Jest jednak mniejszość, której to dotyczy naprawdę, i są wyjątki, które łatwo przeoczyć we własnej firmie. Rejestracja w wykazie mija 3 października 2026, a dziś jest 11 września 2026, więc na spokojne rozstrzygnięcie masz jeszcze kilka tygodni. Ten tekst ma Ci pozwolić ustalić w pięć minut, po której stronie jesteś, i pokazać, co z tematu dotyczy również sklepów nieobjętych, bo akurat ta część dotyczy prawie wszystkich. Od razu zastrzeżenie, które powtórzymy jeszcze raz niżej: to nie jest porada prawna, tylko uporządkowanie tematu z perspektywy firmy, która utrzymuje sklepy.
Co się właściwie zmieniło i jakie są terminy
Nowelizacja ustawy o krajowym systemie cyberbezpieczeństwa weszła w życie 3 kwietnia 2026. To ona wdraża w Polsce dyrektywę znaną jako NIS2. Z punktu widzenia właściciela firmy najważniejsze są trzy daty.
Pierwsza: 3 kwietnia 2026, czyli moment wejścia przepisów w życie. Druga: 3 października 2026, do kiedy podmioty objęte mają zarejestrować się w wykazie podmiotów kluczowych i ważnych. Trzecia jest mniej znana i warto ją znać, zanim ktoś zacznie Cię straszyć: kary pieniężne są nakładane dopiero po upływie 2 lat od wejścia w życie nowelizacji. Nie oznacza to, że obowiązki są opcjonalne, tylko tyle, że sam kalendarz jest mniej dramatyczny, niż wynika z niejednej oferty sprzedażowej.
Kogo ustawa obejmuje
Co do zasady NIS2 obejmuje podmioty średnie i duże, a w wybranych sytuacjach niezależnie od wielkości. Sam rozmiar firmy nie przesądza więc o niczym, dopóki nie sprawdzisz, czy prowadzisz działalność z listy sektorów.
Objęte są między innymi: internetowe platformy handlowe (marketplace), zarządzanie usługami ICT, hurtowa dystrybucja żywności, produkcja i dystrybucja chemikaliów, usługi pocztowe i kurierskie, gospodarka odpadami i ściekami, przestrzeń kosmiczna oraz działalność badawczo naukowa. Podmioty dzielą się na kluczowe i ważne, a od tego podziału zależy między innymi maksymalna wysokość kary.
Zwróć uwagę na jedną rzecz w tej liście. Kilka pozycji brzmi jak coś kompletnie niezwiązanego ze sprzedażą online, a jednak potrafi wystąpić w tej samej spółce, która prowadzi sklep. Hurtowa dystrybucja żywności i usługi kurierskie to najczęstsze przypadki, w których właściciel sklepu jest szczerze zaskoczony, że rozmowa w ogóle go dotyczy.
Sklep internetowy to nie to samo co internetowa platforma handlowa
To jest sedno całego tekstu, więc powiemy to możliwie jasno. Internetowa platforma handlowa kojarzy sprzedawców z kupującymi: udostępnia infrastrukturę, na której transakcję zawierają dwie inne strony, a operator platformy jest pośrednikiem. Sklep internetowy sprzedaje we własnym imieniu: to Ty jesteś sprzedawcą, Ty wystawiasz dokument sprzedaży, Ty odpowiadasz za towar.
Dlatego zwykły sklep sprzedający własne towary nie jest internetową platformą handlową i co do zasady nie jest objęty z tego tytułu. Nie ma znaczenia, czy stoisz na Magento, PrestaShop, Shopify czy WooCommerce, ile masz ruchu i ile integracji. Kryterium jest rodzaj działalności, nie rozmiar koszyka.
Są jednak trzy sytuacje, w których odpowiedź się zmienia i w których warto zajrzeć głębiej, zamiast machnąć ręką.
