Dyrektywa NIS2 i medtech: co realnie zmieni się w 2026 roku i jak przygotować firmę

Dyrektywa NIS2 podnosi wymagania dotyczące cyberbezpieczeństwa w wielu sektorach gospodarki. W praktyce oznacza to więcej obowiązków w obszarze zarządzania ryzykiem, raportowania incydentów oraz odpowiedzialności zarządu. W Polsce wdrożenie NIS2 jest prowadzone przez nowelizację ustawy o krajowym systemie cyberbezpieczeństwa (KSC). Sejm uchwalił nowelizację 23.01.2026, a dalsze etapy legislacyjne były kontynuowane w Senacie pod koniec stycznia.

To nie jest temat wyłącznie dla działu IT. Dla producentów wyrobów medycznych i dostawców technologii oznacza konieczność uporządkowania procesów, odpowiedzialności i relacji z dostawcami w całym łańcuchu cyfrowym.

Kogo dotyczy NIS2 w praktyce

NIS2 obejmuje podmioty z sektorów wskazanych w dyrektywie i opiera się na logice kwalifikacji w oparciu o rolę w gospodarce i kryteria wielkości. Dyrektywa dzieli organizacje na podmioty kluczowe (essential) i podmioty ważne (important), przy czym ostateczna kwalifikacja na poziomie krajowym zależy od przepisów wdrożeniowych i profilu działalności.

W medtech ryzyko nie dotyczy tylko infrastruktury biurowej. Najbardziej wrażliwe są systemy wpływające na ciągłość działania, bezpieczeństwo danych oraz zdolność do utrzymania i aktualizacji oprogramowania w cyklu życia wyrobu.

Co będzie wymagane: minimum operacyjne dla firm medtech

NIS2 kładzie nacisk na zarządzanie ryzykiem i gotowość operacyjną. W praktyce firmy będą musiały mieć wdrożone i udokumentowane co najmniej:

• politykę zarządzania ryzykiem i bezpieczeństwem sieci oraz systemów informatycznych
• obsługę incydentów (procedury, role, eskalacja)
• ciągłość działania i odzyskiwanie po awarii
• bezpieczeństwo łańcucha dostaw i relacji z dostawcami usług IT
• podstawowe zasady higieny cyber (kontrola dostępu, aktualizacje, segmentacja, backupy)

To są obszary, które regulatorzy zwykle oceniają przez pryzmat praktyki, nie deklaracji.

Raportowanie incydentów: 24h, 72h, raport końcowy

NIS2 wprowadza kaskadowy model raportowania istotnych incydentów:

• wczesne ostrzeżenie w 24 godziny od uzyskania wiedzy o incydencie
• zgłoszenie incydentu w 72 godziny
• raport końcowy nie później niż w ciągu miesiąca (albo raport postępu, jeśli incydent trwa dłużej)

Ważne: 24 godziny to nie jest czas na pełną analizę przyczynową. To sygnał do właściwego organu, że incydent jest obsługiwany.

Zarząd i odpowiedzialność: koniec “to problem IT”

Dyrektywa wzmacnia odpowiedzialność kierownictwa za wdrożenie i nadzór nad cyberbezpieczeństwem. W praktyce oznacza to konieczność:

• przypisania właścicieli procesów (kto za co odpowiada)
• cyklicznego przeglądu ryzyk na poziomie zarządu
• udokumentowania decyzji i działań minimalizujących ryzyko

To jest zmiana kulturowa. W firmach produkcyjnych medtech cyberbezpieczeństwo będzie traktowane podobnie jak jakość, ryzyko operacyjne i ciągłość dostaw.

Sankcje: co mówi dyrektywa

NIS2 przewiduje progi kar zależne od kategorii podmiotu:

• dla essential co najmniej 10 mln EUR lub 2% globalnego obrotu (w zależności co wyższe)
• dla important co najmniej 7 mln EUR lub 1,4% globalnego obrotu

Wymiar i tryb stosowania sankcji będą doprecyzowane w prawie krajowym, ale same progi wynikają z konstrukcji dyrektywy i są szeroko przytaczane w analizach zgodności.

Co robić teraz: plan działań na 30 dni dla producenta i dostawcy

Jeśli jesteś producentem wyrobów medycznych lub dostawcą technologii dla zakładów, to najpraktyczniejszy start wygląda tak:

1. Mapa systemów krytycznych
   Zidentyfikuj systemy, bez których zakład nie działa (produkcja, magazyn, traceability, laboratorium, serwery, integracje).
2. Minimalny proces incydentowy
   Kto wykrywa, kto decyduje, kto raportuje, kto prowadzi komunikację i jakie są progi eskalacji.
3. Łańcuch dostaw IT
   Lista kluczowych dostawców IT, integratorów, dostawców zdalnego serwisu, chmury, narzędzi OT. Ustal minimalne wymagania bezpieczeństwa i SLA na incydenty.
4. Ćwiczenie 72h
   Zrób wewnętrzny test: “co robimy, jeśli staje kluczowy system”. Bez teorii, tylko działania i czasy.
5. Dokumentacja do audytu
   Polityki, role, logika backupów, aktualizacji i zarządzania dostępami. Krótko i praktycznie.

Podsumowanie

NIS2 w 2026 roku będzie dla medtech testem dojrzałości operacyjnej: czy firma ma procesy, ludzi i narzędzia, żeby wykrywać i obsługiwać incydenty oraz zarządzać ryzykiem w całym łańcuchu cyfrowym. W Polsce wdrożenie jest prowadzone w ramach nowelizacji ustawy o KSC, uchwalonej przez Sejm 23.01.2026. Firmy powinny przygotować się na wymagania już teraz, bo wdrożenie procesów trwa miesiące, nie tygodnie.

Opracowanie własne na podstawie:

Źródło Pierwotne 1: GOV.PL, „Sejm uchwalił nowelizację ustawy o Krajowym Systemie Cyberbezpieczeństwa”
Data publikacji: 26.01.2026
Link bezpośredni: https://www.gov.pl/web/baza-wiedzy/sejm-uchwalil-nowelizacje-ustawy-o-krajowym-systemie-cyberbezpieczenstwa

Źródło Pierwotne 2: Sejm RP, druk nr 1955 (przebieg procesu legislacyjnego, uchwalenie 23.01.2026)
Link bezpośredni: https://www.sejm.gov.pl/sejm10.nsf/PrzebiegProc.xsp?nr=1955

Źródło Pierwotne 3: Komisja Europejska, NIS2 Directive (opis zakresu i założeń)
Link bezpośredni: digital-strategy.ec.europa.eu/en/policies/nis2-directive