Przedsiębiorca komunikacji elektronicznej a KSC to szczególny przypadek, w którym wielkość firmy nie decyduje o samym objęciu obowiązkami, lecz przede wszystkim o klasyfikacji jako podmiot kluczowy albo podmiot ważny. Co do zasady średni i duży operator będzie podmiotem kluczowym, natomiast mikroprzedsiębiorca lub mały lokalny ISP – podmiotem ważnym. Sam wpis do rejestru prowadzonego przez Prezesa UKE jest bardzo istotnym sygnałem, ale przed przyjęciem ostatecznej kwalifikacji należy sprawdzić zakres faktycznie świadczonych usług, wielkość przedsiębiorstwa, powiązania kapitałowe oraz wpis do odrębnego Wykazu KSC.
Sieci i usługi komunikacji elektronicznej są elementem infrastruktury, od której zależą przedsiębiorcy, urzędy, podmioty medyczne i mieszkańcy. Awaria lub cyberatak na lokalnego dostawcę może przerwać dostęp do usług w całym regionie. Dlatego wobec przedsiębiorców komunikacji elektronicznej nie działa ogólna zasada wyłączająca mikro i małe firmy z zakresu KSC.
Średni i duży PKE podmiot kluczowy
Organ właściwy Prezes UKE
Nie należy jednak utożsamiać dwóch różnych rejestrów ani opierać kwalifikacji wyłącznie na historycznym wpisie. Trzeba potwierdzić faktyczne świadczenie usług, kategorię wielkości przedsiębiorstwa, dane podmiotów partnerskich i powiązanych oraz status w Wykazie podmiotów kluczowych i ważnych.
Czy każdy przedsiębiorca wpisany do rejestru UKE podlega KSC?
W praktyce punktem wyjścia jest ustalenie, czy firma jest przedsiębiorcą komunikacji elektronicznej, w szczególności przedsiębiorcą telekomunikacyjnym, i czy rzeczywiście świadczy publicznie dostępne usługi komunikacji elektronicznej lub zapewnia publiczną sieć komunikacji elektronicznej na terytorium Polski. Jeżeli te przesłanki są spełnione, wielkość przedsiębiorstwa służy do rozstrzygnięcia, czy operator jest podmiotem kluczowym, czy ważnym.
Sam wpis do rejestru przedsiębiorców telekomunikacyjnych jest mocnym dowodem formalnego statusu, lecz nie powinien zastępować analizy aktualnego stanu. Rejestr może zawierać wpis dotyczący działalności, która została ograniczona, zakończona albo zmieniona. Z drugiej strony faktyczne rozpoczęcie działalności regulowanej może uruchomić obowiązki, nawet jeżeli przedsiębiorca nie uporządkował jeszcze wszystkich formalności.
Rejestr przedsiębiorców telekomunikacyjnych
Prowadzi go Prezes UKE. Potwierdza formalny status przedsiębiorcy telekomunikacyjnego i dotyczy wykonywania działalności komunikacji elektronicznej.
Wykaz podmiotów kluczowych i ważnych
To odrębny wykaz związany z KSC. Wpis określa status podmiotu w krajowym systemie cyberbezpieczeństwa i umożliwia realizację obowiązków przez System S46.
Przedsiębiorcy telekomunikacyjni byli wpisywani do Wykazu KSC z urzędu
Automatyczny wpis nie zwalnia operatora z obowiązku sprawdzenia danych i uzupełnienia informacji wymaganych przez ustawę. Inne podmioty komunikacji elektronicznej, które nie zostały objęte wpisem z urzędu, powinny przeprowadzić samoidentyfikację i – jeżeli spełniają przesłanki – złożyć wniosek o wpis.
Zakres działalności
Ustal, jakie sieci lub usługi firma faktycznie zapewnia i czy kwalifikują ją jako przedsiębiorcę komunikacji elektronicznej.
Terytorium
Potwierdź, że usługi są świadczone na terytorium Polski, co wyznacza zakres stosowania krajowych obowiązków.