Pierwsza: marketplace we własnym sklepie. Jeżeli dopuściłeś zewnętrznych sprzedawców, którzy wystawiają u Ciebie własny asortyment i zawierają umowę bezpośrednio z kupującym, to przestajesz być tylko sklepem. To najczęstszy scenariusz, w którym rozwój oferty po cichu zmienia status prawny firmy.
Druga: inny rodzaj działalności w tej samej spółce. Sklep to często jeden z kilku kanałów. Jeżeli ta sama spółka prowadzi na przykład hurtową dystrybucję żywności, to może być objęta z tego tytułu, a nie z tytułu sklepu.
Trzecia: powiązania kapitałowe z podmiotem objętym. Jeżeli Twoja spółka jest częścią większej struktury, rozstrzygnięcie nie zapada na poziomie samego sklepu.
Test w pięć pytań
Odpowiedz sobie na pięć pytań. To nie jest opinia prawna i nie zastępuje analizy prawnika, jest narzędziem do wstępnego posortowania sytuacji.
- Czy w moim sklepie sprzedają także podmioty zewnętrzne, zawierając umowę bezpośrednio z kupującym?
- Czy ta sama spółka prowadzi działalność z listy sektorów, na przykład hurtową dystrybucję żywności, produkcję lub dystrybucję chemikaliów, usługi pocztowe albo kurierskie, zarządzanie usługami ICT?
- Czy moja spółka jest powiązana kapitałowo z podmiotem, który sam jest objęty?
- Czy moja firma jest podmiotem średnim lub dużym?
- Czy dostałem już od kontrahenta, banku albo ubezpieczyciela pismo, które odwołuje się do NIS2 i pyta o mój status?
Jeżeli na pytania od pierwszego do trzeciego odpowiadasz "nie", a firma nie jest średnia ani duża, prawdopodobnie nie jesteś objęty i temat rejestracji Cię nie dotyczy. Jeżeli na którekolwiek z pytań od pierwszego do trzeciego odpowiadasz "tak" i jednocześnie jesteś podmiotem średnim lub dużym, potraktuj to jako sygnał, że jesteś prawdopodobnie objęty i że rozmowa z prawnikiem jest pilna, bo rejestracja mija 3 października 2026. Jeżeli odpowiedzi są niejednoznaczne, na przykład granica wielkości firmy jest na styk albo struktura właścicielska jest złożona, to jest właśnie ten trzeci wynik: muszę to potwierdzić z prawnikiem. Przy wątpliwości decyduje prawnik, nie agencja utrzymująca sklep i nie autor artykułu.
Co robi podmiot, który jest objęty
Jeżeli test wyszedł Ci na "jestem objęty", zakres obowiązków wygląda w skrócie tak. Po pierwsze rejestracja w wykazie podmiotów kluczowych i ważnych w terminie do 3 października 2026. Po drugie zarządzanie ryzykiem, czyli udokumentowane podejście do tego, co może pójść nie tak i co z tym robisz. Po trzecie zgłaszanie incydentów poważnych, z konkretnymi terminami: wczesne ostrzeżenie do 24 godzin od wykrycia, pełne zgłoszenie do 72 godzin, sprawozdanie końcowe w ciągu miesiąca. Po czwarte bezpieczeństwo łańcucha dostaw, czyli odpowiedzialność za to, kogo dopuszczasz do swoich systemów.
Zwróć uwagę na to, jak wyglądają te terminy w praktyce. Zgłoszenie w 24 godziny od wykrycia wymaga, żeby ktoś incydent w ogóle wykrył i zapisał godzinę wykrycia. Bez rejestru zgłoszeń z datami nie da się tego zrobić wiarygodnie, a to jest dokładnie ten obszar, który opisaliśmy w tekście o najczęstszych awariach sklepów internetowych.
Kary, czyli liczba, którą wszyscy cytują
Dla podmiotów kluczowych kara sięga do 10 mln euro albo 2% rocznego światowego obrotu. Dla podmiotów ważnych do 7 mln euro albo 1,4% obrotu. Dla kierownictwa przewidziano odpowiedzialność do 300% wynagrodzenia.
