W jednym zdaniu. NIS2 i RODO regulują inne ryzyka, a jeden incydent może wymagać dwóch zgłoszeń, jeżeli podmiot podlega polskiej ustawie o krajowym systemie cyberbezpieczeństwa, incydent jest w jej rozumieniu poważny i równocześnie powstało naruszenie ochrony danych osobowych wymagające zgłoszenia na podstawie RODO.
Jeden atak ransomware może uruchomić dwa niezależne zegary compliance, ale tylko po spełnieniu odrębnych przesłanek i z uwzględnieniem kalendarza obowiązywania polskiej ustawy KSC. NIS2 i RODO często mylone są jako “przepisy o cyberbezpieczeństwie”, tymczasem chronią zupełnie co innego, egzekwują je inne organy i przewidują inne terminy. Poniżej pokazuję, gdzie się różnią, gdzie pokrywają i jak firma objęta oboma reżimami ma poukładać obowiązki, by w razie incydentu nie przegapić żadnego terminu.
Najważniejsze punkty
- RODO chroni dane osobowe; NIS2 — bezpieczeństwo sieci i systemów (niezależnie od danych).
- NIS2 to dyrektywa 2022/2555; w Polsce wdrażana przez ustawę o krajowym systemie cyberbezpieczeństwa.
- Warunkowe podwójne raportowanie: gdy obowiązek KSC już stosuje się do podmiotu i zachodzi poważny incydent, wczesne ostrzeżenie jest co do zasady w ciągu 24 godzin; przy zgłaszalnym naruszeniu danych osobowych zawiadomienie UODO następuje w ciągu 72 godzin. Nowo objęte podmioty sprawdzają termin wdrożenia obowiązków do 3 kwietnia 2027 r.
- Różne organy: UODO (RODO) vs organy właściwe ds. cyberbezpieczeństwa i CSIRT (NIS2).
- NIS2 wprowadza wyraźną odpowiedzialność organów zarządzających.
- Jeden incydent może wymagać dwóch odrębnych zgłoszeń — do CSIRT i do UODO.
Co chroni każdy z reżimów
Różnica zaczyna się od przedmiotu ochrony. RODO chroni prawa osób fizycznych związane z przetwarzaniem ich danych osobowych — bez względu na to, czy zagrożenie ma charakter cybernetyczny, czy wynika z błędu ludzkiego. NIS2 chroni odporność i bezpieczeństwo sieci oraz systemów informatycznych podmiotów istotnych dla gospodarki i społeczeństwa — niezależnie od tego, czy w grę wchodzą dane osobowe.
W praktyce zbiory te często się przecinają. Atak, który szyfruje bazę klientów, jednocześnie zagraża danym osobowym (domena RODO) i ciągłości działania usługi (domena NIS2). Ale nie zawsze: awaria systemu sterowania w elektrowni to poważny incydent NIS2, choć może w ogóle nie dotyczyć danych osobowych żadnej osoby fizycznej. I odwrotnie — wysłanie e-maila do niewłaściwego odbiorcy to naruszenie RODO, które NIS2 zupełnie nie interesuje. Ta rozłączność bywa źródłem nieporozumień: dział IT skupiony na ciągłości usługi może przeoczyć wymiar danych osobowych, a dział prawny skupiony na RODO może nie dostrzec obowiązku wobec CSIRT. Skuteczna reakcja na incydent wymaga więc, by obie perspektywy spotkały się przy jednym stole od pierwszej godziny.
Zakres podmiotowy: kto podlega czemu
RODO obowiązuje każdego administratora i procesora danych osobowych — od jednoosobowej firmy po korporację. Polska ustawa KSC wdrażająca NIS2 jest znacznie węższa: obejmuje podmioty kluczowe i ważne we wskazanych sektorach (energia, transport, bankowość, zdrowie, infrastruktura cyfrowa, wod-kan, produkcja i inne), zwykle powyżej progów wielkości. Większość mikrofirm nie podlega nowym obowiązkom KSC wdrażającym NIS2, choć podlega RODO i może podlegać innym przepisom o bezpieczeństwie. Odrębnym przypadkiem jest sektor finansowy: banki, ubezpieczyciele i firmy inwestycyjne w zakresie ryzyka ICT podlegają rozporządzeniu DORA jako lex specialis — jego polski kontekst opisuję w tekście o DORA w Polsce.
