Od 3 kwietnia 2026 r. obowiązuje nowelizacja ustawy o krajowym systemie cyberbezpieczeństwa (KSC), która wdraża w Polsce unijną dyrektywę NIS2. Obejmuje tysiące średnich i dużych firm oraz instytucji, które do tej pory nie miały żadnych ustawowych obowiązków w zakresie cyberbezpieczeństwa. Najbliższy twardy termin – 3 kwietnia 2027 r. – to dzień, w którym system zarządzania bezpieczeństwem musi już działać.
W tym artykule wyjaśniamy, kogo dotyczą nowe przepisy, co trzeba zrobić i do kiedy, a także które wymagania realnie spełnia dobrze skonfigurowany firewall – i których nie spełni żadne urządzenie.
Ważne: to artykuł informacyjny, a nie porada prawna. Ocenę, czy Twoja organizacja podlega ustawie, warto potwierdzić z prawnikiem lub doradcą ds. zgodności.
NIS2 i KSC w pigułce
- NIS2 to dyrektywa UE 2022/2555 o cyberbezpieczeństwie. Państwa członkowskie miały ją wdrożyć do 17 października 2024 r. – Polska zrobiła to z opóźnieniem.
- KSC to polska ustawa z 5 lipca 2018 r. o krajowym systemie cyberbezpieczeństwa. Nowelizacja z 23 stycznia 2026 r. (Dz.U. 2026 poz. 252) wprowadza do niej wymagania NIS2.
- Zamiast dawnych „operatorów usług kluczowych” ustawa wyróżnia teraz dwie grupy: podmioty kluczowe i podmioty ważne. Różnią się przede wszystkim nadzorem, obowiązkiem audytu i wysokością kar.
Kogo dotyczy nowa ustawa?
O tym, czy firma podlega ustawie, decydują dwa kryteria jednocześnie: sektor i wielkość.
- Sektor – działalność wymieniona w załącznikach do ustawy, m.in.: energetyka, transport, bankowość, ochrona zdrowia, woda i ścieki, infrastruktura cyfrowa, zarządzanie usługami ICT, administracja publiczna, a także poczta i kurierzy, gospodarka odpadami, chemia, produkcja żywności, produkcja wybranych wyrobów, dostawcy usług cyfrowych i badania naukowe.
- Wielkość – co do zasady co najmniej średnie przedsiębiorstwo, czyli zatrudniające co najmniej 50 osób albo mające roczny obrót i sumę bilansową powyżej 10 mln euro. Duże przedsiębiorstwa w sektorach z pierwszego załącznika to zwykle podmioty kluczowe, pozostałe – podmioty ważne.
- Wyjątki od progu wielkości – niektóre podmioty podlegają ustawie niezależnie od rozmiaru, m.in. podmioty publiczne, dostawcy usług zaufania, rejestry domen i dostawcy usług DNS. Dostawcy zarządzanych usług bezpieczeństwa (MSSP) podlegają ustawie już od progu małego przedsiębiorstwa.
Mała firma też może to odczuć
Jeśli Twoja firma nie spełnia kryteriów, ustawa nie nakłada na nią obowiązków bezpośrednio. Jeżeli jednak jesteś dostawcą lub podwykonawcą podmiotu kluczowego albo ważnego – na przykład obsługujesz informatycznie przychodnię, dostarczasz usługi dla zakładu produkcyjnego czy firmy transportowej – Twój klient musi zadbać o bezpieczeństwo swojego łańcucha dostaw. W praktyce oznacza to ankiety bezpieczeństwa, wymagania w umowach i pytania o to, jak chronisz sieć i dostęp do systemów klienta.
