Nowelizacja ustawy o krajowym systemie cyberbezpieczeństwa wdrożyła unijną dyrektywę NIS2 i objęła obowiązkami szacunkowo około 38 tysięcy podmiotów. Ustawa nie przewiduje jednak mechanizmu, w którym urząd sam poinformuje firmę, że ta podlega przepisom: obowiązek ustalenia własnego statusu spoczywa na przedsiębiorcy, a termin samorejestracji do Wykazu KSC dla podmiotów spełniających przesłanki w dniu wejścia nowelizacji upływa 3 października 2026 r. Wyjaśniamy, na czym polega kwalifikacja podmiotu pod NIS2, dlaczego prosty test online zwykle nie wystarcza i o co realnie trzeba zapytać we własnej organizacji.
W tym artykule przeczytasz o:
- jak NIS2 została wdrożona nowelizacją ustawy o KSC i jakie terminy obowiązują,
- kogo obejmują nowe przepisy: podmioty kluczowe, podmioty ważne i sektory,
- czym różni się samoidentyfikacja od kwalifikacji i samorejestracji,
- jak krok po kroku przeprowadzić rzetelną kwalifikację w firmie,
- jakie dane i dokumenty przygotować oraz co zrobić, gdy wynik jest pozytywny.
NIS2 w polskim prawie: nowelizacja ustawy o KSC
Dyrektywa NIS2 nie obowiązuje w Polsce bezpośrednio. Jej wymogi przeniesiono do prawa krajowego nowelizacją ustawy o krajowym systemie cyberbezpieczeństwa, która weszła w życie 3 kwietnia 2026 r.. Zastąpiła ona podział na operatorów usług kluczowych i dostawców usług cyfrowych podziałem na podmioty kluczowe i ważne, istotnie poszerzając katalog objętych sektorów.
Terminy liczy się od dnia spełnienia przesłanek uznania za podmiot kluczowy lub ważny: 6 miesięcy na zgłoszenie do Wykazu KSC, 12 miesięcy na wdrożenie obowiązków oraz 24 miesiące na pierwszy audyt zgodności w przypadku podmiotów kluczowych. Dla firm spełniających przesłanki już w dacie wejścia w życie nowelizacji, oznacza to odpowiednio 3 października 2026 r. i 3 kwietnia 2027 r.
Kogo obowiązuje NIS2 i ustawa o KSC?
Obowiązki dotyczą podmiotów z sektorów wskazanych w załącznikach nr 1 i 2 do ustawy, przy jednoczesnym spełnieniu kryteriów wielkościowych. Sektory kluczowe (załącznik nr 1) to m.in. energia, transport, bankowość, ochrona zdrowia, woda pitna i ścieki, infrastruktura cyfrowa, zarządzanie usługami ICT oraz podmioty publiczne. Sektory ważne (załącznik nr 2) obejmują m.in. usługi pocztowe i kurierskie, gospodarowanie odpadami, produkcję i dystrybucję chemikaliów oraz żywności, wybrane rodzaje produkcji przemysłowej, dostawców usług cyfrowych i badania naukowe.
W uproszczeniu, podmiotami kluczowymi są duzi przedsiębiorcy z sektorów kluczowych, a podmiotami ważnymi średni przedsiębiorcy z sektorów kluczowych oraz średni i duzi z sektorów ważnych. Część podmiotów objęta jest ustawą niezależnie od wielkości (m.in. dostawcy usług DNS czy kwalifikowani dostawcy usług zaufania), a organ właściwy może uznać podmiot za kluczowy lub ważny decyzją.
Ważne!
Ustawa o KSC nie zawiera odrębnego katalogu przedsiębiorców zwolnionych z jej stosowania. To, że firma nie widzi siebie na żadnej „liście branż”, nie jest argumentem w razie kontroli; znaczenie ma udokumentowana analiza, dlaczego przyjęto konkretną kwalifikację.
Samoidentyfikacja, kwalifikacja, samorejestracja: trzy różne etapy
Te pojęcia bywają mylone, a oznaczają kolejne kroki jednej procedury. Samoidentyfikacja to ustalenie, czy organizacja spełnia przesłanki objęcia ustawą. Kwalifikacja to przypisanie statusu: podmiot kluczowy, podmiot ważny albo podmiot poza zakresem regulacji. Samorejestracja jest konsekwencją pozytywnej kwalifikacji: to wniosek o wpis do Wykazu KSC, prowadzonego w Systemie S46, składany elektronicznie z podpisem elektronicznym.
