówiąc prościej: NIS2 określa, czego oczekuje Europa, a Cbw określa, do czego możesz być zobowiązany w Holandii – i to właśnie Cbw będzie dla ciebie miarą, według której oceni cię holenderski organ nadzorczy.
Co teraz zrobić, skoro weszła w życie dyrektywa NIS2
15 sierpnia 2026 r. NIS2 przestało być tylko przyszłym wyzwaniem. Rejestracja, obowiązek staranności, szkolenia kadry kierowniczej i zgłaszanie incydentów obowiązują już teraz, a przełożeni zaczną o to pytać jeszcze w tym roku. Organizacje, które dobrze wyjdą z tej pierwszej rozmowy, to te, które potrafią pokazać, co robią, a nie te, które potrafią wyjaśnić, co zamierzały zrobić.
Dzięki szkoleniom Guardey Security Awareness Training Twoi pracownicy co tydzień otrzymują 3-minutowe mikrolekcje dotyczące phishingu, postępowania z danymi, zgłaszania incydentów i nie tylko. Wszystko to jest zgodne z wymogami NIS2 i obejmuje pełną dokumentację na potrzeby audytów zgodności.
Spełnij wymogi szkoleniowe NIS2 i to udowodnij
Guardey szkoli każdego pracownika w ciągu kilku minut tygodniowo i automatycznie to dokumentuje, dzięki czemu zawsze masz pod ręką odpowiednie dowody. Zobacz to na żywo podczas prezentacji.
Zaplanuj prezentację
