Dyrektywa NIS2, czyli Dyrektywa w sprawie środków na rzecz wysokiego wspólnego poziomu cyberbezpieczeństwa na terytorium Unii to jeden z najważniejszych aktów prawnych dotyczących cyberbezpieczeństwa w całej UE w ostatnich latach. W lutym 2026 roku podpis prezydenta uzyskała wdrażająca ją nowelizacja ustawy o Krajowym Systemie Cyberbezpieczeństwa (KSC) i już niedługo przepisy wejdą w życie. Znacząco zwiększy się krąg podmiotów, które podlegają regulacjom.
Dla setek firm i instytucji publicznych nowe przepisy oznaczają jedno: narzędzia cyfrowe, z których korzystają na co dzień — w tym platformy do webinarów i spotkań online — muszą spełniać znacznie ostrzejsze wymogi. Czy wiesz, co to oznacza dla Twojej organizacji?
|
📌 Kluczowe wnioski
|
Table of Contents
Kogo dotyczą NIS2 i KSC?
Dyrektywa NIS2 ma zastosowanie do podmiotów działających w 18 sektorach uznanych za kluczowe lub ważne dla funkcjonowania państwa i gospodarki. Dyrektywa NIS2 wprowadza wyraźny podział na podmioty kluczowe i ważne — i nakłada na nie obowiązki z zakresu cyberbezpieczeństwa, które trzeba wdrażać systemowo, nie tylko formalnie. 
W Polsce NIS2 wchodzi w życie z pewnym opóźnieniem. W lutym 2026 roku nowelizacja Ustawy o Krajowym Systemie Cyberbezpieczeństwa została podpisana przez prezydenta, a już od 03 kwietnia 2026 r. przepisy zaczną obowiązywać. Organy krajowe — w tym Pełnomocnik rządu do spraw cyberbezpieczeństwa oraz organy właściwe dla poszczególnych sektorów — odpowiadają za nadzór i egzekwowanie przepisów wobec podmiotów objętych regulacją. Głównym celem dyrektywy jest osiągnięcie wspólnego poziomu cyberbezpieczeństwa w całej UE, co oznacza zharmonizowane minimalne standardy cyberbezpieczeństwa w całej Unii Europejskiej — niezależnie od kraju, w którym działa podmiot.
Co ważne: regulacje nie dotyczą wyłącznie dużych korporacji lub operatorów infrastruktury krytycznej. W rzeczywistości sieć podmiotów objętych wymogami jest znacznie szersza — a wiele organizacji może odkryć, że podlega dyrektywie NIS2, nie zdając sobie z tego wcześniej sprawy.
|
“ NIS2 i ustawa o KSC nie są regulacjami adresowanymi wyłącznie do gigantów telekomunikacyjnych czy operatorów sieci energetycznych. Szpital powiatowy, uczelnia wyższa, urząd miejski czy przedsiębiorca zatrudniający ponad 50 osób i działający w sektorze gospodarowania odpadami — wszystkie te podmioty mogą znaleźć się w katalogu podmiotów kluczowych lub ważnych. I wszystkie będą musiały dostosować nie tylko własne systemy, ale też wymagania wobec dostawców IT, których wykorzystują do świadczenia swoich kluczowych usług— bo obowiązki z zakresu cyberbezpieczeństwa obejmują cały łańcuch, a nie tylko jego część Karolina Nazarewicz Radca prawny, ekspertka w obszarze prawa ochrony danych i prawa nowych technologii |
|
Szukasz platformy webinarowej zgodnej z RODO i NIS2? ClickMeeting to polska platforma z certyfikatem ISO 27001, która posiada serwery w UE, działa zgodnie z RODO, uzyska status podmiotu kluczowego w rozumieniu NIS2 i UKSC oraz jako przedsiębiorca komunikacji elektronicznej podlega UKE. Sprawdź, jak może wesprzeć Twoją organizację. |
Które branże są objęte dyrektywą NIS2?
