Aktualizacja: 28 września 2026 r. Do 3 października 2026 podmioty zobowiązane do samorejestracji w Wykazie KSC (czyli te, które nie zostały wpisane z urzędu) muszą dokonać wpisu. Szczegóły kryteriów, trybów wpisu i terminów opisaliśmy w artykule Wpis do Wykazu KSC do 3 października 2026.
Od 3 kwietnia 2026 roku polskie firmy muszą liczyć się z nowymi obowiązkami wynikającymi z wdrożenia dyrektywy NIS2. Wraz z nią pojawia się pytanie: czy certyfikacja ISO 27001 stanie się przymusem? Jako konsultant ISO z 15-letnim doświadczeniem, obserwuję rosnącą niepewność wśród przedsiębiorców MŚP. Postaram się rozwiać wątpliwości i pokazać, jak podejść do tematu praktycznie.
Czym jest NIS2 i kogo dotyczy?
Dyrektywa NIS2 (Network and Information Security Directive 2) to unijny akt prawny, który zastąpił wcześniejszą dyrektywę NIS. Jej celem jest podniesienie poziomu cyberbezpieczeństwa w kluczowych sektorach gospodarki. W Polsce dyrektywę wdraża nowelizacja ustawy o krajowym systemie cyberbezpieczeństwa (KSC) - podpisana przez Prezydenta 19 lutego 2026 r., opublikowana w Dzienniku Ustaw 2 marca 2026 r. i obowiązująca od 3 kwietnia 2026 r.
NIS2 obejmuje swoim zakresem znacznie więcej podmiotów niż poprzednia regulacja. Dotyczy nie tylko dużych przedsiębiorstw, ale także małych i średnich, jeśli działają w sektorach takich jak:
- energetyka, transport, bankowość, infrastruktura rynków finansowych,
- ochrona zdrowia, woda pitna, ścieki, infrastruktura cyfrowa,
- administracja publiczna, poczta i kurierzy, gospodarka odpadami,
- produkcja, przetwórstwo spożywcze, badania naukowe.
Kluczowe jest to, że NIS2 nie nakłada wprost obowiązku certyfikacji ISO 27001. Wymaga natomiast wdrożenia odpowiednich środków zarządzania ryzykiem w cyberbezpieczeństwie. Certyfikat ISO 27001 może być jednym ze sposobów na wykazanie zgodności.
Czy NIS2 wymusza certyfikację ISO 27001?
Nie ma w dyrektywie NIS2 ani w polskiej ustawie o KSC zapisu, który mówiłby: „musisz posiadać certyfikat ISO 27001”. Niemniej jednak organy nadzorujące będą oczekiwać dowodów na skuteczne zarządzanie bezpieczeństwem informacji. W praktyce certyfikat ISO 27001 staje się najprostszym i najbardziej uznanym sposobem na pokazanie, że firma spełnia wymagania.
Warto zauważyć, że w niektórych sektorach (np. telekomunikacja) już wcześniej pojawiały się wytyczne rekomendujące ISO 27001. Teraz trend się nasila. Z mojego doświadczenia wynika, że klienci coraz częściej pytają o certyfikat nie tylko z powodu NIS2, ale także w odpowiedzi na wymagania kontrahentów i instytucji finansowych.
Co przewiduje znowelizowana ustawa o KSC?
Znowelizowana ustawa o KSC wprowadza obowiązek wdrożenia przez podmioty kluczowe i ważne systemu zarządzania bezpieczeństwem informacji (SZBI) według konkretnego harmonogramu: 6 miesięcy od wejścia w życie ustawy (do 3 października 2026 r.) na samoocenę i wpis do wykazu podmiotów, oraz 12 miesięcy (do 3 kwietnia 2027 r.) na pełne wdrożenie obowiązków SZBI. Ustawa nie określa, że system musi być certyfikowany - można go zbudować w oparciu o inne normy, np. ISO 27001, ale też o własne ramy. Certyfikacja daje jednak gwarancję niezależnej weryfikacji i większe zaufanie regulatora.
