Ustawa o KSC (NIS2) 2026: co oznacza dla firm korzystających z hostingu i chmury

Praktyczny przewodnik dla polskich firm, które utrzymują stronę, sklep lub aplikację SaaS na hostingu albo VPS i chcą wiedzieć, co wynika z ustawy, a co pozostaje po ich stronie. Stan prawny na 30.09.2026.

Krótka odpowiedź

1. 1Nowelizacja ustawy o krajowym systemie cyberbezpieczeństwa (KSC) z 23 stycznia 2026 r. została ogłoszona w Dz.U. 2026 poz. 252 (2 marca 2026 r.) i weszła w życie 3 kwietnia 2026 r. Wdraża w Polsce dyrektywę NIS2.
2. 2Obowiązki dotyczą podmiotów kluczowych i ważnych. Zgodnie z ustawą do takich podmiotów mogą należeć m.in. dostawcy chmury obliczeniowej i usług centrum przetwarzania danych. To, czy Twoja firma jest w tym gronie, zależy od sektora i wielkości, a nie od samego faktu korzystania z hostingu.
3. 3Podmiot kluczowy lub ważny składa wniosek o wpis do wykazu w ciągu 6 miesięcy od spełnienia przesłanek (art. 7c ust. 1). Incydent poważny zgłasza się jako wczesne ostrzeżenie w ciągu 24 godzin i zgłoszenie w ciągu 72 godzin od wykrycia, a sprawozdanie końcowe w ciągu miesiąca od zgłoszenia (art. 11 ust. 1 pkt 4, 4a, 4c).
4. 4Hosting jest elementem Twojego łańcucha dostaw, ale nie przejmuje Twoich obowiązków. Stan prawny na 30.09.2026.

Co zmieniła nowelizacja z 2026 roku

Ustawa z 23 stycznia 2026 r. o zmianie ustawy o krajowym systemie cyberbezpieczeństwa oraz niektórych innych ustaw (Dz.U. 2026 poz. 252) weszła w życie 3 kwietnia 2026 r. Według Urzędu Komunikacji Elektronicznej obejmuje ona także przedsiębiorców komunikacji elektronicznej i operatorów pocztowych, a Prezes UKE staje się w tych sektorach organem właściwym do spraw cyberbezpieczeństwa.

Przepisy dzielą podmioty na kluczowe i ważne. W katalogu podmiotów, do których stosuje się ustawa, tekst nowelizacji wymienia między innymi dostawców usług DNS, dostawców chmury obliczeniowej, dostawców usługi centrum przetwarzania danych, dostawców sieci dostarczania treści i dostawców usług zarządzanych. Kwalifikację zawsze trzeba przeprowadzić na podstawie tekstu ustawy, najlepiej z prawnikiem.

Wykaz, odpowiedzialność zarządu i zgłaszanie incydentów

Podmiot kluczowy lub ważny składa wniosek o wpis do wykazu w terminie 6 miesięcy od dnia spełnienia przesłanek (art. 7c ust. 1) i zgłasza zmiany danych w ciągu 14 dni (art. 7c ust. 3). Wniosek zawiera oświadczenie kierownika podmiotu składane pod rygorem odpowiedzialności karnej.

Kierownik podmiotu ponosi odpowiedzialność za wykonywanie obowiązków z zakresu cyberbezpieczeństwa (art. 8c ust. 1), także wtedy, gdy część zadań powierzono innym osobom lub dostawcom. Kierownik co roku przechodzi udokumentowane szkolenie z tego zakresu.

W razie incydentu poważnego podmiot zgłasza wczesne ostrzeżenie niezwłocznie, nie później niż w ciągu 24 godzin od wykrycia, zgłoszenie w ciągu 72 godzin oraz sprawozdanie końcowe w ciągu miesiąca od tego zgłoszenia, do właściwego CSIRT sektorowego (art. 11 ust. 1 pkt 4, 4a i 4c). Pełne brzmienie znajdziesz w Dz.U. 2026 poz. 252.

Co to zmienia, gdy Twój serwer stoi w hostingu lub w chmurze

Role są dwie. Jeśli jesteś klientem, hosting jest dostawcą w Twojej dokumentacji: umowa, umowa powierzenia (DPA), kontakty na wypadek incydentu, opis kopii zapasowych i lokalizacja danych. Jeśli sam świadczysz usługi chmurowe, centrum danych albo usługi zarządzane, możesz podlegać ustawie bezpośrednio.

Serwery 4hosting znajdują się w UE, we Frankfurcie, a nie w Polsce. Nie zmienia to Twoich obowiązków wynikających z polskiej ustawy, ale lokalizację warto zapisać w dokumentacji dostawców.

Trzy konkretne przykłady

O co zapytać dostawcę hostingu

• Gdzie fizycznie znajdują się serwery i jaki jest zakres umowy powierzenia przetwarzania danych (DPA)?
• Jak i jak szybko dostawca informuje o incydencie, który może dotyczyć Twoich danych, i kto jest kontaktem?
• Jak wygląda backup: jak często, gdzie jest przechowywany i czy przywracanie było testowane?
• Jakie certyfikaty dostawca faktycznie posiada, a co jest tylko „alignment”? Poproś o rozróżnienie na piśmie.

Najczęstsze błędy

• Zakładanie, że „serwer jest w UE, więc jesteśmy zgodni”. Obowiązki spoczywają na podmiocie objętym ustawą, a nie na dostawcy infrastruktury.
• Brak sprawdzenia, czy firma jest podmiotem kluczowym lub ważnym, i przegapienie 6-miesięcznego terminu wniosku.
• Brak pisemnej procedury zgłaszania incydentów: z terminem 24 godzin nie da się zaczynać od zera.
• Brak dokumentacji hostingu jako elementu łańcucha dostaw (umowa, DPA, backup, kontakty).

Jak pomaga 4hosting

• Infrastruktura w UE, we Frankfurcie (nie w Polsce), z wbudowaną ochroną DDoS L3/L4 do 1,5 Tbps.
• Umowa powierzenia przetwarzania danych (DPA) zgodnie z art. 28 RODO, standardowe klauzule umowne dla transferów oraz zgodność z zasadami ISO 27001 (alignment, a nie certyfikat).
• Usługi DevOps i CyberSecurity w godzinach wliczonych w plan: Hardening & Compliance, WAF & DDoS, SIEM & Incident Response, CI/CD & Monitoring. Godziny zgłasza się w panelu klienta, ponad limit rozliczane osobno.
• 4hosting nie posiada certyfikatu NIS2, ISO ani SOC 2, nie potwierdza zgodności klienta i nie podpisuje się pod jej zgodnością prawną. Nie rozstrzygamy tu, czy sam 4hosting podlega ustawie.

Najczęstsze pytania

Zobacz także

• Zgodność z RODO: DPA i lokalizacja danych
• Backup i odtwarzanie po awarii
• CDN i bezpieczeństwo: ochrona DDoS i WAF