Część podmiotów wpisano do wykazu z urzędu (m.in. dotychczasowych operatorów usług kluczowych i przedsiębiorców telekomunikacyjnych), ale brak takiego wpisu nie oznacza, że firma jest poza zakresem ustawy.
Ustawa opiera się przy tym na samodzielnej weryfikacji przez podmiot, a nie na wezwaniach organu. Bierne oczekiwanie na pismo z urzędu nie wstrzymuje biegu ustawowych terminów, a wpis do wykazu może nastąpić z urzędu również wtedy, gdy firma sama nie dopełniła obowiązku; brak analizy nie chroni więc przed objęciem regulacją, za to skraca czas na wdrożenie.
Jak przeprowadzić rzetelną kwalifikację? Praktyka kancelarii
Publicznie dostępne ankiety samooceny to dobry punkt wyjścia, ale traktowanie ich jako ostatecznego rozstrzygnięcia bywa kosztowne. W naszej praktyce kwalifikacja opiera się na czterech obszarach, których uproszczone testy zwykle nie obejmują.
Po pierwsze, struktura podmiotowa i wielkość przedsiębiorstwa. Nie zawsze wystarczą dane jednej spółki. Trzeba ustalić, czy istnieją przedsiębiorstwa partnerskie lub powiązane: czy podmiot posiada co najmniej 25% udziałów lub praw głosu w innych spółkach albo inne podmioty mają taki udział w nim, czy występuje relacja kontroli (większość głosów, prawo powoływania organów, dominujący wpływ), także pośrednia, oraz czy spółkę kontrolują te same osoby fizyczne co inne przedsiębiorstwa na tym samym rynku. Dopiero wtedy zbiera się dane o zatrudnieniu, obrocie netto i sumie bilansowej.
Po drugie, rzeczywisty model prawny i operacyjny działalności. Kody PKD bywają zbyt ogólne, nieaktualne albo szersze niż faktyczna działalność. Znaczenie ma to, kto jest stroną umowy wobec klienta, czy firma działa we własnym imieniu, czy jako pośrednik, jakie czynności wykonuje samodzielnie, a jakie zleca podwykonawcom, oraz czy posiada koncesje, zezwolenia lub wpisy do rejestrów sektorowych. Dwie firmy z tej samej branży mogą zostać ocenione inaczej, bo decyduje rola usługi dla ciągłości procesów u innych uczestników rynku, a nie nazwa branży.
Po trzecie, sposób funkcjonowania warstwy cyfrowej. Trzeba ustalić, kto jest właścicielem i operatorem platformy, aplikacji oraz API, czy interfejsy udostępniane klientom służą wyłącznie do korzystania z usług własnych, czy stanowią odrębny produkt technologiczny, oraz czy spółka świadczy podmiotom zewnętrznym usługi IT w rodzaju hostingu, SaaS czy administracji systemami. To często ten element przesądza o kwalifikacji do sektora usług cyfrowych lub zarządzania usługami ICT.
Po czwarte, pozycja w łańcuchu dostaw i planowane zmiany. Warto sprawdzić, czy kontrahenci kierowali już do firmy ankiety bezpieczeństwa, wymagania NIS2/KSC albo aneksy o zgłaszaniu incydentów, a także czy w perspektywie 12 do 24 miesięcy planowane jest rozwijanie własnej infrastruktury, przejęcia lub rozszerzenie usług dla innych przedsiębiorców. Kwalifikacja nie jest czynnością jednorazową: zmiana modelu biznesowego albo struktury grupy może ją odwrócić.
Pamiętaj!
Wynikiem kwalifikacji nie powinno być stwierdzenie, że firma „raczej podlega” albo „raczej nie podlega” ustawie. Potrzebna jest udokumentowana analiza: jakie dane zbadano, jakie przepisy zastosowano i dlaczego przyjęto taki wniosek. W razie kontroli albo pytań kontrahentów to właśnie ten dokument jest dowodem należytej staranności zarządu.
