NIS2 / KSC · Audyt zerowy
Audyt zerowy
Audyt zerowy NIS2 - analiza luk względem ustawy o KSC: zakres, metoda, raport luk, macierz zgodności i plan wdrożenia do 3.04.2027.
NIS2 / KSC · Energetyka
NIS2 i KSC w sektorze energii
NIS2 w energetyce obejmuje przedsiębiorstwa z koncesjami na wytwarzanie, przesył, dystrybucję i obrót energią elektryczną, ciepłem, paliwami i gazem, a także operatorów punktów ładowania, magazynowanie energii i wodór. Energia to sektor kluczowy: duże przedsiębiorstwo jest podmiotem kluczowym, średnie - ważnym, a operator obiektu energetyki jądrowej - kluczowym niezależnie od wielkości.
01Status
Które firmy energetyczne podlegają NIS2 i KSC
Sektor energii ma siedem podsektorów: wydobywanie kopalin, energia elektryczna, ciepło, ropa i paliwa, gaz, energetyka jądrowa i wodór.
Rodzaj działalności
Załącznik nr 1 opisuje rodzaje podmiotów przez koncesje i uprawnienia z Prawa energetycznego oraz Prawa geologicznego i górniczego: wytwarzanie, przesył, dystrybucja i obrót energią elektryczną, ciepłem, paliwami ciekłymi i gazowymi, magazynowanie i przeładunek paliw, operatorzy systemów gazowych, wydobycie kopalin. Do tego nowe obszary: punkty ładowania pojazdów elektrycznych, agregacja, odpowiedź odbioru, magazynowanie energii, wodór i paliwa syntetyczne.
Według Ministerstwa Cyfryzacji samoidentyfikację zaczyna się od koncesji, zezwoleń i kodów PKD (Q&A z 1.10.2026, pyt. 1.1). Obrót paliwami ciekłymi, który nie wymaga koncesji, nie podlega ustawie (załącznik nr 1, podsektor Ropa i paliwa; MC, Q&A (10.2026), pyt. 1.49).
Wielkość i wyjątki
Duże przedsiębiorstwo energetyczne jest podmiotem kluczowym, średnie - ważnym (art. 5 ust. 1 pkt 1 i ust. 2 pkt 1); mikro i małe co do zasady pozostają poza ustawą. Wielkość liczy się razem z grupą kapitałową - to ważne przy spółkach celowych OZE i spółkach zależnych dużych koncernów. Wielkość liczy się razem z przedsiębiorstwami powiązanymi i partnerskimi; podmiot, który przekracza próg tylko dzięki nim, nie jest z tego tytułu podmiotem kluczowym ani ważnym, jeśli jego system informacyjny jest od nich niezależny albo nie świadczy z nimi usług wspólnie (art. 5 ust. 6-7).
Niezależnie od wielkości: operator obiektu energetyki jądrowej jest podmiotem kluczowym, a inwestor z decyzją zasadniczą - ważnym (art. 5 ust. 1 pkt 4 lit. h, ust. 2 pkt 5).
Status sprawdzisz w kwalifikatorze NIS2/KSC.
