NIS2 w energetyce sprowadza się do jednego pytania, czyli czy przedsiębiorstwo utrzyma świadczenie usługi podczas poważnego zakłócenia. Zabezpieczenie systemów informatycznych odpowiada na część tego pytania, ponieważ zakłócenie równie dobrze zaczyna się w środowisku sterowania, u firmy serwisowej albo u dostawcy łączności. Terminy przestały być odległe. Nowelizacja ustawy o krajowym systemie cyberbezpieczeństwa weszła w życie 3 kwietnia 2026 roku, wniosek o wpis do wykazu podmiotów kluczowych i ważnych trzeba złożyć do 3 października 2026 roku, a okres dostosowawczy kończy się 3 kwietnia 2027 roku. Do pierwszego z tych terminów zostało około sześciu tygodni. W projektach dla energetyki zaczynamy od usługi świadczonej odbiorcom i dopiero z niej wyprowadzamy zakres oceny, ponieważ odwrotna kolejność zostawia poza analizą procesy, od których ta usługa faktycznie zależy. Poniżej pokazujemy, gdzie ten zakres najczęściej się urywa, jak uzgadniamy istniejące plany w jeden system zarządzania i o co pytamy dostawców.
MIEJSCE NA KONKRET Z PRAKTYKI (1 z 3) – jedno zdanie od Renaty Davidson o tym, ile procesów wspierających dochodzi zwykle do zakresu po przejściu od systemów do usługi. Bez nazwy klienta.
Jakie terminy obowiązują podmioty kluczowe i ważne w sektorze energetycznym
Kalendarz wynika z ustawy z 23 stycznia 2026 roku o zmianie ustawy o krajowym systemie cyberbezpieczeństwa oraz niektórych innych ustaw (Dz.U. 2026 poz. 252), która weszła w życie 3 kwietnia 2026 roku. Wykaz podmiotów kluczowych i podmiotów ważnych działa od 13 kwietnia 2026 roku, a od 13 kwietnia do 6 maja 2026 roku Minister Cyfryzacji wpisywał do niego z urzędu dotychczasowych operatorów usług kluczowych, dostawców usług zaufania, przedsiębiorców telekomunikacyjnych oraz podmioty publiczne. Nowe podmioty mogą korzystać z systemu S46 od 12 czerwca 2026 roku. Po samoocenie wniosek o wpis do wykazu składa się do 3 października 2026 roku, a wdrożenie obowiązków ustawowych i rozpoczęcie korzystania z S46 obejmuje termin do 3 kwietnia 2027 roku. Terminologia zmieniła się razem z nowelizacją, więc pojęcia „operator usługi kluczowej” i „usługa kluczowa” opisują stan przed 3 kwietnia 2026 roku i w dokumentacji dotyczącej okresu późniejszego nie powinny występować.
Punkt wyjścia dla elektroenergetyki jest przy tym lepszy niż dla większości sektorów objętych dyrektywą. W raporcie NIS360 opublikowanym w maju 2026 roku ENISA umieściła elektroenergetykę, bankowość i telekomunikację wśród sektorów o najwyższej dojrzałości i najwyższej krytyczności jednocześnie. W strefie ryzyka, czyli tam, gdzie dojrzałość pozostaje w tyle za krytycznością, agencja zostawiła zarządzanie usługami ICT. Czytamy to ustalenie jako wskazanie, gdzie leży dziś marginalna poprawa w energetyce, ponieważ opisuje ono dostawców utrzymujących systemy w przedsiębiorstwie o wysokiej dojrzałości własnej.
Co poza zabezpieczeniami technicznymi obejmuje odporność operacyjna w energetyce
Dyskusja o NIS2 koncentruje się zwykle na podatnościach, aktualizacjach, monitorowaniu sieci i reagowaniu na incydenty. Dyrektywa (UE) 2022/2555 z 14 grudnia 2022 roku stawia jednak wymagania szersze, ponieważ w art. 21 ust. 2 wymienia obok środków technicznych ciągłość działania z zarządzaniem kopiami zapasowymi i przywracaniem działania po katastrofie, zarządzanie kryzysowe oraz bezpieczeństwo łańcucha dostaw. Zdarzenie w przedsiębiorstwie energetycznym może rozpocząć się w systemie biurowym, w środowisku sterowania, u firmy serwisowej albo u operatora łączności, a skutek dla odbiorcy pozostaje ten sam. Traktujemy więc cyberbezpieczeństwo, ciągłość działania, odtwarzanie systemów, zarządzanie kryzysowe, ochronę fizyczną i nadzór nad dostawcami jako jeden obszar zarządzania, ponieważ przy sześciu osobnych programach każdy z nich optymalizuje własny wskaźnik.
