Jak działa test NIS2

Wersja 1.1. Stan prawny sprawdzony 13 października 2026. Wróć do testu

Stan prawny

Dyrektywę NIS2 wdrożyła ustawa z 23 stycznia 2026 r. o zmianie ustawy o krajowym systemie cyberbezpieczeństwa oraz niektórych innych ustaw (Dz.U. 2026 poz. 252). Ustawa weszła w życie 3 kwietnia 2026. Prezydent podpisał ją i jednocześnie skierował część przepisów do Trybunału Konstytucyjnego w trybie kontroli następczej – do czasu ewentualnego wyroku ustawa obowiązuje w całości. Test nie uwzględnia decyzji organów (art. 7l i 7m) ani przepisów wykonawczych wydanych po dacie sprawdzenia.

Późniejsze zmiany ustawy o KSC – Dz.U. 2026 poz. 815 (zarządzanie kryzysowe, od 4.07.2026), poz. 1003 (systemy sztucznej inteligencji) i poz. 1206 (Prawo bankowe) – nie zmieniają kryteriów kwalifikacji, terminów ani kar. Od 11 stycznia 2027 (Dz.U. 2026 poz. 1206): Od 11 stycznia 2027 r. w miejsce oddziału banku zagranicznego załącznik obejmuje oddział z państwa trzeciego w rozumieniu art. 4 ust. 1 pkt 20a Prawa bankowego. Na dzień sprawdzenia nie znaleźliśmy na gov.pl i legislacja.gov.pl projektów rozporządzeń wykonawczych, które zmieniałyby kryteria testu.

Kwalifikacja: podmiot kluczowy, ważny albo poza ustawą

• Rodzaj działalności wybierasz z listy 150 rodzajów podmiotów przepisanych z załączników nr 1 (sektory kluczowe) i nr 2 (sektory ważne) do ustawy. Wiersz „dostawca usług zaufania” rozdzielamy na dostawcę kwalifikowanego i niekwalifikowanego.
• Reguła ogólna (art. 5 ust. 1 pkt 1 i ust. 2 pkt 1–2): załącznik nr 1 + firma większa niż średnia → podmiot kluczowy; załącznik nr 1 + firma średnia → ważny; załącznik nr 2 + firma co najmniej średnia → ważny; mikro- i małe firmy – poza ustawą.
• Niezależnie od wielkości – kluczowy (art. 5 ust. 1 pkt 4): dostawca usług DNS, rejestr TLD, rejestracja domen, kwalifikowany dostawca usług zaufania, podmiot publiczny z załącznika nr 1, operator obiektu energetyki jądrowej, urzędy wskazane w załączniku nr 1 (np. Państwowa Inspekcja Sanitarna).
• Niezależnie od wielkości – ważny (art. 5 ust. 2 pkt 5 i 8): inwestor obiektu energetyki jądrowej z decyzją zasadniczą; samorządowa jednostka i zakład budżetowy, samorządowa instytucja kultury i spółka komunalna, które realizują zadanie publiczne z użyciem systemów informacyjnych.
• Reguły szczególne: przedsiębiorca komunikacji elektronicznej – kluczowy od średniego, mikro i mały – ważny (art. 5 ust. 1 pkt 2, ust. 2 pkt 4); dostawca usług zarządzanych w zakresie cyberbezpieczeństwa – kluczowy już jako małe przedsiębiorstwo (art. 5 ust. 1 pkt 3); niekwalifikowany dostawca usług zaufania będący MŚP – ważny (art. 5 ust. 2 pkt 3); podmiot leczniczy, który nie jest przedsiębiorcą – ważny od 50, kluczowy od 250 zatrudnionych (art. 5 ust. 8).
• Podmiot krytyczny wyznaczony na podstawie ustawy o zarządzaniu kryzysowym jest podmiotem kluczowym niezależnie od sektora i wielkości (art. 5 ust. 1 pkt 4 lit. c) – w teście zaznaczasz to osobno.
• Dawny operator usługi kluczowej: minister wpisał go do wykazu z urzędu (art. 34 ust. 2), incydenty zgłasza według nowych zasad od 3 października 2026 (art. 33 ust. 4), a audyt robi w dotychczasowym cyklu co 3 lata – bez odroczenia do 3 kwietnia 2028 (komunikat MC z 10.04.2026). Test nie pokazuje mu alarmu o terminie wniosku.
• Organizacje, które nie są przedsiębiorcami (jednostka publiczna, fundacja, instytut), a są wskazane w załączniku z nazwy albo przez rodzaj – kluczowe (zał. 1) albo ważne (zał. 2) niezależnie od wielkości (art. 5 ust. 1 pkt 4 lit. g, ust. 2 pkt 7). Ponieważ zależy to od dokładnego brzmienia załącznika, oznaczamy taki wynik „do potwierdzenia”.

