313 konkretnych odpowiedzi
Ułożone od absolutnych podstaw po niuanse sektorowe. Każda samodzielna - czytasz tylko to, czego potrzebujesz.
Bezpłatny e-book · NIS2 / KSC
NIS2 i KSC - 313 pytań i odpowiedzi
Od „czy w ogóle mnie to dotyczy" po osobistą odpowiedzialność zarządu i kary do 10 mln EUR. Konkretne pytania i krótkie odpowiedzi. Pobierz za darmo i miej całą ustawę o KSC pod ręką.
- 313pytań i odpowiedzi
- 21rozdziałów
- 06.2026stan prawny
Link do PDF wyślemy na e-mail.
Cała ustawa o KSC w formie pytań i odpowiedzi
Zamiast brnąć przez setki artykułów - szukasz pytania, dostajesz krótką, konkretną odpowiedź i dokładną podstawę prawną. Tak, by dało się ją zacytować w mailu do zarządu, w analizie albo na szkoleniu.
Podstawa prawna przy każdej
Konkretny artykuł ustawy o KSC, dyrektywy NIS2 lub DORA - od razu wiesz, gdzie szukać w źródle.
Od podstaw po zaawansowane
Zaczynasz od „co to jest NIS2”, kończysz na grupach kapitałowych, DNS i bonusowym rozdziale o CRA.
Aktualny stan prawny 06.2026
Uwzględnia nowelizację ustawy o KSC z 3 kwietnia 2026 r., która wdrożyła NIS2 do polskiego prawa.
Spis treści - co znajdziesz w środku
21 rozdziałów prowadzących od podstaw po praktykę wdrożeniową. Przy każdym widzisz, ile pytań obejmuje i czego dotyczy.
-
1
Fundamenty 15 pytań
NIS2 - absolutne podstawy
Czym jest dyrektywa NIS2, skąd wzięła się nazwa, czym różni się od rozporządzenia, RODO i DORA oraz gdzie znaleźć oficjalny tekst. Start od zera.
-
2
Fundamenty 15 pytań
Ustawa o KSC i kalendarz wdrożenia w Polsce
Od kiedy NIS2 realnie obowiązuje w Polsce (3 kwietnia 2026 r.), kluczowe terminy 6 / 12 / 24 miesiące i co dokładnie zmieniła nowelizacja KSC z 2026 r.
-
3
Czy podlegam? 18 pytań
Czy podlegam? Zakres podmiotowy i sektory
Test w trzech krokach, 18 sektorów z załączników 1 i 2 oraz konkretne przykłady: firma IT, sklep internetowy, żywność, wyroby medyczne, szpital, chmura, samorząd.
-
4
Czy podlegam? 15 pytań
Podmiot kluczowy a podmiot ważny
Różnice między kategoriami, progi wielkości (MŚP) i wyjątki „niezależnie od wielkości” - oraz co z tego wynika dla obowiązków i sposobu nadzoru.
-
5
Czy podlegam? 12 pytań
Rejestracja w wykazie podmiotów
Kto, gdzie i do kiedy musi się zarejestrować, jakie dane podać, jak je aktualizować i czym grozi brak wpisu w terminie.
-
6
Obowiązki 18 pytań
System zarządzania bezpieczeństwem (art. 8)
Co musi obejmować SZBI: analiza ryzyka, środki techniczne i organizacyjne, bezpieczeństwo łańcucha dostaw i zasada proporcjonalności do ryzyka.
-
7
Obowiązki 6 pytań
Dokumentacja bezpieczeństwa (art. 10)
Jaką dokumentację trzeba prowadzić, w jakiej formie, jak długo ją przechowywać i jak utrzymywać ją w aktualności.
-
8
Obowiązki 17 pytań
Zgłaszanie incydentów (24h / 72h / miesiąc)
Trzy etapy zgłoszenia, od którego momentu liczy się czas, co zawiera każde zgłoszenie, do kogo trafia (CSIRT, system S46) i jak to się ma do RODO i UODO.
-
9
Obowiązki 6 pytań
Struktury wewnętrzne i dostawca MSSP (art. 14)
Własny zespół czy outsourcing do MSSP, co powinno znaleźć się w umowie i dlaczego outsourcing nie zdejmuje odpowiedzialności z podmiotu.
