Kogo dotyczy ustawa KSC/NIS2

Kogo dotyczy ustawa KSC i dyrektywa NIS2? To pytanie ląduje na biurku prokurenta zwykle w najgorszym możliwym momencie, z pismem od organu, ankietą bezpieczeństwa od kontrahenta albo poleceniem zarządu z adnotacją pilne. Firma może spełniać kryteria objęcia ustawą, nawet jeśli nikt wcześniej o tym nie informował, a błędna ocena kosztuje w obie strony: zignorowanie obowiązku, który faktycznie istnieje, to ryzyko kary, a inwestowanie w zgodność, której ustawa w ogóle nie wymaga, to niepotrzebny wydatek i czas. Poniżej trzy kryteria, które decydują o objęciu, najczęstsze błędy przy samodzielnej ocenie i sposób, żeby sprawdzić to bez zgadywania.

1. Trzy kryteria, które decydują, czy KSC i NIS2 dotyczą Twojej firmy

Ustawa o KSC i dyrektywa NIS2 nie obejmują każdej firmy działającej w Polsce. Kwalifikacja opiera się na trzech kryteriach, które trzeba sprawdzić łącznie: sektorze działalności, wielkości organizacji oraz przypisaniu do kategorii podmiotu kluczowego lub ważnego. Spełnienie pierwszych dwóch zwykle przesądza sprawę, trzecie kryterium decyduje już tylko o zakresie obowiązków, nie o samym objęciu ustawą.

1.1 Sektory objęte ustawą KSC i NIS2

Dyrektywa NIS2 obejmuje osiemnaście sektorów, podzielonych na kluczowe i ważne. Do sektorów kluczowych należą między innymi energetyka, transport, bankowość, infrastruktura rynków finansowych, ochrona zdrowia, zaopatrzenie w wodę pitną i ścieki, infrastruktura cyfrowa oraz administracja publiczna. Do sektorów ważnych zalicza się między innymi usługi pocztowe i kurierskie, gospodarowanie odpadami, produkcję i dystrybucję chemikaliów, produkcję żywności, wytwarzanie wyrobów medycznych, elektroniki i maszyn, a także dostawców usług cyfrowych, w tym platformy handlu elektronicznego i wyszukiwarki internetowe. Firma, która działa w jednym z tych obszarów, przechodzi do drugiego kryterium, czyli wielkości.

1.2 Wielkość zatrudnienia i obrót roczny

Drugie kryterium to wielkość organizacji, mierzona liczbą zatrudnionych oraz rocznym obrotem lub sumą bilansową. Ustawa obejmuje co do zasady* podmioty średnie i duże. Do średnich zalicza się te, które zatrudniają co najmniej pięćdziesiąt osób lub osiągają roczny obrót bądź sumę bilansową powyżej dziesięciu milionów euro. Do dużych zalicza się podmioty zatrudniające co najmniej dwieście pięćdziesiąt osób lub osiągające obrót powyżej pięćdziesięciu milionów euro albo sumę bilansową powyżej czterdziestu trzech milionów euro. Mniejsze firmy z sektorów objętych ustawą zwykle nie podlegają jej wprost, ale bywają objęte pośrednio, jako dostawcy dla podmiotów kluczowych lub ważnych. Co ważne przy obliczaniu, do personelu zatrudnionego w podmiocie wlicza się:

• pracowników,
• osoby pracujące dla przedsiębiorstwa, podlegające mu i uważane za pracowników na mocy prawa krajowego,
• osobę wykonującą pracę na podstawie umowy agencyjnej, umowy zlecenia lub innej umowy o świadczenie usług, do której zgodnie z Kodeksem cywilnym stosuje się przepisy dotyczące zlecenia, albo umowy o dzieło,
• właścicieli-kierowników,
• partnerów prowadzących regularną działalność w przedsiębiorstwie i czerpiący z niego korzyści finansowe.