Dla polskich realiów kluczowe jest to, że NIS2 nie stosuje się bezpośrednio — dyrektywę wdrożono nowelizacją ustawy o krajowym systemie cyberbezpieczeństwa, która weszła w życie 3 kwietnia 2026 r. Kto podlega tej ustawie i jak przebiega wdrożenie, wyjaśniam w tekście o implementacji NIS2 w Polsce, a samą architekturę przepisów krajowych — w tekście o ustawie o krajowym systemie cyberbezpieczeństwa.
Kolejna praktyczna różnica: podleganie NIS2 zależy od klasyfikacji podmiotu jako kluczowego lub ważnego, co przekłada się na intensywność nadzoru i wysokość kar. Podmioty kluczowe podlegają nadzorowi proaktywnemu — organ może kontrolować je z własnej inicjatywy — podczas gdy podmioty ważne co do zasady nadzorowane są reaktywnie, po wystąpieniu przesłanek. W RODO takiego rozróżnienia nie ma; UODO może wszcząć kontrolę wobec każdego administratora niezależnie od jego wielkości czy sektora.
Stan polskiej ustawy KSC na październik 2026
Porównanie samych tekstów dyrektywy i rozporządzenia nie wystarcza do podjęcia decyzji w polskiej firmie. Nowelizacja ustawy o krajowym systemie cyberbezpieczeństwa weszła w życie 3 kwietnia 2026 r. Ministerstwo Cyfryzacji wskazuje, że podmioty spełniające kryteria w dniu wejścia w życie mają złożyć wniosek o wpis do wykazu KSC do 3 października 2026 r., jeśli nie są wpisywane z urzędu; termin wdrożenia określonych obowiązków przypada na 3 kwietnia 2027 r. To odrębne daty. Termin rejestracji nie oznacza, że cały program bezpieczeństwa musi być zakończony już w dniu złożenia wniosku. Nie oznacza też, że można czekać z ustaleniem odpowiedzialnych osób i inwentaryzacją usług do 2027 roku. Aktualny komunikat i wyjątki należy sprawdzić w informacji Ministerstwa Cyfryzacji o samorejestracji oraz w tekście ustawy zmieniającej z 23 stycznia 2026 r..
Zespół powinien zatem wykonać dwie oddzielne czynności. Najpierw ustalić, czy konkretna osoba prawna świadczy usługę z sektora wskazanego w załącznikach, czy spełnia kryterium wielkości albo wyjątek oraz czy jest podmiotem kluczowym czy ważnym. Potem ustalić kalendarz obowiązków tej konkretnej kategorii. Spółka grupy kapitałowej nie dziedziczy automatycznie statusu od innej spółki, choć wspólna infrastruktura może mieć znaczenie dla ryzyka. Wpis w wykazie nie zastępuje oceny zakresu działalności. Dla RODO analogiczna mapa zaczyna się od ról administratora i podmiotu przetwarzającego, czynności przetwarzania oraz danych osobowych, nie od liczby pracowników.
Podwójne raportowanie incydentu
To najbardziej praktyczna różnica i najczęstsze źródło błędów. Terminy biegną równolegle, ale do różnych organów i w innym rytmie:
| Aspekt | RODO | NIS2 |
|---|---|---|
| Zgłoszenie do | UODO | właściwy CSIRT (NASK/GOV/MON) |
| Pierwszy termin po spełnieniu przesłanek | Do 72h od stwierdzenia naruszenia | Do 24h od uzyskania wiedzy o poważnym incydencie, gdy odpowiedni obowiązek KSC już stosuje się do podmiotu |
| Kolejne etapy | Uzupełnienia, jeśli informacje są niepełne | Zgłoszenie do 72h i raport końcowy co do zasady w miesiąc, według właściwych przepisów |
| Kryterium | ryzyko dla praw osób | istotny wpływ na usługę |
| Podstawa | art. 33 RODO | art. 23 NIS2 i właściwe przepisy polskiej KSC z uwzględnieniem przepisów przejściowych |
Firma objęta oboma reżimami, która padnie ofiarą ransomware, ocenia osobno, czy powstał poważny incydent KSC wymagający wczesnego ostrzeżenia oraz czy naruszenie ochrony danych osobowych podlega zgłoszeniu do UODO. Same słowa „ransomware” i „wyciek” nie przesądzają jeszcze obu zgłoszeń. To dwa różne formularze, dwie różne oceny i dwa różne zegary. Mechanikę zgłoszenia po stronie RODO omawiam w tekście o zgłoszeniu naruszenia z art. 33.