I teraz część, którą rzadko usłyszysz w rozmowie handlowej, a która jest po prostu uczciwa: kary pieniężne są nakładane po upływie 2 lat od wejścia w życie nowelizacji. Jeżeli jesteś podmiotem objętym, to nadal masz obowiązki i nadal masz termin rejestracji. Ale jeżeli ktoś próbuje Ci sprzedać cokolwiek zdaniem "od października grożą Ci milionowe kary", to właśnie pomija istotny fakt.
Część, która dotyczy WSZYSTKICH sklepów, także nieobjętych
Tu jest realny powód, dla którego warto przeczytać ten tekst nawet po odpowiedzi "nie jestem objęty". Bezpieczeństwo łańcucha dostaw działa w dwie strony. Jeżeli Twój klient B2B, Twój dystrybutor albo Twój duży kontrahent jest podmiotem objętym, to on odpowiada za bezpieczeństwo swoich dostawców. A Ty jesteś jego dostawcą.
W praktyce oznacza to, że zacznie od Ciebie wymagać konkretów: rejestru dostawców i podwykonawców, umowy z zapisami o bezpieczeństwie, procedury zgłaszania incydentów po Twojej stronie, potwierdzenia, że aktualizacje są wykonywane i w jakim terminie. To dlatego nieobjęty sklep i tak dostaje do wypełnienia ankietę bezpieczeństwa. Nie dlatego, że ustawa go obejmuje, tylko dlatego, że obejmuje jego kontrahenta.
Z naszej praktyki to jest dziś częstszy scenariusz niż sama rejestracja. Sklep, który nie ma czego pokazać, traci czas na improwizowanie odpowiedzi, a czasem traci punkty w ocenie dostawcy.
Co da się przygotować przy okazji zwykłego utrzymania
Dobra wiadomość jest taka, że większość rzeczy, o które zapyta ankieta, to nie jest osobny projekt zgodności, tylko dokumentacja, która i tak powinna powstawać przy utrzymaniu sklepu. U nas wygląda to tak.
Rejestr dostawców i integracji: spis tego, kto ma dostęp do sklepu, jakie integracje są podpięte i kto za nie odpowiada. Aktualizacje z terminem: u nas krytyczne w 72 godziny, pozostałe w 14 dni, najpierw na środowisku testowym, z zapisem kiedy i co zostało wgrane. To jest nasz własny standard obsługi, nie termin ustawowy, i nie należy go mylić z terminem zgłoszenia incydentu. Kopie zapasowe z testem odtworzenia raz na kwartał, bo kopia bez testu to deklaracja, a nie zabezpieczenie. Klasyfikacja i rejestr zgłoszeń z datami, dzięki czemu da się odtworzyć, kiedy coś wykryto i co dalej zrobiono. Notatka poawaryjna z przyczyną, czyli dokument, który pokazuje, że po zdarzeniu ktoś ustalił przyczynę, a nie tylko przywrócił sklep.
Napiszemy to wprost, bo to jest linia całej naszej bazy wiedzy: to nie jest zgodność z ustawą i nie sprzedajemy zgodności z NIS2. To jest dokumentacja techniczna, która przy zgodności jest potrzebna, która jest potrzebna również przy ankiecie od kontrahenta, i której większość sklepów po prostu nie ma. Jeżeli zastanawiasz się, jak takie zapisy wyglądają w umowie, opisaliśmy to w tekście o umowie SLA dla sklepu internetowego, a widełki kosztów znajdziesz w tekście o tym, ile kosztuje utrzymanie sklepu internetowego.
Jeżeli test wyszedł Ci na "nie jestem objęty", nie kupuj wdrożenia NIS2. Jeżeli chcesz mieć uporządkowaną dokumentację techniczną, którą pokażesz kontrahentowi bez improwizacji, zrobimy jej przegląd przy okazji zwykłego utrzymania: rejestr dostępów i integracji, terminy aktualizacji, test odtworzenia kopii, rejestr zgłoszeń. Szczegóły i zakres znajdziesz na /pl/sla-help-desk.