NIS2 jest przepisywana: co propozycja zmian z 2026 roku oznacza dla ciebie i twoich klientów

Dwadzieścia dwa z 27 państw członkowskich UE transponowały już NIS2 do prawa krajowego. Podczas gdy większość organizacji wciąż zmaga się z pierwotnymi wymaganiami, Komisja Europejska opublikowała już propozycję zmiany zasad. 20 stycznia 2026 r. Komisja opublikowała pakiet poprawek dotyczących zakresu, zgłaszania ransomware, certyfikacji i nadzoru transgranicznego.

Dlaczego Komisja już wprowadza zmiany do dyrektywy, która nie jest jeszcze w pełni wdrożona

NIS2 stała się wykonalna w październiku 2024 r. Pakiet Omnibus Cyfrowy Komisji, uruchomiony w listopadzie 2025 r., usprawnia unijne ustawodawstwo cyfrowe, aby zmniejszyć fragmentację. Praktyczne wdrożenie ujawniło luki — rozbieżność w przepisach krajowych i brak zharmonizowanej ścieżki certyfikacji.

Propozycja ze stycznia 2026 r. jest "ukierunkowana" — Komisja nie rewiduje fundamentalnej architektury NIS2. Dziesięć środków bezpieczeństwa z Artykułu 21 pozostaje bez zmian. Terminy zgłaszania incydentów (24 godziny, 72 godziny, miesiąc) pozostają bez zmian.

Zgłaszanie ransomware: nowe obowiązki na horyzoncie

Jeśli krajowy organ to zażąda, organizacje będą zobowiązane ujawnić czy złożono żądanie okupu i przez kogo, czy okup został zapłacony, kwotę i metodę płatności, oraz tożsamość odbiorcy (w tym wszelkich zaangażowanych dostawców usług kryptoaktywów).

Ujawnienie nie jest automatyczne — jest wyzwalane przez żądanie organu. Propozycja celuje w asymetrię informacji, z którą borykają się organy regulacyjne. Klienci zarządzający incydentami ransomware muszą teraz budować wewnętrzne praktyki dokumentacji.

Zmiany zakresu: kto jest objęty, kto nie

Operatorzy podwodnych kabli wchodzą w zakres po raz pierwszy. Dystrybucja chemikaliów wychodzi — zmiana usuwa "dystrybucję" z Załącznika II. Nowa kategoria "małych firm średniej wielkości" (poniżej 750 pracowników, obrót poniżej 150 mln euro) byłaby traktowana jako "podmioty ważne" zamiast kluczowych — nadzór reaktywny zamiast proaktywnego.

Certyfikacja jako ścieżka zgodności: certyfikat cyber-posture

Podmioty będą ostatecznie mogły uzyskać unijny "certyfikat cyber-posture" w ramach przyszłego europejskiego schematu certyfikacji cyberbezpieczeństwa zgodnego z CSA2. Jeśli podmiot posiada ważny certyfikat obejmujący wymagania Artykułu 21, właściwe organy nie mogą poddawać go dodatkowym audytom bezpieczeństwa dla tych wymagań. Udowodnij zgodność raz, uniknij powielających się krajowych audytów.

CSA2 jest samo w sobie wciąż propozycją. Ale kierunek jest jasny: inwestujcie w certyfikowalne ramy. Wytyczne ENISA mapujące NIS2 na ISO 27001 staną się prawdopodobnie podstawą przyszłych certyfikatów cyber-posture.

Więcej informacji o dziesięciu środkach Artykułu 21 można znaleźć w dogłębnej analizie Artykułu 21 NIS2.

Silniejsza rola ENISA: nadzór transgraniczny

ENISA będzie ułatwiać współpracę między krajowymi organami, pomagać w ustalaniu wiodącego organu, przeprowadzić analizę ryzyka w ciągu 15 miesięcy od wejścia w życie i uczestniczyć we wspólnych działaniach nadzorczych na żądanie. To nie jest system jednego okienka na wzór RODO.

Co się zmienia i kiedy: praktyczna oś czasu

Konserwatywne oszacowanie: te zmiany nie znajdą się w prawie krajowym przed końcem 2027 r. lub początkiem 2028 r. Doradzajcie klientom teraz — selektywnie. Dokumentacja ransomware jest tania do wdrożenia teraz. Zmiany zakresu mają najwyższy priorytet dla dotkniętych sektorów.

Szerszy obraz: egzekwowanie NIS2 już się rozpoczęło

Siedem państw członkowskich zostało już skierowanych do Trybunału Sprawiedliwości za niedotrzymanie terminu transpozycji. Krajowe organy zaczynają przeprowadzać kontrole. Pierwsze kary spodziewane są przed końcem roku.

Proponowane zmiany nie dają organizacjom więcej czasu. Dodają nowe obowiązki na szczycie istniejącej podstawy. Najbardziej uzasadniona pozycja to udokumentowana analiza luk.

Jeśli wasi klienci nie przeprowadzili jeszcze tej analizy luk, zróbcie to teraz. Quick-scan NIS2 na NIS2Certify zapewnia ustrukturyzowany punkt wyjścia w mniej niż 20 minut.