RODO i cyberbezpieczeństwo / PORADNIK 26
NIS2 w transporcie: kogo obejmuje i co powinna sprawdzić firma?
NIS2 w transporcie nie oznacza automatycznie nowych obowiązków dla każdej firmy mającej busy lub ciężarówki. Najpierw trzeba sprawdzić działalność wskazaną w ustawie o krajowym systemie cyberbezpieczeństwa, kryteria podmiotowe i ewentualne szczególne podstawy objęcia regulacją. Poniżej oddzielamy obowiązki ustawowe od praktyk, które pomagają chronić każdą firmę przewozową.
Opracowanie na podstawie źródeł prawnych sprawdzonych 11.10.2026. Materiał informacyjny dla firm transportowych.
NIS2 w Polsce: jaki jest stan prawny w 2026 roku?
NIS2 to unijna dyrektywa dotycząca cyberbezpieczeństwa. W Polsce jej wdrożeniu służy nowelizacja ustawy o krajowym systemie cyberbezpieczeństwa z 23 stycznia 2026 r., ogłoszona w Dz.U. 2026 poz. 252. Weszła w życie 3 kwietnia 2026 r. Na dzień opracowania tego poradnika, 11 października 2026 r., nie jest to już wyłącznie projekt. Przy planowaniu działań korzystaj z obowiązującej ustawy KSC i przepisów przejściowych, a nie tylko ze starszych opracowań o samej dyrektywie. [ksc2026: wejście w życie i przepisy przejściowe]
Czy zwykły przewoźnik drogowy podlega NIS2?
Sam przewóz towarów busem lub ciężarówką nie przesądza o objęciu regulacją. W części dotyczącej transportu drogowego załącznik nr 1 do KSC wskazuje zarządcę drogi z art. 19 ust. 2 pkt 1 ustawy o drogach publicznych oraz podmioty świadczące usługę ITS wskazaną w tej ustawie. Nie jest to ogólna lista wszystkich przewoźników. Korzystanie z nawigacji, GPS lub aplikacji do zarządzania flotą nie oznacza samo w sobie świadczenia usługi ITS. Oceń rzeczywisty zakres usług swojej firmy, także poza podstawowym przewozem. [ksc2026: załącznik nr 1, transport drogowy]
Jak sprawdzić zakres: działalność, wielkość i wyjątki
Porównaj faktycznie świadczone usługi z załącznikami do KSC. Następnie sprawdź kryteria wielkości przedsiębiorstwa i sposób uwzględniania podmiotów partnerskich oraz powiązanych. Sama liczba pojazdów, kierowców lub kod PKD nie wystarcza do kwalifikacji. Ustawa przewiduje też szczególne przypadki objęcia obowiązkami i decyzje właściwych organów. Firma łącząca przewóz z innymi usługami, na przykład kurierskimi lub usługami cyfrowymi, powinna odrębnie zbadać te obszary. Zapisz wynik analizy, przyjęte dane oraz podstawę wniosku i wracaj do oceny po zmianie działalności. [ksc2026: art. 5 KSC oraz załączniki nr 1–2]
Terminy KSC: 3 października 2026 i 3 kwietnia 2027
Dla podmiotów spełniających kryteria w dniu wejścia nowelizacji w życie istotny był termin złożenia wniosku o wpis do wykazu do 3 października 2026 r. Na dzień publikacji artykułu ten termin już minął. Dla tej grupy przewidziano zasadniczo 12 miesięcy na realizację wskazanych obowiązków, czyli do 3 kwietnia 2027 r. Podmioty spełniające kryteria później oraz podmioty objęte szczególnymi przepisami przejściowymi muszą ustalić własny harmonogram. Nie traktuj kwietnia 2027 jako wspólnego odroczenia wszystkich obowiązków. [ksc2026: przepisy przejściowe; kscinfo: harmonogram wdrożenia]
Cyberbezpieczeństwo firmy transportowej: co uporządkować?
Dla podmiotu objętego KSC działania wynikają z ustawowych wymagań zarządzania bezpieczeństwem i ryzykiem. W zwykłej firmie przewozowej podobne praktyki mogą być dobrowolnym standardem albo wynikać z RODO i umów. Zacznij od listy systemów: poczta, planowanie tras, telematyka, rozliczenia, księgowość i zdalny dostęp. Ustal właścicieli procesów, aktualizacje, indywidualne konta oraz zasady przyznawania uprawnień. Zabezpiecz konta dodatkowymi składnikami logowania, gdzie to możliwe. Sprawdź kopie zapasowe i przećwicz pracę awaryjną, gdy dyspozytor traci dostęp do systemu. [ksc2026: art. 8 KSC]
Dostawca w łańcuchu dostaw: czy klient może pytać o zabezpieczenia?
Kontrahent objęty regulacją może potrzebować oceny ryzyka współpracy z dostawcami. Przewoźnik może więc otrzymać ankietę bezpieczeństwa lub propozycję odpowiednich warunków umowy, nawet jeśli sam nie jest podmiotem kluczowym ani ważnym. Taka ankieta nie zastępuje ustawowej kwalifikacji. Odpowiadaj na podstawie faktycznych zabezpieczeń: kto ma dostęp, jak odtwarzasz dane i komu zgłaszasz problem. Nie deklaruj posiadania certyfikatu czy całodobowego monitoringu, jeśli nie masz na to dowodów. Ustal z klientem zakres informacji i terminy reakcji. [ksc2026: bezpieczeństwo łańcucha dostaw w art. 8 KSC]
Zgłoszenia incydentów: skąd terminy 24 i 72 godziny?