Dyrektywa NIS2 obejmuje podmioty z sektorów zakwalifikowanych jako kluczowe lub ważne. Pełna lista sektorów objętych dyrektywą jest obszerna — poniżej te najczęściej spotykane w praktyce:
- opieka zdrowotna (szpitale, laboratoria diagnostyczne, producenci leków)
- administracja publiczna (urzędy centralne i regionalne)
- sektor bankowy
- energetyka i zaopatrzenie w wodę
- zarządzanie usługami ICT
- transport i logistyka
- infrastruktura cyfrowa i dostawcy usług cyfrowych
Do grupy podmiotów „ważnych” zaliczają się natomiast m.in. producenci i dystrybutorzy żywności, firmy chemiczne, dostawcy usług pocztowych oraz dostawcy usług cyfrowych.
Jakie ryzyko stwarza korzystanie z platform spoza UE?
Wielu organizatorów wydarzeń korzysta z popularnych narzędzi od globalnych dostawców — często z USA. Argument bywa prosty: „mają serwery w Europie, więc dane zostają w UE”. W świetle aktualnego prawa to zbyt duże uproszczenie, które może narazić organizację na poważne konsekwencje regulacyjne.
„Serwery w UE” nie oznaczają jeszcze braku transferu danych do USA. Z perspektywy RODO znaczenie ma nie tylko lokalizacja infrastruktury, ale również to, czy dane są udostępniane podmiotowi w USA — np. przez zdalny dostęp, wsparcie administracyjne albo w ramach relacji ze spółką matką. W przypadku dostawców z siedzibą w USA dochodzi dodatkowo ryzyko obowiązkowego ujawnienia danych organom amerykańskim niezależnie od miejsca ich przechowywania. Dlatego sama umowa dot. przetwarzania danych osobowych nie wystarcza, a nawet Standardowe Klauzule Umowne (tzw. SCC) zatwierdzone przez Komisję Europejską mogą być niewystarczające bez oceny prawa państwa odbiorcy i wdrożenia środków uzupełniających. Także EU–US Data Privacy Framework nie obejmuje wszystkich podmiotów z USA, lecz wyłącznie te, które są aktualnie samocertyfikowane.
|
“ Standardowe klauzule umowne (SCC) zatwierdzone przez Komisję Europejską nie legalizują automatycznie transferu danych do USA czy innego kraju trzeciego. Po wyroku TSUE w sprawie Schrems II (sygn. Akt C311/18) każda organizacja jest zobowiązana do samodzielnej oceny, czy w konkretnym przypadku prawo krajowe państwa odbiorcy oraz praktyka działania jego władz nie uniemożliwiają rzeczywistego przestrzegania tych klauzul. W praktyce, jeśli dostawca podlega tzw. CLOUD Act, a nie ma możliwości technicznego uniemożliwienia dostępu do danych — transfer może być po prostu nielegalny, niezależnie od faktu podpisania przez Strony SCC. Karolina Nazarewicz – Radca prawny, ekspertka w obszarze prawa ochrony danych i prawa nowych technologii |
W kontekście NIS2 ryzyko jest podwójne.
- Prawne: organizacja może nie być w stanie wykazać, że należycie zarządza ryzykiem łańcucha dostaw i stosuje środki zarządzania ryzykiem wymagane przez dyrektywę, jeśli korzysta z dostawcy niepoddającego się audytom.
- Operacyjne: cyberzagrożenia związane ze zmianami w politykach bezpieczeństwa dostawcy, sankcjami lub poważnymi incydentami bezpieczeństwa po jego stronie mogą wymusić nagłą, kosztowną migrację.
NIS2 wymaga ponadto, by organizacje były przygotowane na reagowanie na incydenty bezpieczeństwa komputerowego — a to wymaga, by dostawcy platform, na których opierają się procesy organizacji, byli w stanie szybko reagować na incydenty i współpracować przy ich obsłudze. Platforma spoza UE, niedysponująca udokumentowaną procedurą reagowania na incydenty i często niezapewniająca obsługi w języku znanym przez klienta, jest poważną luką w tym łańcuchu.