| Rodzaj podmiotu | Kiedy podlega ustawie | Podstawa |
|---|---|---|
| Wydobywanie kopalin na podstawie koncesji - gaz ziemny, ropa naftowa, węgiel brunatny i kamienny, inne kopaliny (Prawo geologiczne i górnicze). | Duże przedsiębiorstwo - kluczowy, średnie - ważny | zał. nr 1, sektor Energia, podsektor Wydobywanie kopalin |
| Wytwarzanie energii elektrycznej (koncesja) | Duże przedsiębiorstwo - kluczowy, średnie - ważny | zał. nr 1, sektor Energia, podsektor Energia elektryczna |
| Przesyłanie lub dystrybucja energii elektrycznej (koncesja) - operatorzy systemów przesyłowych i dystrybucyjnych. | Duże przedsiębiorstwo - kluczowy, średnie - ważny | zał. nr 1, sektor Energia, podsektor Energia elektryczna |
| Obrót energią elektryczną (koncesja) | Duże przedsiębiorstwo - kluczowy, średnie - ważny | zał. nr 1, sektor Energia, podsektor Energia elektryczna |
| Agregacja, odpowiedź odbioru, magazynowanie energii, wyznaczony operator rynku energii | Duże przedsiębiorstwo - kluczowy, średnie - ważny | zał. nr 1, sektor Energia, podsektor Energia elektryczna (art. 3 pkt 6e, 11j, 28b, 59 i 59a ustawy - Prawo energetyczne) |
| Operator punktów ładowania pojazdów elektrycznych - zarządzanie punktem ładowania i usługa ładowania dla użytkowników końcowych. | Duże przedsiębiorstwo - kluczowy, średnie - ważny | zał. nr 1, sektor Energia, podsektor Energia elektryczna |
| Wytwarzanie, przesyłanie, dystrybucja lub obrót ciepłem (koncesja) | Duże przedsiębiorstwo - kluczowy, średnie - ważny | zał. nr 1, sektor Energia, podsektor Ciepło |
| Ropa naftowa i paliwa ciekłe - wytwarzanie, przesyłanie (także rurociągami), magazynowanie, przeładunek i obrót paliwami ciekłymi (także z zagranicą), paliwa syntetyczne. | Duże przedsiębiorstwo - kluczowy, średnie - ważny | zał. nr 1, sektor Energia, podsektor Ropa i paliwa |
| Agencja wykonawcza utworzona na podstawie ustawy o rezerwach strategicznych | Kluczowy niezależnie od wielkości | zał. nr 1, sektor Energia, podsektor Ropa i paliwa |
| Gaz ziemny i paliwa gazowe - wytwarzanie paliw gazowych, przesyłanie, obrót (także z zagranicą), operatorzy systemów przesyłowego, dystrybucyjnego, magazynowania i skraplania, rafinacja i przetwarzanie gazu. | Duże przedsiębiorstwo - kluczowy, średnie - ważny | zał. nr 1, sektor Energia, podsektor Gaz |
| Operator obiektu energetyki jądrowej | Kluczowy niezależnie od wielkości | zał. nr 1, sektor Energia, podsektor Energetyka jądrowa; art. 5 ust. 1 pkt 4 lit. h |
| Wodór: wytwarzanie, przesyłanie, magazynowanie lub dystrybucja | Duże przedsiębiorstwo - kluczowy, średnie - ważny | zał. nr 1, sektor Energia, podsektor Wodór |
| Inwestor obiektu energetyki jądrowej | Ważny po uzyskaniu decyzji zasadniczej, niezależnie od wielkości | zał. nr 2, sektor Inwestycje energetyki jądrowej; art. 5 ust. 2 pkt 5 |
02Organ i podmioty krytyczne
Organ właściwy, podmioty krytyczne i zgłaszanie incydentów
Organ i wykaz
Organem właściwym dla sektora energii i inwestycji energetyki jądrowej jest minister właściwy do spraw energii (art. 41 pkt 1 i 1a). Przedsiębiorstwa energetyczne składają wniosek o wpis do wykazu same, w systemie S46 - termin dla podmiotów, które spełniały przesłanki 3.04.2026, minął 3.10.2026, ale według Ministerstwa Cyfryzacji samorejestracja w wykazie jest dostępna przez cały czas; 3 października 2026 r. był ostatnim dniem dla podmiotów, które spełniały przesłanki w dniu wejścia nowelizacji w życie (MC, Q&A (10.2026), pyt. 2.32).
Incydenty
Incydent poważny zgłasza się przez S46 w terminach 24 i 72 godzin oraz miesiąca. Do czasu ogłoszenia gotowości CSIRT sektorowego dla energii zgłoszenia trafiają do właściwego CSIRT poziomu krajowego (art. 44 ustawy zmieniającej).
Podmioty krytyczne
Energetyka to jeden z sektorów, w których identyfikuje się podmioty krytyczne (dyrektywa CER). Podmiot krytyczny to operator infrastruktury krytycznej wpisany do wykazu podmiotów krytycznych, który prowadzi dyrektor Rządowego Centrum Bezpieczeństwa; o wpisie organ informuje operatora w ciągu 30 dni (art. 2 pkt 11c UKSC; art. 3 pkt 1a, art. 6zo ust. 1 i art. 6zr ust. 3 ustawy o zarządzaniu kryzysowym). Pierwszą identyfikację podmiotów krytycznych i wpisy do wykazu organy przeprowadzają w ciągu 9 miesięcy od wejścia w życie ustawy z 29 maja 2026 r. (4 lipca 2026 r.), czyli do 4 kwietnia 2027 r. (art. 34 ustawy z 29.05.2026 r. (Dz.U. 2026 poz. 815)).