-
10
Obowiązki 10 pytań
Audyt bezpieczeństwa (art. 15)
Kto i jak często musi przeprowadzać audyt, kto może go wykonać, wymóg niezależności audytora oraz terminy i obowiązkowa zawartość raportu.
-
11
Odpowiedzialność i kary 14 pytań
Odpowiedzialność zarządu i kierownika (art. 8c–8f)
Osobista odpowiedzialność kierownika, obowiązkowe szkolenia, wymóg KRK, kara do 300% wynagrodzenia oraz jak realnie ograniczyć ryzyko zarządu.
-
12
Odpowiedzialność i kary 16 pytań
Kary i nadzór
Pułapy kar (10 mln EUR / 7 mln EUR, a w skrajnych przypadkach 100 mln zł), nadzór prewencyjny i następczy, środki nadzorcze i droga odwoławcza.
-
13
Powiązania regulacyjne 12 pytań
NIS2 a DORA i sektor finansowy
Pierwszeństwo DORA, wyłączenia dla banków (incydenty, audyt) i kto w sektorze finansowym raportuje do KNF zamiast do CSIRT.
-
14
Powiązania regulacyjne 16 pytań
NIS2 a CRA oraz CER
Jak NIS2 łączy się z aktem o cyberodporności produktów (CRA) i dyrektywą o odporności podmiotów krytycznych (CER).
-
15
Powiązania regulacyjne 12 pytań
NIS2 a RODO
Dwa uzupełniające się reżimy, podwójne zgłoszenie incydentu, kary z obu ustaw i obszary, w których się pokrywają.
-
16
Powiązania regulacyjne 14 pytań
NIS2 a inne regulacje i certyfikacja
Relacje z AI Act, Cybersecurity Act i krajowym systemem certyfikacji cyberbezpieczeństwa oraz rola schematów certyfikacji.
-
17
IT i praktyka 16 pytań
NIS2 a branża IT i tworzenie oprogramowania
Dostawcy MSP/MSSP, chmura i usługi cyfrowe, obowiązki twórców oprogramowania oraz bezpieczeństwo łańcucha dostaw IT.
-
18
IT i praktyka 36 pytań
Pytania zaawansowane i praktyka wdrożeniowa
Najtrudniejsze przypadki: grupy kapitałowe, jurysdykcja, przedstawiciel w UE, rozbieżności sektorowe i praktyka organów. Największy rozdział e-booka.
-
19
IT i praktyka 16 pytań
DNS i domeny - bliżej
Rejestry TLD i dostawcy DNS, obowiązki niezależne od wielkości oraz status danych rejestracyjnych domen.
-
20
Bonus 16 pytań
Bonus: CRA - akt o cyberodporności w pytaniach
Obowiązki producentów produktów z elementami cyfrowymi, terminy, oznaczenie CE i zgłaszanie aktywnie wykorzystywanych podatności.
-
21
Bonus 13 pytań
Podmioty finansowe poza reżimem kluczowych/ważnych
KIP, MIP, instytucje pożyczkowe, pieniądz elektroniczny i CASP - czytelna mapa reżimów DORA / KSC / nadzoru KNF.
Próbka pytań
12 pytań, które najczęściej spędzają sen z powiek zarządom i działom compliance - z pełnymi odpowiedziami. Wszystkie 313 pytań czeka na Ciebie w e-booku.
Odpowiedzialność zarządu Czy zarząd odpowiada osobiście za cyberbezpieczeństwo?
Tak. To jedna z najważniejszych zmian NIS2. Kierownik podmiotu kluczowego lub ważnego osobiście odpowiada za wykonywanie obowiązków cyberbezpieczeństwa przez podmiot.
Podstawa prawna: ustawa o KSC, art. 8c ust. 1.
Kary osobiste Jaka kara grozi osobiście kierownikowi?
W podmiocie prywatnym - do 300% otrzymywanego wynagrodzenia (liczonego jak ekwiwalent za urlop), w podmiocie publicznym - do 100% wynagrodzenia.
Podstawa prawna: ustawa o KSC, art. 73a ust. 4 i 5.
Kary Jaka jest maksymalna kara dla podmiotu kluczowego?