Wielkość firmy
Policz roczne jednostki pracy, obrót i sumę bilansową, uwzględniając zasady dla przedsiębiorstw partnerskich i powiązanych.
Status KSC
Mikro lub mały operator jest co do zasady podmiotem ważnym, a średni, duży lub większy – podmiotem kluczowym.
Podmiot kluczowy czy ważny – jak ustalić status operatora?
Klasyfikację wielkościową przeprowadza się zgodnie z załącznikiem I do rozporządzenia Komisji (UE) nr 651/2014. Nie wystarczy sprawdzić liczby osób widocznej na liście płac. Zatrudnienie ustala się w rocznych jednostkach pracy, a dane finansowe obejmują roczny obrót oraz całkowity bilans roczny. Znaczenie mogą mieć również dane przedsiębiorstw partnerskich i powiązanych.
| Kryterium | Podmiot kluczowy | Podmiot ważny | Znaczenie praktyczne |
|---|---|---|---|
| Wielkość PKE | Przedsiębiorca co najmniej średni lub przekraczający progi średniego przedsiębiorstwa. | Mikroprzedsiębiorca albo mały przedsiębiorca. | W sektorze komunikacji elektronicznej mikro i mały rozmiar nie wyłącza stosowania KSC. |
| Podstawowe progi | Średni przedsiębiorca: mniej niż 250 osób oraz obrót do 50 mln EUR lub suma bilansowa do 43 mln EUR, o ile nie jest mikro lub mały. | Mały przedsiębiorca: mniej niż 50 osób oraz obrót lub suma bilansowa do 10 mln EUR. Mikro: mniej niż 10 osób oraz do 2 mln EUR. | Zmiana kategorii wymaga co do zasady przekroczenia lub spadku poniżej progów w dwóch kolejnych okresach obrachunkowych. |
| Charakter nadzoru | Nadzór uprzedni i następczy; organ może działać także bez wcześniejszego incydentu. | Co do zasady nadzór następczy, gdy organ uzyska informacje wskazujące na możliwe naruszenie. | Niższa kategoria nie oznacza braku obowiązków technicznych, organizacyjnych ani sprawozdawczych. |
| Audyt bezpieczeństwa | Pierwszy audyt w ciągu 24 miesięcy od spełnienia przesłanek, następnie co najmniej raz na 3 lata. | Brak obowiązkowego audytu cyklicznego, ale organ może nakazać audyt doraźny. | Audyt nie zastępuje bieżącego utrzymywania i doskonalenia SZBI. |
| Maksymalna kara | Do 10 mln EUR albo 2% przychodów osiągniętych z działalności gospodarczej. | Do 7 mln EUR albo 1,4% przychodów osiągniętych z działalności gospodarczej. | Są to ustawowe limity, a nie automatyczne kary za każde uchybienie. |
Wątpliwości dotyczące samych kryteriów sektorowych i wielkościowych szerzej omawiamy w artykule Kogo dotyczy ustawa KSC/NIS2?. Dla operatora kluczowe jest połączenie tej analizy z danymi z rejestru UKE oraz rzeczywistym modelem świadczenia usług.
Jak grupa kapitałowa wpływa na klasyfikację PKE?
Lokalna spółka zatrudniająca kilka osób nie zawsze pozostaje małym przedsiębiorcą. Jeżeli jest częścią grupy, udziały, prawa głosu, dominujący wpływ albo inne relacje mogą powodować konieczność doliczenia całości lub odpowiedniej części danych innych podmiotów. W rezultacie operator, który samodzielnie wygląda jak mikroprzedsiębiorca, może po agregacji spełnić kryteria podmiotu kluczowego.
Zasada agregacji
Dane przedsiębiorstwa samodzielnego analizuje się osobno. Przy przedsiębiorstwach partnerskich dolicza się dane proporcjonalnie, a przy przedsiębiorstwach powiązanych – co do zasady w pełnym zakresie. Analiza musi objąć nie tylko strukturę właścicielską, ale również relacje sprawowania kontroli.