Podmiot krytyczny jest podmiotem kluczowym niezależnie od wielkości (art. 5 ust. 1 pkt 4 lit. c) - wpis do wykazu podmiotów krytycznych może więc zmienić status także mniejszej spółki. Do czasu identyfikacji podmiotów krytycznych na podstawie ustawy o zarządzaniu kryzysowym nikt nie jest wpisywany do wykazu jako podmiot krytyczny; katalog zidentyfikowanych podmiotów przekaże ministrowi cyfryzacji Rządowe Centrum Bezpieczeństwa (MC, Q&A (10.2026), pyt. 2.37-2.38).
03Ryzyka
Systemy i ryzyka w energetyce
Systemy, które trzeba objąć analizą ryzyka
- Sterowanie i nadzór - SCADA, systemy zarządzania siecią i dyspozycji mocy, sterowniki w elektrowniach i stacjach.
- Pomiary i rozliczenia - liczniki zdalnego odczytu, systemy bilingowe i obsługi klienta.
- Rynek i handel - systemy obrotu energią, prognozowania i grafikowania.
- Rozproszone źródła - farmy wiatrowe i fotowoltaiczne zarządzane zdalnie, magazyny energii, punkty ładowania z aplikacjami dla kierowców.
Na co zwrócić uwagę
- granica między siecią technologiczną a biurową i dostęp zdalny serwisu,
- urządzenia i oprogramowanie dostawców - ocena ich podatności i jakości to element łańcucha dostaw (art. 8 ust. 2),
- ciągłość działania - plany awaryjne i odtworzenia przetestowane na realnych scenariuszach,
- monitorowanie w trybie ciągłym i zgłaszanie incydentów w terminach ustawy,
- przy podmiotach kluczowych podsektora energii elektrycznej - środki z rozporządzenia delegowanego (UE) 2024/1366 (według Ministerstwa Cyfryzacji, Q&A pyt. 14.1).
04Obowiązki
Obowiązki i terminy dla energetyki
Podmiot kluczowy i ważny
- system zarządzania bezpieczeństwem informacji z art. 8 - do 3 kwietnia 2027 r.,
- zgłaszanie incydentów, dokumentacja, osoby kontaktowe, coroczne szkolenie kierownika (art. 8e),
- podmiot kluczowy: audyt bezpieczeństwa co najmniej raz na 3 lata, pierwszy do 3 kwietnia 2028 r.; podmiot ważny - na decyzję organu.
Kary
- podmiot kluczowy: do 10 mln EUR albo 2% przychodów z działalności gospodarczej z poprzedniego roku obrotowego - stosuje się kwotę wyższą; nie mniej niż 20 000 zł (art. 73 ust. 3),
- podmiot ważny: do 7 mln EUR albo 1,4% przychodów z działalności gospodarczej z poprzedniego roku obrotowego; nie mniej niż 15 000 zł (art. 73 ust. 4),
- kary z art. 73 ust. 1-4, art. 73a-73c i art. 76b mogą być nałożone po raz pierwszy po upływie 2 lat od wejścia w życie nowelizacji (według MC - po 3.04.2028). Moratorium nie obejmuje kary do 100 mln zł (art. 35 nowelizacji).
05Jak pomagamy
Audyt zerowy, wdrożenie i testy w energetyce
- Audyt zerowy NIS2 - kwalifikacja spółek w grupie, analiza luk względem art. 8 i plan wdrożenia.
- Wdrożenie NIS2 - polityki, procedury incydentów i ciągłości działania, wymagania wobec dostawców.
- Testy penetracyjne infrastruktury i sieci - w tym segmentacja sieci technologicznej, dostęp zdalny i systemy klientów, z ustalonymi zasadami bezpieczeństwa testów.
- Testy aplikacji webowych - portale klientów i aplikacje ładowania.
Audyt z art. 15 przeprowadzamy we współpracy z partnerem, którego audytorzy spełniają wymagania ustawy - i nie audytujemy firmy, której w ciągu roku przed audytem pomagaliśmy wdrażać system zarządzania bezpieczeństwem. Zarząd przygotujemy do obowiązków kierownika na szkoleniu dla zarządu.
Pytania do sprawdzenia przed audytem zebraliśmy w checkliście NIS2/KSC.