Wielkość firmy i grupy

• Kategorie według art. 2 załącznika I do rozporządzenia Komisji (UE) nr 651/2014: liczba pracowników i obrót albo suma bilansowa. Firma, która ma mniej niż 250 pracowników, ale obrót powyżej 50 mln EUR, nadal jest średnia, jeśli jej suma bilansowa nie przekracza 43 mln EUR.
• Zatrudnienie w rocznych jednostkach roboczych (RJR). Kwoty w złotych przeliczamy na euro po kursie 4,2267 zł z 31 grudnia 2025.
• Firmy powiązane (ponad 50% udziałów albo kontrola) dodajesz w 100%, partnerskie (25–50%) – proporcjonalnie do udziału (art. 6 załącznika I). Test przyjmuje dane łączne, które podajesz.
• Wyjątek z art. 5 ust. 6–7: jeśli firma przekracza próg tylko dzięki grupie, ale jej systemy informacyjne są niezależne od grupy i nie świadczy usług wspólnie z nią, liczy się wielkość samej firmy.
• Nie stosujemy art. 3 ust. 4 załącznika I (kontrola przez podmioty publiczne) – wyłącza go art. 5 ust. 3 ustawy. Status ustala się według stanu na dzień sprawozdania finansowego (art. 5 ust. 5).
• Wynik oznaczamy „do potwierdzenia”, gdy zatrudnienie, obrót albo suma bilansowa są w odległości do 10% od progu, gdy działa wyjątek dla niezależnych systemów, przy dostawcach usług zarządzanych w zakresie cyberbezpieczeństwa i przy organizacjach niebędących przedsiębiorcami.

Terminy i kary

• Firma, która spełniała przesłanki 3 kwietnia 2026: wniosek o wpis do 3 października 2026 (komunikat Ministra Cyfryzacji), obowiązki do 3 kwietnia 2027 (art. 33 ust. 1), pierwszy audyt podmiotu kluczowego do 3 kwietnia 2028 (art. 33 ust. 2).
• Firma, która zaczęła spełniać przesłanki później: 6, 12 i 24 miesięcy od tej daty (art. 7c ust. 1 i art. 16). Gdy dzień nie istnieje w miesiącu docelowym, przyjmujemy ostatni dzień miesiąca.
• Podmioty publiczne, przedsiębiorców komunikacji elektronicznej, dostawców usług zaufania i dawnych operatorów usług kluczowych minister wpisuje do wykazu z urzędu – wtedy pokazujemy termin uzupełnienia danych (6 miesięcy od wezwania, art. 7b ust. 2) zamiast terminu wniosku.
• System S46 (zgłoszenia incydentów, komunikacja z CSIRT) działa dla nowych podmiotów od 12 czerwca 2026; korzystanie z niego jest częścią obowiązków do 3 kwietnia 2027 (komunikat MC z 10.04.2026).
• Kary: górne granice z art. 73 ust. 3–5 i art. 73a ust. 4–5. Kwotę w euro przeliczamy poglądowo – ustawa każe stosować kurs NBP z 31 grudnia roku poprzedzającego decyzję. Procent liczymy od podanego obrotu (ustawa: przychód z działalności gospodarczej w roku obrotowym przed wymierzeniem kary). Dla podmiotu ważnego ustawa nie mówi wprost, która z kwot ma zastosowanie, więc pokazujemy obie. Większość kar można nałożyć dopiero po 3 kwietnia 2028 (art. 35).