Ta zmiana perspektywy opiera się na uzgodnieniu dokumentów, które już istnieją, wokół jednej wielkości mierzalnej, czyli czasu, w którym usługa ma wrócić do stanu akceptowalnego dla odbiorcy i dla organu nadzoru. Certyfikat systemu zarządzania sam tego nie zapewnia, ponieważ normy dopuszczają świadomą akceptację ryzyka, a decyzja o akceptacji bywa podjęta na poziomie, który nie zna skutków operacyjnych. Audytor porównuje parametry odtworzenia z wymaganiami interesariuszy i z wynikami analizy wpływu biznesowego, a listę wdrożonych narzędzi traktuje jako materiał uzupełniający. W tym miejscu zwykle zaczynamy pracę nad zgodnością z NIS2 i ustawą o KSC, czyli od ustalenia, co organizacja obiecuje odbiorcy i w jakim czasie.
Dlaczego zakres oceny wyznacza usługa, a nie wykaz systemów
Analizy prowadzone dotychczas zaczynały się często od inwentaryzacji systemów informatycznych, dla których identyfikowano zagrożenia i dobierano zabezpieczenia. Przy celu opisanym jako utrzymanie dostaw energii kolejność jest odwrotna. Najpierw nazywamy usługę świadczoną odbiorcom, potem procesy, które ją umożliwiają, a na końcu systemy, infrastrukturę, personel i podmioty zewnętrzne, od których zależy jej dostępność. Miejscem, w którym tę kolejność dokumentujemy, jest analiza wpływu biznesowego. Dyrektywa DORA i norma ISO 22301 wymagają jej wprost, a ustawa o krajowym systemie cyberbezpieczeństwa pośrednio, przez wymóg doboru środków odpowiednich do ryzyka.
W energetyce zakres wykracza poza wytwarzanie, przesył i dystrybucję. Znaczenie mają rozliczenia, obsługa odbiorców, telemetria, prace terenowe, utrzymanie infrastruktury, dostęp do obiektów, zapasy części zamiennych oraz usługi telekomunikacyjne. Stosujemy jedno kryterium włączenia procesu do zakresu, czyli możliwość wpływu jego zakłócenia na odbiorcę. Skutkiem błędnie zawężonej analizy są nieprawidłowo skrojone plany ciągłości, w których czas odtworzenia opiera się na zasobach nieuwzględnionych w ocenie. Ten błąd ujawnia się dopiero w ćwiczeniu albo w zdarzeniu rzeczywistym, kiedy proces przywrócony technicznie nadal nie działa, ponieważ brakuje osoby z uprawnieniami albo części zamiennej.
Jak połączyć istniejące plany w jeden system zarządzania
Przedsiębiorstwa energetyczne mają zwykle plany ciągłości działania, plany odtworzenia systemów, procedury reagowania na incydenty, plany ochrony infrastruktury i dokumentację zarządzania kryzysowego. Trudność pojawia się wtedy, gdy każdy z tych dokumentów żyje osobnym życiem. Zespół bezpieczeństwa uruchamia własną procedurę, dział teleinformatyczny rozpoczyna odtwarzanie, jednostki operacyjne utrzymują procesy, a kierownictwo podejmuje decyzje na podstawie jeszcze innego zestawu informacji. Efektem są opóźnienia, decyzje wzajemnie sprzeczne i podział odpowiedzialności ustalany w trakcie zdarzenia.
Dyrektywa dopuszcza dowolną liczbę dokumentów, wymaga natomiast spójności założeń. Uzgadniamy trzy elementy, czyli kryteria uruchomienia i eskalacji, priorytety odtworzenia procesów oraz osobę podejmującą decyzję na każdym poziomie. Terminy zgłoszeniowe wyznaczają tu tempo, ponieważ NIS2 przewiduje wczesne ostrzeżenie w ciągu 24 godzin i zgłoszenie incydentu w ciągu 72 godzin od powzięcia wiadomości o incydencie poważnym. Organizacja, w której klasyfikacja zdarzenia zależy od uzgodnień między trzema zespołami, zużyje pierwsze z tych okien na ustalanie, kto ma zgłaszać. Ten sam zestaw uzgodnień porządkuje zarządzanie kryzysowe, bo decyzja o uruchomieniu planu i decyzja o zgłoszeniu incydentu należą do jednej ścieżki. Dokumentację przygotowujemy tak, żeby broniła się przed Zarządem i podczas audytu.
