Cyberbezpieczeństwo obciąży budżety również firm handlowych. Polska wyznaczyła termin na 3 października, Niemcy już stosują NIS2

11.08.2026

Do 3 października 2026 r. część przedsiębiorstw działających w Polsce musi złożyć wniosek o wpis do wykazu podmiotów kluczowych i ważnych Krajowego Systemu Cyberbezpieczeństwa. Dotyczy to organizacji, które spełniały ustawowe kryteria 3 kwietnia 2026 r., czyli w dniu wejścia w życie nowelizacji ustawy o krajowym systemie cyberbezpieczeństwa wdrażającej unijną dyrektywę NIS2, a jednocześnie nie zostały wpisane do wykazu z urzędu. Samorejestracja została uruchomiona 7 maja 2026 r.

NIS2, czyli dyrektywa (UE) 2022/2555 dotycząca środków na rzecz wysokiego wspólnego poziomu cyberbezpieczeństwa w Unii Europejskiej, rozszerza liczbę sektorów i przedsiębiorstw objętych obowiązkami związanymi z zarządzaniem ryzykiem, ochroną systemów informatycznych oraz zgłaszaniem poważnych incydentów. Regulacja obejmuje znacznie więcej działalności niż infrastruktura krytyczna kojarzona z energetyką, telekomunikacją czy transportem. W określonych przypadkach w jej zasięgu znajdują się również przedsiębiorstwa istotne dla handlu, e-commerce i zaplecza logistycznego.

Sam fakt prowadzenia sklepu internetowego nie przesądza jednak o podleganiu nowym obowiązkom. Znaczenie mają rodzaj działalności, wielkość przedsiębiorstwa, struktura grupy oraz szczególne przypadki wskazane w przepisach.

– Co do zasady regulacje dotyczą średnich i dużych podmiotów. W niektórych przypadkach ustawa obejmuje jednak organizacje niezależnie od ich wielkości lub ze względu na szczególne znaczenie świadczonej usługi. Sama obecność branży na liście nie przesądza więc jeszcze o obowiązku wpisu, ale powinna być sygnałem do szybkiej weryfikacji statusu firmy – zwraca uwagę Maciej Ostaszewski z firmy eFaktor, specjalizującej się w finansowaniu małych i średnich przedsiębiorstw.

Dla właściciela sklepu lub grupy handlowej najważniejsze staje się więc nie pytanie, czy NIS2 obejmuje e-commerce jako całość, ale czy konkretny podmiot prawny wykonuje działalność wskazaną w przepisach i spełnia odpowiednie kryteria wielkościowe. Ta analiza jest szczególnie ważna przy sprzedaży cross-border, ponieważ Polska, Niemcy i Francja znajdują się obecnie na różnych etapach krajowego wdrażania NIS2.

Kogo rzeczywiście obejmują nowe obowiązki w Polsce, Niemczech i Francji

W Polsce przedsiębiorstwo powinno zestawić ze sobą sektor działalności, wielkość firmy oraz szczególne przesłanki wynikające z ustawy o krajowym systemie cyberbezpieczeństwa. Nie wystarcza kod PKD ani ogólne stwierdzenie, że firma prowadzi handel. Znaczenie ma rzeczywiście wykonywana działalność oraz to, czy odpowiada kategoriom określonym przez ustawodawcę.

Dla większości przedsiębiorstw punktem odniesienia jest skala co najmniej średniego przedsiębiorstwa. Przy ustalaniu statusu trzeba jednak uwzględniać reguły dotyczące przedsiębiorstw partnerskich i powiązanych. Mała spółka operacyjna należąca do większej grupy nie powinna więc wyciągać wniosku o wyłączeniu z regulacji wyłącznie na podstawie własnej liczby pracowników albo własnego obrotu.

Dla sektora handlowego szczególnie ważne jest rozróżnienie sklepu internetowego od internetowej platformy handlowej. Platforma umożliwia innym przedsiębiorcom zawieranie umów z klientami na odległość. Typowym przykładem takiego modelu jest marketplace. Sprzedawca oferujący własne produkty przez własny e-sklep nie staje się operatorem internetowej platformy handlowej tylko dlatego, że transakcja odbywa się przez internet. Podobnie sprzedaż na Amazon nie powoduje, że polski sprzedawca staje się operatorem Amazon.

