Ten artykuł powstał częściowo z pomocą sztucznej inteligencji.
W skrócie: Wymagania NIS2 obejmują nie tylko zapory sieciowe i polityki, ale też sposób, w jaki firma kupuje, tworzy i utrzymuje aplikacje. W Polsce NIS2 wdraża znowelizowana ustawa o krajowym systemie cyberbezpieczeństwa (KSC), obowiązująca od 3 kwietnia 2026 r.; podmioty kluczowe i ważne mają czas na wdrożenie obowiązków do 3 kwietnia 2027 r. Cyber Resilience Act (CRA) dokłada wymagania dla producentów, którzy sprzedają w UE oprogramowanie lub urządzenia z oprogramowaniem: obowiązek zgłaszania podatności działa od 11 września 2026 r., a pełne wymagania, w tym SBOM, od 11 grudnia 2027 r. Jeśli firma ma własne aplikacje, także te zbudowane przez pracowników z pomocą AI, są one teraz częścią tego, za co odpowiada zarząd.
Najważniejsze daty:
Większość projektów zgodności z NIS2 zaczyna się od dokumentów: polityki, procedury, rejestr ryzyk. To potrzebna praca, ale dokument nie sprawdzi, co robi kod. Polityka mówi „dostęp tylko dla uprawnionych”, a aplikacja napisana przez trzech kolejnych wykonawców i jednego entuzjastę z działu sprzedaży mówi coś innego. Ten artykuł wyjaśnia, które wymagania NIS2 i Cyber Resilience Act dotyczą oprogramowania, kogo obejmują i od czego zacząć porządki w aplikacjach.
NIS2 (dyrektywa (UE) 2022/2555) wymaga od podmiotów kluczowych i ważnych zarządzania ryzykiem cyberbezpieczeństwa za pomocą środków wymienionych w art. 21 ust. 2. Kilka z nich trafia bezpośrednio w oprogramowanie:
W praktyce wymagania NIS2 dla aplikacji sprowadzają się do pięciu pytań. Jakie aplikacje firma ma? Kto je zbudował i kto je utrzymuje? Z jakich komponentów się składają? Kto ma do nich dostęp? Jak firma znajduje i usuwa podatności? Dyrektywa działa przez prawo krajowe, a w Polsce wdraża ją nowelizacja ustawy o KSC (Dz.U. 2026 poz. 252). Szczegóły terminów i obowiązków opisujemy w tekście o tym, czego ustawa o KSC wymaga do kwietnia 2027 r.
NIS2 dotyczy firm z sektorów wymienionych w załącznikach do dyrektywy i ustawy o KSC, jeśli zatrudniają co najmniej 50 osób albo mają ponad 10 mln euro obrotu. Na liście są m.in. energetyka, transport, bankowość, ochrona zdrowia, woda pitna, infrastruktura cyfrowa, zarządzanie usługami ICT, produkcja żywności i chemikaliów, gospodarka odpadami oraz produkcja urządzeń elektrycznych, elektroniki, maszyn i pojazdów. Część podmiotów, np. dostawcy DNS i kwalifikowani dostawcy usług zaufania, podlega przepisom bez względu na wielkość. Według szacunków nowelizacja KSC obejmie w Polsce około 38 tys. podmiotów, a każda firma sama ocenia, czy jest podmiotem kluczowym, czy ważnym.
Cyber Resilience Act to rozporządzenie, więc obowiązuje bezpośrednio, bez ustawy krajowej. Dotyczy produktów z elementami cyfrowymi wprowadzanych na rynek UE: urządzeń z oprogramowaniem i samodzielnego oprogramowania. Obowiązki mają producenci, także spoza UE, a w mniejszym zakresie importerzy i dystrybutorzy. CRA nie obejmuje produktów, które mają własne przepisy, np. wyrobów medycznych i pojazdów silnikowych, a usługi SaaS co do zasady są poza zakresem, chyba że zdalne przetwarzanie danych jest niezbędne do działania produktu.