Jakie dane przygotować do kwalifikacji?
Do rzetelnej analizy zwykle potrzebne są:
- aktualny odpis z KRS lub dane z CEIDG oraz lista kodów PKD,
- opis faktycznie świadczonych usług i modelu biznesowego,
- wzorce umowne, regulaminy i kluczowe umowy z klientami oraz dostawcami,
- dane o zatrudnieniu, obrocie i sumie bilansowej,
- struktura właścicielska oraz lista podmiotów powiązanych i partnerskich,
- koncesje, zezwolenia i wpisy do rejestrów sektorowych.
Co dalej, jeśli kwalifikacja wypadnie pozytywnie?
Wówczas uruchamia się program wdrożeniowy: wpis do Wykazu KSC, wyznaczenie osób odpowiedzialnych za cyberbezpieczeństwo, wdrożenie SZBI, procedur zarządzania ryzykiem i incydentami, zapewnienie ciągłości działania, zarządzanie bezpieczeństwem łańcucha dostaw ICT oraz podłączenie do systemu S46. O budowie procedur incydentalnych oraz o prawnych aspektach reagowania na atak pisaliśmy we wcześniejszych wpisach na blogu.
Za realizację obowiązków odpowiada kierownik podmiotu, a ustawa przewiduje kary nakładane bezpośrednio na osoby zarządzające, niezależnie od kary dla organizacji; powierzenie zadań działowi IT nie zwalnia zarządu z nadzoru. Jeśli firma działa też w sektorze finansowym lub kryptoaktywów, warto zestawić NIS2 z pozostałymi zasadami: https://rpms.pl/casp-a-inne-ramy-regulacyjne-relacja-rozporzadzenia-mica-z-dora-nis2-amlr-i-sfdr/.
Jak Kancelaria RPMS może pomóc?
Zespół Kancelarii Prawnej RPMS Staniszewski & Wspólnicy wspiera organizacje w całym procesie, m.in. w zakresie:
- przeprowadzenia kwalifikacji i przygotowania opinii prawnej o statusie podmiotu na gruncie NIS2/KSC,
- analizy struktury grupy oraz danych wielkościowych na potrzeby oceny progów,
- przygotowania i złożenia wniosku o wpis do Wykazu KSC,
- zaplanowania wdrożenia obowiązków, w tym SZBI i procedur incydentalnych,
- wsparcia zarządu w zakresie odpowiedzialności osobistej i gotowości na kontrolę.
Nie masz pewności, czy Twoja firma podlega pod KSC i NIS2? Skontaktuj się z nami, a przeprowadzimy kwalifikację wraz z uzasadnieniem prawnym. Sprawdź naszą praktykę IT i nowych technologii: https://rpms.pl/it-nowe-technologie/ oraz bieżącą obsługę prawną: https://rpms.pl/uslugi-prawne/.
FAQ – najczęstsze pytania o kwalifikację pod NIS2 i KSC
Czy urząd poinformuje moją firmę, że podlega pod ustawę o KSC?
Co do zasady nie. Ustawa opiera się na samodzielnej weryfikacji przez podmiot, a brak pisma z urzędu nie oznacza, że firma jest poza zakresem regulacji. Organ może natomiast dokonać wpisu do wykazu z urzędu albo uznać podmiot za kluczowy lub ważny decyzją.
Do kiedy trzeba zgłosić firmę do Wykazu KSC?
Wniosek składa się w terminie 6 miesięcy od dnia spełnienia przesłanek uznania za podmiot kluczowy lub ważny. Dla podmiotów spełniających je już w dniu wejścia nowelizacji w życie termin upływa 3 października 2026 r., a termin wdrożenia obowiązków to 3 kwietnia 2027 r.
Czy do kwalifikacji wystarczy sprawdzenie kodów PKD i wielkości spółki?
Zwykle nie. Kody PKD bywają nieaktualne lub szersze niż rzeczywista działalność, a przy ocenie wielkości trzeba czasem uwzględnić dane przedsiębiorstw partnerskich i powiązanych. Znaczenie mają też przesłanki szczególne, w tym kategorie podmiotów objętych ustawą niezależnie od wielkości.