Warto spojrzeć na ten problem szerzej — z perspektywy realiów compliance. W praktyce korzystanie z dostawcy spoza Unii Europejskiej generuje trzy dodatkowe, często niedoceniane trudności:
- Śledzenie zmian prawnych w obcym kraju jest realnym wyzwaniem operacyjnym. Przepisy regulujące działalność dostawcy technologicznego mogą zmienić się z dnia na dzień — przez zmianę rządu, sankcje, nowe regulacje sektorowe. Twój dział prawny lub compliance musiałby na bieżąco monitorować legislację kraju trzeciego, do czego nie zawsze jest przygotowany.
- Procedura oceny dostawcy wysokiego ryzyka (HRV — High Risk Vendor) uwzględnia kraj pochodzenia dostawcy jako jedno z kryteriów oceny. Oznacza to, że dostawca spoza UE może być bardziej narażony na zakwalifikowanie jako podmiot wysokiego ryzyka.
- Ocena zgodności procesów dostawcy z europejskimi normami jest po prostu trudniejsza, gdy działa on w innej jurysdykcji. Procesy z reguły układane są pod zgodność z innymi wymogami prawnymi, audyty są utrudnione, lokalne certyfikacje mogą nie być uznawane w kraju klienta.
Co daje wybór europejskiego dostawcy?
Europejski dostawca platformy wydarzeń online — szczególnie taki, który ma siedzibę w UE i przechowuje dane wyłącznie w europejskich centrach danych — znacząco upraszcza zarządzanie wymogami regulacyjnymi. To nie tylko kwestia wizerunku czy marketingowa deklaracja, ale konkretna różnica w codziennej pracy działu prawnego, IT i compliance.
Co wynika z europejskiej jurysdykcji w praktyce?
Odporność organizacji na zagrożenia regulacyjne i cybernetyczne zaczyna się już na etapie wyboru dostawcy. Podmiot kluczowy lub ważny, który wybiera platformę działającą w ramach prawa UE, zyskuje:
- brak konieczności analizowania transferów do państw trzecich — dane pozostają w UE, a ryzyko jest wyeliminowane
- ten sam system prawny i nadzorczy — w przypadku sporu lub incydentu egzekwowanie roszczeń jest prostsze
- łatwiejsze audyty — dostawca działa w ramach tych samych regulacji co Twoja organizacja
- odporność na zmiany prawa USA — przepisy takie jak CLOUD Act nie obejmują podmiotów unijnych działających wyłącznie w UE
- prostsze wykazanie zgodności przed odpowiednimi organami nadzorczymi — UODO, KNF, NFZ czy innymi, właściwymi dla danego sektora
Dla podmiotów objętych dyrektywą NIS2 oznacza to mniejszy nakład pracy przy dokumentowaniu bezpieczeństwa łańcucha dostaw i większą pewność, że wymagania wynikające z dyrektywy są faktycznie spełnione — a nie tylko formalnie zaadresowane w umowie.
|
Szukasz platformy webinarowej zgodnej z RODO i NIS2? ClickMeeting to polska platforma z certyfikatem ISO 27001, która posiada serwery w UE, działa zgodnie z RODO, uzyska status podmiotu kluczowego w rozumieniu NIS2 i UKSC oraz jako przedsiębiorca komunikacji elektronicznej podlega UKE. Sprawdź, jak może wesprzeć Twoją organizację. |
Dlaczego narzędzia cyfrowe, z których korzystasz, wchodzą w zakres regulowanego łańcucha dostaw?
