NIS2 w telekomunikacji i obowiązki operatorów oraz dostawców internetu

NIS2 w telekomunikacji dotyczy wszystkich przedsiębiorców telekomunikacyjnych, niezależnie od ich wielkości. Oznacza to, że obowiązków nie mogą ignorować także lokalni dostawcy internetu, operatorzy małych sieci światłowodowych i radiowych oraz firmy świadczące usługi na ograniczonym obszarze. Wpis do wykazu podmiotów krajowego systemu cyberbezpieczeństwa nie kończy procesu. Firma musi uzupełnić dane, wyznaczyć osoby kontaktowe, połączyć się z systemem S46, wdrożyć zarządzanie ryzykiem i przygotować procedurę obsługi incydentów. Dla wielu operatorów największym wyzwaniem nie będzie zakup kolejnego narzędzia, lecz połączenie wymagań prawnych, organizacyjnych i technicznych w jeden działający system.

Najważniejsze informacje

• Ustawa o krajowym systemie cyberbezpieczeństwa obejmuje wszystkich przedsiębiorców telekomunikacyjnych, bez względu na ich wielkość.
• Przedsiębiorcy telekomunikacyjni są co do zasady wpisywani do wykazu KSC z urzędu.
• Po otrzymaniu informacji o wpisie trzeba uzupełnić dane w wykazie w terminie sześciu miesięcy.
• Operator powinien wyznaczyć co najmniej dwie osoby kontaktowe. Mikroprzedsiębiorca i mały przedsiębiorca wyznaczają co najmniej jedną osobę.
• Podmiot musi połączyć się z systemem S46 i przygotować kanał zgłaszania incydentów.
• Termin na wdrożenie najważniejszych obowiązków z rozdziału 3 ustawy upływa 3 kwietnia 2027 roku.
• Poważny incydent wymaga wczesnego ostrzeżenia w ciągu 24 godzin i pełnego zgłoszenia w ciągu 72 godzin.
• Zarząd odpowiada za nadzór nad systemem cyberbezpieczeństwa. Sama delegacja zadań do działu IT nie wystarcza.

Zapraszamy do współpracy

Szczegółowe informacje o ofercie i warunkach współpracy można uzyskać telefonicznie lub wysyłając zapytanie za pomocą formularza kontaktowego.

BPPZ – Biuro Porad Prawnych Zacharski

• +48 600 784 526
• kontakt@bppz.pl

Zadzwoń Napisz wiadomość

Dlaczego NIS2 w telekomunikacji ma tak szeroki zakres

Sieci i usługi telekomunikacyjne są podstawą działania innych sektorów. Awaria operatora może zatrzymać sprzedaż, płatności, logistykę, pracę zdalną i dostęp do usług publicznych. Z tego powodu ustawodawca objął przedsiębiorców telekomunikacyjnych szczególnym podejściem.

W typowych sektorach znaczenie mają progi wielkości przedsiębiorstwa. W telekomunikacji zakres podmiotowy jest szerszy. Ministerstwo Cyfryzacji wskazuje, że regulacja obejmuje wszystkich przedsiębiorców telekomunikacyjnych, niezależnie od liczby pracowników i przychodów.

To ważna informacja dla lokalnych ISP. Mała skala działalności nie wyłącza obowiązków. Może jednak wpływać na sposób ich wykonania. Środki bezpieczeństwa powinny być proporcjonalne do ryzyka, skali sieci, rodzaju usług i skutków potencjalnej awarii.

Jeżeli firma nie ma pewności, czy jej działalność podlega regulacji i jaki status posiada w KSC, warto zacząć od formalnej kwalifikacji. BPPZ oferuje kwalifikację podmiotu i wdrożenie NIS2, obejmujące ocenę zakresu obowiązków, analizę luk i plan dostosowania.

Kogo obejmują obowiązki telekomunikacyjne

Kluczowe znaczenie ma faktyczny model działalności. Sama obecność w branży technologicznej nie przesądza jeszcze o statusie przedsiębiorcy telekomunikacyjnego. Z drugiej strony nazwanie usługi „informatyczną” nie wyłącza przepisów, jeżeli w praktyce firma świadczy usługę komunikacji elektronicznej lub zapewnia sieć.