Dla objętych obowiązkami podmiotów kluczowych i ważnych zasadniczy schemat zgłaszania incydentu poważnego obejmuje wczesne ostrzeżenie do właściwego CSIRT sektorowego bez zbędnej zwłoki, nie później niż w ciągu 24 godzin od wykrycia, oraz zgłoszenie do 72 godzin od wykrycia. Raport końcowy składa się zasadniczo w ciągu miesiąca od zgłoszenia; trwający incydent wymaga uwzględnienia odrębnych zasad raportowania. Istnieją regulacje szczególne. Nie każda awaria drukarki jest incydentem poważnym, dlatego procedura musi obejmować ocenę ustawowych kryteriów, właściwego odbiorcy i terminów. [ksc2026: art. 11 KSC]
NIS2 a RODO: czy jedno zgłoszenie wystarczy?
Nie należy tego zakładać. RODO chroni dane osobowe, natomiast KSC obejmuje także bezpieczeństwo systemów i świadczenia usług. Jeden atak może wymagać dwóch odrębnych ocen oraz zgłoszeń do różnych odbiorców. W RODO termin 72 godzin wiąże się ze stwierdzeniem naruszenia ochrony danych przez administratora i odpowiednią oceną ryzyka dla osób. W KSC trzeba ustalić, czy doszło do incydentu poważnego i kiedy został wykryty. Sama zbieżność liczby godzin nie oznacza identycznej procedury. [rodo: art. 33–34; ksc2026: art. 11 KSC]
Czy mała firma busowa musi kupić „certyfikat NIS2”?
Nie ma podstaw do uznania, że każda mała firma busowa musi kupić taki dokument. Najpierw ustal zakres prawny. Certyfikat, szkolenie lub gotowy zestaw procedur nie zastępuje wdrożenia wymaganych działań, a etykieta oferty handlowej nie rozstrzyga zgodności. Także program do rozliczania kierowców nie jest uniwersalnym wdrożeniem NIS2. Wybór narzędzi poprzedź opisem potrzeb, ryzyk i odpowiedzialności za systemy w Twojej firmie.
Plan działania dla właściciela firmy transportowej
Wyznacz osobę koordynującą analizę zakresu KSC i zbierz dane o działalności oraz strukturze przedsiębiorstwa. Jeśli firma podlega ustawie, sprawdź wpis, terminy i plan wdrożenia z właściwymi specjalistami. Niezależnie od kwalifikacji zinwentaryzuj dostęp do systemów, przetestuj odzyskanie danych oraz zapisz kontakty na wypadek awarii. Przygotuj krótką instrukcję rozpoznawania fałszywych wiadomości i zmiany rachunku kontrahenta. W transporcie przestój poczty lub utrata danych o zleceniu szybko stają się problemem operacyjnym, więc ćwiczenie reakcji ma wartość również poza obowiązkami NIS2.
SYTUACJA Z PRAKTYKI
Praktyczny przykład
Przewoźnik ma 12 busów i korzysta z zewnętrznego systemu GPS. Ta informacja sama w sobie nie przesądza o podleganiu KSC. Firma analizuje świadczone usługi, wielkość i powiązania, a wynik dokumentuje. Jednocześnie jej duży klient pyta o kopie zapasowe i zgłaszanie incydentów. Odpowiedzi oraz ustalenia umowne przygotowuje osobno od oceny ustawowego statusu.
Przykład ilustracyjny; nie stanowi indywidualnej interpretacji.Co to oznacza dla firmy?
Oddziel ocenę obowiązków NIS2 od codziennego zabezpieczania rozliczeń. Uporządkowany obieg DDD i raportów pomaga ustalić odpowiedzialność, lecz nie zastępuje zarządzania ryzykiem, ciągłością pracy ani obsługą incydentów. Przy każdym narzędziu, również BRKPlus, sprawdź aktualne warunki dostawcy i dostępne zabezpieczenia.
Przy układaniu własnego procesu poznaj funkcje BRKPlus i sprawdź ich zastosowanie w Twojej firmie.
Podstawa prawna i źródła
Data opracowania: 11.10.2026. Stan prawny i źródła sprawdzono 11.10.2026. Zastosowanie obowiązków zależy od działalności i sposobu przetwarzania danych w konkretnej firmie.
- Ustawa o krajowym systemie cyberbezpieczeństwa w brzmieniu nowelizacji z 23 stycznia 2026 r. (Dz.U. 2026 poz. 252): art. 5, 8, 11, załączniki i przepisy przejściowe
- Ministerstwo Cyfryzacji — Nowelizacja ustawy o KSC: obowiązki podmiotów kluczowych i ważnych; harmonogram wdrożenia, weryfikacja 11.10.2026
- Rozporządzenie (UE) 2016/679 (RODO), zwłaszcza art. 4–6, 13–14, 24, 28, 30, 32–34 i rozdział V
Warto przeczytać dalej
Materiał informacyjny, nie indywidualna porada prawna. Serwis promuje BRKPlus. Program wspiera pracę na danych, lecz nie zastępuje ich oceny i właściwego zastosowania przepisów.
TERAZ TWÓJ RUCH
Przenieś porządek do rozliczeń.
Zobacz, jak BRKPlus wspiera analizę i ewidencję kierowców.
Załóż konto w BRKPlus