Harmonogram przewiduje kolejny etap: podmioty kluczowe, które nie były wcześniej operatorami usług kluczowych (UOK), mają czas do 3 kwietnia 2028 r. na przeprowadzenie pierwszego obowiązkowego audytu cyberbezpieczeństwa; kolejne audyty odbywają się nie rzadziej niż co 3 lata. W przypadku większości obowiązków administracyjne kary pieniężne będą mogły być nakładane po 3 kwietnia 2028 r.
Korzyści z certyfikacji ISO 27001 w kontekście NIS2
Dla polskich MŚP certyfikacja ISO 27001 to nie tylko odpowiedź na wymogi regulacyjne, ale szereg korzyści biznesowych:
- Zwiększone zaufanie klientów i partnerów - certyfikat to czytelny sygnał, że firma poważnie traktuje bezpieczeństwo danych.
- Uporządkowanie procesów - wdrożenie ISO 27001 wymusza identyfikację aktywów, ocenę ryzyka i wdrożenie zabezpieczeń, co przekłada się na mniejsze ryzyko incydentów.
- Przewaga konkurencyjna - w przetargach publicznych i współpracy z dużymi korporacjami certyfikat często jest wymagany lub dodatkowo punktowany.
- Oszczędność kosztów - choć certyfikacja wiąże się z wydatkami, w dłuższej perspektywie zmniejsza straty związane z cyberatakami i ewentualnymi karami.
- Zgodność z NIS2 - posiadając certyfikat, łatwiej przejść kontrolę organu nadzorczego i uniknąć kar, które dla podmiotów kluczowych mogą sięgać nawet 10 mln euro lub 2% rocznego obrotu.
Jak przygotować firmę MŚP do NIS2 i ISO 27001?
Wdrożenie systemu zarządzania bezpieczeństwem informacji zgodnego z ISO 27001 to proces, który w małej lub średniej firmie zajmuje zwykle od 3 do 6 miesięcy. Oto praktyczne kroki:
- Krok 1: Analiza luk (gap analysis) - sprawdź, które wymagania NIS2 i ISO 27001 już spełniasz, a które wymagają poprawy.
- Krok 2: Zaangażowanie kierownictwa - bez wsparcia zarządu wdrożenie może się nie udać. Wyznacz osobę odpowiedzialną za projekt.
- Krok 3: Szkolenie zespołu - świadomość pracowników to podstawa. Przeprowadź szkolenia z zakresu cyberbezpieczeństwa i polityk wewnętrznych.
- Krok 4: Dokumentacja i wdrożenie zabezpieczeń - opracuj politykę bezpieczeństwa, procedury, rejestr ryzyk. Wdróż środki techniczne i organizacyjne.
- Krok 5: Audyt wewnętrzny i przegląd zarządzania - przed certyfikacją sprawdź, czy system działa poprawnie.
- Krok 6: Certyfikacja - wybierz akredytowaną jednostkę certyfikującą i przejdź proces audytu.
Warto rozważyć wsparcie zewnętrznego konsultanta, który pomoże uniknąć typowych pułapek i skróci czas wdrożenia.
Czy certyfikacja ISO 27001 jest obowiązkowa?
Ustawa o KSC, obowiązująca od 3 kwietnia 2026 r., nie nakłada powszechnego obowiązku certyfikacji ISO 27001 na wszystkie podmioty objęte NIS2 - wymaga wdrożenia systemu zarządzania bezpieczeństwem informacji, niekoniecznie certyfikowanego przez zewnętrzną jednostkę. Jednak biorąc pod uwagę kierunek regulacji i praktykę organów nadzorczych, można przypuszczać, że certyfikat będzie silnie preferowany jako najprostszy dowód zgodności, a w niektórych sektorach może stać się de facto standardem. Ponadto wiele firm już teraz wymaga go od swoich dostawców.
Dlatego niezależnie od tego, czy certyfikacja stanie się formalnym przymusem, warto rozważyć jej uzyskanie przed upływem terminów z harmonogramu ustawy. To inwestycja w bezpieczeństwo i wizerunek firmy. Jeśli chcesz dowiedzieć się, jak wdrożyć ISO 27001 w Twojej organizacji, zapraszam do kontaktu.