NIS2 badania naukowe: którzy klienci podlegają KSC, a które uczelnie nie

Spółka spin-off z uczelni zatrudniająca 80 osób, prywatne laboratorium badań na zlecenie i instytut uniwersytecki nazywają się "badawczymi". Na gruncie NIS2 i polskiej ustawy tylko jedno z nich jest na pewno objęte zakresem.

Jeśli doradzasz klientom z sektora badawczego, pytanie nie brzmi "czy prowadzą badania?". Brzmi: "czy są jednostką badawczą w rozumieniu dyrektywy i co dodała do tego polska ustawa o krajowym systemie cyberbezpieczeństwa (KSC)?"

Co NIS2 rozumie przez organizację badawczą

Załącznik II do NIS2 wymienia organizacje badawcze jako sektor. Podmioty z sektorów załącznika II to podmioty ważne. Nadzór jest reaktywny: po sygnałach lub incydencie, nie proaktywny.

Definicja znajduje się w art. 6 pkt 41. Organizacja badawcza ma za główny cel prowadzenie badań stosowanych lub prac rozwojowych, z zamiarem komercyjnego wykorzystania wyników. Placówki edukacyjne są wyraźnie wyłączone.

Wynikają z tego trzy testy:

• Badania stosowane lub prace rozwojowe są celem głównym, a nie działalnością uboczną.
• Wyniki są przeznaczone do komercyjnego wykorzystania.
• Podmiot nie jest placówką edukacyjną.

Prywatne laboratorium B+R sprzedające wyniki przemysłowi spełnia wszystkie trzy. Wydział uczelni z kilkoma zleceniami przemysłowymi nie, bo uczelnia jako całość jest placówką edukacyjną.

Próg wielkości obowiązuje zawsze

Art. 2 ust. 1 stosuje unijny próg wielkości. Objęte są średnie przedsiębiorstwa i większe: w praktyce co najmniej 50 pracowników albo obrót i suma bilansowa powyżej 10 mln euro.

Start-up z 12 badaczami jest więc poza zakresem, chyba że państwo członkowskie stosuje regułę niezależną od wielkości. To pierwszy filtr dla każdego klienta badawczego i odsiewa więcej przypadków, niż większość doradców oczekuje.

Uczelnie: domyślnie poza zakresem, w zakresie z wyboru krajowego

Art. 2 ust. 5 pozwala państwom członkowskim rozszerzyć NIS2 na placówki edukacyjne, zwłaszcza gdy prowadzą krytyczne badania. To możliwość, nie obowiązek.

Efekt to mozaika. Dwie uczelnie o identycznym programie badawczym mogą mieć różne obowiązki po obu stronach granicy. Nigdy nie wnioskuj odpowiedzi wyłącznie z dyrektywy.

Polska: nowelizacja KSC i "badania naukowe"

Znowelizowana ustawa o krajowym systemie cyberbezpieczeństwa weszła w życie 2 kwietnia 2026 r. i wymienia "badania naukowe" jako sektor ważny. Ustawa nie wymienia wprost jednostek badawczych ani uczelni; obejmuje natomiast "podmioty publiczne". Czy konkretna uczelnia jest podmiotem publicznym w rozumieniu ustawy, trzeba ocenić indywidualnie.

Rejestr podmiotów prowadzi Minister Cyfryzacji (Wykaz KSC). Od 13 kwietnia 2026 r. minister zaczął wpisywać część podmiotów z urzędu, a samodzielna rejestracja ruszyła 7 maja 2026 r. Obowiązuje 12-miesięczny okres dostosowawczy. Organem właściwym dla incydentów jest CSIRT NASK, a nadzór sektorowy sprawują ministrowie, KNF lub Prezes UKE, zależnie od sektora.

Kary dla podmiotów ważnych sięgają 7 mln euro lub 1,4 % obrotu, nie mniej niż 15 000 zł, a kierownik może odpowiadać do 300 % swojego wynagrodzenia. Część przepisów, w tym o karach, została skierowana przez Prezydenta do Trybunału Konstytucyjnego, więc sprawdzaj bieżący stan. Kary inne niż za najpoważniejsze naruszenia można nakładać dopiero po dwóch latach od wejścia w życie. Zobacz też przewodnik po dziesięciu środkach z art. 21.

Poza Polską: co udało się zweryfikować

Niderlandy. Cyberbeveiligingswet (Stb. 2026, 187) obowiązuje od 15 sierpnia 2026 r. i obejmuje badania w celach komercyjnych.

Niemcy. NIS2UmsuCG obowiązuje od 6 grudnia 2025 r., organem jest BSI. Organizacje badawcze to podmioty ważne (§ 28 BSIG).

Włochy. D.Lgs. 138/2024 wychodzi poza dyrektywę: organizacje badawcze w załączniku II, instytucje badawcze w III, placówki edukacyjne z badaniami w IV.

Francja i Hiszpania. Transpozycja nie jest zakończona. We Francji projekt czeka na Zgromadzenie Narodowe, w Hiszpanii nadal obowiązuje Real Decreto-ley 12/2018, a Komisja wniosła skargę do TSUE.

Co w praktyce oznacza status podmiotu ważnego

Podmioty ważne mają te same obowiązki zarządzania ryzykiem (art. 21) co podmioty kluczowe. Muszą też zgłaszać poważne incydenty (art. 23): wczesne ostrzeżenie w 24 godziny, zgłoszenie w 72 godziny, raport końcowy w miesiąc.

Różnica leży w nadzorze i karach. Dla podmiotów ważnych maksimum wynosi 7 mln euro lub 1,4 % światowego rocznego obrotu, w zależności od tego, co wyższe. Nadzór ma charakter następczy.

U klientów badawczych słabe punkty są przewidywalne: dane badawcze i własność intelektualna, zarządzanie dostępem partnerów zewnętrznych oraz sieci laboratoryjne lub aparaturowe, których nikt nie zaklasyfikował jako IT.

Jak ocenić klienta badawczego w czterech pytaniach

1. Czy badania są głównym celem podmiotu? Jeśli to przede wszystkim placówka edukacyjna, sprawdź, czy jest podmiotem publicznym w rozumieniu KSC.
2. Czy badania są stosowane, z zamiarem komercyjnego wykorzystania? Jeśli nie, definicja z art. 6 pkt 41 prawdopodobnie nie zadziała.
3. Czy podmiot przekracza próg wielkości? Poniżej 50 pracowników i 10 mln euro obrotu zwykle jest poza zakresem.
4. Czy prawo krajowe coś dodaje? W Polsce sprawdź wpis w Wykazie KSC i zanotuj datę.

Udokumentuj odpowiedzi i datę. Jeśli organ oceni inaczej, opatrzona datą notatka o zakresie pokazuje staranność. Przy grupach działających w kilku krajach zasady jurysdykcji z art. 26 wskazują, który organ sprawuje nadzór.

Wniosek

Nie oceniaj zakresu po słowie "badania". Oceniaj po art. 6 pkt 41, progu wielkości i prawie krajowym, w tej kolejności.

Najszybciej zamienisz to w dowody, wykonując ocenę gotowości dla każdego klienta i archiwizując wynik. Uruchom quick scan w NIS2Certify, aby zobaczyć, jak wygląda stan zgodności klienta badawczego względem art. 21.

Ten artykuł to informacja ogólna, nie porada prawna. Zweryfikuj zakres w prawie krajowym i u organu właściwego dla klienta.