W katalogach sektorowych istotne dla szeroko rozumianego handlu mogą być również określone rodzaje działalności związane między innymi z żywnością, chemikaliami, usługami pocztowymi i kurierskimi czy gospodarką odpadami. W każdym przypadku trzeba sprawdzić ustawową definicję danej działalności. Firma dystrybuująca określone produkty nie powinna zakładać, że podlega regulacji tylko dlatego, że nazwa sektora przypomina jej profil biznesowy.

W Niemczech sytuacja jest bardziej ustabilizowana, ponieważ nowe BSI-Gesetz, czyli ustawa regulująca działalność Federalnego Urzędu Bezpieczeństwa Informacji i obowiązki podmiotów w zakresie cyberbezpieczeństwa, już obowiązuje. Przepisy rozróżniają „besonders wichtige Einrichtungen”, czyli podmioty szczególnie ważne, oraz „wichtige Einrichtungen”, czyli podmioty ważne.

Dla przedsiębiorstw z rodzajów działalności wymienionych w załączniku 1 do niemieckiej ustawy status podmiotu szczególnie ważnego powstaje zasadniczo przy zatrudnieniu co najmniej 250 pracowników albo przy rocznym obrocie przekraczającym 50 mln euro i jednoczesnej sumie bilansowej przekraczającej 43 mln euro. Do kategorii podmiotów ważnych mogą natomiast wejść przedsiębiorstwa należące do rodzajów działalności z załączników 1 i 2, jeżeli zatrudniają co najmniej 50 pracowników albo ich roczny obrót i suma bilansowa przekraczają wskazane w ustawie progi. Niemieckie prawo przewiduje również kategorie objęte regulacją według odrębnych zasad, dlatego sam test 50 lub 250 pracowników nie wystarcza do ostatecznej kwalifikacji.

Niemiecki załącznik 2 obejmuje między innymi dostawców usług pocztowych i kurierskich oraz określonych producentów i importerów substancji i mieszanin chemicznych. Pokazuje to, dlaczego analiza NIS2 może dotyczyć nie tylko samego sprzedawcy, lecz także przedsiębiorstw tworzących jego zaplecze logistyczne i operacyjne.

Francja wymaga większej ostrożności przy formułowaniu ostatecznych ocen. Według stanu na sierpień 2026 r. ANSSI, czyli francuska Agencja Bezpieczeństwa Systemów Informatycznych, nadal informuje, że transpozycja NIS2 do prawa francuskiego jest w toku. Agencja wskazuje 18 sektorów działalności oraz informuje, że regulacja obejmie przede wszystkim średnie i duże przedsiębiorstwa, a także część administracji i jednostek samorządowych. Przed opublikowaniem kompletnego zestawu francuskich przepisów nie należy jednak przedstawiać przyszłych krajowych zasad kwalifikacji tak, jakby proces legislacyjny był już zakończony.

Polska grupa prowadząca działalność w trzech krajach powinna więc kwalifikować osobno poszczególne podmioty. Polska spółka może podlegać ustawie o krajowym systemie cyberbezpieczeństwa, niemiecka spółka zależna może już spełniać kryteria BSI-Gesetz, natomiast działalność francuskiej spółki trzeba analizować z uwzględnieniem trwającej transpozycji. Wspólny ERP, magazyn, sklep lub dział IT nie daje automatycznie wszystkim spółkom tego samego statusu prawnego.

Wpis do wykazu nie kończy pracy. Koszty pojawiają się w IT, logistyce i umowach z dostawcami

Rejestracja jest tylko jednym z elementów przygotowania przedsiębiorstwa. Znacznie bardziej wymagające finansowo może być uporządkowanie procesów, infrastruktury i relacji z dostawcami technologii.

Podmioty objęte regulacją muszą wdrażać rozwiązania służące zarządzaniu ryzykiem cyberbezpieczeństwa. W przedsiębiorstwie prowadzącym sprzedaż wielokanałową zakres systemów wymagających analizy jest znacznie szerszy niż komputery pracowników i serwer sklepu. Obejmuje ERP, czyli system do zarządzania zasobami przedsiębiorstwa, WMS, czyli oprogramowanie sterujące procesami magazynowymi, integracje z marketplace, systemy płatnicze, konta administracyjne, rozwiązania kurierskie, narzędzia obsługi klienta oraz infrastrukturę operatora fulfillment odpowiedzialnego za magazynowanie, kompletację i wysyłkę zamówień.

