Wdrożenie NIS2 w UE: dwa lata opóźnienia, trzy kraje wciąż bez ustawy

Polski MSP obsługuje IT dostawcy z Francji, który pracuje dla podmiotu wpisanego do krajowego wykazu w Polsce. Od 3 kwietnia 2026 r. obowiązuje nowelizacja ustawy o krajowym systemie cyberbezpieczeństwa (KSC). We Francji ustawy nadal nie ma. Klient pyta: „Czy francuski dostawca musi już coś robić?”

17 października 2026 r. minęły dwa lata od terminu wdrożenia NIS2. Oto stan na 21 października 2026 r. i co to oznacza dla Państwa doradztwa.

Wdrożenie NIS2: kto ma ustawę, a kto nie

Dyrektywę (UE) 2022/2555 należało wdrożyć do 17 października 2024 r. Według wtórnego trackera, aktualizowanego ostatnio w połowie września 2026 r., 24 z 27 państw członkowskich ma już ustawę w mocy. Francja, Irlandia i Hiszpania nie. Każdy wiersz warto zweryfikować w źródle krajowym.

Polska wdrożyła NIS2 nowelizacją ustawy o KSC (Dz.U. 2026 poz. 252), w mocy od 3 kwietnia 2026 r. Termin na wniosek o wpis do wykazu podmiotów kluczowych i ważnych upłynął 3 października 2026 r. Kolejne daty to 3 kwietnia 2027 r. na wdrożenie obowiązków i 3 kwietnia 2028 r. na pierwszy obowiązkowy audyt podmiotów kluczowych. Według Ministerstwa Cyfryzacji kary za większość obowiązków można nakładać dopiero od 3 kwietnia 2028 r.

Inne kraje: Włochy wdrożyły dyrektywę w terminie, dekretem 138/2024, w mocy od 16 października 2024 r. Niemcy 6 grudnia 2025 r., Holandia 15 sierpnia 2026 r., Austria 1 października 2026 r.

Klient z oddziałami w kilku krajach ma więc kilka zegarów naraz. We Francji, Hiszpanii i Irlandii żaden jeszcze nie biegnie. To nie to samo, co brak obowiązku.

Francja: zdjęta z porządku obrad dzień przed debatą

Francuski Senat przyjął projekt 12 marca 2025 r., głosami 181 do 134. Debata w Zgromadzeniu Narodowym była zaplanowana na 7 i 9 października 2026 r. Dnia 6 października Conférence des présidents zdjęła oba posiedzenia. Nowy termin nie jest potwierdzony. Pozostaje około 397 poprawek, a głównym punktem sporu jest artykuł 16 bis o szyfrowaniu i tylnych drzwiach.

Francuski organ ANSSI opublikował w marcu 2026 r. ramy ReCyF: 20 celów bezpieczeństwa dla podmiotów kluczowych i 15 dla ważnych. Szczegóły w poradniku o francuskiej ustawie NIS2 i ReCyF.

Hiszpania i Irlandia: projekty, nie ustawy

Hiszpańska Rada Ministrów zatwierdziła projekt Ley de Coordinación y Gobernanza de la Ciberseguridad 14 stycznia 2025 r., w trybie pilnym. To wciąż projekt oczekujący na debatę parlamentarną. Zob. Hiszpania i skierowanie sprawy do TSUE.

W Irlandii National Cyber Security Bill jest nadal w przygotowaniu. Zob. stan irlandzkiego projektu.

Skarga do TSUE obciąża rządy, nie Państwa klientów

Dnia 8 lipca 2026 r. Komisja Europejska skierowała do Trybunału Sprawiedliwości UE sprawy Irlandii, Hiszpanii, Francji i Holandii. Wnosi o jednorazową kwotę ryczałtową i dzienne kary pieniężne do czasu zgłoszenia pełnego wdrożenia. To sankcje wobec państwa, nie wobec klienta. Holandia wprowadziła ustawę w życie pięć tygodni później.

Co zmienia brak ustawy, a czego nie

Dyrektywa jest adresowana do państw członkowskich. Dopóki Francja, Hiszpania czy Irlandia jej nie wdrożą, tamtejsza firma nie ma ustawowego obowiązku rejestracji, krajowego harmonogramu kontroli ani kary z krajowej ustawy NIS2.

Obowiązek przychodzi jednak łańcuchem dostaw. Artykuł 21 ust. 2 lit. d NIS2 nakazuje zarządzanie ryzykiem dostawców. Polski podmiot kluczowy, niemiecka instytucja czy włoski operator narzuci wymagania każdemu dostawcy, także francuskiemu, hiszpańskiemu i irlandzkiemu, przez ankiety i klauzule umowne. Te klauzule są dziś egzekwowalne. Mechanizm opisuje NIS2 a bezpieczeństwo łańcucha dostaw.

Pierwszy audyt NIS2 u klienta może więc przyjść od zamawiającego, nie od organu. A organ w kraju z ustawą sprawdzi, o co jego podmioty pytały dostawców.

Triaż klientów w krajach bez ustawy

Zacznij od zakresu, nie od brakującej ustawy. Trzy pytania o każdego klienta:

1. Czy klient dostarcza usługi podmiotowi w kraju, gdzie NIS2 już obowiązuje? Wtedy ankiety przyjdą teraz.
2. Czy wchodzi w sektor NIS2 według wielkości i działalności w świetle tekstu unijnego? Wtedy zakres jest prawdopodobny, niezależnie od krajowego harmonogramu.
3. Czy ma już dowody dla dziesięciu środków z artykułu 21?

Analiza luk odpowiada na trzecie pytanie w jedno popołudnie, a nie w kwartał. Wykonaj quick scan NIS2Certify i zamień luki w plan pracy, który sprzedajesz.

Potem udokumentuj dowody: datowane polityki, wykaz zasobów, przetestowany plan reagowania na incydenty i rejestr dostawców. O to zapyta najpierw zamawiający, później organ. Nasz poradnik co organy sprawdzają po rejestracji pokazuje te same dowody od strony nadzoru.

Co powiedzieć klientom w tym miesiącu

Nie mów klientowi z Francji, Hiszpanii czy Irlandii, że NIS2 jeszcze go nie dotyczy. Powiedz, że krajowa ustawa się spóźnia, że jego zamawiający w innych krajach nie, i że dowody budowane teraz przydadzą się i tak.