Samoocena gotowości

• 27 pytań w 10 obszarach odpowiadających wymaganiom art. 8 ust. 1, art. 8c–8e, art. 7c i art. 11 ustawy. Trzy pytania o obowiązki ustawowe (wpis do wykazu, szkolenie kierownika, zgłaszanie do CSIRT) pokazujemy tylko podmiotom kluczowym i ważnym.
• Punkty: „Tak” 1, „Częściowo” 0,5, „Nie” i „Nie wiem” 0. Pytania bez odpowiedzi liczymy jak „Nie wiem”. Każde pytanie ma wagę 1–3 (łącznie 58) – najwyżej ważymy kopie zapasowe, MFA, aktualizacje, ochronę stacji, szacowanie ryzyka i procedurę incydentu. Wynik = suma (waga × punkty) / suma wag.
• Priorytety luk: P1 – pilne, w ciągu 30 dni (największe ryzyko ataku lub utraty danych, brak wpisu do wykazu), P2 – przed terminem wdrożenia, P3 – dobra praktyka. Odpowiedź „Częściowo” obniża priorytet o jeden stopień.
• Samoocena nie jest audytem z art. 15 ustawy i nie potwierdza zgodności. Rozporządzenia wykonawcze (art. 8a) i akty wykonawcze Komisji Europejskiej mogą doprecyzować wymagania dla konkretnych rodzajów podmiotów.

Parametry

Prywatność

Test liczy wszystko w przeglądarce. Do analityki (po zgodzie na cookies) trafia tylko informacja o użyciu testu i ogólny status (kluczowy, ważny, poza) – bez kwot i bez odpowiedzi. Przy wysyłce wyniku na e-mail wysyłamy status, terminy, procent gotowości i listę luk, bez obrotu i sumy bilansowej. Szczegóły: regulamin i polityka prywatności.

Źródła

• Ustawa z dnia 23 stycznia 2026 r. o zmianie ustawy o krajowym systemie cyberbezpieczeństwa oraz niektórych innych ustaw (Dz.U. 2026 poz. 252)
• Ministerstwo Cyfryzacji: „Nowelizacja ustawy o krajowym systemie cyberbezpieczeństwa zaczyna obowiązywać” (2.04.2026)
• Ministerstwo Cyfryzacji: nowelizacja ustawy o KSC – najważniejsze terminy (10.04.2026)
• Ustawa z 31.07.2026 o zmianie ustawy – Prawo bankowe oraz niektórych innych ustaw (Dz.U. 2026 poz. 1206), art. 35 i 57
• Ministerstwo Cyfryzacji: samorejestracja w wykazie podmiotów kluczowych i ważnych (7.05.2026)
• Komunikat Ministra Cyfryzacji z 8.04.2026 w sprawie harmonogramu wniosków o wpis do wykazu (Dz. Urz. Ministra Cyfryzacji poz. 7)
• Aplikacja Wykaz KSC
• Rozporządzenie Komisji (UE) nr 651/2014, załącznik I (definicja MŚP)
• Dyrektywa (UE) 2022/2555 (NIS2)
• NBP: kurs średni euro z 31.12.2025

Historia zmian

• 13 października 2026 – wersja 1.1: przegląd przepisów: podmiot krytyczny i dawny operator usługi kluczowej w kwalifikacji, termin S46, zmiana załącznika nr 1 od 11.01.2027 (Dz.U. 2026 poz. 1206), progi i kary w tekstach z jednego źródła parametrów.
• 10 października 2026 – wersja 1.0: pierwsza wersja testu.

To nie jest porada prawna. Test porządkuje kryteria z ustawy. O statusie decyduje sama organizacja – przy wątpliwościach skonsultuj wynik z prawnikiem.