Do 10 000 000 EUR lub 2% przychodów z poprzedniego roku obrotowego - w zależności od tego, która kwota jest wyższa. Kara nie może być niższa niż 20 000 zł.
Podstawa prawna: ustawa o KSC, art. 73 ust. 3.
Kary Kiedy kara może sięgnąć 100 mln zł?
Gdy podmiot kluczowy albo ważny narusza przepisy ustawy, powodując bezpośrednie i poważne cyberzagrożenie dla obronności, bezpieczeństwa państwa, bezpieczeństwa i porządku publicznego albo życia i zdrowia ludzi, lub grożąc poważną szkodą majątkową bądź poważnymi utrudnieniami w świadczeniu usług. To najwyższy pułap kary administracyjnej w ustawie.
Podstawa prawna: ustawa o KSC, art. 73 ust. 5.
Incydenty W jakim terminie muszę zgłosić poważny incydent?
Trzy etapy: wczesne ostrzeżenie najpóźniej w ciągu 24 godzin od wykrycia, pełne zgłoszenie w ciągu 72 godzin, a sprawozdanie końcowe w ciągu miesiąca. Adresatem jest właściwy CSIRT sektorowy.
Podstawa prawna: ustawa o KSC, art. 11 ust. 1 pkt 4, 4a i 4c.
Nadzór Czy „nie wiedziałem, że podlegam” chroni przed karą?
Nie. Obowiązki ciążą od dnia spełnienia przesłanek, niezależnie od wpisu i świadomości. Co więcej, niezłożenie wniosku o wpis w terminie samo w sobie jest podstawą kary.
Podstawa prawna: ustawa o KSC, art. 7d ust. 5; art. 73 ust. 1a pkt 1.
Czy podlegam? Jak w trzech krokach sprawdzić, czy podlegam NIS2?
Po pierwsze - czy prowadzisz działalność w jednym z 18 sektorów z załączników do ustawy. Po drugie - czy osiągasz próg wielkości (zwykle średnie przedsiębiorstwo). Po trzecie - czy nie obejmuje Cię wyjątek (np. niezależnie od wielkości albo decyzja organu). Jeśli tak na dwa pierwsze pytania - najprawdopodobniej podlegasz.
Podstawa prawna: ustawa o KSC, art. 5; dyrektywa (UE) 2022/2555, art. 2 i 3.
Outsourcing Czy outsourcing do MSSP zdejmuje ze mnie odpowiedzialność?
Nie. Można powierzyć wykonanie zadań, ale odpowiedzialność prawna wobec organu nadzoru pozostaje po stronie podmiotu i jego kierownika. Umowa z MSSP to wykonanie obowiązku, nie jego przeniesienie.
Podstawa prawna: ustawa o KSC, art. 14; art. 8c.
E-commerce Prowadzę sklep internetowy - czy to mnie dotyczy?
Internetowe platformy handlowe są „dostawcami usług cyfrowych” z załącznika nr 2. Jeśli przekraczasz próg średniego przedsiębiorstwa, możesz być podmiotem ważnym. Zwykły, mały sklep własny zazwyczaj jest poniżej progu.
Podstawa prawna: ustawa o KSC, załącznik nr 2 (dostawcy usług cyfrowych); dyrektywa (UE) 2022/2555, załącznik II pkt 6.
Kalendarz Od kiedy NIS2 obowiązuje w Polsce?
Od 3 kwietnia 2026 r. - to data wejścia w życie nowelizacji ustawy o KSC (Dz.U. 2026 poz. 252), która przeniosła NIS2 do polskiego prawa.
Podstawa prawna: ustawa z 23 stycznia 2026 r. o zmianie ustawy o KSC (Dz.U. 2026 poz. 252), przepisy o wejściu w życie.
NIS2 a RODO Czy NIS2 zastępuje RODO?
Nie. RODO chroni dane osobowe, a NIS2 - odporność systemów i ciągłość usług. To dwie różne regulacje, które się uzupełniają. Jeden incydent (np. atak ransomware z wyciekiem danych) może wymagać zgłoszenia i pod RODO, i pod KSC.
Podstawa prawna: RODO (rozporządzenie 2016/679), art. 33; ustawa o KSC, art. 11.