Jedną z najistotniejszych zmian wynikających z dyrektywy NIS2 jest istotne rozszerzenie kręgu podmiotów zobowiązanych i wymóg jeszcze bardziej ostrożnego dobierania dostawców. Organizacje objęte przepisami muszą identyfikować kluczowych dostawców, oceniać ich pod kątem ryzyka cybernetycznego, wdrażać odpowiednie środki zarządzania ryzykiem i formalnie włączać wymagania dotyczące cyberbezpieczeństwa do umów. Cyberzagrożenia nie zatrzymują się na granicach jednej organizacji — atakujący coraz częściej wybierają jako punkt wejścia właśnie dostawców oprogramowania.
Jeśli platforma do webinarów i spotkań online będzie stanowić element systemu zarządzania bezpieczeństwem Twojej organizacji — powinna podlegać zarządzaniu ryzykiem łańcucha dostaw ICT zgodnie z art. 21(2)(d) dyrektywy NIS2. Oznacza to nie jednolite, lecz proporcjonalne do ocenionego ryzyka wymogi bezpieczeństwa — tym wyższe, im bardziej krytyczna jest rola platformy w działalności organizacji.
Platforma webinarowa przetwarza znacznie więcej danych niż większość organizatorów zdaje sobie sprawę — i to w kontekście, który ma bezpośrednie znaczenie dla cyberbezpieczeństwa organizacji. W trakcie typowego wydarzenia zbierane są:
- dane rejestracyjne: imię, nazwisko, adres e-mail, firma, stanowisko
- Treść informacji wymienianych między uczestnikami a organizatorem, mogą to być rozmowy dotyczące strategii, rozwoju usług, przedmiot negocjacji, treść prelekcji, zajęć.
- dane o aktywności: czas uczestnictwa, reakcje, kliknięcia przycisków CTA
- treści z sesji interaktywnych: odpowiedzi w ankietach, pytania w Q&A, wiadomości na czacie
- nagrania: zawierające wizerunek, głos i inne informacje ujawniane przez uczestników
- dane techniczne: adresy IP, informacje o urządzeniu i przeglądarce
Jakie pytania zadać dostawcy przed podpisaniem umowy?
Dyrektywa NIS2 nakłada obowiązek formalnej oceny dostawców krytycznych. Wybór narzędzi cyfrowych, w tym platformy webinarowej, powinien wyglądać podobnie jak wybór każdego innego kluczowego dostawcy ICT. Przed podjęciem decyzji warto uzyskać odpowiedzi na kilka konkretnych pytań:
- Gdzie fizycznie przechowywane są dane uczestników, nagrania i metadane wydarzeń?
- Czy firma podlega prawu państw trzecich, które mogą nakładać obowiązek ujawnienia danych (np. FISA, CLOUD Act)?
- Czy dostawca posiada certyfikat ISO/IEC 27001 lub równoważny i kiedy był ostatnio audytowany?
- Czy oferuje umowę powierzenia danych zgodną z art. 28 RODO (DPA)?
- Jak wygląda procedura zgłaszania incydentów i w jakich terminach dostawca jest zobowiązany powiadomić klientów?
- Czy dostawca dopuszcza audyt lub dostarczenie dowodów potwierdzających deklaracje bezpieczeństwa?
- Jak obsługiwane są żądania podmiotów danych — dostęp, usunięcie, sprzeciw?
|
“ Umowa z dostawcą platformy webinarowej — jeśli ta platforma pełni istotną rolę w świadczeniu usług przez podmiot kluczowy lub ważny — powinna zawierać znacznie więcej postanowien niż standardowe warunki korzystania z usługi. Mam na myśli klauzule dotyczące gwarantowanego poziomu dostępności usługi i ciągłości działania, zgłaszania incydentów w określonych terminach, prawo audytu, standardy zabezpieczen, wymogi wobec podwykonawców . To konkretne wymagania NIS2, które można i należy egzekwować umownie. Karolina Nazarewicz – Radca prawny, ekspertka w obszarze prawa ochrony danych i prawa nowych technologii |
Rekomendacja dla organizacji objętych NIS2 jest prosta: potraktuj wybór platformy komunikacyjnej i webinarowej tak samo poważnie jak wybór systemu ERP czy CRM. Przeprowadź ocenę ryzyka, wpisz dostawcę do rejestru, podpisz umowę z klauzulami uwzględniającymi NIS2 i cyklicznie weryfikuj, czy deklaracje dostawcy są nadal aktualne. TTo minimalny standard należytej staranności, który chroni Twoją organizację i uczestników Twoich wydarzeń przed cyberzagrożeniami
Jak ClickMeeting odpowiada na wymagania NIS2 i RODO?
