Nowe obowiązki od sierpnia 2025 — certyfikat cyberbezpieczeństwa dla organizacji

Sierpień 2025 roku otwiera nową fazę polskiego krajobrazu cyberbezpieczeństwa. Trzy regulacje zaczynają realnie wpływać na obowiązki organizacji — od polskich MŚP po międzynarodowe korporacje:

1. NIS2 (transpozycja w Polsce — nowelizacja ustawy o krajowym systemie cyberbezpieczeństwa)
2. EU Cyber Resilience Act (CRA) — UE 2024/2847
3. EU Cybersecurity Act 2.0 — schematy certyfikacji ENISA

NIS2 w Polsce — kogo obejmuje

NIS2 (dyrektywa UE 2022/2555) rozszerza zakres podmiotów objętych regulacją cyberbezpieczeństwa z ~7 tys. do ~50 tys. organizacji w UE. W Polsce: szacunkowo 1 500–2 500 podmiotów dodatkowo objętych względem starej ustawy o KSC.

Sektory podmiotów kluczowych: energia, transport, bankowość, infrastruktura rynków finansowych, zdrowie, woda, infrastruktura cyfrowa, administracja publiczna, kosmos.

Sektory podmiotów ważnych: poczta i kurier, gospodarka odpadami, produkcja chemiczna, żywność, produkcja wyrobów medycznych/elektroniki/maszyn/pojazdów, dostawcy usług cyfrowych (B2B), badania.

Główne obowiązki: środki zarządzania ryzykiem cyberbezpieczeństwa (art. 21), powiadamianie o incydentach (24h wstępne / 72h pełne / 1 mies. raport końcowy), zarządzanie ryzykami w łańcuchu dostaw, certyfikacja ICT (gdzie wymagana), szkolenia kierownictwa. Szczegóły zakresu podmiotowego oraz stanu transpozycji opisujemy w analizie NIS2 w Polsce i opóźnionej transpozycji dyrektywy.

EU Cyber Resilience Act — produkty z elementami cyfrowymi

CRA (rozporządzenie (UE) 2024/2847) stanowi przełom regulacyjny. Po raz pierwszy w historii UE wprowadza wymagania cyberbezpieczeństwa dla wszystkich produktów z elementami cyfrowymi — od oprogramowania, przez IoT, po sprzęt medyczny i przemysłowy.

Główne wymagania dla producentów:

• Bezpieczeństwo wbudowane w projekt i domyślnie włączone
• Brak znanych podatności w momencie wprowadzenia produktu do obrotu
• Aktualizacje bezpieczeństwa przez cały przewidywany okres użytkowania produktu (zwykle 5 lat i więcej)
• Powiadamianie o aktywnie wykorzystywanych podatnościach w ciągu 24 godzin
• Ocena zgodności — różne poziomy dla różnych kategorii produktów (od deklaracji własnej po obowiązkową certyfikację przez stronę trzecią)

Stosowane fazowo: raportowanie incydentów od września 2026 roku, większość obowiązków od grudnia 2027 roku. Pełny rozkład terminów dla producentów oprogramowania porządkujemy w przewodniku Cyber Resilience Act i trzy terminy 2026.

ISO 27001 jako fundament zgodności

Żadna z wymienionych regulacji nie wymaga wprost konkretnej normy. Jednak ISO/IEC 27001 stanowi najczęściej akceptowany dowód zgodności z wymaganiami systemowego zarządzania bezpieczeństwem informacji. Norma jest udokumentowana, audytowana zewnętrznie oraz uznawana międzynarodowo.

Regulator (CSIRT NASK, UKE) podczas inspekcji NIS2 oczekuje dowodów wdrożenia środków z art. 21. Certyfikat ISO 27001 stanowi najprostszy oraz najbardziej wiarygodny dowód zgodności. Tam, gdzie regulacja wymaga ciągłości działania, fundamentem pozostaje ISO 22301 jako podstawa zgodności z NIS2.

Schematy ENISA — przyszłość certyfikacji

EU Cybersecurity Act (rozporządzenie (UE) 2019/881) i jego rozszerzenia tworzą europejskie ramy certyfikacji cyberbezpieczeństwa — system certyfikacji prowadzony przez ENISA (Europejska Agencja ds. Cyberbezpieczeństwa). Pierwsze schematy:

• EUCC — produkty ICT (oparte na Common Criteria, ratyfikowane 2024)
• EUCS — usługi chmurowe (w przygotowaniu)
• EU5G — sieci 5G (w przygotowaniu)

W przyszłości CRA dla niektórych kategorii produktów wysokiego ryzyka będzie wymagał obowiązkowej certyfikacji EUCC.

Sprawdź szczegóły procesu: certyfikacja ISO 27001.