Terminy – co i do kiedy
| Termin | Co się dzieje | Kogo dotyczy |
|---|---|---|
| 3 kwietnia 2026 | Nowelizacja wchodzi w życie | wszystkich |
| 7 maja – 3 października 2026 | Samorejestracja w wykazie podmiotów kluczowych i ważnych (wykaz-ksc.gov.pl) | podmioty, które nie zostały wpisane z urzędu |
| 3 kwietnia 2027 | Wdrożone wszystkie obowiązki: system zarządzania bezpieczeństwem informacji, obsługa incydentów, osoby kontaktowe, korzystanie z systemu S46 | podmioty kluczowe i ważne |
| 3 kwietnia 2028 | Pierwszy audyt bezpieczeństwa, później co najmniej raz na 3 lata | podmioty kluczowe |
Termin samorejestracji minął 3 października 2026 r. Jeśli Twoja organizacja podlega ustawie, a nie złożyła wniosku – zrób to jak najszybciej. Wniosek składa się elektronicznie przez wykaz-ksc.gov.pl i podpisuje go kierownik podmiotu lub osoba przez niego upoważniona.
Co konkretnie trzeba zrobić?
- System zarządzania bezpieczeństwem informacji (SZBI) – szacowanie ryzyka i dobór do niego zabezpieczeń, polityki i procedury, zarządzanie aktywami, kontrola dostępu, kryptografia, ciągłość działania, bezpieczeństwo dostawców, zarządzanie podatnościami, monitorowanie oraz regularne sprawdzanie skuteczności zabezpieczeń.
- Obsługa i zgłaszanie incydentów – poważny incydent trzeba zgłosić do właściwego zespołu CSIRT: wczesne ostrzeżenie w ciągu 24 godzin od jego wykrycia, zgłoszenie w ciągu 72 godzin i sprawozdanie końcowe w ciągu miesiąca.
- Odpowiedzialność kierownictwa – za cyberbezpieczeństwo odpowiada kierownik podmiotu (zarząd, właściciel). Musi nadzorować wdrożenie, zapewnić zasoby i co roku przejść udokumentowane szkolenie.
- Osoby kontaktowe i dokumentacja – wyznaczenie co najmniej dwóch osób do kontaktu z organami i zespołami CSIRT oraz prowadzenie dokumentacji bezpieczeństwa.
- Audyt – podmioty kluczowe przechodzą regularny audyt bezpieczeństwa systemu informacyjnego.
Jakie kary grożą?
| Kto | Maksymalna kara |
|---|---|
| Podmiot kluczowy | do 10 mln euro lub 2% rocznego przychodu (nie mniej niż 20 000 zł) |
| Podmiot ważny | do 7 mln euro lub 1,4% rocznego przychodu (nie mniej niż 15 000 zł) |
| Kierownik podmiotu (osobiście) | do 300% miesięcznego wynagrodzenia (w podmiotach prywatnych) |
Większość kar administracyjnych będzie można nakładać dopiero po dwóch latach od wejścia ustawy w życie, czyli od kwietnia 2028 r. To jednak nie powód, żeby czekać – obowiązki zaczynają obowiązywać wcześniej, a wdrożenie SZBI w średniej firmie zajmuje miesiące.
Gdzie w tym wszystkim jest firewall?
Firewall nie zapewni zgodności z ustawą – ta wymaga przede wszystkim działań organizacyjnych: analizy ryzyka, procedur, szkoleń, odpowiedzialności kierownictwa. Jest jednak jednym z kluczowych środków technicznych, na których opiera się większość zabezpieczeń sieci. Poniżej zestawiamy wymagania NIS2 (art. 21 dyrektywy) z tym, co daje firewall pfSense Plus na urządzeniu Netgate.