O co pytamy dostawców, oceniając ich wpływ na ciągłość usługi
Energetyka pozostaje silnie zależna od podmiotów zewnętrznych, które utrzymują systemy, serwisują urządzenia, zapewniają łączność i dostarczają części. Ocena zawężona do certyfikatów i zapisów umownych opisuje formalną stronę relacji i pomija to, co rozstrzyga w zdarzeniu. Pytamy dostawcę o cztery rzeczy, czyli jakie skutki wywoła niedostępność jego usługi, jak długo proces wytrzyma bez jego wsparcia, czy dostawcę da się zastąpić i w jakim czasie oraz jak zarządza własnymi incydentami. Zapis o odpowiedzialności umownej nie przywróci działania systemu sterowania, a kara umowna nie zastąpi części zamiennej.
Nadzór różnicujemy według procesu, który dostawca wspiera. Firma dostarczająca materiały biurowe i podmiot utrzymujący system sterowania wymagają dwóch różnych reżimów oceny, mimo że w rejestrze dostawców występują na tej samej liście. Rekomendujemy, żeby ocena kończyła się decyzją o redundancji, zapasach, czasach reakcji w umowie i zakresie prawa do audytu, ponieważ analiza zamknięta w rejestrze nie zmienia niczego w organizacji. Wskazanie ENISA na zarządzanie usługami ICT jako sektor o dojrzałości niższej od krytyczności jest w tej rozmowie argumentem gotowym do użycia przed Zarządem, gdy trzeba uzasadnić nakład na zarządzanie ryzykiem stron trzecich.
MIEJSCE NA KONKRET Z PRAKTYKI (2 z 3) – jedno zdanie od Renaty Davidson o tym, jak wypada odpowiedź dostawców na pytanie o czas przetrwania procesu bez ich usługi. Bez nazwy dostawcy i bez nazwy klienta.
Co sprawdzić przed 3 października 2026 roku
Kolejność ma znaczenie, ponieważ każdy krok korzysta z wyniku poprzedniego.
- Ustalić na podstawie samooceny, czy organizacja spełnia przesłanki podmiotu kluczowego albo ważnego, i przygotować wniosek o wpis do wykazu.
- Nazwać usługi świadczone odbiorcom, a następnie procesy, które je realizują, zamiast rozpoczynać od wykazu systemów.
- Uzupełnić analizę wpływu biznesowego o procesy wspierające, w tym rozliczenia, telemetrię, prace terenowe i dostęp do obiektów.
- Uzgodnić kryteria uruchomienia planów, priorytety odtworzenia i decydenta na każdym poziomie eskalacji między wszystkimi istniejącymi planami.
- Sprawdzić na jednym scenariuszu, czy zgłoszenie wczesnego ostrzeżenia mieści się w 24 godzinach przy obecnym trybie klasyfikacji zdarzenia.
- Rozdzielić dostawców według procesu, który wspierają, i dla grupy o najwyższym wpływie ustalić czas przetrwania bez ich usługi.
- Przeprowadzić ćwiczenie obejmujące środowisko sterowania i dostawcę zewnętrznego jednocześnie, zamiast poprzestawać na awarii systemu biurowego.
Sposób prowadzenia takiego ćwiczenia opisujemy w osobnym wpisie o testowaniu planów ciągłości działania.
Podsumowanie
Misja przedsiębiorstwa energetycznego pozostaje ta sama, czyli bezpieczne i nieprzerwane dostawy energii. NIS2 zmienia sposób dowodzenia, że organizacja tę misję chroni. Dowodem jest dziś spójność między usługą, procesami, parametrami odtworzenia i nadzorem nad dostawcami, wykazana na scenariuszu i w ćwiczeniu. Elektroenergetyka wchodzi w ten okres z jedną z najwyższych dojrzałości w Unii Europejskiej, więc marginalną poprawę widzimy dziś poza własną infrastrukturą, w relacjach z podmiotami utrzymującymi jej systemy. Termin 3 października 2026 roku dotyczy formalnego wpisu, a pytanie o zależności organizacji zostaje na dłużej.
MIEJSCE NA KONKRET Z PRAKTYKI (3 z 3) – jedno zdanie od Renaty Davidson zamykające tekst z perspektywy praktyka, na przykład o tym, co w projektach okazuje się najtrudniejsze do uzgodnienia między zespołami.
