Dyrektywa (UE) 2022/2555 zastąpiła pierwotną dyrektywę NIS i rozszerzyła zakres unijnych regulacji cyberbezpieczeństwa z kilkuset operatorów na dziesiątki tysięcy podmiotów w 18 sektorach. Państwa członkowskie miały ją wdrożyć do 17 października 2024 roku, a obowiązki stosuje się od 18 października 2024 roku.
Praktyczna komplikacja polega na tym, że dyrektywa nie obowiązuje bezpośrednio. NIS 2 wyznacza minimum, a wiążące przepisy są krajowe. Polska wdrożyła ją nowelizacją ustawy o krajowym systemie cyberbezpieczeństwa, która weszła w życie 3 kwietnia 2026 roku — około siedemnastu miesięcy po terminie unijnym. Podmioty spełniające kryteria w tej dacie muszą złożyć wniosek o wpis do wykazu podmiotów kluczowych i ważnych do 3 października 2026 roku.
Meritum mieści się w dwóch artykułach. Art. 21 ust. 2 ustanawia dziesięć minimalnych środków zarządzania ryzykiem — od analizy ryzyka i obsługi incydentów przez bezpieczeństwo łańcucha dostaw po uwierzytelnianie wieloskładnikowe. Art. 23 wyznacza zegar zgłoszeniowy: wczesne ostrzeżenie w ciągu 24 godzin od powzięcia wiedzy o poważnym incydencie, pełniejsze zgłoszenie w ciągu 72 godzin i raport końcowy w ciągu miesiąca.
Rozmowę wewnątrz organizacji zmienia art. 20. Organy zarządzające muszą zatwierdzać środki zarządzania ryzykiem, nadzorować ich wdrożenie i mogą ponosić odpowiedzialność za zaniechanie, a same są zobowiązane do odbycia szkoleń. NIS 2 nie jest więc sprawą, którą zespół bezpieczeństwa udźwignie samodzielnie, co zwykle jest pierwszym problemem strukturalnym ujawnianym podczas oceny.
