NIS2 wdrożyła w Polsce ustawa z dnia 23 stycznia 2026 r. o zmianie ustawy o krajowym systemie cyberbezpieczeństwa oraz niektórych innych ustaw (Dz.U. 2026 poz. 252), która weszła w życie 3 kwietnia 2026 r.. Software house podlega jej bezpośrednio, jeśli jest dostawcą usług zarządzanych, czyli na przykład administruje systemami klientów lub je utrzymuje, i ma co najmniej średnią wielkość.
Pozostałe software house’y odczuwają NIS2 przez klientów: podmioty kluczowe i ważne muszą zarządzać bezpieczeństwem łańcucha dostaw i przenoszą te wymagania do umów z dostawcami oprogramowania.
Czy twój software house sam podlega NIS2?
Sprawdź dwie rzeczy: rodzaj usług i wielkość firmy.
Rodzaj usług. Załącznik nr 1 do ustawy o krajowym systemie cyberbezpieczeństwa wymienia w sektorze „Zarządzanie usługami ICT” dwa rodzaje podmiotów: dostawcę usług zarządzanych i dostawcę usług zarządzanych w zakresie cyberbezpieczeństwa.
Dostawca usług zarządzanych to podmiot, który świadczy usługi związane z instalacją, eksploatacją lub konserwacją produktów ICT, usług ICT, procesów ICT lub systemów informacyjnych przez wsparcie lub aktywną administrację u usługobiorcy, na miejscu lub zdalnie (art. 2 pkt 4i).
Wielkość. Progi określa art. 2 załącznika I do rozporządzenia Komisji (UE) nr 651/2014.
| Podmiot z załącznika nr 1 | Status | Przepis |
|---|---|---|
| Spełnia wymogi dla średniego przedsiębiorcy | Podmiot ważny | art. 5 ustawy |
| Przewyższa wymogi dla średniego przedsiębiorcy | Podmiot kluczowy | art. 5 ustawy |
Jeśli oba warunki są spełnione, firma ma obowiązki z rozdziału 3 ustawy. Najważniejsze z nich:
- wniosek o wpis do wykazu podmiotów kluczowych i ważnych w terminie 6 miesięcy od dnia spełnienia przesłanek (art. 7c ust. 1),
- system zarządzania bezpieczeństwem informacji z szacowaniem ryzyka, zarządzaniem incydentami, ciągłością działania, kontrolą dostępu, kryptografią i bezpieczeństwem łańcucha dostaw (art. 8),
- zgłaszanie incydentów poważnych.
Terminy przejściowe z ustawy zmieniającej:
- podmioty, które spełniały kryteria w dniu wejścia ustawy w życie, wdrażają obowiązki z rozdziału 3 w terminie 12 miesięcy od wejścia w życie ustawy (art. 33 ust. 1 ustawy zmieniającej),
- podmioty kluczowe przeprowadzają pierwszy audyt w terminie 24 miesięcy od wejścia w życie ustawy (art. 33 ust. 2),
- kary pieniężne mogą zostać nałożone po raz pierwszy po upływie 2 lat od wejścia w życie ustawy (art. 35).
Czego wymagają klienci objęci NIS2?
Nawet jeśli twoja firma nie jest podmiotem ważnym, twój klient może nim być.
Art. 8 ust. 1 pkt 2 lit. e ustawy każe podmiotom kluczowym i ważnym dbać o bezpieczeństwo i ciągłość łańcucha dostaw produktów, usług i procesów ICT, z uwzględnieniem relacji z bezpośrednim dostawcą sprzętu lub oprogramowania. Art. 8 ust. 2 dodaje, że biorą pod uwagę podatności związane z dostawcą oraz ogólną jakość jego produktów i procesów.
Dla software house’u oznacza to w praktyce:
- ankiety bezpieczeństwa przed podpisaniem umowy i przy odnowieniu,
- zapisy w umowie o zgłaszaniu incydentów i podatności w określonym czasie,
- bezpieczne wytwarzanie: przegląd kodu, skanowanie zależności, zarządzanie sekretami, kontrola dostępu do repozytoriów,
- aktualizacje: ustawa wymienia regularne aktualizacje oprogramowania zgodnie z zaleceniami producenta (art. 8 ust. 1 pkt 5 lit. b), więc klient zapyta, jak długo i jak szybko je dostarczasz,
- prawo do audytu u dostawcy.
Jak przygotować software house na wymagania NIS2 od klientów?
- Spisz, którzy klienci są podmiotami kluczowymi lub ważnymi. Pomoże lista sektorów z załączników nr 1 i 2 do ustawy.
- Przygotuj jedną paczkę dokumentów: polityka bezpieczeństwa, proces zgłaszania incydentów, proces obsługi podatności, zasady bezpiecznego wytwarzania, lista podwykonawców.
- Sprawdź dostęp do repozytoriów i środowisk klientów: kto ma, na jakiej podstawie, czy działa uwierzytelnianie wieloskładnikowe.
- Wpisz koszty zgodności do stawki. Wymagania NIS2 to realna praca, za którą klient powinien płacić.
- Jeśli świadczysz usługi zarządzane i jesteś co najmniej średnim przedsiębiorcą, przeanalizuj z prawnikiem, czy sam podlegasz ustawie.
Co NIS2 znaczy dla kodu, który twoja firma ma?
Jeśli licencjonujesz własny produkt albo bibliotekę klientom objętym NIS2, jesteś dla nich dostawcą oprogramowania w rozumieniu art. 8. Klient będzie oceniał podatności i jakość twojego kodu.
Łatwiej przejdzie taką ocenę kod, który ma:
- testy,
- aktualne zależności,
- listę komponentów open source,
- opisany proces wydawania poprawek.
Taki kod łatwiej też licencjonować i jest wart więcej.
Zanim zaczniesz licencjonować własny kod, sprawdź, czy prawa do niego są w firmie: kto jest właścicielem kodu i licencja na oprogramowanie. Ile taki kod może być wart, sprawdzisz na stronie ile jest wart kod źródłowy.