Warto zauważyć, że kryteria uruchamiające obowiązek są odmienne. RODO patrzy na ryzyko dla praw i wolności osób — jeśli incydent nie zagraża osobom, zgłoszenie do UODO nie jest wymagane. NIS2 patrzy na istotny wpływ na świadczenie usługi — liczy się dostępność i ciągłość, a nie los konkretnych danych. Możliwe są więc sytuacje asymetryczne: awaria bez wycieku danych rodzi obowiązek wobec CSIRT, ale nie wobec UODO; wyciek bez zakłócenia usługi rodzi obowiązek wobec UODO, ale nie wobec CSIRT. Zespół reagujący na incydent musi ocenić oba wymiary równolegle i nie zakładać z góry, że jeden przesądza o drugim.
Dwie osie klasyfikacji na przykładzie
Wyobraźmy sobie operatora usługi cyfrowej, którego system zamówień przestaje działać po ataku. Pierwsza oś pyta, czy operator podlega ustawie KSC i czy zdarzenie spełnia kryteria poważnego incydentu wpływającego na świadczenie objętej nią usługi. Trzeba zapisać czas, zasięg, liczbę odbiorców, zakłócenie dostępności i inne wymagane wskaźniki. Brak pewności na początku nie jest powodem do odłożenia zbierania dowodów; wczesne ostrzeżenie może zawierać dane niepełne, które zostaną uzupełnione. Jednak sama awaria nie daje jeszcze odpowiedzi prawnej bez sprawdzenia zakresu podmiotowego i progu zdarzenia.
Druga oś pyta, czy naruszono poufność, integralność lub dostępność danych osobowych, a jeśli tak, jakie jest prawdopodobieństwo ryzyka dla praw i wolności osób. Zaszyfrowanie bazy klientów może być naruszeniem dostępności danych nawet wtedy, gdy nie stwierdzono ich wyprowadzenia. Posiadanie skutecznej, sprawdzonej kopii zapasowej i szybkie odtworzenie może obniżać ryzyko, ale nie zwalnia z udokumentowania oceny. Zgodnie z art. 33 RODO administrator zgłasza organowi naruszenie, chyba że jest mało prawdopodobne, aby skutkowało ono takim ryzykiem. Termin 72 godzin biegnie od uzyskania świadomości naruszenia, nie automatycznie od pierwszego alertu technicznego. Podmiot przetwarzający informuje administratora bez zbędnej zwłoki; jego własna ścieżka KSC może być odrębna.
W jednej tabeli incydentowej warto prowadzić dwa pola decyzji: „KSC: zakres, kwalifikacja, organ, termin” oraz „RODO: zakres danych, ocena ryzyka, administrator, termin”. Każda decyzja powinna mieć właściciela, godzinę ustalenia i dowody. Odpowiedź „nie zgłaszamy” także wymaga uzasadnienia, bo po kilku tygodniach może być trudniej odtworzyć, co było wiadomo na początku.
Tabela odpowiedzialności dla wspólnego zespołu
W praktyce specjalista bezpieczeństwa zbiera logi i ocenia skutki dla usługi, specjalista ochrony danych ustala kategorie informacji o osobach, a właściciel biznesowy wskazuje, ilu klientów nie mogło korzystać z usługi. Zespół prawny sprawdza status podmiotu i właściwe przepisy KSC. Każda funkcja ma inny fragment odpowiedzi; brak jednej z nich może prowadzić do pochopnej kwalifikacji. Nie warto czekać na pełną analizę przyczyn przed zapisaniem wczesnych faktów. Zapisz także poziom pewności: „potwierdzono”, „prawdopodobne”, „badane”. Ułatwia to późniejsze uzupełnienie obu zgłoszeń bez udawania, że pierwszego dnia znano pełną skalę.
