NIS2 Artykuł 26: który organ faktycznie nadzoruje Twojego klienta?

Dostawca usług zarządzanych z Rotterdamu prowadzi security operations dla klienta z siedzibą prawną we Frankfurcie, trzema zakładami produkcyjnymi w Polsce i biurem handlowym w Mediolanie.

Cztery kraje. Cztery krajowe ustawy wdrażające NIS2. Cztery organy nadzoru.

Który z nich może przeprowadzić audyt?

Większość konsultantów zgaduje źle. Zakładają, że NIS2 działa jak zasada one-stop-shop z RODO, albo że każdy kraj działalności dokłada kolejny organ. Żadne z tych założeń nie jest prawdziwe. Artykuł 26 NIS2 ustala regułę i dzieli podmioty na dwie grupy, które działają zupełnie inaczej.

W większości sektorów jurysdykcja idzie za miejscem prowadzenia działalności — w każdym kraju

Artykuł 26 ust. 1 lit. a) jest krótki: podmioty podlegają jurysdykcji państwa członkowskiego, w którym mają jednostkę organizacyjną.

Zwróć uwagę na domyślną liczbę mnogą. Producent z podmiotami prawnymi w Niemczech, Polsce i we Włoszech ma jednostki organizacyjne w trzech miejscach. Jeżeli każdy z tych podmiotów przekracza próg wielkości w sektorze z załącznika I lub II, każdy odrębnie wchodzi w zakres, rejestruje się odrębnie i jest odrębnie nadzorowany przez organ danego kraju.

To sytuacja domyślna i dotyczy większości klientów: energetyka, transport, bankowość, ochrona zdrowia, woda pitna, ścieki, produkcja, żywność, gospodarka odpadami, usługi pocztowe, chemia, dostawcy cyfrowi, badania naukowe.

Konkretny przykład. Producent żywności prowadzi zakład na 60 osób w Polsce i zakład na 40 osób w Belgii. Podmiot polski wchodzi w zakres polskiej ustawy i musi się tam zarejestrować. Podmiot belgijski samodzielnie nie osiąga progu wielkości. Ta sama grupa, inne obowiązki, inne organy, dwa odrębne programy zgodności.

Konsultanci, którzy budują jeden centralny program NIS2 dla grupy i na tym poprzestają, zostawiają każdy lokalny podmiot bez zabezpieczenia. Polityka grupowa jest przydatna. Nie zastępuje rejestracji lokalnej i nadzoru lokalnego.

Dostawcy cyfrowi i dostawcy usług zarządzanych mają jeden organ — i tylko jeden

Artykuł 26 ust. 1 lit. b) wydziela konkretną listę i przypisuje tym podmiotom jeden punkt nadzoru, niezależnie od tego, gdzie w UE działają:

• dostawcy usług DNS
• rejestry nazw domen najwyższego poziomu
• podmioty świadczące usługi rejestracji nazw domen
• dostawcy usług przetwarzania w chmurze
• dostawcy usług ośrodka przetwarzania danych
• dostawcy sieci dostarczania treści
• dostawcy usług zarządzanych
• dostawcy zarządzanych usług w zakresie bezpieczeństwa
• dostawcy internetowych platform handlowych, wyszukiwarek internetowych i platform usług sieci społecznościowych

Podmioty te podlegają jurysdykcji państwa członkowskiego, w którym mają główną jednostkę organizacyjną. Jeden organ. Jedna rejestracja. Jedna ustawa krajowa, nawet jeśli obsługują klientów we wszystkich 27 państwach członkowskich.

Jeśli prowadzisz MSP lub MSSP, dotyczy to Ciebie — Twojej własnej zgodności, nie tylko zgodności klientów. Zobacz nasz przewodnik po NIS2 dla MSP i MSSP opisujący problem podwójnego obowiązku.

„Główna jednostka organizacyjna" to nie siedziba rejestrowa

W tym miejscu psuje się większość samooceny. Artykuł 26 ust. 2 definiuje główną jednostkę organizacyjną kaskadowo, a siedziba rejestrowa nie pojawia się w tej kaskadzie w ogóle.

1. Państwo członkowskie, w którym przeważnie podejmowane są decyzje dotyczące środków zarządzania ryzykiem w cyberbezpieczeństwie.
2. Jeżeli tego państwa nie da się ustalić lub decyzje te nie są podejmowane w Unii — państwo członkowskie, w którym prowadzone są działania w zakresie cyberbezpieczeństwa.
3. Jeżeli i tego nie da się ustalić — państwo członkowskie, w którym podmiot ma jednostkę organizacyjną o największej liczbie pracowników w Unii.

Przeczytaj krok pierwszy jeszcze raz. Chodzi o to, gdzie zapadają decyzje. Nie gdzie spółka jest zarejestrowana, nie gdzie siedzi prezes, nie gdzie wystawiane są faktury.