ClickMeeting to polska platforma do webinarów i spotkań online z siedzibą w Gdańsku. Jako dostawca europejski, działający w ramach unijnego prawa krajowego, oferuje organizacjom objętym NIS2 konkretne argumenty dotyczące zapewnienia cyberbezpieczeństwa,
Oto, jak platforma odpowiada na wymagania dotyczące cyberbezpieczeństwa stawiane dostawcom usług w ramach NIS2:
- Dane wyłącznie w UE — serwery zlokalizowane w centrach danych w Unii Europejskiej; brak transferów danych do państw trzecich
- Certyfikat ISO/IEC 27001:2022 — potwierdzony zewnętrznym audytem system zarządzania bezpieczeństwem informacji, obejmujący środków technicznych i organizacyjnych
- Umowa powierzenia danych (DPA) — formalny kontrakt regulujący przetwarzanie danych uczestników, zgodny z art. 28 RODO
- Szyfrowanie — opcja szyfrowania end-to-end wybranych spotkań oraz standardowe szyfrowanie transmisji
- Kontrola dostępu — hasła do pokojów, tokeny rejestracyjne, moderacja listy uczestników
- Przejrzyste role RODO — jasne rozdzielenie ról administratora (organizator webinaru) i podmiotu przetwarzającego (ClickMeeting)
- Uczestnicy bez instalacji — platforma działa w przeglądarce, co ogranicza powierzchnię ataku po stronie uczestnika
Wybierając ClickMeeting, podmiot kluczowy objęty dyrektywą NIS 2 może wpisać platformę do rejestru dostawców krytycznych z gotową dokumentacją potwierdzającą poziom cyberbezpieczeństwa — bez konieczności przeprowadzania złożonych analiz prawnych dotyczących transferów danych za ocean. Spełnienie wymogów NIS2 w tym obszarze staje się znacznie prostsze.
|
“ Rekomendacja dla organizacji objętych NIS2 jest prosta: potraktuj wybór platformy komunikacyjnej i webinarowej tak samo poważnie jak wybór systemu ERP czy CRM. Przeprowadź ocenę ryzyka, wpisz dostawcę do rejestru, podpisz umowę z klauzulami uwzględniającymi NIS2 i cyklicznie weryfikuj, czy deklaracje dostawcy są nadal aktualne. TTo minimalny standard należytej staranności, który chroni Twoją organizację i uczestników Twoich wydarzeń przed cyberzagrożeniami. Karolina Nazarewicz – Radca prawny, ekspertka w obszarze prawa ochrony danych i prawa nowych technologii |
|
Szukasz platformy webinarowej zgodnej z RODO i NIS2? ClickMeeting to polska platforma z certyfikatem ISO 27001, która posiada serwery w UE, działa zgodnie z RODO, uzyska status podmiotu kluczowego w rozumieniu NIS2 i UKSC oraz jako przedsiębiorca komunikacji elektronicznej podlega UKE. Sprawdź, jak może wesprzeć Twoją organizację. |
FAQ
- Czy dyrektywa NIS2 dotyczy małych firm?
Co do zasady NIS2 obejmuje podmioty zatrudniające co najmniej 50 osób lub osiągające roczny obrót powyżej 10 mln euro, działające w sektorach uznanych za kluczowe lub ważne. Małe firmy poniżej tych progów są wyłączone z bezpośrednich wymogów dyrektywy, choć mogą podlegać dyrektywie NIS2 pośrednio — jako podwykonawcy podmiotów kluczowych lub jeśli zostaną uznani za pełniące funkcje krytyczne.