Wyjątek niezależności w KSC
Jeżeli wyższa kategoria wynika wyłącznie z agregacji danych, a system informacyjny operatora jest niezależny od systemów podmiotów partnerskich lub powiązanych albo operator nie świadczy z nimi usług wspólnie, ustawa przewiduje szczególną korektę kwalifikacji. Wymaga ona udokumentowania, a nie samej deklaracji.
Jakie obowiązki musi wdrożyć operator telekomunikacyjny?
Wpis do Wykazu KSC jest dopiero początkiem. Operator musi wdrożyć adekwatne i proporcjonalne środki zarządzania ryzykiem, zorganizować raportowanie incydentów i zapewnić zarządowi rzeczywisty nadzór nad cyberbezpieczeństwem. Posiadanie firewalla, kopii zapasowej i umowy z informatykiem nie jest równoznaczne z wdrożeniem systemu zarządzania bezpieczeństwem informacji.
Wykaz KSC i S46
Zweryfikuj wpis, dane kontaktowe, administratorów konta, klasyfikację, domeny, publiczne adresy IP i pozostałe informacje techniczne wymagane w Systemie S46.
SZBI i analiza ryzyka
Zidentyfikuj usługi, procesy, aktywa, zagrożenia i podatności. Dobierz zabezpieczenia, właścicieli ryzyk, terminy oraz mierzalny plan postępowania z ryzykiem.
Ciągłość działania
Przygotuj i testuj procedury BCP/DRP, kopie zapasowe, odtwarzanie konfiguracji sieci oraz scenariusze awarii kluczowych węzłów i dostawców.
Łańcuch dostaw
Oceń dostawców sprzętu, oprogramowania, usług chmurowych i podwykonawców. Umowy powinny regulować incydenty, audyt, dostęp, poufność i ciągłość usług.
Incydenty 24/72
Wyznacz osoby kontaktowe, kryteria klasyfikacji oraz ścieżkę przekazania wczesnego ostrzeżenia w 24 godziny i zgłoszenia incydentu w 72 godziny.
Zarząd i szkolenia
Kierownictwo zatwierdza środki zarządzania ryzykiem, nadzoruje ich realizację i powinno odbywać wymagane szkolenia umożliwiające ocenę ryzyka cybernetycznego.
Terminy, których operator nie powinien przegapić
Wpis lub uzupełnienie
Termin dotyczy wniosku o wpis po spełnieniu przesłanek albo uzupełnienia brakujących danych po zawiadomieniu o wpisie dokonanym z urzędu.
Wdrożenie obowiązków
W tym czasie trzeba wdrożyć wymagane środki techniczne i organizacyjne oraz zapewnić zdolność wykonywania obowiązków wynikających z KSC.
Raportowanie incydentu
Wczesne ostrzeżenie o incydencie poważnym przekazuje się do 24 godzin, a właściwe zgłoszenie – do 72 godzin od jego wykrycia.
Pierwszy audyt kluczowego
Podmiot kluczowy przeprowadza pierwszy wymagany audyt bezpieczeństwa w ciągu 24 miesięcy, a kolejne co najmniej raz na 3 lata.
Dla podmiotów spełniających przesłanki w dniu wejścia nowelizacji w życie, czyli 3 kwietnia 2026 r., wskazane okresy prowadzą odpowiednio do 3 października 2026 r. dla wpisu lub uzupełnienia danych, 3 kwietnia 2027 r. dla wdrożenia obowiązków oraz 3 kwietnia 2028 r. dla pierwszego audytu podmiotu kluczowego.
Praktyczny proces rejestracji opisuje poradnik Jak zarejestrować się w Systemie S46?, a zasady raportowania zdarzeń – materiał Zgłoszenie incydentu NIS2 – dwa terminy na reakcję.
Audyt, nadzór UKE i odpowiedzialność zarządu
Dla sektora komunikacji elektronicznej organem właściwym do spraw cyberbezpieczeństwa jest Prezes UKE. Zakres nadzoru zależy od kategorii podmiotu. Podmiot kluczowy może podlegać kontroli uprzedniej i następczej, natomiast nadzór nad podmiotem ważnym jest co do zasady uruchamiany po uzyskaniu informacji wskazujących na możliwe naruszenie.