MSP zarejestrowany w Luksemburgu ze względów podatkowych, którego CISO, komitet sterujący ds. bezpieczeństwa i rejestr ryzyk znajdują się w Antwerpii, ma główną jednostkę organizacyjną w Belgii. Stosuje się prawo belgijskie. Nadzoruje CCB. Rejestracja luksemburska jest z punktu widzenia artykułu 26 bez znaczenia.

Udokumentuj, na którym kroku kaskady wylądowałeś i dlaczego. Gdy organ zapyta, „nasi prawnicy powiedzieli Luksemburg" nie jest odpowiedzią. Protokół zarządu pokazujący, gdzie zatwierdzane są decyzje dotyczące zarządzania ryzykiem, już tak.

Dostawcy spoza UE muszą wyznaczyć przedstawiciela — i ten wybór ustala jurysdykcję

Artykuł 26 ust. 3 dotyczy dostawców z listy 26 ust. 1 lit. b), którzy nie mają jednostki organizacyjnej w Unii, ale oferują w niej usługi. Muszą wyznaczyć przedstawiciela mającego jednostkę organizacyjną w jednym z państw członkowskich, w których oferują te usługi. Podmiot uznaje się wówczas za podlegający jurysdykcji państwa członkowskiego, w którym ten przedstawiciel ma jednostkę organizacyjną.

Dwie konsekwencje, które konsultanci regularnie pomijają.

Wyznaczenie przedstawiciela nie chroni podmiotu. Postępowanie prawne można nadal prowadzić przeciwko samemu dostawcy, nawet gdy przedstawiciel został wyznaczony.

Brak wyznaczenia nie daje immunitetu. Tworzy dostawcę bez przedstawiciela, który sprzedaje na rynku, gdzie organy i tak mogą podjąć wobec niego działania.

Wniosek praktyczny: jeśli odsprzedajesz lub integrujesz amerykańską, brytyjską albo szwajcarską platformę chmurową w usługę kluczową klienta, zapytaj o ich przedstawiciela w UE i o państwo członkowskie, w którym się znajduje. Jeśli nie potrafią go wskazać, masz ustalenie do wpisania w ocenę łańcucha dostaw klienta. Dokładnie taka luka, jaką opisujemy w bezpieczeństwie łańcucha dostaw w NIS2.

Jeden organ nie oznacza jednego zbioru zasad

Artykuł 26 rozstrzyga, kto Cię nadzoruje. Nie harmonizuje tego, względem czego Cię nadzoruje.

NIS2 to dyrektywa, nie rozporządzenie. Każde państwo członkowskie wdrożyło ją własną ustawą, z własnym portalem rejestracyjnym, własnymi terminami, własną wykładnią progów wielkości i — w kilku przypadkach — własnymi ramami kontrolnymi: belgijski CyFun, włoska kategoryzacja ACN, niemiecki BSIG.

A wdrożenie wciąż nie jest kompletne. 8 lipca 2026 r. Komisja Europejska skierowała sprawy przeciwko Irlandii, Hiszpanii, Francji i Niderlandom do Trybunału Sprawiedliwości UE z powodu niezgłoszenia pełnych środków transpozycji, wnosząc w każdym przypadku o sankcje finansowe. Co to oznacza dla dostawców, opisaliśmy w Francja i Hiszpania przed TSUE.

Dla dostawcy z listy 26 ust. 1 lit. b) główna jednostka organizacyjna jest więc realną zmienną strategiczną. To, gdzie zapadają Twoje decyzje dotyczące bezpieczeństwa, przesądza, w którym portalu się rejestrujesz, który CSIRT powiadamiasz, z jaką kulturą nadzoru masz do czynienia i do jakich ram muszą być mapowane Twoje dowody. Tego nie odkrywa się w trakcie audytu. Sprawdź, gdzie stoi każdy kraj, w naszej osi czasu wdrożenia NIS2.

Status Wdrożenia NIS2 według Kraju (2025–2026)
✅
W pełni obowiązuje
🇧🇪Belgia
🇭🇷Chorwacja
🇭🇺Węgry
🇱🇹Litwa
🇱🇻Łotwa
🇮🇹Włochy
6 krajów
📋
Przyjęta — koniec 2025
🇩🇪Niemcy
🇨🇿Czechy
🇫🇮Finlandia
3 krajów
⏳
W trakcie — oczekiwane 2026
🇳🇱Holandia
🇫🇷Francja
🇪🇸Hiszpania
🇵🇱Polska
🇦🇹Austria
🇸🇪Szwecja
🇮🇪Irlandia
7 krajów

Artykuł 27 sprawia, że nie da się po cichu wybrać korzystnej jurysdykcji

Artykuł 27 zobowiązuje państwa członkowskie do zebrania — za pośrednictwem pojedynczych punktów kontaktowych — danych identyfikacyjnych każdego podmiotu z listy 26 ust. 1 lit. b) i przekazania ich do ENISA. ENISA prowadzi rejestr obejmujący całą Unię i na wniosek udostępnia go właściwym organom.

