Nowelizacja ustawy o krajowym systemie cyberbezpieczeństwa (KSC), opublikowana w Dzienniku Ustaw (Dz.U. 2026, poz. 252) i wdrażająca unijną dyrektywę NIS2, weszła w życie na początku kwietnia 2026 roku. Obejmuje około 42 000 podmiotów w 18 sektorach gospodarki, w tym energetykę, a od momentu wejścia w życie firmy mają 12 miesięcy na pełne dostosowanie się do nowych wymogów.
Czym jest NIS2 i dlaczego dotyczy OZE
NIS2 to unijna dyrektywa dotycząca cyberbezpieczeństwa, która zastąpiła wcześniejszą dyrektywę NIS z 2016 roku i znacząco poszerzyła listę sektorów nią objętych. Sektor energetyczny, w tym producenci i operatorzy instalacji odnawialnych źródeł energii, znalazł się w centrum tych zmian nie bez powodu: rosnąca cyfryzacja farm PV i magazynów energii, ścisłe powiązanie systemów IT ze sterowaniem operacyjnym (OT) oraz zdalny monitoring instalacji sprawiają, że atak cybernetyczny na infrastrukturę OZE może dziś realnie zakłócić dostawy energii, nie tylko dane firmy.
Polska nowelizacja ustawy o KSC rozszerza katalog podmiotów objętych krajowym systemem cyberbezpieczeństwa o nowe sektory, precyzując jednocześnie podział na podmioty kluczowe i podmioty ważne, z różnym poziomem obowiązków dla każdej z tych grup.
Podmiot kluczowy czy podmiot ważny
To, do której kategorii trafi konkretna instalacja OZE, zależy od skali działalności i znaczenia dla systemu elektroenergetycznego, nie od samego faktu produkowania energii odnawialnej.
Podmioty kluczowe
Najwięksi operatorzy infrastruktury krytycznej oraz duże farmy wiatrowe i fotowoltaiczne o strategicznym znaczeniu dla systemu energetycznego.
Podmioty ważne
Średniej wielkości producenci energii, wytwórcy biopaliw oraz podmioty funkcjonujące w łańcuchu dostaw sektora energetycznego.
Właściciel mniejszej, pojedynczej instalacji może nie podlegać obowiązkom bezpośrednio, ale często i tak znajdzie się w łańcuchu dostaw większego podmiotu kluczowego, który zacznie wymagać od niego spełnienia analogicznych standardów bezpieczeństwa w ramach umów serwisowych.
Jakie obowiązki nakłada nowelizacja
Ustawa wymaga od objętych nią podmiotów przede wszystkim samoidentyfikacji, wdrożenia zarządzania ryzykiem oraz zgłaszania incydentów bezpieczeństwa w określonych terminach.
- Samoidentyfikacja i rejestracja. W ciągu pierwszych 6 miesięcy od wejścia w życie ustawy podmioty muszą samodzielnie ustalić, czy podlegają nowym przepisom, i zarejestrować się w systemie.
- Zarządzanie ryzykiem. Wdrożenie środków technicznych i organizacyjnych adekwatnych do ryzyka, obejmujących zarówno systemy IT, jak i infrastrukturę sterowania operacyjnego (SCADA).
- Zgłaszanie incydentów. Obowiązek raportowania poważnych incydentów bezpieczeństwa do właściwego zespołu reagowania (CSIRT) w ustawowych terminach.
- Audyty i testy bezpieczeństwa. Regularna weryfikacja skuteczności wdrożonych zabezpieczeń, nie jednorazowe wdrożenie procedur na papierze.
Konsekwencje niedopełnienia obowiązków
Nowelizacja przewiduje dotkliwe sankcje finansowe: kary do 10 milionów euro lub 2% rocznego globalnego obrotu, w zależności od tego, która z tych kwot jest wyższa. Nowością względem wcześniejszych przepisów jest też wprowadzenie osobistej odpowiedzialności kadry zarządzającej, sięgającej nawet 300% wynagrodzenia, za zaniedbania w zakresie zgodności z ustawą.
Co zrobić już teraz
Pierwszym krokiem powinna być samoocena: czy skala instalacji i jej rola w systemie energetycznym kwalifikuje właściciela jako podmiot kluczowy, ważny, czy jako uczestnika łańcucha dostaw większego podmiotu. Dopiero na tej podstawie ma sens planowanie konkretnych działań technicznych, w tym zabezpieczenia systemów zdalnego monitoringu i sterowania, które w farmach PV i magazynach BESS są dziś standardem, a jednocześnie naturalnym celem ataku.
Samą kwalifikację prawną instalacji i zakres wynikających z niej obowiązków warto zweryfikować z prawnikiem specjalizującym się w prawie OZE, na przykład kancelarią adwokat Mateusza Muszalskiego, zajmującą się między innymi obsługą prawną projektów fotowoltaicznych i magazynów energii.