Rejestr czynności przetwarzania pomaga ustalić, czy system zawiera dane osobowe i kto jest ich administratorem. Procedura naruszenia danych może opisać osobną decyzję o ryzyku dla osób i powiadomieniu z art. 34. Po stronie KSC potrzebna jest mapa usług, zależności i właściwego kanału CSIRT. Jeden formularz wewnętrzny może zebrać dane dla obu ocen, ale podpisujący musi widzieć dwie podstawy prawne oraz dwa osobne wyniki.
Po ćwiczeniu porównaj plan z przebiegiem. Czy zespół ustalił dokładny moment uzyskania świadomości naruszenia danych? Czy potrafił wskazać, dlaczego incydent był albo nie był poważny dla usługi? Czy uzyskał od dostawcy informacje bez zwłoki? Gdy odpowiedź jest niejasna, popraw procedurę, kontakt alarmowy i umowę, a następnie przeprowadź krótką ponowną próbę. Taki cykl jest cenniejszy niż sama deklaracja zgodności z obiema ustawami.
Środki bezpieczeństwa: zbieżne, ale nie tożsame
Oba reżimy wymagają adekwatnych środków bezpieczeństwa, jednak z różnej perspektywy. Art. 32 RODO każe dobrać środki odpowiednie do ryzyka dla praw osób — szyfrowanie, kontrola dostępu, testowanie. NIS2 (art. 21) wymaga szerszego zestawu środków zarządzania ryzykiem cyberbezpieczeństwa: analizy ryzyka, obsługi incydentów, ciągłości działania, bezpieczeństwa łańcucha dostaw, polityk i szkoleń.
W praktyce dobrze wdrożone środki NIS2 w dużej mierze pokrywają wymagania art. 32 RODO w warstwie technicznej — ale nie odwrotnie. Zgodność z RODO nie oznacza zgodności z NIS2, bo NIS2 określa szersze, wyraźne obowiązki sektorowe dotyczące m.in. łańcucha dostaw i ciągłości działania. RODO również wymaga oceny dostawców i środków bezpieczeństwa przy przetwarzaniu danych osobowych, lecz z innego punktu widzenia.
Odpowiedzialność zarządu — nowość NIS2
Najmocniejsza różnica jakościowa dotyczy odpowiedzialności kierownictwa. NIS2 wprost obarcza organy zarządzające obowiązkiem zatwierdzania środków zarządzania ryzykiem i nadzoru nad ich wdrożeniem, a członkowie zarządu mogą ponosić osobistą odpowiedzialność i podlegać obowiązkowym szkoleniom z zakresu zarządzania ryzykiem cyberbezpieczeństwa. RODO odpowiedzialność lokuje na poziomie administratora jako organizacji, nie personalizując jej tak wyraźnie na zarządzie.
Różnią się też sankcje. RODO to art. 83 — do 20 mln EUR lub 4% obrotu. Art. 34 dyrektywy NIS2 wyznacza pułapy co najmniej 10 mln EUR lub 2% obrotu dla podmiotów kluczowych oraz co najmniej 7 mln EUR lub 1,4% dla ważnych; są to wymogi wobec krajowych przepisów, nie automatyczna obecna polska kara. Ministerstwo Cyfryzacji wskazuje, że większość kar za nowe obowiązki może być nakładana dopiero po 3 kwietnia 2028 r. Komunikat ministerstwa wyjaśnia harmonogram. Firma objęta oboma reżimami odpowiada więc na dwóch płaszczyznach jednocześnie, a ten sam incydent może skutkować odrębnymi postępowaniami przed dwoma różnymi organami, każdym z własnym katalogiem sankcji. Wspólny rejestr zasobów i decyzji może ułatwić pracę zespołu, lecz potrzebuje dwóch pól oceny prawnej. Kryteria wyboru oprogramowania do zgodności z NIS2 warto sprawdzić względem faktycznych obowiązków podmiotu. Całościowe ujęcie zgodności organizacji opisuję w przewodniku po zgodności z RODO na 2026.