Przekazywane informacje obejmują nazwę podmiotu, właściwy sektor i podsektor z załączników, adres i dane kontaktowe, państwa członkowskie, w których świadczy usługi, oraz zakresy adresów IP.

Te dwie ostatnie pozycje ważą więcej, niż się wydaje. Sam deklarujesz obsługiwane kraje, ENISA prowadzi rejestr, a każdy organ krajowy może wystąpić o dostęp.

Dostawca, który rejestruje się w państwie o najłagodniejszej reputacji nadzorczej, podczas gdy jego faktyczne decyzje dotyczące bezpieczeństwa zapadają gdzie indziej, wcale się więc nie ukrywa. Składa deklarację, która daje organom materiał do zauważenia rozbieżności. Sama rejestracja jest już najczęściej pomijanym obowiązkiem w NIS2 — zobacz obowiązek rejestracji.

Błędne ustalenie jurysdykcji kumuluje się w trzy odrębne naruszenia

Rzadko pozostaje to problemem papierowym.

Rejestracja. Rejestracja w niewłaściwym państwie członkowskim oznacza brak rejestracji we właściwym. W większości ustaw krajowych to samodzielne naruszenie, całkowicie niezależne od tego, jak dobra jest Twoja faktyczna postawa bezpieczeństwa.

Zgłaszanie incydentów. Wczesne ostrzeżenie w ciągu 24 godzin trafia do CSIRT państwa członkowskiego właściwego jurysdykcyjnie. Wysłane do niewłaściwego — zegar tyka dalej, zanim to wyjdzie na jaw. Spóźnione zgłoszenie jest naruszeniem odrębnym od samego incydentu. Terminy opisujemy w zgłaszaniu incydentów NIS2.

Łańcuch dostaw. Twoi klienci mają obowiązek oceniać dostawców zgodnie z artykułem 21 ust. 2 lit. d). Dostawca, który nie potrafi wskazać własnego organu nadzoru, to dostawca, którego status zgodności jest nieweryfikowalny — i trafia to wprost do dokumentacji dostawców klienta jako otwarte ryzyko.

Eskalacja sankcji NIS2 — Poza karą finansową
!
Zdarzenie wyzwalające
Wykryto niezgodność lub wystąpił incydent
Organ nadzorczy identyfikuje lukę w zgodności lub organizacja nie spełnia wymagań NIS2
Organy mogą nałożyć
▼
Sankcje niefinansowe
1
Nakazy zgodności z wiążącymi terminami
2
Obowiązkowe audyty bezpieczeństwa na Twój koszt
3
Publiczne ujawnienie naruszeń
4
Wiążące instrukcje dotyczące konkretnych środków bezpieczeństwa
Eskaluje do
▼
Konsekwencje operacyjne i osobiste
1
Zawieszenie certyfikatów lub licencji operacyjnych
2
Tymczasowy zakaz pełnienia funkcji zarządczych dla osób
3
Publiczne wskazanie odpowiedzialnych osób fizycznych
Zdarzenie wyzwalające
Niefinansowe
Operacyjne / osobiste

Co udokumentować dla każdego klienta działającego w wielu krajach

Cztery dokumenty. Żaden nie zajmuje dużo czasu. O każdy ktoś zapyta.

1. Mapa podmiotów. Każdy podmiot prawny, jego kraj, zatrudnienie, obrót i sektor z załącznika I lub II. To pokazuje, które podmioty wchodzą w zakres odrębnie na podstawie artykułu 26 ust. 1 lit. a).
2. Notatka o głównej jednostce organizacyjnej dla każdego podmiotu z listy 26 ust. 1 lit. b). Wskaż zastosowany krok kaskady, dowody i datę. Jedna strona wystarczy.
3. Dokumentacja rejestracji. Portal, data złożenia, numer referencyjny, właściwy organ i kanał kontaktu z krajowym CSIRT do zgłaszania incydentów.
4. Dane przedstawiciela każdego dostawcy spoza UE w krytycznym łańcuchu dostaw klienta, wraz z państwem członkowskim tego przedstawiciela.

Przeglądaj notatkę o głównej jednostce organizacyjnej za każdym razem, gdy funkcja bezpieczeństwa się przenosi. Przeniesienie SOC, outsourcing security operations do innego kraju albo zatrudnienie CISO w nowej lokalizacji może przesunąć jurysdykcję w kaskadzie. Żaden organ Cię o tym nie powiadomi.

Większość organizacji odkrywa, że ich założenie o jurysdykcji było błędne, w momencie gdy już mają udowodnić coś innego. Nasz bezpłatny quick scan NIS2 przechodzi przez zakres, jurysdykcję i środki z artykułu 21 w około dziesięć minut i daje analizę luk, którą można od razu omówić z klientem.

Artykuł 26 to dwa akapity tekstu prawnego. Błędne jego zastosowanie unieważnia wszystko, co na nim zbudujesz.