Model działalności	Znaczenie dla oceny	Typowe ryzyko błędnej kwalifikacji
Dostawca dostępu do internetu	Zwykle prowadzi działalność telekomunikacyjną	Założenie, że mała liczba abonentów wyłącza ustawę
Operator sieci światłowodowej	Może podlegać obowiązkom jako przedsiębiorca telekomunikacyjny	Skupienie się wyłącznie na warstwie fizycznej sieci
Operator sieci radiowej	Zakres zależy od świadczonych usług i modelu sieci	Pominięcie systemów zarządzania urządzeniami i dostępem
MVNO	Wymaga analizy podziału obowiązków z operatorem infrastrukturalnym	Założenie, że całą odpowiedzialność ponosi partner hurtowy
Integrator lub instalator	Nie staje się przedsiębiorcą telekomunikacyjnym wyłącznie przez montaż urządzeń	Mylenie usług technicznych ze świadczeniem usług komunikacji
Dostawca usług zarządzanych MSP	Może podlegać innym kategoriom KSC	Ocena wyłącznie przez pryzmat telekomunikacji

Ocena powinna obejmować umowy z klientami, opis usług, wpisy w rejestrach, sposób zarządzania siecią i odpowiedzialność za transmisję. W grupach kapitałowych trzeba analizować każdą spółkę osobno.

Wpis do wykazu KSC i pierwsze działania operatora

Przedsiębiorcy telekomunikacyjni są co do zasady wpisywani do wykazu KSC z urzędu. Minister właściwy do spraw informatyzacji przekazuje informację o wpisie i wzywa do uzupełnienia danych. Operator, który nie otrzymał zawiadomienia, powinien sprawdzić swój status zamiast zakładać, że brak korespondencji wyłącza obowiązki.

Od otrzymania zawiadomienia biegnie termin sześciu miesięcy na uzupełnienie wpisu. Nie warto czekać do ostatnich tygodni. Dane w wykazie są potrzebne do komunikacji z organami i działania w systemie S46.

Operator powinien w pierwszej kolejności:

1. zweryfikować dane identyfikacyjne i zakres świadczonych usług;
2. ustalić, kto odpowiada za kontakt z organami KSC;
3. wyznaczyć wymagane osoby kontaktowe;
4. sprawdzić niekaralność osób wykonujących określone zadania ustawowe;
5. uruchomić dostęp do S46 Cyber Hub;
6. ustalić wewnętrzny obieg informacji o incydentach;
7. wskazać członka zarządu odpowiedzialnego za nadzór;
8. rozpocząć analizę luk przed terminem wdrożenia obowiązków.

W praktyce wpis do wykazu powinien uruchomić projekt, który łączy zarząd, zespół sieciowy, IT, bezpieczeństwo, obsługę klienta, prawo i zakupy. Jeżeli zadanie pozostanie wyłącznie po stronie administratora sieci, część wymagań organizacyjnych może zostać pominięta.

Co trzeba wdrożyć do 3 kwietnia 2027 roku

Najważniejsze obowiązki z rozdziału 3 ustawy należy wdrożyć do 3 kwietnia 2027 roku. Czas pozostały do tego terminu powinien służyć nie tylko przygotowaniu dokumentów. Operator musi uruchomić procesy, przypisać odpowiedzialność i zebrać dowody działania systemu.

NIS2 w telekomunikacji wymaga między innymi:

• systematycznego szacowania ryzyka;
• stosowania proporcjonalnych środków technicznych i organizacyjnych;
• zarządzania incydentami;
• zapewnienia ciągłości działania i odtwarzania po awarii;
• zarządzania bezpieczeństwem łańcucha dostaw;
• obsługi podatności i aktualizacji;
• kontroli dostępu i ochrony tożsamości;
• stosowania kryptografii tam, gdzie jest potrzebna;
• szkoleń i budowania świadomości;
• dokumentowania decyzji i działań;
• nadzoru kierownictwa nad wdrożeniem.