Nadzór, odpowiedzialność i granice wspólnego programu
Dyrektywa NIS2 przewiduje udział organów zarządzających w zatwierdzaniu środków zarządzania ryzykiem. Nie należy z tego wywodzić jednej automatycznej osobistej kary dla każdego członka zarządu po każdym incydencie. Trzeba sprawdzić konkretną normę polskiej ustawy, status podmiotu i ustalenia organu. RODO nakłada odpowiedzialność na administratora i procesora stosownie do ich ról, ale członkowie kierownictwa muszą zapewnić zasoby i nadzór nad realnym wykonaniem zadań. W obu reżimach uchwała o przyjęciu polityki nie dowodzi jeszcze, że kontrola działała.
Wspólny katalog zasobów i zagrożeń oszczędza pracy, lecz matryca prawna musi zachować różnice. Test odtwarzania usługi dostarcza dowodu ciągłości dla KSC i może wspierać ocenę bezpieczeństwa przetwarzania z art. 32 RODO. Rejestr dostawców pozwala prześledzić zależności operacyjne i umowy powierzenia, lecz umowa technicznego podwykonawcy nie zawsze jest umową powierzenia danych. Raport z ćwiczenia incydentowego powinien sprawdzić obie ścieżki zgłoszeń i kontakt do organu, a także to, kto informuje osoby fizyczne, gdy zachodzi wysokie ryzyko z art. 34 RODO.
Pięć pytań przed zamknięciem sprawy
- Która konkretna spółka i usługa podlega KSC, a kto jest administratorem danych w badanym procesie?
- Kiedy zespół uzyskał informacje wystarczające do oceny poważnego incydentu i naruszenia danych, a co pozostało nieustalone?
- Czy zapisano podstawę każdego zgłoszenia albo powód jego braku oraz właściwy kanał dla każdej ustawy?
- Czy decyzja o przywróceniu usługi nie usunęła logów potrzebnych do ustalenia wycieku i ryzyka dla osób?
- Czy po przywróceniu przeprowadzono przegląd zabezpieczeń, dostawców i czasu reakcji, a wynik ma właściciela oraz termin wykonania?
Tak prowadzona sprawa daje czytelny obraz dwóch obowiązków bez sprowadzania ich do hasła „24 godziny kontra 72 godziny”. Terminy są istotne, ale dopiero poprawna kwalifikacja zdarzenia pokazuje, które z nich w ogóle mają zastosowanie.
FAQ
Czy zgodność z RODO oznacza zgodność z NIS2?
Nie. To dwa różne reżimy o różnym przedmiocie ochrony. RODO chroni dane osobowe, NIS2 — bezpieczeństwo sieci i systemów. Dobre środki NIS2 często pokrywają techniczne wymogi art. 32 RODO, ale NIS2 określa szersze sektorowe obowiązki dotyczące łańcucha dostaw, ciągłości działania i zarządzania. RODO także reguluje ryzyko po stronie procesorów i bezpieczeństwo danych osobowych, lecz nie zastępuje obowiązków KSC. Zgodność trzeba wykazać osobno, wobec różnych organów i według różnych kryteriów.
Czy jeden incydent trzeba zgłaszać do dwóch organów?
Często tak. Jeśli poważny incydent dotyczy podmiotu objętego polską ustawą KSC i równocześnie naruszenie ochrony danych osobowych rodzi ryzyko dla praw i wolności osób, mogą powstać dwa odrębne obowiązki zgłoszenia. Terminy i właściwy organ ustala się osobno dla każdego reżimu. To dwie odrębne procedury z różnymi terminami i kryteriami.
Który reżim obowiązuje moją firmę?
RODO obowiązuje praktycznie każdą organizację przetwarzającą dane osobowe. Polska ustawa KSC tylko podmioty kluczowe i ważne we wskazanych sektorach, zwykle powyżej progów wielkości. Wiele firm spoza zakresu KSC nadal podlega RODO oraz ewentualnie innym przepisom sektorowym. Podmioty objęte oboma omawianymi reżimami muszą ocenić każdy osobno, bo obowiązki jednego nie zastępują obowiązków drugiego.
Źródła: Dyrektywa NIS2 2022/2555 w EUR-Lex (CELEX 32022L2555) · UODO · ENISA — agencja UE ds. cyberbezpieczeństwa
Powiązane poradniki: