NIS2 a RODO dla firm technologicznych: kluczowe różnice i obszary nakładania się

RODO i NIS2 to dwie z najważniejszych regulacji UE wpływających na firmy technologiczne — a są one często mylone, utożsamiane ze sobą lub traktowane oddzielnie, podczas gdy powinny być rozpatrywane łącznie. Zrozumienie zasadniczej różnicy, obszarów, w których się rozchodzą, oraz tych, w których się nakładają, jest fundamentem budowy efektywnego programu zgodności.

Zasadnicza różnica

RODO (Rozporządzenie 2016/679) chroni dane osobowe — ich poufność, integralność i dostępność, a także prawa osób, których dane są przetwarzane. RODO podlega każda organizacja przetwarzająca dane osobowe na terenie UE.

NIS2 (Dyrektywa 2022/2555, transponowana do prawa krajowego do października 2024 r.) chroni bezpieczeństwo operacyjne sieci i systemów informatycznych — zapewniając, że usługi kluczowe pozostają dostępne i odporne na zagrożenia cybernetyczne. NIS2 ma zastosowanie wyłącznie do podmiotów z określonych sektorów oraz powyżej pewnych progów wielkości.

Cele tych aktów są odmienne. RODO dotyczy w istocie praw jednostki oraz zarządzania danymi. NIS2 dotyczy w istocie odporności operacyjnej oraz ciągłości funkcjonowania społeczeństwa. Oba obszary obsługuje zazwyczaj ten sam zespół ds. bezpieczeństwa — dlatego właśnie liczy się podejście zintegrowane.

Kogo dotyczą obie regulacje?

Każda firma technologiczna przetwarzająca dane osobowe w UE podlega RODO. To, czy podlega także NIS2, zależy od sektora i wielkości.

Firmy technologiczne najbardziej narażone na objęcie obiema regulacjami:

• Dostawcy usług zarządzanych (MSP) oraz dostawcy zarządzanych usług bezpieczeństwa (MSSP) — wprost wymienieni w załączniku II do NIS2 jako „podmioty ważne"
• Dostawcy usług chmurowych — wymienieni w załączniku II do NIS2
• Dostawcy usług centrów danych — wymienieni w załączniku II do NIS2
• Dostawcy sieci dostarczania treści (CDN) — wymienieni w załączniku II do NIS2
• Dostawcy usług DNS, rejestry nazw domen najwyższego poziomu (TLD), podmioty świadczące usługi rejestracji domen — wymienieni w załączniku II do NIS2
• Internetowe platformy handlowe, wyszukiwarki internetowe, platformy sieci społecznościowych — wymienieni w załączniku II do NIS2

Objęte są podmioty średnie i duże (≥50 pracowników lub obrót >10 mln EUR) w tych kategoriach. Mikroprzedsiębiorstwa i małe przedsiębiorstwa są zasadniczo wyłączone, chyba że są jedynym dostawcą usługi krytycznej dla działalności społecznej lub gospodarczej w danym państwie członkowskim.

Porównanie: RODO a NIS2

| Wymiar | RODO | NIS2 | |-----------|------|------| | Co jest chronione | Dane osobowe | Sieci i systemy informatyczne | | Zakres | Każda organizacja przetwarzająca dane osobowe w UE | Określone sektory, wyłącznie podmioty średnie/duże | | Podstawa prawna | Rozporządzenie UE (bezpośrednio stosowane) | Dyrektywa UE (transponowana do prawa krajowego) | | Organ nadzorczy | Organ ochrony danych | Krajowy organ właściwy ds. NIS2 (np. BSI w Niemczech, ANSSI we Francji) | | Zgłaszanie naruszeń | 72 godziny do organu ochrony danych | Wczesne ostrzeżenie w 24 h; 72 h do krajowego CSIRT; raport końcowy w 1 miesiąc | | Maksymalna kara | 20 mln EUR lub 4% globalnego rocznego obrotu | 10 mln EUR lub 2% (podmioty ważne); 7 mln EUR lub 1,4% (podmioty kluczowe — odwrotnie) | | Środki bezpieczeństwa | Art. 32: oparte na zasadach („odpowiednie środki techniczne i organizacyjne") | Art. 21: nakazowy wykaz 10 konkretnych kategorii środków |

Zgłaszanie naruszeń: prowadzenie równoległe

Dla firmy technologicznej będącej jednocześnie administratorem danych w rozumieniu RODO oraz podmiotem objętym NIS2 incydent cyberbezpieczeństwa dotyczący danych osobowych uruchamia równoległe obowiązki zgłoszeniowe:

• Art. 33 RODO: Zgłoszenie do organu ochrony danych w ciągu 72 godzin od stwierdzenia naruszenia ochrony danych osobowych (jeżeli może ono powodować ryzyko dla osób fizycznych)
• Art. 23 NIS2: Wczesne ostrzeżenie do krajowego CSIRT/organu w ciągu 24 godzin; zgłoszenie incydentu w ciągu 72 godzin; raport końcowy w ciągu 1 miesiąca

Jeżeli atak ransomware jednocześnie naruszy systemy i dane osobowe, oba zegary ruszają. Procesy reagowania na incydenty muszą być zaprojektowane tak, aby obsłużyć oba wątki zgłoszeniowe równolegle, z odpowiednimi ścieżkami eskalacji zarówno do organu ochrony danych, jak i do krajowego organu właściwego ds. NIS2.

Środki bezpieczeństwa: art. 21 NIS2 obejmuje szerszy zakres niż art. 32 RODO

Art. 32 RODO wymaga „odpowiednich środków technicznych i organizacyjnych" — standardu opartego na zasadach, kalibrowanego do ryzyka. Art. 21 NIS2 wskazuje 10 wymaganych kategorii środków:

1. Analiza ryzyka i polityki bezpieczeństwa informacji
2. Obsługa incydentów
3. Ciągłość działania i zarządzanie kryzysowe
4. Bezpieczeństwo łańcucha dostaw (bezpieczeństwo w relacjach z dostawcami i usługodawcami)
5. Bezpieczeństwo w pozyskiwaniu, rozwoju i utrzymaniu sieci i systemów informatycznych — w tym obsługa i ujawnianie podatności
6. Polityki i procedury oceny skuteczności środków cyberbezpieczeństwa
7. Podstawowe praktyki cyberhigieny i szkolenia z zakresu cyberbezpieczeństwa
8. Polityki dotyczące stosowania kryptografii i szyfrowania
9. Bezpieczeństwo zasobów ludzkich, polityki kontroli dostępu i zarządzanie aktywami
10. Stosowanie uwierzytelniania wieloskładnikowego i bezpiecznej komunikacji

Program bezpieczeństwa, który w pełni spełnia art. 21 NIS2, w znacznej mierze spełnia także art. 32 RODO dla tych samych systemów — wymogi NIS2 są bardziej nakazowe i wymagające. Jednak art. 32 RODO obejmuje również bezpieczeństwo samych danych osobowych, w tym pseudonimizację, bieżące testowanie poufności oraz procesy przywracania dostępności po incydentach. Nie są one w całości objęte przez NIS2.

Możliwości połączenia programów zgodności

Tam, gdzie zastosowanie mają obie regulacje, następujące elementy można rozpatrywać łącznie:

• Procedury reagowania na incydenty — jeden podręcznik z załącznikiem dotyczącym zgłoszeń RODO (organ ochrony danych, 72 h) oraz załącznikiem dotyczącym zgłoszeń NIS2 (CSIRT, 24 h/72 h/1 miesiąc)
• Dokumentacja bezpieczeństwa — jedna biblioteka polityk bezpieczeństwa informacji odwołująca się zarówno do wymogów art. 32 RODO, jak i art. 21 NIS2
• Zarządzanie ryzykiem dostawców — RODO wymaga umów powierzenia przetwarzania danych z podmiotami przetwarzającymi (art. 28); NIS2 wymaga środków bezpieczeństwa łańcucha dostaw (art. 21 ust. 2 lit. d). Jednolita ocena bezpieczeństwa dostawców obejmuje oba aspekty
• Szkolenia — szkolenia z cyberhigieny (art. 21 ust. 2 lit. g NIS2) połączone ze szkoleniami pracowników z zakresu ochrony danych w rozumieniu RODO
• Audyt i przegląd — coroczne przeglądy skuteczności bezpieczeństwa spełniają wymóg NIS2 dotyczący polityk i procedur oceny skuteczności oraz stanowią dowód bieżącego przeglądu w rozumieniu art. 32 RODO

Tabela praktyczna: co ma zastosowanie i co priorytetyzować

| Typ firmy | RODO | NIS2 | Działania priorytetowe | |--------------|------|------|-----------------| | Startup SaaS, <50 pracowników, brak danych szczególnych kategorii | Tak | Prawdopodobnie jeszcze nie | RODO: RCPD (rejestr czynności przetwarzania), podstawy prawne, polityka prywatności, przegląd bezpieczeństwa wg art. 32 | | Dostawca infrastruktury chmurowej, 100 pracowników | Tak | Tak (załącznik II) | Oba: wdrożenie środków z art. 21; budowa podwójnego procesu zgłoszeniowego; rejestracja w organie ochrony danych + CSIRT | | Operator płatności, >250 pracowników | Tak | Możliwe (sektor finansowy — sprawdź nakładanie się NIS2/DORA) | RODO + ocena stosowalności DORA; jeśli DORA ma zastosowanie, jest ona lex specialis dla ryzyka ICT | | Dostawca systemów IT dla ochrony zdrowia, 75 pracowników | Tak | Tak (jeśli sektor ochrony zdrowia, podmiot kluczowy) | Oba: priorytet dla bezpieczeństwa łańcucha dostaw wg art. 21; ocena skutków dla ochrony danych (DPIA) RODO dla danych zdrowotnych; odpowiedzialność organu zarządzającego na podstawie NIS2 |

---

Ostatnia aktualizacja: kwiecień 2026 r. Wyłącznie w celach informacyjnych — nie stanowi porady prawnej. W konkretnych sprawach należy skonsultować się z wykwalifikowanym doradcą prawnym.

Najczęściej zadawane pytania

Czy pojedynczy incydent może uruchomić obowiązki zgłoszeniowe zarówno na podstawie NIS2, jak i RODO?

Tak, i jest to częste w przypadku firm technologicznych. Atak ransomware, który szyfruje systemy i powoduje wyciek danych osobowych, uruchamia art. 23 NIS2 (wczesne ostrzeżenie do krajowego CSIRT w ciągu 24 godzin, zgłoszenie incydentu w ciągu 72 godzin) oraz art. 33 RODO (zgłoszenie do organu ochrony danych w ciągu 72 godzin, jeżeli naruszenie powoduje ryzyko dla osób fizycznych). Oba zegary ruszają od chwili stwierdzenia. Zgłoszenia trafiają do różnych organów — do krajowego CSIRT lub organu właściwego ds. NIS2 w przypadku NIS2 oraz do krajowego organu ochrony danych w przypadku RODO — i muszą być przygotowywane równolegle, przy różnych wymaganiach co do treści.

Czy dokumentacja cyberbezpieczeństwa zgodna z NIS2 wystarcza, aby spełnić art. 32 RODO?

Program bezpieczeństwa w pełni wdrażający dziesięć kategorii środków z art. 21 NIS2 w znacznej mierze spełni art. 32 RODO dla tych samych systemów, ponieważ NIS2 jest bardziej nakazowy i wymagający. Jednak art. 32 RODO koncentruje się w szczególności na ochronie danych osobowych — wymaga pseudonimizacji tam, gdzie jest to odpowiednie, bieżącego testowania poufności, integralności i dostępności systemów przetwarzania oraz procedur przywracania dostępu do danych osobowych po incydencie. Te wymogi właściwe dla danych osobowych nie są w całości objęte przez NIS2 i muszą być uwzględnione odrębnie w dokumentacji bezpieczeństwa zgodnej z RODO.

Czy NIS2 i RODO mają takie same progi kar?

Nie. Kary z tytułu RODO sięgają do 20 mln EUR lub 4% globalnego rocznego obrotu, w zależności od tego, która kwota jest wyższa, za najpoważniejsze naruszenia. Kary z tytułu NIS2 są niższe: do 10 mln EUR lub 2% globalnego rocznego obrotu dla podmiotów ważnych oraz do 7 mln EUR lub 1,4% dla podmiotów kluczowych. Różnią się też podejścia do egzekwowania — kary RODO są nakładane przez organy ochrony danych na podstawie postępowań dotyczących uchybień w ochronie danych, podczas gdy kary NIS2 są nakładane przez krajowe organy właściwe ds. NIS2 i mogą obejmować nakazy wdrożenia konkretnych środków bezpieczeństwa, czasowe zakazy pełnienia funkcji zarządczych oraz publiczne ujawnienie nieprzestrzegania przepisów.

Źródła

• Dyrektywa (UE) 2022/2555 — Dyrektywa NIS2 — Pełny tekst NIS2, w tym art. 21 (środki bezpieczeństwa), art. 23 (zgłaszanie incydentów) oraz załącznik II (kategorie objętych podmiotów).
• Rozporządzenie (UE) 2016/679 — Ogólne rozporządzenie o ochronie danych (RODO) — Pełny tekst RODO, w tym art. 32 (bezpieczeństwo przetwarzania) oraz art. 33 (zgłaszanie naruszenia organowi nadzorczemu).
• ENISA — Wytyczne wdrożeniowe NIS2 dla operatorów — Wytyczne ENISA dotyczące transpozycji obowiązków NIS2 i wdrażania kategorii środków bezpieczeństwa z art. 21.
• Komisja Europejska — przegląd dyrektywy NIS2 i monitor transpozycji krajowej — Przegląd Komisji dotyczący zakresu NIS2, statusu transpozycji krajowej oraz kluczowych obowiązków objętych podmiotów.