Każdy z tych elementów może zatrzymać część sprzedaży. Niedostępność ERP może odciąć magazyn od zamówień. Awaria integratora może uniemożliwić aktualizację cen i stanów magazynowych na Amazon lub innych marketplace. Problem z połączeniem sklepu i magazynu może doprowadzić do sytuacji, w której checkout nadal przyjmuje zamówienia i płatności, ale informacje potrzebne do kompletacji przesyłek nie docierają do operatora logistycznego.

– Wzmocnienie cyberbezpieczeństwa jest potrzebne, ale dla przedsiębiorców wiąże się z dodatkowymi obowiązkami i kosztami. Firma musi przeanalizować regulacje, ustalić zakres odpowiedzialności, przeszkolić pracowników, zweryfikować dostawców oraz sfinansować niezbędne zmiany. Koszty obejmują nie tylko usługi i narzędzia, lecz także czas pracy zespołu. Im później rozpoczną się przygotowania, tym większe będzie ryzyko spiętrzenia wydatków w krótkim okresie – mówi Maciej Ostaszewski z eFaktor.

W przedsiębiorstwie handlowym rachunek rozkłada się pomiędzy kilka działów. IT finansuje zabezpieczenia techniczne, monitoring, zarządzanie uprawnieniami i kopie zapasowe. Dział prawny i osoby odpowiedzialne za compliance, czyli zgodność działalności z przepisami, analizują status przedsiębiorstwa, umowy i procedury. Zakupy muszą zweryfikować część dostawców, HR przygotować szkolenia, a zarząd nadzorować wykonanie obowiązków i zarządzanie ryzykiem.

Niemieckie przepisy pokazują, że rola zarządu nie jest formalnością. BSI-Gesetz nakłada na kierownictwo podmiotów szczególnie ważnych i ważnych obowiązek wdrażania oraz nadzorowania wymaganych środków zarządzania ryzykiem. Osoby zarządzające muszą także regularnie uczestniczyć w szkoleniach pozwalających rozpoznawać i oceniać ryzyko związane z bezpieczeństwem systemów informatycznych.

Rosną również wymagania wobec łańcucha dostaw. Dostawca hostingu, oprogramowania, infrastruktury chmurowej, integratora marketplace czy systemu magazynowego nie może być oceniany wyłącznie według ceny i SLA, czyli umownego poziomu dostępności usługi. Firma musi wiedzieć, jak kontrahent chroni system, kiedy poinformuje o incydencie, gdzie przechowywane są kopie danych, kto posiada dostęp administracyjny oraz w jakim czasie usługa może zostać odtworzona.

Dla e-commerce szczególnie kosztowne może okazać się uporządkowanie środowiska budowanego przez lata z wielu niezależnych usług. Sklep działa na jednej platformie, ERP u innego dostawcy, informacje produktowe znajdują się w systemie PIM, czyli rozwiązaniu do centralnego zarządzania danymi produktowymi, zamówienia przepływają przez integrator, a magazyn i obsługa zwrotów korzystają z kolejnych aplikacji. Każde połączenie zwiększa liczbę miejsc wymagających kontroli dostępu, aktualizacji, monitorowania i procedur awaryjnych.

Niemcy już egzekwują obowiązki, a Francja przygotowuje przedsiębiorstwa do NIS2

Niemiecka ustawa wdrażająca NIS2 weszła w życie 6 grudnia 2025 r. Federalny Urząd Bezpieczeństwa Informacji BSI jest centralnym organem odpowiedzialnym między innymi za nadzór nad podmiotami szczególnie ważnymi i ważnymi, a ustawa przewiduje obowiązki dotyczące zarządzania ryzykiem, rejestracji oraz raportowania incydentów.

W przypadku poważnego incydentu niemieckie przedsiębiorstwo objęte obowiązkiem musi przekazać wczesne zgłoszenie bez zbędnej zwłoki, najpóźniej w ciągu 24 godzin od uzyskania wiedzy o zdarzeniu. W ciągu 72 godzin wymagane jest kolejne zgłoszenie zawierające między innymi wstępną ocenę dotkliwości i skutków incydentu oraz, jeśli są dostępne, wskaźniki świadczące o naruszeniu systemu.

