Czy certyfikat zwolni moją firmę z audytu NIS2?

Na razie nie, bo to dopiero wniosek legislacyjny z 20 stycznia 2026. Jeśli wejdzie w życie w obecnym kształcie, ważny certyfikat postury cyberbezpieczeństwa potwierdzający zgodność z art. 21 zwolni z dodatkowego audytu nadzorczego nakazanego przez organ. Nie zwolni z innych form nadzoru: inspekcji na miejscu, skanów bezpieczeństwa ani żądań informacji.

Czy chodzi o certyfikat EUCC?

Nie. EUCC to schemat certyfikacji produktów ICT. Zgodność organizacyjną z NIS2 ma potwierdzać nowy schemat postury cyberbezpieczeństwa, projektowany dopiero w ramach CSA2. To dwa różne narzędzia.

Kiedy zmiany zaczną obowiązywać w Polsce?

Wniosek trafił do Parlamentu Europejskiego i Rady. Porozumienie polityczne jest celowane na początek 2027. CSA2 jako rozporządzenie będzie stosowane wprost, a nowelizacja NIS2 jako dyrektywa da państwom 12 miesięcy na transpozycję. W praktyce w polskim prawie spodziewaj się tego najwcześniej w 2028 roku.

Czy powinienem wstrzymać przygotowania do NIS2 i poczekać na certyfikację?

Nie. Żeby uzyskać certyfikat, i tak musisz wdrożyć środki z art. 21: SZBI, zarządzanie ryzykiem, obsługę incydentów, bezpieczeństwo łańcucha dostaw. To ta sama praca, którą wykonujesz dziś w ramach audytu i wdrożenia. Czekanie tylko skraca czas na dostosowanie.

Certyfikat zamiast audytu NIS2? Co zmienia CSA2 [2026]

Pakiet CSA2 z 20 stycznia 2026 wprowadza certyfikat jako dowód zgodności z NIS2. Co dokładnie się zmienia, czego nie obejmuje i od kiedy. Analiza dla firm.