| NIS2 / ustawa o KSC | Cyber Resilience Act | |
| Kogo dotyczy | Podmioty kluczowe i ważne z wybranych sektorów | Producenci, importerzy i dystrybutorzy produktów z elementami cyfrowymi |
| Co reguluje | Zarządzanie ryzykiem w organizacji, w tym jej systemy i dostawców | Bezpieczeństwo produktu przez cały cykl życia |
| Kluczowe terminy | 3.04.2027: wdrożenie środków; 3.04.2028: pierwszy audyt podmiotów kluczowych | 11.09.2026: zgłaszanie podatności; 11.12.2027: pełne stosowanie |
| Maksymalne kary | Do 10 mln euro lub 2% obrotu (podmioty kluczowe), 7 mln euro lub 1,4% obrotu (podmioty ważne) | Do 15 mln euro lub 2,5% obrotu za naruszenie wymagań zasadniczych |
Obowiązki NIS2 nie zaczynają się od nowych projektów. Dotyczą systemów, które firma ma dziś: portalu dla klientów, aplikacji do zamówień, integracji z ERP, systemu do obsługi serwisu. Zespół bezpieczeństwa albo audytor zapyta o kilka rzeczy:
Ostatni punkt łączy się z systemem zarządzania bezpieczeństwem informacji, który ustawa o KSC nakazuje wdrożyć do 3 kwietnia 2027 r. Ustawa nakłada obowiązki bezpośrednio na kierownika podmiotu i przewiduje możliwość ukarania także jego. W większości przypadków kary administracyjne będą nakładane dopiero po kwietniu 2028 r., ale prace trzeba zakończyć rok wcześniej.
Vibe coding, czyli budowanie aplikacji przez opisywanie ich modelowi AI, sprawił, że działy marketingu, sprzedaży i operacji mają dziś własne narzędzia: kalkulatory ofert, formularze, małe panele połączone z CRM. Często przetwarzają dane klientów, a nikt z IT o nich nie wie. Dla NIS2 to zwykłe aktywa, które powinny być w inwentarzu i pod kontrolą dostępu.
Dane pokazują, dlaczego to ważne. W przeglądzie 200 wdrożonych repozytoriów tworzonych z pomocą narzędzi AI aż 180 (90%) miało co najmniej jedną podatność, a najczęstszym problemem była błędna kontrola dostępu (36% podatności). W tym samym zestawieniu 57% publicznie dostępnych aplikacji opartych na Supabase pozwalało odczytać tabele bez logowania.
Jeśli firma produkuje urządzenia z oprogramowaniem albo sprzedaje oprogramowanie instalowane u klientów, NIS2 to tylko połowa obowiązków. Od 11 września 2026 r. producent, który dowie się o aktywnie wykorzystywanej podatności w swoim produkcie, ma 24 godziny na wczesne ostrzeżenie i 72 godziny na pełne zgłoszenie przez platformę ENISA.
Od 11 grudnia 2027 r. Cyber Resilience Act stosuje się w pełni: produkt musi spełniać wymagania zasadnicze, przejść ocenę zgodności i nosić oznakowanie CE, a producent musi prowadzić wykaz komponentów oprogramowania (SBOM) i dostarczać aktualizacje bezpieczeństwa przez zadeklarowany okres wsparcia. Bez SBOM trudno też szybko ustalić, czy nowa podatność w popularnej bibliotece dotyczy produktu, czyli spełnić 24-godzinny termin zgłoszenia.
| Data | Co się dzieje | Kogo dotyczy |
| 3 kwietnia 2026 r. | Nowelizacja ustawy o KSC wchodzi w życie | Podmioty kluczowe i ważne |
| 11 września 2026 r. | Zgłaszanie aktywnie wykorzystywanych podatności i poważnych incydentów | Producenci objęci CRA |
| 3 października 2026 r. | Koniec samorejestracji w wykazie podmiotów kluczowych i ważnych | Podmioty niewpisane z urzędu |
| 3 kwietnia 2027 r. | Wdrożenie środków zarządzania ryzykiem, w tym SZBI | Podmioty kluczowe i ważne |
| 11 grudnia 2027 r. | Pełne stosowanie CRA, oznakowanie CE, SBOM | Producenci, importerzy, dystrybutorzy |
| 3 kwietnia 2028 r. | Pierwszy audyt bezpieczeństwa; w większości przypadków możliwe kary | Podmioty kluczowe (audyt), wszyscy objęci (kary) |
Termin wpisu do wykazu minął 3 października 2026 r. Firma, która powinna była się zarejestrować, a tego nie zrobiła, powinna jak najszybciej omówić sytuację ze swoim doradcą prawnym.