Dla polskiej grupy posiadającej spółkę w Niemczech ma to bardzo konkretne konsekwencje. Atak ransomware, czyli użycie złośliwego oprogramowania do zaszyfrowania lub zablokowania danych w celu wymuszenia okupu, może dotknąć centralny ERP działający w Polsce i jednocześnie zatrzymać pracę niemieckiego magazynu. Jeżeli spółka niemiecka podlega BSI-Gesetz, musi ustalić, czy zdarzenie spełnia kryteria poważnego incydentu i uruchamia obowiązek raportowania.

W tym samym czasie magazyn może przestać otrzymywać zamówienia, stany na Amazon nie będą aktualizowane, a zespół nie wygeneruje dokumentów wysyłkowych. Koszt cyberataku obejmie wtedy nie tylko pracę informatyków. Pojawią się anulowane zamówienia, zwroty środków, dodatkowe kontakty z obsługą klienta, opóźnienia dostaw i ryzyko pogorszenia parametrów kont sprzedażowych na marketplace.

Sama sprzedaż towarów z Polski klientom w Niemczech nie powoduje jednak automatycznie, że sprzedawca podlega niemieckiej ustawie NIS2. Inaczej wygląda sytuacja lokalnej spółki zależnej albo podmiotu wykonującego na niemieckim rynku działalność objętą zakresem BSI-Gesetz. Dlatego obecność handlowa na rynku niemieckim i podleganie niemieckiemu systemowi cyberbezpieczeństwa są dwiema odrębnymi kwestiami.

We Francji sytuacja pozostaje inna. ANSSI nadal określa transpozycję NIS2 jako trwającą, ale przedsiębiorstwa mogą już przygotowywać się do przyszłych wymagań. Francuski portal MesServicesCyber umożliwia między innymi prerejestrację podmiotów, które spodziewają się objęcia regulacją. Agencja zachęca przyszłe podmioty kluczowe i ważne do podnoszenia poziomu zabezpieczeń jeszcze przed opublikowaniem wszystkich krajowych aktów wykonujących dyrektywę.

Dla polskiego sprzedawcy posiadającego francuską spółkę albo rozbudowane operacje logistyczne we Francji trwający proces legislacyjny nie powinien więc oznaczać zamrożenia inwestycji. Zarządzanie dostępami, kopie zapasowe, bezpieczeństwo dostawców i procedury reagowania na incydenty są często wspólne dla całej grupy.

Dobrym przykładem jest firma prowadząca francuski sklep internetowy, korzystająca z lokalnego operatora fulfillment i równolegle sprzedająca na marketplace. Cyberatak na integrację pomiędzy sklepem i magazynem nie musi wyłączyć strony. Klienci nadal składają zamówienia i płacą, ale dane nie docierają do magazynu. W ciągu kilku godzin zaczyna rosnąć kolejka niezrealizowanych zamówień, a następnie liczba zapytań do obsługi klienta, anulacji i zwrotów środków.

Cyberbezpieczeństwo zaczyna wtedy bezpośrednio wpływać na konwersję, logistykę, jakość obsługi i marżę. Firma musi mieć procedurę, która podczas incydentu łączy IT z magazynem, finansami, obsługą klienta i zespołami prowadzącymi sprzedaż na marketplace.

Co powinien zrobić sprzedawca z Polski przed jesienią 2026 r.

Firma działająca w Polsce powinna przede wszystkim ustalić swój status na podstawie faktycznie wykonywanej działalności, kryteriów wielkościowych i struktury grupy. Samo prowadzenie e-commerce nie wystarcza ani do objęcia przedsiębiorstwa regulacją, ani do jego wyłączenia. Przy działalności obejmującej żywność, chemikalia, usługi cyfrowe, logistykę lub inne sektory wymienione w przepisach analiza powinna zejść do konkretnych usług wykonywanych przez konkretną spółkę.

W grupach prowadzących sprzedaż cross-border potrzebna jest równolegle mapa podmiotów prawnych i systemów. Polska spółka, niemiecka spółka zależna i francuski podmiot mogą korzystać z jednego ERP, jednej infrastruktury chmurowej i wspólnego zespołu IT, ale ich sytuacja regulacyjna może być różna. Niemiecka spółka może już podlegać obowiązującemu BSI-Gesetz, podczas gdy we Francji transpozycja NIS2 nadal trwa.

