NIS2 · ustawa o KSC · Dz.U. 2026 poz. 252
NIS2 w Polsce: przepis po przepisie — i co z nim zrobić w placówce
Konkretne artykuły ustawy o krajowym systemie cyberbezpieczeństwa i rozwiązanie, którym każdy z nich realizujemy.
Dyrektywę NIS2 wdrożyła w Polsce ustawa z 23 stycznia 2026 r. o zmianie ustawy o krajowym systemie cyberbezpieczeństwa (Dz.U. 2026 poz. 252), obowiązująca od 3 kwietnia 2026 r. Ochrona zdrowia jest w niej sektorem kluczowym. Poniżej zestawiliśmy najważniejsze przepisy z tym, jak realizujemy je w placówkach medycznych.
Aktualizacja: · Opracowanie: zespół ITdlaLekarzy
Kogo dotyczy
Czy NIS2 obejmuje Twoją placówkę?
Ochrona zdrowia jest sektorem kluczowym (załącznik nr 1 do ustawy). O tym, czy i jak placówka jest objęta, decyduje przede wszystkim jej wielkość.
- Podmiot kluczowy
Duży podmiot leczniczy
Co najmniej 250 pracowników albo obrót powyżej 50 mln euro i suma bilansowa powyżej 43 mln euro. Nadzór z wyprzedzeniem i obowiązkowy audyt co najmniej raz na 3 lata. - Podmiot ważny
Średni podmiot leczniczy
Co najmniej 50 pracowników albo obrót i suma bilansowa powyżej 10 mln euro. Nadzór po fakcie, audyt na żądanie organu. - Do sprawdzenia
Mała placówka
Mniejsze podmioty co do zasady nie są objęte ustawą, ale liczą się m.in. podmioty powiązane i partnerskie. Sprawdzamy to przed jakimikolwiek kosztami.
Przepis po przepisie
Co wymaga ustawa o KSC i czym to realizujemy
Artykuły w brzmieniu nadanym nowelizacją z 23 stycznia 2026 r. Dla każdego wymagania — nasze konkretne rozwiązanie.
| Przepis | Co wymaga | Nasze rozwiązanie |
|---|---|---|
| art. 7c ust. 1 | Wniosek o wpis do wykazu podmiotów kluczowych i ważnych w ciągu 6 miesięcy od spełnienia przesłanek; zmiany danych w 14 dni (ust. 3). | Sprawdzamy, czy placówka podlega ustawie, i przygotowujemy dane do wniosku. Audyt IT |
| art. 8 | System zarządzania bezpieczeństwem informacji (SZBI) z systematycznym szacowaniem ryzyka. | Audyt, inwentaryzacja, analiza ryzyka i plan działań. Audyt IT |
| art. 8 ust. 1 pkt 2 | Środki techniczne i organizacyjne: aktualizacje, monitorowanie w trybie ciągłym, ochrona przed złośliwym oprogramowaniem. | NinjaOne (aktualizacje, monitoring) w pakiecie z Bitdefender GravityZone (EDR), opcjonalnie SOC 24/7 (MDR). NinjaOne + Bitdefender |
| art. 8 ust. 1 pkt 2 | Ciągłość działania i odtwarzanie po awarii. | Kopie na Synology z Active Backup (komputery, serwery, Microsoft 365) i ćwiczenie odtworzenia z zespołem. Synology, Backup |
| art. 8 ust. 1 pkt 2 | Kryptografia, uwierzytelnianie wieloskładnikowe, kontrola dostępu, bezpieczna komunikacja. | Microsoft 365 Business Premium (MFA, dostęp warunkowy, Intune, szyfrowanie), szyfrowanie dysków Bitdefender, menedżer haseł Bitwarden lub KeePass. Microsoft 365 |
| art. 8 ust. 1 pkt 2 | Edukacja personelu i zasady cyberhigieny. | E-learning od 5 zł netto za osobę miesięcznie, symulacje phishingu, RODO w praktyce, pakiet na pierwszy dzień. Szkolenia |
| art. 8 ust. 2 | Uwzględnienie w SZBI podatności i praktyk dostawców ICT (łańcuch dostaw). | Przegląd dostawców IT i oprogramowania medycznego, ich dostępów zdalnych i umów w ramach audytu. Audyt IT |
