1. Spółka może podlegać ustawie z dwóch powodów
Po pierwsze, ze względu na sektor. Załączniki do ustawy obejmują zaopatrzenie w wodę pitną, odprowadzanie i oczyszczanie ścieków, ciepło (przedsiębiorstwa z koncesją) oraz gospodarowanie odpadami. Spółka większa niż średnie przedsiębiorstwo jest w takim sektorze podmiotem kluczowym, a średnia podmiotem ważnym. W wodzie i ściekach ustawa wyłącza podmioty, dla których ta działalność nie jest istotną częścią ich działalności.
Po drugie, ze względu na status „podmiotu publicznego”. Spółka wykonująca zadania o charakterze użyteczności publicznej w rozumieniu ustawy o gospodarce komunalnej jest podmiotem ważnym, jeżeli realizuje zadanie publiczne z wykorzystaniem systemów informacyjnych (art. 5 ust. 2 pkt 8). Od tego, która ścieżka dotyczy spółki, zależą m.in. wymogi dla systemu zarządzania bezpieczeństwem informacji i wysokość kary dla zarządu. Wiele spółek komunalnych mogło też zostać wpisanych do wykazu podmiotów z urzędu, więc pierwszym krokiem jest sprawdzenie wykazu i korespondencji z urzędu.
2. Odpowiedzialność zarządu jest osobista i nie da się jej oddelegować
Kierownik podmiotu odpowiada za wykonywanie obowiązków z zakresu cyberbezpieczeństwa także wtedy, gdy powierzył je innej osobie (art. 8c). Jeżeli kierownikiem jest zarząd wieloosobowy i nie wskazano osoby odpowiedzialnej, odpowiadają wszyscy jego członkowie. Zarząd decyduje o systemie zarządzania bezpieczeństwem informacji, planuje na to środki, przydziela zadania i nadzoruje ich wykonanie (art. 8d).
Ustawa przewiduje kary pieniężne także dla kierownika: do 300% wynagrodzenia, a dla kierownika podmiotu publicznego do 100% (art. 73a). Dotyczą one również jednorazowego zaniechania i mogą być nałożone obok kary dla spółki. Który limit dotyczy danej spółki, zależy od jej statusu opisanego w punkcie 1.
3. Zarząd musi co roku przejść udokumentowane szkolenie
Kierownik podmiotu kluczowego lub ważnego oraz osoba, której powierzono jego obowiązki w tym zakresie, przechodzą szkolenie raz w roku kalendarzowym, a udział w nim trzeba udokumentować (art. 8e). Zakres obejmuje obowiązki wynikające z ustawy: wpis do wykazu, system zarządzania bezpieczeństwem informacji, obsługę incydentów, audyt. Warto zachować program, listę obecności i potwierdzenie udziału.
4. Terminy: kary później, obowiązki wcześniej
Nowelizacja weszła w życie 3 kwietnia 2026 r. Spółki, które wtedy spełniały przesłanki, mają 12 miesięcy na wdrożenie obowiązków z rozdziału 3 ustawy, czyli do 3 kwietnia 2027 r. Podmioty kluczowe mają 24 miesiące na pierwszy audyt, czyli do 3 kwietnia 2028 r. Kary pieniężne mogą być nałożone dopiero po upływie 2 lat od wejścia w życie nowelizacji, czyli po 3 kwietnia 2028 r. (art. 33 i 35 ustawy nowelizującej).
Nie oznacza to, że można czekać. Termin wniosku o wpis do wykazu dla spółek, które spełniały przesłanki 3 kwietnia 2026 r., upłynął 3 października 2026 r. (według komunikatu ministra cyfryzacji). Obowiązek zgłaszania incydentów poważnych (wczesne ostrzeżenie w ciągu 24 godzin, zgłoszenie w ciągu 72 godzin) wymaga procedury, zanim incydent się zdarzy.
5. Najwięcej ryzyka leży u dostawców i w codziennych narzędziach
Ustawa wymaga uwzględnienia bezpieczeństwa łańcucha dostaw produktów, usług i procesów ICT (art. 8 ust. 1 pkt 2 lit. e). W spółce komunalnej oznacza to m.in. system do sterowania i monitoringu sieci, system billingowy, chmurę i serwis. Warto sprawdzić umowy: zgłaszanie incydentów, dostęp do dokumentacji, podwykonawcy, lokalizacja danych.
Do tej samej kategorii należą narzędzia AI, z których korzystają pracownicy. Wykaz narzędzi i polityka AI porządkują ryzyko, które ustawa nazywa zarządzaniem aktywami i edukacją personelu. Wzory znajdziesz w materiałach: wykaz narzędzi AI i polityka AI.
Co zrobić najpierw
- Ustalić status spółki: sektor, wielkość, ścieżka podmiotu publicznego i wpis w wykazie.
- Wskazać w zarządzie osobę odpowiedzialną za cyberbezpieczeństwo, uchwałą.
- Zaplanować i udokumentować szkolenie zarządu na bieżący rok.
- Przygotować harmonogram wdrożenia do 3 kwietnia 2027 r.
- Przejrzeć umowy z kluczowymi dostawcami ICT.
Szczegółowa lista z artykułami ustawy: lista kontrolna: audyt prawny KSC/NIS2 dla spółki komunalnej.
Tekst ma charakter ogólny i edukacyjny. Nie jest poradą prawną ani technicznym audytem bezpieczeństwa. Stan prawny opracowano na podstawie ujednoliconego tekstu ustawy z ISAP (stan na 8.10.2026) i ustawy nowelizującej z 23 stycznia 2026 r. (Dz.U. 2026 poz. 252). Status konkretnej spółki wymaga indywidualnej oceny.