NIS2, DORA i AI Act naraz: co polska firma musi ogarnąć do końca 2026 i jak AI może pomóc

Trzy regulacje w jednym roku to nie katastrofa. To zadanie do zaplanowania. NIS2 wymaga udokumentowanego zarządzania ryzykiem cyberbezpieczeństwa i procedury zgłaszania incydentów. DORA nakłada analogiczne obowiązki na sektor finansowy, z testem odporności cyfrowej na dokładkę. AI Act z kolei wymaga oceny ryzyka dla systemów AI, które już używasz lub właśnie wdrażasz. Część tych wymagań się pokrywa, a AI może pomóc Ci zrobić je szybciej niż myślisz.

Co każda z trzech regulacji wymaga od Twojej firmy w praktyce

NIS2 (dyrektywa o bezpieczeństwie sieci i systemów informatycznych) obejmuje podmioty z sektorów energetyki, transportu, ochrony zdrowia, finansów i produkcji, które zatrudniają co najmniej 50 osób albo przekraczają próg obrotu. W Polsce dyrektywa trafia do krajowego prawa przez nowelizację ustawy o Krajowym Systemie Cyberbezpieczeństwa (KSC). Co konkretnie musisz mieć:

• Politykę zarządzania ryzykiem cyberbezpieczeństwa z opisem, kto za co odpowiada
• Procedurę zgłaszania incydentów: wczesne ostrzeżenie w ciągu 24 godzin od wykrycia, pełne zgłoszenie w ciągu 72 godzin do właściwego CSIRT
• Rejestr dostawców ICT z oceną ryzyka łańcucha dostaw
• Plan ciągłości działania i odtwarzania po awarii (dokumenty BCP i DRP)
• Dowody na regularne testy bezpieczeństwa

DORA (rozporządzenie o operacyjnej odporności cyfrowej) skierowane jest do sektora finansowego: banków, towarzystw ubezpieczeniowych, firm inwestycyjnych, instytucji płatniczych. Obowiązuje od 17 stycznia 2025 roku. Jeśli działasz w finansach i nie masz jeszcze ICT Risk Management Framework: jesteś już za linią. DORA wymaga m.in.:

• Udokumentowanego systemu zarządzania ryzykiem ICT, zatwierdzonego przez zarząd
• Klasyfikacji i raportowania incydentów ICT do organu nadzoru (KNF w Polsce)
• Programu testowania odporności, w tym TLPT (threat-led penetration testing) dla większych podmiotów
• Rejestru umów z dostawcami ICT wraz z oceną krytyczności każdej usługi

AI Act wchodzi etapami. Zakazy niedozwolonych praktyk AI obowiązują od sierpnia 2024. Przepisy o modelach GPAI od sierpnia 2025. Wymagania dla systemów AI wysokiego ryzyka (Aneks III): od sierpnia 2026. To właśnie teraz. Jeśli używasz AI do oceny CV, scoringu kredytowego, zarządzania dostępem biometrycznym albo monitorowania wydajności pracowników, masz system wysokiego ryzyka i musisz mieć gotową dokumentację techniczną i ocenę ryzyka zanim taki system trafi na produkcję.

Terminy, których nie można dalej odkładać

W firmie 50-200 osób zarządzanie zgodnością leży często na barkach jednej osoby, przy okazji innych obowiązków. Koniec roku 2026 to moment, kiedy ta sytuacja staje się ryzykiem zarządowym, a nie tylko administracyjnym.

• DORA: w pełni stosowane od 17 stycznia 2025. Jeśli działasz w finansach i nie masz ICT Risk Management Framework: zacznij wczoraj.
• NIS2 w Polsce: nowelizacja KSC przenosi obowiązki dyrektywy do polskiego prawa. Podmioty objęte muszą się zarejestrować i wdrożyć wymagane środki bezpieczeństwa. Nie czekaj na kolejne komunikaty organu nadzorczego.
• AI Act, systemy wysokiego ryzyka: sierpień 2026. Jeśli Twoja firma wdraża lub planuje system AI z Aneksu III, dokumentacja musi być gotowa przed uruchomieniem produkcyjnym.

Jeden praktyczny test na dziś: wypisz wszystkie narzędzia AI, których używa Twoja firma. Przy każdym zaznacz, czego dotyczy. Rekrutacja, ocena klientów, monitoring pracowników, dostęp do budynku: potencjalny system wysokiego ryzyka. Chatbot do FAQ: raczej nie. Ten podział to punkt wyjścia, nie koniec pracy.

Gdzie AI pomaga zrobić compliance szybciej

Dobra wiadomość: część pracy wymaganej przez NIS2 i DORA to czynności, które AI wykonuje szybciej niż człowiek i z mniejszym ryzykiem pominięcia czegoś.

Analiza logów i wykrywanie anomalii. Obie regulacje wymagają monitorowania środowiska IT pod kątem incydentów. Ręczny przegląd logów z kilkudziesięciu systemów to nierealne zadanie dla jednej osoby. Typowo wygląda to tak: AI przeszukuje logi z firewalla, Active Directory i systemu ERP, wykrywa wzorce odbiegające od normy (logowanie o 3 w nocy z nieznanego adresu IP, masowe pobranie plików przez jedno konto w ciągu godziny), a na koniec generuje raport z priorytetyzacją. Specjalista dostaje gotową listę do weryfikacji, nie 50 000 linii tekstu.

Dokumentacja procesów i polityk. Jednym z najtrudniejszych etapów przy NIS2 jest opisanie istniejących procesów w sposób, który spełnia wymogi dyrektywy. AI może przejrzeć dostępne dokumenty, procedury i konfiguracje systemów, a następnie wygenerować szkielet polityki bezpieczeństwa lub rejestru dostawców ICT. Człowiek dalej edytuje i zatwierdza, ale zaczyna od 80% gotowego materiału, nie od pustej kartki.

Klasyfikacja i raportowanie incydentów. DORA wymaga klasyfikacji incydentów ICT według określonych kryteriów: wpływ na klientów, czas trwania, zakres danych. AI może analizować zdarzenia na bieżąco i automatycznie przypisywać je do właściwej klasy, skracając czas przygotowania raportu dla organu nadzorczego z dni do godzin.

U jednego z klientów z sektora ubezpieczeń wdrożyliśmy asystenta AI, który codziennie rano przegląda logi z poprzedniej doby i generuje raport dla działu IT: co się wydarzyło, co jest normą, co wymaga sprawdzenia. Zanim AI to robił, ta sama czynność zajmowała specjaliście kilka godzin tygodniowo i zdarzało się, że coś przelatywało niezauważone.

Gdzie AI sam wymaga oceny ryzyka

Tu jest druga strona układanki. AI Act nie patrzy na to, czy kupiłeś gotowy produkt czy zbudowałeś własny. Patrzy na to, do czego go używasz.

Systemy AI wysokiego ryzyka według Aneksu III to m.in.:

• Systemy do selekcji CV i oceny kandydatów w rekrutacji
• Systemy do scoringu kredytowego i oceny zdolności kredytowej
• Systemy zarządzania dostępem opartego na biometrii
• Systemy do monitorowania wydajności pracowników
• Systemy do wspomagania diagnozy w sektorze zdrowia

Dla każdego z tych zastosowań musisz przygotować dokumentację techniczną, przeprowadzić ocenę ryzyka, zapewnić nadzór ludzki i wpisać system do unijnej bazy AI Act Database. Ważne: przed uruchomieniem produkcyjnym, nie po fakcie. Możesz to zlecić zewnętrznemu doradcy, ale decyzja o zakresie zastosowania musi wyjść od Ciebie.

Jeśli używasz AI tylko do obsługi FAQ, generowania treści marketingowych albo analizy danych sprzedażowych, prawdopodobnie nie jesteś w Aneksie III. Ale granica bywa nieoczywista: AI rekomendujący produkty finansowe klientowi indywidualnemu może wpaść w kategorię systemu wpływającego na dostęp do usług. Warto to sprawdzić, zanim ktoś inny sprawdzi za Ciebie.

Dlaczego własny serwer AI upraszcza całą układankę

To wątek, który przy omawianiu compliance rzadko się pojawia, a ma duże znaczenie praktyczne.

Jeśli używasz zewnętrznego API (ChatGPT, Claude, Gemini), dane z Twoich promptów trafiają do infrastruktury zewnętrznego dostawcy. To rozszerza zakres obowiązków jednocześnie na kilku frontach. Przy NIS2: musisz ocenić dostawcę jako podmiot w łańcuchu dostaw ICT i uwzględnić go w rejestrze. Przy AI Act: ocena ryzyka musi uwzględniać fakt, że dane wychodzą na zewnątrz firmy. Przy DORA: każda firma ICT świadcząca usługi krytyczne wymaga udokumentowania umowy i oceny ryzyka koncentracji.

Własny serwer AI, czyli model LLM uruchomiony lokalnie na Twojej infrastrukturze bez wysyłania danych do chmury, zmienia tę sytuację konkretnie:

• Dane nie opuszczają Twojego środowiska. Zakres oceny ryzyka AI Act ogranicza się do systemów wewnętrznych.
• Nie ma zewnętrznego dostawcy ICT do wpisania do rejestru NIS2 lub DORA w kontekście tego narzędzia.
• Powierzchnia ataku jest mniejsza: zamiast zabezpieczać kanał komunikacji z zewnętrznym API, zabezpieczasz jeden serwer wewnętrzny.
• Spełnienie wymogu dostępu do danych przetwarzanych przez AI jest prostsze: wszystko jest u Ciebie, w Twoich logach.

To nie znaczy, że własna instancja jest bez kosztów. Wymaga utrzymania, aktualizacji i zadbania o bezpieczeństwo infrastruktury. Ale z punktu widzenia compliance, szczególnie przy danych wrażliwych takich jak dane medyczne, finansowe czy kadrowe, własna instancja zdecydowanie upraszcza dokumentację i ogranicza zakres wymagań do ogarnięcia.

Od czego zacząć w firmie 50-200 osób

Nie od zatrudniania prawnika od każdej z trzech regulacji. Zaczyna się od inwentaryzacji tego, co już masz.

Krok 1. Wypisz systemy IT i AI, których używa Twoja firma. Każdy: ERP, CRM, system kadrowy, komunikator, narzędzia AI. Łącznie z tymi, których używają pracownicy na własną rękę. To jest wejście do oceny ryzyka NIS2 i AI Act jednocześnie.

Krok 2. Do każdego systemu z zewnętrznym dostawcą sprawdź, czy masz aktualną umowę powierzenia danych i czy dostawca figuruje w Twoim rejestrze ICT. Część tej pracy może być już zrobiona przy RODO.

Krok 3. Oceń, które narzędzia AI dotykają decyzji o ludziach: rekrutacja, ocena wydajności, dostęp, diagnoza. To są kandydaci do formalnej oceny ryzyka AI Act.

Krok 4. Ustal, kto w firmie jest właścicielem procedury incydentowej i kto fizycznie zadzwoni do CSIRT w ciągu 24 godzin od wykrycia ataku. Jeśli tej osoby dziś nie ma, to jest pierwszy problem do rozwiązania, zanim zajmiesz się dokumentami.

Jeśli chcesz zobaczyć, jak to wygląda dla firmy podobnej do Twojej, zajrzyj na nasze realne wdrożenia. Możemy też umówić się na bezpłatny audyt i pokazać Ci, które z trzech regulacji dotyczą Cię bezpośrednio, co jest pilne, a co można zaplanować spokojnie na kolejne miesiące.