W kwietniu br. weszła w życie nowelizacja ustawy o krajowym systemie cyberbezpieczeństwa (ustawa o KSC), która transponuje do polskiego porządku prawnego dyrektywę NIS2. Tym samym na podmioty zobowiązane do jej stosowania został nałożony szereg obowiązków, a terminy na ich wykonanie już płyną. Do 3 października należy dokonać samoidentyfikacji i złożyć wniosek o wpis do wykazu podmiotów kluczowych i ważnych poprzez System S46. A to tylko początek drogi: kolejnym krokiem jest wdrożenie systemu zarządzania bezpieczeństwem informacji – do 3 kwietnia 2027 r.
Dziś, kiedy obowiązki i terminy ich wdrożenia są znane – pytanie nie brzmi już, czy NIS2 wdrażać, lecz ile tak naprawdę kosztuje niewdrożenie. I nie chodzi wyłącznie o administracyjne kary pieniężne. Tutaj resort cyfryzacji uspokaja: celem rządu w tym początkowym okresie jest edukacja i płynne wdrożenie odpowiedniego poziomu bezpieczeństwa. Mechanizmy nakładania administracyjnych kar pieniężnych za brak realizacji obowiązków wejdą dopiero za jakiś czas. Wyjątkiem jest kara ekstraordynaryjna – do 100 mln zł – którą organ może wymierzyć od razu, niezależnie od dwuletniego okresu przejściowego, w razie bezpośredniego i poważnego cyberzagrożenia m.in. dla bezpieczeństwa państwa czy życia i zdrowia ludzi. Dodatkowo już teraz całkiem realne stają się inne koszty: utrata klientów, wzrost kosztu finansowania i ubezpieczenia, koszt awaryjnego wdrożenia „na już”, chaos operacyjny po incydencie oraz trwały uszczerbek reputacyjny.
Kara jest policzalna. Reszta rachunku zwykle już nie
Nowelizacja ustawy o KSC kończy epokę traktowania cyberbezpieczeństwa jako miękkiego standardu compliance albo projektu IT, który można bez większych konsekwencji przesuwać z kwartału na kwartał. Ustawodawca zdefiniował podmioty, które podlegają obowiązkom wynikającym z ustawy oraz wskazał szeroki katalog naruszeń objętych karami finansowymi. Wskazał też konkretne obowiązki spoczywające na zarządach oraz kary za ich niedopełnienie. Sankcje administracyjne można powiązać między innymi z brakiem systemowego zarządzania ryzykiem, niewłaściwym wdrożeniem zabezpieczeń, niewykonaniem obowiązków organizacyjnych, audytowych i informacyjnych czy utrudnianiem nadzoru. Na poziomie biznesowym to istotna zmiana: kara nie musi być następstwem spektakularnego cyberataku. Może wynikać już z tego, że organizacja nie potrafi wykazać, iż rozsądnie i systemowo zarządza ryzykiem.
Maksymalna wysokość kary dla podmiotów kluczowych może wynieść do 10 mln euro albo 2 proc. przychodów osiągniętych z działalności gospodarczej w roku obrotowym poprzedzającym wymierzenie kary – przy czym stosuje się kwotę wyższą – a dla podmiotu ważnego do 7 mln euro lub 1,4 proc. tych przychodów., a dla podmiotów ważnych do 7 mln euro albo 1,4 proc. obrotu. To kwoty, które łatwo policzyć. Większym problemem może okazać się to, że w wielu przypadkach nałożone kary nie będą nawet największą pozycją po stronie strat w przypadku, kiedy dojdzie do ataku.
Najdroższy jest brak zaufania po incydencie
Wycieku danych, zatrzymania produkcji, zaszyfrowania systemów czy przerwy w świadczeniu usługi nie da się zamknąć wyłącznie w pozycji „kara administracyjna”. Po incydencie przychodzą zwykle koszty informatyków, obsługi prawnej, komunikacji kryzysowej, odtworzenia systemów, przestoju operacyjnego, ponownych testów bezpieczeństwa i pracy w trybie kryzysowym. Jeżeli do tego dochodzi naruszenie danych osobowych, organizacja musi równolegle zarządzić obowiązki wynikające z reżimu ochrony danych (tutaj przyda się odrobione zadanie domowe z 2018 r. pod tytułem “wdrożenie RODO”) i relacjami z klientami, których zaufanie zostało naruszone.
Pojawia się także koszt, którego wielu przedsiębiorców wciąż nie doszacowuje. Utrata reputacji po incydencie może sprowadzić się do kilku nieprzychylnych publikacji czy niewygodnych komentarzy. Ale może też mieć istotny wpływ na prowadzenie biznesu: wydłużenie procesów sprzedażowych, więcej pytań od kontrahentów, dodatkowe ankiety bezpieczeństwa, trudniejsze rozmowy z bankami i inwestorami, a czasem wręcz konieczność tłumaczenia się z incydentu przy przetargu lub w trakcie due diligence przed planowaną transakcją. Z perspektywy zarządu to koszt rozłożony w czasie, ale bardzo realny i… trudny do uchwycenia w excelu.
Łańcuch dostaw premiuje podmioty, którym można zaufać
Przepisy dotyczące bezpieczeństwa danych podkreślają istotę zarządzania ryzykiem w łańcuchu dostaw – ten mechanizm widać już było przy okazji RODO, ale nabiera innego znaczenia przy NIS2. Podmioty bezpośrednio zobowiązane do stosowania nowych przepisów coraz częściej przerzucają swoje obowiązki regulacyjne na wymogi kontraktowe wobec dostawców. W ten sposób wiele firm wpada w reżim NIS2 pośrednio.
Jak to wygląda w praktyce? Pojawiają się ankiety bezpieczeństwa przed podpisaniem umowy, wymagania dotyczące MFA, backupów, zarządzania podatnościami, planów ciągłości działania, prawa audytu, konkretne, krótkie terminy zgłaszania incydentów (a czasem nawet ich podejrzenia!), obowiązków podwykonawczych i standardów dokumentacyjnych. Jeżeli klient ma do wyboru dwóch podobnych dostawców, z których jeden potrafi wykazać dojrzałość zgodną z NIS2, a drugi odpowiada ogólnikami, wybór staje się oczywisty – zarówno pod względem biznesowym, jak i finansowym.
To oznacza, że dla wielu firm koszt niewdrożenia NIS2 nie przybierze postaci kary finansowej, lecz pojawi się w utraconych kontraktach, gorszych warunkach współpracy, wysokich limitach odpowiedzialności albo obowiązku udzielania szerszych gwarancji kontraktowych. Innymi słowy: rynek sam zaczyna karać za niski poziom dojrzałości cyberbezpieczeństwa. I patrząc na deklaracje ministerstwa co do uruchomienia mechanizmu administracyjnych kar pieniężnych – zrobi to szybciej, niż organ nadzorczy. Wystarczy, że dostawca zostanie uznany za podmiot zbyt ryzykowny przez swojego klienta. Taka decyzja może być bardziej bolesna niż kara administracyjna, bo oznacza zerwany kontrakt, utracony przychód, utracone referencje i osłabienie pozycji konkurencyjnej.
Rynek pamięta incydenty dłużej, niż firmom się wydaje
Błąd wielu organizacji polega na założeniu, że kryzys reputacyjny kończy się wraz z końcem cyklu medialnego. Tymczasem rynek zapamiętuje incydenty na długo, zwłaszcza gdy dotyczą danych osobowych, danych finansowych, informacji medycznych albo usług krytycznych dla działalności klienta.
Grupa LVMH (właściciel marek takich jak Louis Vuitton czy Dior) w wyniku ataku sprzed roku straciła wizerunek dyskretnego powiernika danych najbogatszych ludzi świata. Atak spowodował bowiem wyciek danych klientów premium ze strategicznych rynków. Jaguar Land Rover stracił natomiast reputację niezawodnego i technologicznie odpornego producenta, wywołując przy tym gigantyczny kryzys w całym swoim łańcuchu dostaw. Atak, który rozpoczął się w sierpniu 2025 r. doprowadził do całkowitego paraliżu operacyjnego: wstrzymano produkcję 5000 aut tygodniowo, co przełożyło się na straty liczone w setkach milionów funtów.
Przykładów nie trzeba szukać daleko, przykłady są także na krajowym podwórku. Uniwersytet Warszawski – największa i jedna z najbardziej prestiżowych uczelni w Polsce, ucierpiał w wyniku wycieku w kwietniu tego roku. Incydent uderzył wizerunkowo w profesjonalizm uczelni i jej cyfrowe standardy. Największym ciosem w reputację była konieczność poinformowania tysięcy osób (w tym dawnych kandydatów na studia), że najbardziej “wrażliwe” dla nich dane (PESEL, adresy) krążą po czarnym rynku.
Z kolei Bonifraterskie Centrum Medyczne stało się w mediach symbolem placówki, która nie wyciągnęła wniosków z ostrzeżeń CERT Polska. Do ataku na placówkę doszło chwilę po podobnym paraliżu szpitala w Szczecinie, a opinia publiczna zaczęła postrzegać polskie szpitale jako najsłabsze ogniwo infrastruktury krytycznej. Informacje medialne o lekarzach przepisujących leki „na kartkach” i odwoływaniu planowych zabiegów pokazały placówki medyczne jako bezsilne wobec hakerów.
Im później, tym drożej
Wdrożenie odkładane na ostatnią chwilę niemal zawsze kosztuje więcej niż projekt prowadzony planowo. W tym przypadku “szybko” nie oznacza “tanio”, a często też – nie idzie w parze z “dobrze”. Organizacja, która działa z wyprzedzeniem, może mapować procesy, uporządkować aktywa i rozłożyć zakupy związane z wdrożeniem systemu zarządzania bezpieczeństwem w czasie. Wtedy pojawia się przestrzeń na to, aby spiąć budżet z modernizacją infrastruktury, wdrożyć wymagania compliance, przygotować niezbędne dokumenty i przeszkolić kadrę. Innymi słowy, cyberbezpieczeństwo wpina się w normalny cykl budżetowy. Organizacja spóźniona kupuje czas za wyższą cenę.
W praktyce późne wdrożenie oznacza zwykle droższych doradców potrzebnych „na wczoraj”, szybsze i mniej konkurencyjne zakupy narzędzi, większe ryzyko błędów i konieczność równoległego prowadzenia kilku projektów. Pojawia się więcej kompromisów, które mogą o sobie przypomnieć w przyszłości. Jeszcze droższe jest wdrożenie po incydencie, kiedy firma jednocześnie gasi pożar, odtwarza systemy, odpowiada klientom i próbuje w pośpiechu udowodnić, że jednak „coś miała”.
Wraz w wdrożeniem NIS2 kluczowe staje się nie to, co firma deklaruje, ale to, co potrafi udowodnić. To bardzo ważna zmiana perspektywy. Spóźnione wdrożenie zwykle produkuje dokumentację odtwórczą, pisaną pod kontrolę lub pod klienta, a nie pod realne zarządzanie ryzykiem. Taka dokumentacja jest kosztowna i mniej wiarygodna.
Wymiar ubezpieczeniowy i finansowy
O dowody pytają także ubezpieczyciele i brokerzy, którzy przestają zadowalać się ogólnym zapewnieniem, że firma jest „zgodna”. Coraz częściej chcą zobaczyć procedury, daty ich przeglądów, wyniki testów bezpieczeństwa, ścieżki eskalacji i realne przypisanie odpowiedzialności.
Brak dokumentacji (zarówno operacyjnej, jak i normatywnej) to dziś nie tylko ryzyko kary finansowej, lecz także ryzyko gorszych warunków odnowienia polisy. Wyższa składka, węższy zakres ochrony, więcej wyłączeń, większy retencyjny udział własny albo trudniejsze rozmowy przy odnowieniu programu ubezpieczeniowego. W obiegu rynkowym pojawiają się już szacunki, że dobrze udokumentowana zgodność może obniżać koszt cyberubezpieczenia, choć skala oszczędności zawsze zależy od profilu ryzyka i historii szkodowej.
W wielu sektorach, zwłaszcza regulowanych, NIS2 rzadko działa w próżni i trzeba go czytać równolegle z innymi reżimami, w tym z RODO i DORA, a także z wdrożonymi wcześniej normami ISO – jak te z rodziny 27000. To oznacza, że późna decyzja o wdrożeniu NIS2 może powodować kolizje projektowe, powielanie kosztów i ryzyko budowania dwóch podobnych, ale niespójnych systemów zarządzania bezpieczeństwem. Najrozsądniejszym wyborem jest zintegrowane podejście do systemów zarządzania bezpieczeństwem. Wymaga ono czasu na etapie wdrożenia, ale odzyskujemy ten czas przy incydencie: są jasne, spójne procedury i nikt się nie zastanawia, czy wyjąć z szuflady teczkę z napisem RODO, NIS2, a może ISO 27001.
Czy Twoją firmę stać na niewdrożenie NIS2?
Pytanie, jakie zarządy firm powinny sobie zadać nie brzmi dziś: „ile kosztuje wdrożenie NIS2?”, ale raczej: ile kosztowałby nas miesiąc przestoju, utrata dwóch kluczowych klientów, awaryjne wdrożenie po incydencie i lata odbudowy zaufania i pozycji rynkowej. W wielu branżach to właśnie ta kalkulacja przesądza sprawę.
Kara administracyjna, którą dosyć łatwo policzyć i włożyć do tabeli w excelu jest tylko częścią tej kalkulacji. Prawdziwy rachunek za niewdrożenie to koszty incydentu i przestoju, utrata reputacji po wycieku lub zakłóceniu usługi, utrata klientów i kontraktów w łańcuchu dostaw. Nie można zapominać także o droższym wdrożeniu awaryjnym, jeśli jest ono odkładane na później, gorszych warunkach ubezpieczenia, a także obciążeniu najwyższego kierownictwa.
Artykuł pt. Ile naprawdę kosztuje niewdrożenie NIS2 w fiirmie? ukazał się w Dzienniku Gazecie Prawnej 20 lipca 2026 roku.