* Wyjątek od reguły stanowią m.in. przedsiębiorstwa będące dostawcą usług zarządzanych w zakresie cyberbezpieczeństwa, które do objęcia ustawą o KSC muszą spełniać wymagania co najmniej dla małego przedsiębiorcy aby zostać zakwalifikowani jako podmiot kluczowy.

Ponadto:

• niekwalifikowani dostawcy usług zaufania – będący co najmniej będący mikro-, małym lub średnim przedsiębiorcą,
• przedsiębiorcy komunikacji elektronicznej – będący co najmniej będący mikro-, małym lub średnim przedsiębiorcą,
• podmioty będące inwestorami obiektu energetyki jądrowej – niezależnie od ich wielkości,
• podmioty publiczne, realizujące zadania publiczne z wykorzystaniem systemów informacyjnych – niezależnie od ich wielkości jako podmiot ważny.

1.3 Podmiot kluczowy czy podmiot ważny

Trzecie kryterium nie decyduje o tym, czy firma podlega ustawie, tylko o tym, w jakim reżimie nadzoru się znajdzie. Podmioty kluczowe podlegają nadzorowi ex ante, co oznacza, że organ może prowadzić kontrolę zapobiegawczo, zanim pojawi się jakikolwiek sygnał nieprawidłowości. Podmioty ważne podlegają nadzorowi ex post, czyli organ reaguje po zdarzeniu, na przykład po zgłoszeniu incydentu lub skardze. W obu przypadkach zakres obowiązków dotyczących zarządzania ryzykiem i zgłaszania incydentów jest niemal identyczny. Różnica dotyczy przede wszystkim możliwości nałożenia przez organ nadzorczy na podmiot kluczowy odgórnego obowiązku realizacji określonych czynności pomimo braku wystąpienia incydentu.

2. Najczęstsze błędy przy samodzielnej ocenie, czy ustawa dotyczy firmy

Osoby wewnątrz organizacji, które dostają polecenie sprawdzenia tematu, najczęściej popełniają trzy błędy. Każdy z nich prowadzi do tego samego skutku: firma dowie się o objęciu ustawą dopiero przy kontroli albo po incydencie, kiedy nie ma już czasu na spokojne wdrożenie.

2.1 Poleganie wyłącznie na opinii działu IT

Dział IT potrafi ocenić stan zabezpieczeń technicznych, ale kwalifikacja do ustawy KSC i NIS2 to w pierwszej kolejności analiza prawna: sektora działalności, struktury kapitałowej i progów finansowych. Informatyk, zapytany wprost, często odpowiada, że firma nie podlega ustawie, gdyż posiada wdrożone podstawowe zabezpieczenia. To dwa różne pytania. Posiadanie zabezpieczeń nie decyduje o obowiązku prawnym, a jego brak nie zwalnia z odpowiedzialności, jeśli firma spełnia kryteria z sekcji 1.

2.2 Założenie, że mała firma jest bezpieczna

Wielkość zatrudnienia rzeczywiście chroni firmy mikro i małe przed bezpośrednim objęciem ustawą, ale nie chroni ich przed obowiązkami wynikającymi z umów z klientami. Firma zatrudniająca dwadzieścia osób, która świadczy usługi IT dla podmiotu kluczowego, może otrzymać ankietę bezpieczeństwa albo aneks do umowy z wymaganiami zgodnymi z NIS2, niezależnie od własnej wielkości. Regulacja przechodzi w dół łańcucha dostaw, bo duży klient musi rozliczyć bezpieczeństwo swoich dostawców. Ocena własnej sytuacji tylko przez pryzmat progów zatrudnienia pomija ten kanał, który w praktyce dotyka najwięcej mniejszych firm technologicznych.