| Wymaganie | Jak pomaga firewall pfSense Plus |
|---|---|
| Kontrola dostępu | Reguły dla każdego interfejsu, aliasy, harmonogramy czasowe. Dostęp do systemów tylko dla tych, którzy go potrzebują – zgodnie z zasadą minimalnych uprawnień. |
| Segmentacja sieci | VLAN-y oddzielające biuro, serwery, gości, kamery i urządzenia IoT. Włamanie do jednego segmentu nie otwiera drogi do całej sieci. |
| Kryptografia i bezpieczna komunikacja | Szyfrowane tunele VPN: WireGuard, OpenVPN i IPsec – dla pracowników zdalnych i połączeń między oddziałami. |
| Uwierzytelnianie wieloskładnikowe (MFA) | Logowanie do VPN przez RADIUS lub LDAP, z jednorazowymi kodami – np. pakiet FreeRADIUS lub zewnętrzny serwer MFA. |
| Wykrywanie i obsługa incydentów | IDS/IPS (pakiety Suricata i Snort) wykrywa i blokuje ataki. Logi zapory i przesyłanie ich do zewnętrznego serwera syslog lub systemu SIEM pomagają ustalić, co się stało – co jest niezbędne, żeby zgłosić incydent w ciągu 24 godzin. |
| Ochrona przed zagrożeniami | pfBlockerNG blokuje znane złośliwe domeny i adresy IP oraz ruch z wybranych krajów. |
| Zarządzanie podatnościami | Regularne aktualizacje pfSense Plus i biuletyny bezpieczeństwa Netgate. Na urządzeniach Netgate aktualizacje są w cenie, dożywotnio (TAC Lite). |
| Ciągłość działania | Klaster dwóch firewalli (CARP) – awaria jednego nie zatrzymuje sieci. Multi-WAN z automatycznym przełączaniem przy awarii łącza. Kopie zapasowe konfiguracji i szybki powrót do poprzedniej wersji systemu po nieudanej aktualizacji. |
| Bezpieczeństwo łańcucha dostaw | Oryginalny sprzęt od autoryzowanego partnera, znane pochodzenie oprogramowania, wsparcie producenta (Netgate TAC) z określonym czasem reakcji. |
| Monitorowanie | Wykresy ruchu i obciążenia, podgląd połączeń, powiadomienia, logi do analizy i archiwizacji. |
Same funkcje to jednak nie wszystko. Przy audycie liczy się to, że konfiguracja jest przemyślana, udokumentowana i regularnie sprawdzana: kto ma dostęp do czego i dlaczego, jak wygląda podział sieci, gdzie trafiają logi i jak długo są przechowywane, kto i kiedy aktualizuje firewall.
Od czego zacząć – praktyczna lista
- Sprawdź, czy Twoja organizacja podlega ustawie – sektor, wielkość, art. 5 ustawy. Jeśli tak i nie ma jej w wykazie, złóż wniosek.
- Zinwentaryzuj sieć – urządzenia, segmenty, połączenia z zewnątrz, dostęp zdalny, dostawcy z dostępem do Twoich systemów.
- Przejrzyj obecny firewall – czy jest aktualny, czy producent wciąż go wspiera, czy reguły nie mają zbyt szerokich zezwoleń, czy sieć jest podzielona na segmenty.
- Uporządkuj dostęp zdalny – VPN z silnym uwierzytelnianiem zamiast przekierowanych portów i pulpitów zdalnych wystawionych do internetu.
- Zadbaj o logi – centralne zbieranie i przechowywanie logów zapory i VPN.
- Zaplanuj ciągłość działania – zapasowe łącze, kopie konfiguracji, a przy krytycznej infrastrukturze – drugi firewall w klastrze HA.
- Udokumentuj – opis architektury sieci, reguł i procedur aktualizacji to gotowy materiał do SZBI i audytu.
Jak możemy pomóc
Jako autoryzowany partner Netgate pomagamy firmom i instytucjom w technicznej części przygotowań do KSC:
- audyt konfiguracji istniejącego firewalla pfSense wraz z listą rekomendacji,
- dobór urządzenia Netgate do wielkości sieci i wymagań (także klastry HA) – zobacz przewodnik po modelach,
- wdrożenie segmentacji, VPN z MFA, IDS/IPS i centralnego logowania,
- dokumentację konfiguracji, którą możesz włączyć do swojego SZBI,
- wsparcie producenta – plany Netgate TAC Pro i Enterprise z gwarantowanym czasem reakcji.
Przygotowujesz się do KSC? Napisz do nas: kontakt@itessential.pl – podpowiemy, od czego zacząć po stronie sieci.
Źródła
- Ministerstwo Cyfryzacji – obowiązki podmiotów kluczowych i ważnych
- Ministerstwo Cyfryzacji – samorejestracja w wykazie podmiotów kluczowych i ważnych
- Dyrektywa (UE) 2022/2555 (NIS2) – EUR-Lex
- LegalGeek – Ustawa KSC 2026: co zmienia nowelizacja NIS2
- ITwiz – Nowelizacja ustawy o KSC zaczyna obowiązywać
Stan prawny na 14 października 2026 r.