Najlepszym punktem wyjścia jest analiza luk. Powinna ona porównać stan faktyczny z wymaganiami ustawy i wskazać priorytety. BPPZ może przeprowadzić audyt gotowości oraz przygotować dokumentację NIS2, tak aby obowiązki prawne były powiązane z rzeczywistym działaniem operatora.

Jak przełożyć wymagania na środowisko operatora

Ogólna polityka bezpieczeństwa nie wystarczy. Analiza ryzyka musi uwzględniać elementy, od których zależy ciągłość usług i bezpieczeństwo abonentów.

Sieć i systemy zarządzające

Operator powinien zinwentaryzować węzły sieciowe, urządzenia dostępowe, systemy zarządzania, serwery uwierzytelniające, platformy monitoringu i zdalne kanały administracyjne. Trzeba określić, które elementy są krytyczne oraz jakie są skutki ich niedostępności.

Znaczenie mają także:

• konta uprzywilejowane;
• dostęp dostawców serwisowych;
• aktualizacje oprogramowania urządzeń;
• konfiguracje zapasowe;
• segmentacja sieci zarządzającej;
• ochrona przed atakami DDoS;
• monitoring zdarzeń;
• redundancja łączy i zasilania.

Systemy OSS i BSS

Systemy OSS i BSS często zawierają informacje o topologii sieci, usługach, konfiguracji, rozliczeniach i klientach. Ich awaria może uniemożliwić obsługę zgłoszeń, aktywację usług albo wystawianie faktur.

Ocena powinna objąć system bilingowy, CRM, helpdesk, provisioning, inwentaryzację zasobów, portal klienta i narzędzia terenowe. Trzeba też sprawdzić, czy dane są kopiowane do prywatnych arkuszy, skrzynek e-mail lub komunikatorów.

NOC i obsługa incydentów

NOC powinien odróżniać zwykłą awarię operacyjną od zdarzenia, które może spełniać ustawowe kryteria incydentu poważnego. W tym celu potrzebna jest instrukcja kwalifikacji, ścieżka eskalacji i lista osób podejmujących decyzję o zgłoszeniu.

Procedura musi działać także w nocy, w weekend i podczas urlopu osoby odpowiedzialnej. Krótki termin zgłoszenia nie pozwala na wielogodzinne poszukiwanie właściwego członka zarządu lub prawnika.

Obsługa abonenta

Zespół obsługi klienta może jako pierwszy zauważyć powtarzające się zgłoszenia dotyczące braku usługi, przejęcia konta albo nieprawidłowych zmian konfiguracji. Dlatego powinien wiedzieć, które sygnały przekazać do NOC lub zespołu bezpieczeństwa.

Proces powinien łączyć informacje techniczne z reklamacjami, komunikacją z klientami i obowiązkami z zakresu ochrony danych. Jeden incydent może jednocześnie dotyczyć KSC, Prawa komunikacji elektronicznej i RODO.

Jak zgłaszać incydenty przez system S46

Poważny incydent wymaga wieloetapowego raportowania. Wczesne ostrzeżenie należy przekazać w ciągu 24 godzin od wykrycia. Pełne zgłoszenie trzeba złożyć w ciągu 72 godzin. Raport końcowy jest przekazywany co do zasady w ciągu miesiąca.

Wczesne ostrzeżenie nie musi zawierać wszystkich szczegółów. Powinno jednak umożliwić organom ocenę charakteru zdarzenia i możliwego wpływu. Kolejne raporty uzupełniają informacje o skali, przyczynach, skutkach oraz działaniach naprawczych.

Operator powinien wcześniej ustalić:

• kto może zgłosić incydent w S46;
• kto podejmuje decyzję o kwalifikacji;
• jakie dane są potrzebne do pierwszego raportu;
• jak zabezpieczane są logi i dowody;
• kto kontaktuje się z klientami i mediami;
• kiedy uruchamiana jest ocena naruszenia danych osobowych;
• jak dokumentowane są działania naprawcze;
• kto przygotowuje raport końcowy.

Jeżeli incydent obejmuje dane abonentów, równolegle trzeba ocenić obowiązki wynikające z RODO. BPPZ zapewnia wsparcie przy obsłudze naruszeń ochrony danych, w tym kwalifikację zdarzenia, przygotowanie zgłoszenia i komunikację z osobami, których dane dotyczą.