2.3 Czekanie na pismo od organu zamiast sprawdzenia z wyprzedzeniem

Część firm zakłada, że skoro nie dostały żadnego pisma od Ministerstwa Cyfryzacji ani CSIRT, temat ich nie dotyczy. To rozumowanie działa dopóty, dopóki nie zadziała: rejestr podmiotów objętych ustawą uzupełnia się stopniowo, a organ nie ma obowiązku informować z wyprzedzeniem, zanim firma popełni pierwsze naruszenie. Samorejestracja w systemie KSC jest obowiązkiem podmiotu, nie czynnością inicjowaną przez organ nadzorczy. Czekanie na sygnał z zewnątrz oznacza w praktyce czekanie na kontrolę albo na incydent, które i tak ujawnią brak zgodności, tyle że już w trybie postępowania, nie dobrowolnej korekty.

3. Co grozi firmie, która jest objęta ustawą, ale nic z tym nie robi

Nowelizacja ustawy o krajowym systemie cyberbezpieczeństwa, wdrażająca dyrektywę NIS2, weszła w życie 3 kwietnia 2026 roku. Od tego dnia obowiązki są realne, ale konsekwencje finansowe ich niewykonania rozkładają się w czasie inaczej, niż większość osób zakłada. Warto rozumieć tę różnicę, zanim podejmie się decyzję o odłożeniu tematu.

3.1 Kary administracyjne — konkretne kwoty, podstawa prawna i moratorium do 2028 roku

Ustawa przewiduje dla podmiotów kluczowych karę administracyjną do 10 milionów euro albo do 2 procent całkowitego rocznego światowego obrotu, w zależności od tego, która wartość jest wyższa. Dla podmiotów ważnych górna granica wynosi 7 milionów euro lub 1,4 procent obrotu. To realne, wysokie kwoty, ale ustawodawca przewidział okres przejściowy: administracyjne kary pieniężne będzie można nakładać dopiero po upływie dwóch lat od wejścia w życie nowelizacji, czyli od 3 kwietnia 2028 roku. Same obowiązki, takie jak rejestracja w wykazie podmiotów do 3 października 2026 roku czy wdrożenie systemu zarządzania bezpieczeństwem informacji do 3 kwietnia 2027 roku, obowiązują niezależnie od moratorium na kary pieniężne. Organ nadzorczy już teraz ma kompetencje do nakładania środków niepieniężnych: nakazów usunięcia nieprawidłowości, zaleceń audytowych i decyzji ingerujących w sposób prowadzenia działalności.

3.2 Odpowiedzialność osobista zarządu, nie tylko spółki

Ustawa przewiduje dla kierownika podmiotu, czyli w praktyce dla zarządu lub innego organu zarządzającego, odrębną karę pieniężną do 300 procent jego miesięcznego wynagrodzenia. Kara ta w większości przypadków podlega temu samemu dwuletniemu moratorium co kara dla spółki, ale nakładana jest niezależnie od niej, więc ukaranie firmy nie wyklucza równoległej odpowiedzialności osoby, która nie zapewniła wykonania obowiązków. Jeśli organ zarządzający jest wieloosobowy, a nie wyznaczono konkretnej osoby odpowiedzialnej za cyberbezpieczeństwo, odpowiedzialność ponoszą wszyscy jego członkowie.

Dwuletnie moratorium na kary pieniężne nie oznacza dwóch lat na spokojne odłożenie tematu wdrożenia zgodności. Rejestracja i wdrożenie SZBI mają własne, wcześniejsze terminy, a przygotowanie realnie zajmuje kilka miesięcy. Kto zacznie w 2028 roku, zaczyna zdecydowanie zbyt późno.

adw. Oskar Manowiecki

4. Jak wygląda samo sprawdzenie, krok po kroku, bez zgadywania

Trzy kryteria z sekcji 1 wystarczą, żeby zorientować się we własnej sytuacji, ale ostateczna kwalifikacja bywa nieoczywista, zwłaszcza przy grupach kapitałowych, spółkach powiązanych albo firmach działających w kilku sektorach naraz. Zamiast zgadywać albo czekać na pismo od organu, można to sprawdzić formalnie i mieć to na piśmie, zanim ktokolwiek zapyta.