Najczęściej zadawane pytania
Czy farma fotowoltaiczna albo wiatrowa podlega NIS2?
Załącznik nr 1 obejmuje przedsiębiorstwa energetyczne posiadające koncesję na wytwarzanie energii elektrycznej, a także m.in. podmioty świadczące usługi agregacji, odpowiedzi odbioru i magazynowania energii. Jeśli spółka projektowa ma koncesję, decyduje wielkość liczona razem z przedsiębiorstwami powiązanymi i partnerskimi - spółka celowa należąca do dużej grupy energetycznej często przekracza progi. Przydomowa instalacja prosumencka bez koncesji w załączniku nie występuje.
Czy operator stacji ładowania podlega ustawie o KSC?
Tak, jeśli spełnia próg wielkości. W podsektorze energii elektrycznej są przedsiębiorcy odpowiedzialni za zarządzanie punktem ładowania i jego obsługę, świadczący usługę ładowania na rzecz użytkowników końcowych. Średni operator jest podmiotem ważnym, duży - kluczowym.
Czy gminna spółka ciepłownicza podlega NIS2?
Przedsiębiorstwo z koncesją na wytwarzanie, przesyłanie, dystrybucję lub obrót ciepłem jest w sektorze energii: średnie jest podmiotem ważnym, duże kluczowym. Spółka komunalna wykonująca zadania użyteczności publicznej jest ponadto podmiotem ważnym jako podmiot publiczny, jeśli realizuje zadania z wykorzystaniem systemów informacyjnych (art. 5 ust. 2 pkt 8) - obowiązuje wyższy z tych statusów.
Czy obrót paliwami bez koncesji podlega ustawie?
Według Ministerstwa Cyfryzacji nie - obrót paliwami ciekłymi, który nie wymaga koncesji, nie podlega ustawie o KSC (Q&A z 1.10.2026, pyt. 1.49). Rodzaje podmiotów w sektorze energii opisano w załączniku przez koncesje i inne uprawnienia z Prawa energetycznego oraz Prawa geologicznego i górniczego.
Czy energetykę obowiązują dodatkowe przepisy unijne?
Tak. Według Ministerstwa Cyfryzacji podmioty kluczowe z podsektora energii elektrycznej stosują w systemie zarządzania bezpieczeństwem i ciągłości działania także środki z rozporządzenia delegowanego Komisji (UE) 2024/1366 - kodeksu sieci dotyczącego cyberbezpieczeństwa transgranicznych przepływów energii elektrycznej (Q&A, pyt. 14.1). Wiele przedsiębiorstw energetycznych może też zostać uznanych za podmioty krytyczne.
Źródła
- Ustawa z dnia 23 stycznia 2026 r. o zmianie ustawy o krajowym systemie cyberbezpieczeństwa oraz niektórych innych ustaw (Dz.U. 2026 poz. 252) ()
- Ustawa o krajowym systemie cyberbezpieczeństwa - metryka aktu i akty zmieniające (API ELI Sejmu) ()
- Ministerstwo Cyfryzacji - Q&A nowelizacja KSC, aktualizacja październik 2026 (1.10.2026; dokument wyjaśniający, bez mocy prawnej) ()
- Ustawa z dnia 29 maja 2026 r. o zmianie ustawy o zarządzaniu kryzysowym oraz niektórych innych ustaw (Dz.U. 2026 poz. 815) - wdrożenie dyrektywy (UE) 2022/2557 w sprawie odporności podmiotów krytycznych ()
Powiązane usługi
NIS2 / KSC · Wdrożenie
Wdrożenie NIS2
Wdrożenie NIS2 w firmie krok po kroku: wpis do wykazu, analiza ryzyka, polityki, środki techniczne, incydenty, dostawcy i audyt. Harmonogram do 3.04.2027.
Kwalifikator NIS2 / KSC
Kwalifikator NIS2 / KSC
Kogo dotyczy NIS2 i ustawa o KSC? Bezpłatny kwalifikator: sektor, wielkość i wyjątki z art. 5 ustawy. Wynik z uzasadnieniem, obowiązkami i terminami.
Testy penetracyjne · Infrastruktura
Infrastruktura i sieci
Testy penetracyjne infrastruktury i sieci - perymetr widoczny z internetu, VPN, sieć wewnętrzna i Active Directory. Według NIST SP 800-115, bez testów DoS.