Łańcuch dostaw jako część bezpieczeństwa operatora

Operator rzadko buduje i utrzymuje całe środowisko samodzielnie. Korzysta z producentów sprzętu, integratorów, dostawców chmury, systemów bilingowych, call center, ekip terenowych i podmiotów świadczących usługi serwisowe.

Ryzyko dostawcy nie kończy się na podpisaniu umowy. Trzeba wiedzieć, kto ma dostęp do sieci, jakie konta wykorzystuje, gdzie przechowuje kopie konfiguracji i jak zgłasza podatności.

Ocena dostawcy powinna obejmować:

• znaczenie usługi dla ciągłości działania;
• dostęp do systemów i danych;
• lokalizację przetwarzania;
• podwykonawców;
• czas reakcji na incydent;
• zasady aktualizacji i usuwania podatności;
• możliwość audytu;
• plan zakończenia współpracy;
• obowiązek zwrotu lub usunięcia danych;
• ryzyko związane z dostawcą wysokiego ryzyka.

Umowy powinny odzwierciedlać rzeczywisty podział odpowiedzialności. BPPZ wspiera operatorów w ramach projektowego doradztwa prawnego, obejmującego ocenę dostawców, wymagania bezpieczeństwa i negocjowanie postanowień kontraktowych.

Odpowiedzialność zarządu i dowody zgodności

NIS2 w telekomunikacji nie jest projektem wyłącznie technicznym. Kierownictwo powinno zatwierdzić środki zarządzania ryzykiem, nadzorować ich wdrożenie i posiadać wiedzę potrzebną do podejmowania decyzji.

Zarząd nie musi sam konfigurować systemów. Musi jednak rozumieć najważniejsze ryzyka, znać stan wdrożenia i reagować na istotne braki. Potrzebuje więc cyklicznego raportu, który pokazuje między innymi incydenty, podatności, status dostawców, wyniki testów i postęp działań naprawczych.

Dowodem zgodności nie jest sam segregator procedur. Liczą się także:

• wyniki analizy ryzyka;
• decyzje dotyczące akceptacji ryzyka;
• protokoły posiedzeń zarządu;
• rejestry szkoleń;
• raporty z testów i ćwiczeń;
• historia zgłoszeń incydentów;
• wyniki przeglądów uprawnień;
• oceny dostawców;
• raporty z audytów;
• potwierdzenia usunięcia niezgodności.

Najczęstsze błędy operatorów

Oczekiwanie na kontrolę

Firma odkłada wdrożenie, ponieważ nie otrzymała jeszcze szczegółowych pytań od organu. Termin ustawowy biegnie jednak niezależnie od kontroli.

Traktowanie wpisu jako formalności

Uzupełnienie danych w wykazie jest początkiem procesu. Nie zastępuje analizy ryzyka, procedur i zabezpieczeń.

Skupienie wyłącznie na sieci

Operator zabezpiecza routery i przełączniki, ale pomija biling, CRM, konta administracyjne, laptopy serwisantów i dostawców zdalnego wsparcia.

Brak całodobowej ścieżki eskalacji

Incydent zostaje wykryty w sobotę, ale nikt nie wie, kto może zatwierdzić zgłoszenie. Termin 24 godzin zaczyna biec od wykrycia zdarzenia.

Dokumentacja oderwana od praktyki

Procedura wymienia role, których firma nie posiada, albo narzędzia, których pracownicy nie używają. Taki dokument nie pomoże podczas awarii i nie stanowi wiarygodnego dowodu zgodności.

Brak kontroli nad dostawcami

Partnerzy korzystają ze współdzielonych kont, a umowy nie określają czasu zgłaszania incydentów. Operator dowiaduje się o problemie zbyt późno.

Checklista wdrożenia NIS2 u operatora

Organizacja

• Potwierdź status podmiotu i dane w wykazie KSC.
• Wyznacz osoby kontaktowe oraz zastępstwa.
• Przypisz odpowiedzialność członkowi zarządu.
• Ustal harmonogram wdrożenia do 3 kwietnia 2027 roku.
• Zaplanuj szkolenia dla kierownictwa i zespołów operacyjnych.