| art. 8d | Kierownik zatwierdza analizę ryzyka i politykę cyberbezpieczeństwa, nadzoruje ich stosowanie i planuje środki finansowe. | Raporty dla zarządu i plan budżetu IT na spotkaniach rady strategicznej. Rada strategiczna |
| art. 8e | Szkolenie kierownika podmiotu raz w roku kalendarzowym, z udokumentowanym udziałem. | Szkolenie NIS2 dla zarządu i kierownictwa. Szkolenie NIS2 dla zarządu |
| art. 10 | Dokumentacja bezpieczeństwa systemu informacyjnego: normatywna i operacyjna, aktualizowana. | Przygotowujemy polityki, procedury i rejestry; dokumentację operacyjną zasilają raporty z NinjaOne i Bitdefender. NIS2 w placówce |
| art. 11 | Zgłoszenie poważnego incydentu do CSIRT: wczesne ostrzeżenie do 24 h, zgłoszenie do 72 h, sprawozdanie końcowe do miesiąca. | Bitdefender wykrywa i izoluje zagrożenie, procedura incydentu wskazuje, kto zgłasza, a my pomagamy zebrać dane do zgłoszenia. Procedurę ćwiczymy z zespołem. Cyberbezpieczeństwo |
| art. 15 | Podmiot kluczowy: audyt bezpieczeństwa co najmniej raz na 3 lata (pierwszy do 3 kwietnia 2028 r.). | Przygotowanie do audytu: przegląd luk, testy penetracyjne, uzupełnienie dokumentacji. Testy penetracyjne |
| art. 73 i 73a | Kary: podmiot kluczowy do 10 mln euro lub 2% przychodów, ważny do 7 mln euro lub 1,4%; kierownik do 300% miesięcznego wynagrodzenia. | Udokumentowane działania — audyt, szkolenia, procedury, raporty — to najlepsza obrona w razie kontroli. |
Zestawienie ma charakter informacyjny i nie jest poradą prawną. Numerację przepisów warto potwierdzić w tekście jednolitym ustawy o KSC, a kwalifikację placówki — z prawnikiem.
Terminy
Kalendarz NIS2 w Polsce
Krok 1: 3 kwietnia 2026
Nowelizacja ustawy o KSC wchodzi w życie.Krok 2: 3 października 2026
Termin wniosku o wpis do wykazu dla podmiotów spełniających przesłanki w dniu wejścia ustawy w życie (już minął — nowe podmioty mają 6 miesięcy).Krok 3: 3 kwietnia 2027
Wdrożony system zarządzania bezpieczeństwem informacji i obowiązki z zakresu zarządzania ryzykiem oraz incydentów.Krok 4: 3 kwietnia 2028
Pierwszy audyt podmiotów kluczowych; od tej daty organy mogą nakładać kary pieniężne.
Jak to robimy
Wdrożenie NIS2 w placówce medycznej z ITdlaLekarzy
Zaczynamy od sprawdzenia, czy placówka podlega ustawie i czy jest podmiotem kluczowym, czy ważnym. Potem robimy audyt i analizę ryzyka, a z nich wynika plan: co wdrożyć technicznie, jakie dokumenty przygotować i kogo przeszkolić.
Większość wymagań technicznych spełnia nasz standard opieki IT: NinjaOne w pakiecie z Bitdefender, kopie zapasowe na Synology, Microsoft 365 Business Premium dla kierownictwa i szkolenia personelu. Współpracę z placówkami objętymi NIS2 zaczynamy od 20 000 zł netto miesięcznie — to cena minimalna, a ostateczna zależy od wielkości placówki i zakresu.
Sprawdźmy, co NIS2 oznacza dla Twojej placówki
Zaczynamy od krótkiej rozmowy: czy placówka podlega ustawie, co już spełnia i co trzeba zrobić przed 3 kwietnia 2027 r.