NIS2 a DORA Czym NIS2 różni się od DORA?
DORA to rozporządzenie wyłącznie dla sektora finansowego (banki, ubezpieczyciele, firmy inwestycyjne). NIS2 jest horyzontalna - obejmuje wiele sektorów. Dla podmiotów finansowych DORA ma pierwszeństwo jako przepis bardziej szczegółowy.
Podstawa prawna: dyrektywa (UE) 2022/2555, art. 4; rozporządzenie (UE) 2022/2554 (DORA).
To dopiero początek banku pytań
Pełne 313 pytań i odpowiedzi - w tym terminy, dokumentacja, audyt, sektory, DNS i bonus o CRA - znajdziesz w darmowym e-booku PDF.
Dla kogo jest ten e-book
Jeśli pełnisz jedną z tych ról albo Twoja organizacja działa w jednym z 18 sektorów NIS2 - ten e-book jest dla Ciebie. Poniżej kilka przykładów podmiotów objętych ustawą o KSC.
Zarządy i kierownictwo
CISO i zespoły bezpieczeństwa
Prawnicy i compliance
Energetyka i paliwa
Operatorzy sieci elektroenergetycznych i gazowych, ciepłownie, elektrownie, dystrybutorzy paliw.
Transport
Przewoźnicy i zarządcy infrastruktury lotniczej, kolejowej, drogowej i wodnej (np. PKP PLK, GDDKiA).
Bankowość i rynki finansowe
Banki i SKOK-i, GPW, izby rozliczeniowe (KDPW).
Ochrona zdrowia
Szpitale i podmioty lecznicze, hurtownie i wytwórcy leków, apteki.
Infrastruktura cyfrowa, IT i ICT
Chmura i centra danych, DNS i rejestry domen (.pl/NASK), dostawcy MSP i MSSP, telekomy.
Sektor publiczny i samorządy
Jednostki sektora finansów publicznych, samorządy, spółki komunalne, instytuty badawcze.
Produkcja żywności
Producenci i przetwórcy żywności, duże sieci dystrybucji artykułów spożywczych.
Produkcja przemysłowa
Producenci wyrobów medycznych, motoryzacyjni, chemiczni, elektroniczni i maszynowi.
Gospodarka odpadami i wodna
Przedsiębiorstwa wodociągowe, oczyszczalnie ścieków, instalacje do przetwarzania odpadów.
- 313 pytań i odpowiedzi (PDF)
- Podstawa prawna przy każdej
- Aktualny stan prawny 06.2026
- 100% za darmo
Pobranie za zapis - 0 zł
Wpisz e-mail i odbierz e-book
Link do pobrania PDF wyślemy na podany adres. Dołączysz też do newslettera Legal Geek o NIS2, DORA i cyberbezpieczeństwie.
Źródła zweryfikowane
Dlaczego możesz na tym polegać
Każdy cytat prawny w e-booku sprawdziliśmy w oficjalnych rejestrach - ISAP (ustawa o KSC, Dz.U. 2026 poz. 20 t.j. ze zmianą poz. 252) oraz EUR-Lex (dyrektywa 2022/2555). Materiał przygotował zespół Legal Geek łączący prawników i praktyków IT.
- Cytaty z ISAP i EUR-Lex
- Prawo + IT w jednym zespole
- Stan prawny aktualizowany
Chcesz pójść dalej niż e-book? Przeszkól zespół
E-book daje wiedzę. Szkolenie zamienia ją w wdrożenie i spełnia obowiązkowe szkolenie zarządu z art. 8e ustawy o KSC. Prowadzą prawnicy-praktycy Legal Geek.
Szkolenia dedykowane
Warsztaty dopasowane do Twojego sektora i profilu ryzyka - online albo u Ciebie w firmie.
- Obowiązkowe szkolenie zarządu (art. 8e KSC)
- Proces incydentowy 24/72/miesiąc w praktyce
- Dokumentacja i certyfikat na potrzeby audytu
Webinary i e-learning
Modułowe szkolenia dla całego zespołu, dostępne 24/7, ze śledzeniem postępów i certyfikatami ukończenia.
- Ścieżki dla zarządu, IT i pracowników
- Cykliczne odświeżanie wiedzy
- Raport ukończenia jako dowód w nadzorze