Sanddev sprawdza kod i infrastrukturę aplikacji, mapuje ustalenia na wymagania NIS2, ustawy o KSC i Cyber Resilience Act, a potem naprawia to, co trzeba naprawić, albo przejmuje utrzymanie aplikacji po poprzednim wykonawcy. Zakres i przebieg opisujemy na stronie o tym, jak wygląda niezależny przegląd aplikacji przed terminem z kwietnia 2027 r. Czasem audyt pokazuje, że naprawa kosztowałaby więcej niż nowe rozwiązanie. Wtedy warto zapytać, czy aplikacja „wystarczająco dobra” jest warta utrzymania. Nie udzielamy porad prawnych: ocena, czy firma jest podmiotem kluczowym lub ważnym, należy do jej prawników.
Średnich i dużych firm (od 50 osób albo ponad 10 mln euro obrotu) z sektorów wymienionych w ustawie o KSC, m.in. energetyki, transportu, ochrony zdrowia, wody pitnej, infrastruktury cyfrowej i wybranych gałęzi produkcji. Niektóre podmioty, np. dostawcy DNS, podlegają przepisom bez względu na wielkość.
Firma musi zarządzać ryzykiem także w aplikacjach: znać swoje systemy, kontrolować dostęp, obsługiwać podatności przy rozwoju i utrzymaniu oprogramowania oraz oceniać bezpieczeństwo dostawców. Wynika to z art. 21 ust. 2 NIS2 i przepisów ustawy o KSC.
Tak, pośrednio. SaaS jest częścią łańcucha dostaw, więc firma musi ocenić bezpieczeństwo dostawcy i zapisać wymagania w umowie. Cyber Resilience Act co do zasady nie obejmuje samego SaaS.
Pomaga, ale nie jest równoznaczny z wdrożeniem ustawy o KSC. ISO 27001 to dobrowolna norma, a ustawa to przepisy z sankcjami. Certyfikat nie zastępuje też sprawdzenia, czy kod aplikacji robi to, co mówią procedury.
NIS2 nie wymaga SBOM wprost. Wymaga go Cyber Resilience Act od producentów produktów z elementami cyfrowymi. Dla firm objętych NIS2 SBOM jest jednak najprostszym sposobem, żeby wiedzieć, których aplikacji dotyczy nowa podatność.
Odpowiedzialność i tak zostaje po stronie firmy. Najpierw warto ustalić, czy firma ma kod źródłowy i dostęp do serwerów, a potem zlecić przegląd i zdecydować, czy aplikację naprawić, przejąć do utrzymania, czy zastąpić.
OWASP Top 10 to lista najpoważniejszych kategorii ryzyka w aplikacjach webowych, publikowana przez fundację OWASP i używana jako punkt odniesienia przez zespoły bezpieczeństwa i audytorów. Aplikacje zbudowane z pomocą AI, na przykład w Lovable z bazą Supabase, najczęściej zawodzą w tych samych miejscach, co opisuje OWASP Top 10, przede wszystkim w kontroli dostępu.
SZBI, czyli system zarządzania bezpieczeństwem informacji, to główny obowiązek podmiotów kluczowych i ważnych według znowelizowanej ustawy o KSC; trzeba go wdrożyć do 3 kwietnia 2027 r.
SBOM (software bill of materials) to wykaz komponentów oprogramowania, czyli lista bibliotek, modułów i ich wersji, z których zbudowano produkt. Od 11 grudnia 2027 r. Cyber Resilience Act wymaga od producentów produktów z elementami cyfrowymi sporządzenia SBOM w powszechnie używanym formacie odczytywalnym maszynowo, obejmującym co najmniej zależności najwyższego poziomu.