Odpowiedź, którą dostaje firma, nie kończy się na „tak” albo „nie”. Jeśli kryteria są spełnione, wskazujemy też, do jakiej kategorii firma najprawdopodobniej należy i jaki jest realistyczny harmonogram dalszych kroków, licząc od terminów ustawowych opisanych w sekcji 3. Jeśli natomiast po analizie okaże się, że warto sprawdzić stan faktyczny zabezpieczeń, kolejnym krokiem bywa zwykle audyt zerowy KSC i NIS2, czyli pogłębiona analiza pokazująca konkretne luki do zamknięcia.

5. Co się dzieje, jeśli okaże się, że ustawa Cię dotyczy

Potwierdzenie, że firma podlega ustawie, otwiera konkretny harmonogram, nie tylko listę dobrych intencji. Dwa terminy mają realne znaczenie w najbliższym czasie, a kolejność, w jakiej się do nich podchodzi, wpływa na to, ile to wszystko ostatecznie kosztuje.

5.1 Rejestracja i pierwsze obowiązki

Firma ma sześć miesięcy od dnia spełnienia przesłanek uznania za podmiot kluczowy lub ważny na przeprowadzenie formalnej samooceny, udokumentowanie jej wyniku i złożenie wniosku o wpis do wykazu. Dla organizacji, które już w kwietniu 2026 roku spełniały kryteria, praktycznym terminem granicznym jest 3 października 2026 roku. Kolejny krok to wdrożenie systemu zarządzania bezpieczeństwem informacji, na które ustawa daje dwanaście miesięcy, czyli do 3 kwietnia 2027 roku. Dla podmiotów kluczowych dochodzi jeszcze pierwszy obowiązkowy audyt bezpieczeństwa, wymagany do 3 kwietnia 2028 roku. Te trzy daty, nie sama abstrakcyjna „zgodność z ustawą”, powinny wyznaczać harmonogram prac w firmie.

5.2 Dlaczego warto zacząć od audytu zerowego, nie od razu od wdrożenia

Firmy, które od razu zamawiają pełne wdrożenie SZBI, bez wcześniejszego audytu, często płacą za środki bezpieczeństwa, które organizacja już ma, albo pomijają luki specyficzne dla jej konkretnej infrastruktury. Audyt zerowy KSC i NIS2 najpierw pokazuje realny stan wyjściowy i mapę luk z priorytetami, a dopiero na tej podstawie planuje się zakres wdrożenia. W praktyce oznacza to niższy koszt całkowity projektu i wdrożenie dopasowane do tego, co organizacja faktycznie robi, a nie do uniwersalnego szablonu. Kolejność ma znaczenie także dlatego, że do 3 kwietnia 2027 roku zostaje niewiele czasu na poprawki, jeśli dopiero pod koniec tego okresu okaże się, że pierwsze podejście do wdrożenia było oparte na błędnych założeniach.

6. Najczęściej zadawane pytania

Trzy kryteria z tego artykułu wystarczą, żeby zrobić wstępną, orientacyjną ocenę we własnym zakresie. Jeśli wynik jest niejednoznaczny, a zwykle jest, bo grupy kapitałowe i sektory graniczne rzadko dają jasną odpowiedź od razu, nie trzeba zgadywać ani czekać na pismo od organu. Możesz złożyć wniosek o bezpłatną ocenę objęcia ustawą o KSC i NIS2, opisując krótko profil działalności firmy. Odpowiedź pisemna, gotowa do przekazania zarządowi, trafia do Ciebie do pięciu dni roboczych.

Następny krok

Nie zgaduj, czy ustawa Cię dotyczy — sprawdźmy to razem

Opisz krótko profil swojej firmy, a ja osobiście ocenię, czy podlegasz ustawie o KSC i dyrektywie NIS2. Odpowiedź pisemną, gotową do przekazania zarządowi, dostaniesz do pięciu dni roboczych.

Złóż wniosek o bezpłatną ocenę Bezpłatnie. Bez zobowiązań.