Najczęstsze pytania
Czy przedsiębiorstwo energetyczne musi połączyć wszystkie plany w jeden dokument? Dyrektywa NIS2 wymaga spójności założeń, kryteriów eskalacji i priorytetów odtworzenia między istniejącymi planami, bez narzucania liczby dokumentów. Osobne plany są dopuszczalne, o ile odwołują się do tych samych parametrów i tego samego trybu decyzyjnego.
Do kiedy trzeba złożyć wniosek o wpis do wykazu podmiotów kluczowych i ważnych? Podmioty, które spełniały ustawowe kryteria w dniu wejścia w życie nowelizacji, składają wniosek do 3 października 2026 roku po przeprowadzeniu samooceny. Wdrożenie obowiązków ustawowych i rozpoczęcie korzystania z systemu S46 obejmuje termin do 3 kwietnia 2027 roku.
Czy analiza wpływu biznesowego jest obowiązkowa na podstawie ustawy o KSC? Ustawa o krajowym systemie cyberbezpieczeństwa wymaga jej pośrednio, przez obowiązek doboru środków odpowiednich do ryzyka i utrzymania ciągłości usługi. Wprost wymagają jej dyrektywa DORA i norma ISO 22301. W praktyce audytowej analiza wpływu biznesowego jest podstawą, na której weryfikuje się parametry odtworzenia.
Czy certyfikat ISO 27001 u dostawcy zwalnia z oceny jego ryzyka? Certyfikat potwierdza istnienie systemu zarządzania i zakres jego stosowania, a nie poziom ochrony konkretnej usługi. Normy dopuszczają świadomą akceptację ryzyka przez organizację certyfikowaną. Ocena musi zatem obejmować skutki niedostępności dostawcy dla procesu, czas przetrwania bez jego wsparcia i możliwość zastąpienia.
Czy środowisko OT jest objęte tymi samymi wymaganiami co systemy biurowe? Wymagania dotyczą sieci i systemów informatycznych wykorzystywanych do świadczenia usługi, więc środowisko sterowania wchodzi w zakres wtedy, gdy usługa od niego zależy. Różnice pojawiają się na poziomie doboru środków, ponieważ dostępność i bezpieczeństwo procesu technologicznego wyznaczają inne priorytety niż poufność danych.
Źródła
- Ministerstwo Cyfryzacji, „Nowelizacja ustawy o krajowym systemie cyberbezpieczeństwa (KSC). Najważniejsze terminy”, 2026 – https://www.gov.pl/web/cyfryzacja/nowelizacja-ustawy-o-krajowym-systemie-cyberbezpieczenstwa-ksc–najwazniejsze-terminy
- Ministerstwo Cyfryzacji, „Nowelizacja ustawy o krajowym systemie cyberbezpieczeństwa (KSC). Obowiązki podmiotów kluczowych i ważnych”, 2026 – https://www.gov.pl/web/cyfryzacja/nowelizacja-ustawy-o-krajowym-systemie-cyberbezpieczenstwa-ksc—obowiazki-podmiotow-kluczowych-i-waznych
- Portal gov.pl, „Nowelizacja ustawy o krajowym systemie cyberbezpieczeństwa”, 2026 – https://www.gov.pl/web/baza-wiedzy/nowelizacja-ustawy-o-krajowym-systemie-cyberbezpieczenstwa
- ENISA, „NIS360. The bigger picture on maturity and criticality of NIS critical sectors”, maj 2026 – https://www.enisa.europa.eu/news/nis360-the-bigger-picture-on-maturity-and-criticality-of-nis-critical-sectors
- ENISA, „NIS360 2024 report. A comprehensive look at cybersecurity maturity and criticality of NIS2 sectors”, marzec 2025 – https://www.enisa.europa.eu/news/enisa-nis360-2024-report
- Ustawa z dnia 23 stycznia 2026 roku o zmianie ustawy o krajowym systemie cyberbezpieczeństwa oraz niektórych innych ustaw (Dz.U. 2026 poz. 252)
- Dyrektywa Parlamentu Europejskiego i Rady (UE) 2022/2555 z dnia 14 grudnia 2022 roku w sprawie środków na rzecz wysokiego wspólnego poziomu cyberbezpieczeństwa na terytorium Unii (NIS2)
Chcesz sprawdzić, czy obecne plany, analizy i procedury obejmują rzeczywiste zależności Twojej organizacji?
Skorzystaj z bezpłatnego narzędzia – KSC Navigator →
Uporządkowanie wymagań i ocena obecnego poziomu przygotowania. W analizie wpływu biznesowego korzystamy z ImpactApp, który wspiera identyfikację procesów krytycznych, ocenę skutków zakłóceń i ustalanie priorytetów odtworzenia.