Ryzyko i zabezpieczenia

• Zbuduj aktualną inwentaryzację sieci, systemów, danych i dostawców.
• Określ usługi krytyczne oraz dopuszczalne czasy niedostępności.
• Oceń ryzyko dla sieci, OSS, BSS, NOC i obsługi abonenta.
• Zweryfikuj konta uprzywilejowane oraz dostęp zdalny.
• Sprawdź kopie zapasowe i możliwość odtworzenia konfiguracji.
• Udokumentuj plan ciągłości działania i odtwarzania po awarii.

Incydenty

• Połącz organizację z systemem S46.
• Przygotuj kryteria kwalifikacji zdarzeń.
• Ustal procedurę zgłoszeń w terminie 24 i 72 godzin.
• Zdefiniuj zasady zabezpieczania dowodów.
• Przeprowadź ćwiczenie incydentu poza godzinami pracy.
• Połącz procedurę KSC z obsługą naruszeń RODO.

Dostawcy

• Sklasyfikuj dostawców według wpływu na usługi.
• Oceń dostęp partnerów do sieci i danych.
• Wprowadź wymagania dotyczące incydentów, podatności i ciągłości.
• Zaplanuj przeglądy i prawo do weryfikacji zabezpieczeń.
• Przygotuj bezpieczne zakończenie współpracy.

Jak BPPZ może przygotować operatora do NIS2

Skuteczne wdrożenie powinno łączyć prawo, cyberbezpieczeństwo i realia operacyjne operatora. BPPZ może przeprowadzić cały projekt albo wesprzeć wewnętrzny zespół na wybranym etapie.

Zakres współpracy może obejmować:

• kwalifikację podmiotu i obowiązków;
• analizę luk względem ustawy o KSC;
• analizę ryzyka i plan postępowania z ryzykiem;
• dokumentację systemu zarządzania bezpieczeństwem;
• procedurę zgłaszania incydentów;
• przygotowanie organizacji do pracy w S46;
• ocenę dostawców i postanowień umownych;
• warsztaty dla zarządu i zespołów;
• ćwiczenie incydentu;
• przygotowanie do audytu i kontroli.

Jeżeli firma potrzebuje konkretnego harmonogramu, warto rozpocząć od konsultacji dotyczącej wdrożenia NIS2. Pierwszym efektem powinien być plan z przypisanymi właścicielami, terminami i dowodami wykonania, a nie kolejna ogólna prezentacja.

Podsumowanie

NIS2 w telekomunikacji obejmuje także małych operatorów i lokalnych dostawców internetu. Wpis do wykazu KSC z urzędu nie zwalnia z uzupełnienia danych ani z wdrożenia systemu zarządzania ryzykiem.

Do 3 kwietnia 2027 roku operator powinien uruchomić procesy dotyczące ryzyka, incydentów, ciągłości działania, podatności i dostawców. Musi także przygotować osoby odpowiedzialne za kontakt z organami oraz zgłaszanie zdarzeń przez S46.

Największą wartość daje wdrożenie dopasowane do rzeczywistej architektury, zespołu i modelu usług. Dzięki temu firma nie tylko ogranicza ryzyko sankcji, lecz także skraca przestoje, porządkuje współpracę z dostawcami i wzmacnia zaufanie klientów.

FAQ

Źródła:

1. ELI – Ustawa o krajowym systemie cyberbezpieczeństwa, tekst jednolity.
2. ELI – Ustawa z dnia 23 stycznia 2026 r. o zmianie ustawy o krajowym systemie cyberbezpieczeństwa oraz niektórych innych ustaw.
3. EUR-Lex – Dyrektywa Parlamentu Europejskiego i Rady UE 2022/2555 NIS2.
4. UKE – Wdrażanie przepisów znowelizowanej ustawy KSC i przygotowanie do realizacji obowiązków.
5. UKE – Rejestracja podmiotów komunikacji elektronicznej w wykazie podmiotów kluczowych i ważnych.
6. Ministerstwo Cyfryzacji – Nowelizacja ustawy o KSC i zasady samoidentyfikacji.
7. Ministerstwo Cyfryzacji – Platforma S46 Cyber Hub.