- Czym różni się podmiot „kluczowy” od „ważnego” w NIS2?
Oba typy podlegają zbliżonym wymogom bezpieczeństwa, ale różnią się reżimem nadzoru. Podmioty kluczowe i ważne objęte są analogicznymi obowiązkami z zakresu cyberbezpieczeństwa, natomiast podmioty kluczowe podlegają nadzorowi ex ante (proaktywnemu), a ważne — ex post (reaktywnemu). W praktyce dla obu kategorii kluczowe jest wdrożenie zarządzania ryzykiem i polityki bezpieczeństwa łańcucha dostaw.
- Czy platforma dowebinarówzawsze jest traktowana jako dostawca kluczowy?
Niekoniecznie — zależy to od roli, jaką platforma pełni w procesach organizacji. Jeśli webinary są centralnym narzędziem komunikacji lub kanałem przetwarzania wrażliwych danych, platforma powinna podlegać rygorom stosowanym wobec kluczowych dostawców ICT. Warto to ocenić w ramach przeglądu bezpieczeństwa łańcucha dostaw.
- Co powinna zawierać umowa z dostawcą platformywebinarowej?
Poza standardowymi warunkami usługi umowa powinna zawierać: umowę powierzenia danych (DPA), klauzule dotyczące zgłaszania incydentów w ustalonych terminach, zapisy o prawie do audytu, wymogi wobec podwykonawców (dalsze powierzenie danych), zasady zarządzania podatnościami oraz zobowiązania w zakresie ciągłości działania. To katalog wynikający wprost z wymagań NIS2.
- Czym jest certyfikat ISO 27001 i dlaczego jest ważny przy wyborze platformy?
ISO/IEC 27001 to międzynarodowy standard zarządzania bezpieczeństwem informacji, potwierdzany przez niezależny audyt. Jego posiadanie przez dostawcę platformy jest jednym z najbardziej wiarygodnych dowodów, że organizacja wdrożyła sformalizowany system zarządzania ryzykiem bezpieczeństwa — co bezpośrednio odpowiada wymogom NIS2 w obszarze cyberbezpieczeństwa.
- Czy RODO i dyrektywa NIS2 to te same przepisy?
Nie — to dwa odrębne akty prawne, które się uzupełniają. RODO dotyczy ochrony danych osobowych. Dyrektywa NIS2 dotyczy bezpieczeństwa sieci i systemów informatycznych i obejmuje określone sektory. W kontekście platform webinarowych oba zestawy przepisów mają zastosowanie jednocześnie — i oba wskazują na potrzebę wyboru dostawcy spełniającego wymagania cyberbezpieczeństwa w Unii Europejskiej.
- Jak często należy oceniać dostawców IT pod kątem wymagań NIS2?
Przepisy nie określają sztywnej częstotliwości, ale wytyczne ENISA sugerują coroczne przeglądy i dodatkową ocenę po każdej istotnej zmianie po stronie dostawcy — np. zmiana właściciela, lokalizacji danych lub poważny incydent bezpieczeństwa. Wyniki ocen powinny być dokumentowane jako dowód należytej staranności wobec organów krajowych.
- Co grozi organizacji za niedostosowanie się do wymogów NIS2?
Sankcje są istotne: organy nadzorcze mogą nakładać kary sięgające 10 mln euro lub 2% globalnego obrotu dla podmiotów kluczowych albo 7 mln euro lub 1,4% obrotu dla ważnych. Możliwe są też nakazy zaprzestania działalności i — w skrajnych przypadkach — odpowiedzialność osobista kadry zarządzającej. Właśnie dlatego wdrożenie NIS2 w zakresie wymagań dotyczących dostawców nie powinno być odkładane.
Loading...
