Od 3 kwietnia 2026 roku w Polsce obowiązuje nowelizacja ustawy o Krajowym Systemie Cyberbezpieczeństwa (KSC), wdrażająca unijną dyrektywę NIS2. To jedna z najważniejszych zmian regulacyjnych ostatnich lat dla firm działających w sektorach infrastruktury krytycznej – i, jak pokazują pierwsze miesiące jej obowiązywania, zmiana, na którą wiele organizacji wciąż nie jest w pełni gotowych.
Skala zmiany jest bezprecedensowa
Dotychczasowa ustawa o KSC, obowiązująca od 2018 roku, obejmowała stosunkowo wąską grupę kilkuset największych operatorów infrastruktury krytycznej. Po nowelizacji liczba podmiotów objętych regulacją wzrasta – według szacunków Ministerstwa Cyfryzacji i firm doradczych – do rzędu 38–42 tysięcy organizacji, co oznacza mniej więcej stukrotny wzrost względem poprzedniego stanu prawnego. Wśród nich, oprócz operatorów telekomunikacyjnych, znajdują się firmy z sektora energetycznego, bankowego i transportowego – a więc dokładnie te branże, w których od lat działa Suntech.
Polska wdrożyła dyrektywę z ponad rocznym opóźnieniem względem unijnego terminu transpozycji, co wiązało się nawet z postępowaniem przed Trybunałem Sprawiedliwości UE. To opóźnienie sprawiło jednak, że firmy dostały stosunkowo krótki czas na dostosowanie się do nowych wymagań – pierwszy kluczowy termin, czyli zgłoszenie do wykazu podmiotów kluczowych i ważnych w systemie S46, upływa 3 października 2026 roku.
Gotowość rynku wciąż daleka od oczekiwań
Dane napływające w pierwszych miesiącach obowiązywania nowych przepisów pokazują, że tempo dostosowania się firm do obowiązków znacząco odbiega od harmonogramu ustawy. Według doniesień branżowych z lipca 2026 roku, spośród szacowanych 11 tysięcy prywatnych podmiotów objętych regulacją, do wykazu KSC zgłosiło się na tym etapie zaledwie około 200 firm. Oznacza to, że zdecydowana większość organizacji, które formalnie już podlegają nowym przepisom, dopiero rozpoczyna – albo wciąż odkłada – proces dostosowania.
Stawka jest wysoka: ustawa przewiduje kary sięgające 10 milionów euro lub 2% rocznego obrotu, a odpowiedzialność za brak zgodności może obciążać osobiście kierownictwo organizacji. To znacząca zmiana w porównaniu do poprzedniego modelu, w którym cyberbezpieczeństwo bywało traktowane jako kwestia wyłącznie techniczna, a nie zarządcza.
Co NIS2 oznacza w praktyce
Nowe przepisy kładą nacisk na systemowe zarządzanie ryzykiem, procedury reagowania na incydenty w ściśle określonych ramach czasowych oraz zdolność do wykazania – nie tylko zadeklarowania – że infrastruktura jest odpowiednio zabezpieczona i monitorowana. Podmioty kluczowe będą zobowiązane do przeprowadzenia pierwszego formalnego audytu bezpieczeństwa, a audytowalność działań i decyzji staje się jednym z filarów zgodności. Nie wystarczy wiedzieć, że sieć działa poprawnie – trzeba to umieć udokumentować, w dowolnym momencie i na żądanie odpowiednich organów.
Dlaczego wszystko zaczyna się od inwentaryzacji sieci
W dyskusjach o NIS2 dominują dziś tematy formalne – terminy, kary, procedury zgłoszeniowe. Rzadziej mówi się o tym, co w praktyce jest warunkiem spełnienia tych wymagań: dokładna, aktualna wiedza o własnej infrastrukturze. Nie da się zarządzać ryzykiem w sieci, której się nie zna – nie da się ocenić, które elementy są krytyczne, gdzie są luki, ani jak szybko zareagować na incydent, jeśli dane o zasobach sieciowych są rozproszone, nieaktualne lub w ogóle nie istnieją w ustrukturyzowanej formie.
Systemy do paszportyzacji i inwentaryzacji sieci, takie jak SunVizion, nie są więc dodatkiem do zgodności z NIS2 – są jej fundamentem. Dokładna mapa infrastruktury, śledzenie zmian konfiguracji i pełna historia zdarzeń w sieci to dokładnie ten rodzaj danych, którego wymaga dyrektywa, a jednocześnie dane, które organizacje i tak powinny mieć, niezależnie od regulacji.
Zgodność jako efekt uboczny dobrego zarządzania infrastrukturą sieciową
Biorąc pod uwagę, jak niewiele firm zdążyło się dotąd formalnie zgłosić do wykazu, kolejne miesiące 2026 roku będą dla wielu organizacji okresem przyspieszonych działań. Warto jednak spojrzeć na NIS2 nie tylko jako na dodatkowe obciążenie, ale jako na impuls do uporządkowania czegoś, co i tak powinno być uporządkowane. Organizacje, które od lat inwestują w rzetelną inwentaryzację i zarządzanie infrastrukturą, mają dziś naturalną przewagę – zgodność z dyrektywą staje się dla nich efektem ubocznym dobrych praktyk, a nie punktem wyjścia do rewolucji.