Mapa technologiczna powinna objąć systemy, bez których przedsiębiorstwo nie jest w stanie sprzedawać i realizować zamówień. Dotyczy to sklepu, ERP, WMS, systemów płatniczych, integratorów marketplace, narzędzi kurierskich, kont reklamowych, obsługi klienta i infrastruktury operatorów fulfillment. Przy każdym systemie firma powinna znać właściciela biznesowego, dostawcę, administratorów, lokalizację danych, sposób wykonywania kopii zapasowych oraz procedurę przywrócenia działania.

Równie ważny jest przegląd umów. Przy terminie zgłoszenia incydentu liczonym w godzinach przedsiębiorstwo nie może dowiadywać się o poważnym naruszeniu u strategicznego dostawcy po kilku dniach. Warunki powiadamiania o incydentach, dostęp do informacji technicznych, odzyskiwanie danych oraz współpraca przy analizie zdarzenia stają się częścią zarządzania ryzykiem w łańcuchu dostaw.

Budżet powinien uwzględniać nie tylko zakup nowych zabezpieczeń. Koszty powstają przy audytach, szkoleniach, monitorowaniu infrastruktury, zarządzaniu tożsamością i uprawnieniami, uwierzytelnianiu wieloskładnikowym, testowaniu kopii zapasowych, przygotowywaniu dokumentacji i zmianach w umowach z dostawcami. W przedsiębiorstwie korzystającym z kilkunastu systemów SaaS, czyli aplikacji udostępnianych przez zewnętrznych dostawców jako usługa, największym projektem może okazać się uporządkowanie istniejącej architektury, a nie zakup kolejnego programu zabezpieczającego.

Odpowiedzialność nie zatrzymuje się przy dziale IT.

– Ustawa przewiduje również odpowiedzialność kierowników podmiotów kluczowych i ważnych. Kara dla osoby zarządzającej może wynieść do 300 proc. otrzymywanego przez nią wynagrodzenia. W przypadku kierownika podmiotu publicznego limit wynosi co do zasady 100 proc. wynagrodzenia, z wyjątkiem podmiotów objętych ustawą również ze względu na działalność prowadzoną w innym sektorze – podkreśla Maciej Ostaszewski z eFaktor.

W Niemczech odpowiedzialność kierownictwa została również wyraźnie wpisana w system obowiązków. Zarząd ma wdrażać i nadzorować środki zarządzania ryzykiem oraz regularnie zdobywać wiedzę potrzebną do oceny zagrożeń.

Dla przedsiębiorstwa handlowego najdroższym scenariuszem nie musi być jednak sama sankcja administracyjna. Niedostępny checkout od razu ogranicza obrót. Brak synchronizacji stanów magazynowych może doprowadzić do sprzedaży produktów, których fizycznie nie ma. Awaria połączenia z fulfillment opóźnia wysyłki. Przejęcie kont administracyjnych może ingerować w ofertę, ceny, kampanie reklamowe albo dane klientów. W sprzedaży cross-border dochodzi jeszcze konieczność koordynowania działań kilku spółek, magazynów, dostawców i zespołów obsługi klienta.

Polska firma sprzedająca na Amazon w Niemczech, prowadząca własny sklep i korzystająca z magazynu we Francji może mieć jeden wspólny punkt awarii w postaci ERP albo API, czyli interfejsu służącego do automatycznej wymiany danych pomiędzy systemami. Technicznie jest to jedna integracja. Biznesowo jej zatrzymanie może jednocześnie uderzyć w kilka rynków, kanałów sprzedaży i procesów logistycznych.

Dlatego 3 października 2026 r. nie powinien być traktowany jako moment rozpoczęcia przygotowań. Kwalifikacja przedsiębiorstwa i rejestracja są tylko częścią znacznie szerszego projektu. Najwięcej czasu mogą pochłonąć zadania, których klient sklepu nigdy nie zobaczy: uporządkowanie uprawnień, przegląd dostawców, zabezpieczenie integracji, przygotowanie procedur incydentowych oraz sprawdzenie, czy firma rzeczywiście potrafi odtworzyć sprzedaż po poważnej awarii.