Różnica w modelu nadzoru nie zwalnia małego operatora z obowiązku wdrożenia zabezpieczeń, dokumentacji, zgłaszania incydentów ani aktualizowania danych. Co więcej, po poważnym incydencie organ może nakazać podmiotowi ważnemu przeprowadzenie audytu doraźnego. Brak wcześniejszego przygotowania oznacza wtedy konieczność równoległego obsłużenia incydentu, kontroli i braków organizacyjnych.
- Odpowiedzialność kierownika: powierzenie zadań CISO, pełnomocnikowi albo firmie IT nie usuwa ustawowej odpowiedzialności kierownictwa.
- Kara osobista: ustawa przewiduje sankcję dla kierownika do 300% jego miesięcznego wynagrodzenia obliczanego według zasad ustawowych.
- Kary podmiotu: maksymalny poziom zależy od statusu kluczowego lub ważnego oraz podstawy obliczenia przychodów.
- Dowody nadzoru: uchwały, raporty, wyniki testów, rejestry ryzyk i realizacja planów naprawczych powinny pokazywać, że zarząd aktywnie zarządza ryzykiem.
Audyt zerowy przed kontrolą lub audytem ustawowym
Operator nie musi zaczynać od kosztownego audytu certyfikacyjnego. Najpierw warto przeprowadzić analizę luki, która potwierdzi status, zakres systemów, stan dokumentacji i realne braki. Zakres takiej usługi opisujemy w materiale Audyt zerowy KSC/NIS2 – cena i zakres.
Co powinien zrobić przedsiębiorca komunikacji elektronicznej?
Najbezpieczniejsza kolejność nie zaczyna się od kupowania kolejnego narzędzia bezpieczeństwa. Najpierw trzeba potwierdzić status prawny i zakres usług, następnie zinwentaryzować środowisko techniczne oraz ryzyka, a dopiero potem wdrażać zabezpieczenia i dokumentację. Dzięki temu budżet odpowiada rzeczywistym potrzebom operatora.
Status i dane
Zweryfikuj Rejestr PT, Wykaz KSC, wielkość przedsiębiorstwa, powiązania grupowe, zakres usług oraz kompletność danych wymaganych w S46.
Analiza luki
Zidentyfikuj aktywa, ryzyka i istniejące zabezpieczenia. Oceń incydenty, ciągłość działania, dostawców, kopie zapasowe, dostęp uprzywilejowany i dokumentację.
Plan wdrożenia
Przyjmij harmonogram, właścicieli zadań i budżet. Uruchom priorytetowe działania, szkolenie zarządu, procedurę 24/72 i cykl raportowania postępu.
Checklista operatora przed podjęciem decyzji
FAQ dla operatorów i lokalnych ISP
Czy mikroprzedsiębiorca telekomunikacyjny podlega KSC?
Tak, co do zasady mikroprzedsiębiorca komunikacji elektronicznej świadczący odpowiednie usługi w Polsce jest podmiotem ważnym. W tym sektorze mikro i mały rozmiar nie powoduje automatycznego wyłączenia z ustawy.
Czy wpis do rejestru UKE oznacza automatyczny status podmiotu kluczowego?
Nie. Wpis do rejestru UKE wskazuje na status przedsiębiorcy telekomunikacyjnego, ale o kategorii kluczowej lub ważnej rozstrzyga przede wszystkim wielkość przedsiębiorstwa ustalona zgodnie z właściwymi przepisami. Mały operator będzie co do zasady podmiotem ważnym.
Czym różni się Rejestr PT od Wykazu KSC?
Rejestr PT dotyczy wykonywania działalności telekomunikacyjnej i jest prowadzony przez Prezesa UKE. Wykaz KSC obejmuje podmioty kluczowe i ważne oraz służy realizacji obowiązków wynikających z ustawy o krajowym systemie cyberbezpieczeństwa.
Czy dane grupy kapitałowej zawsze podwyższają status operatora?
Nie zawsze. Najpierw stosuje się zasady agregacji danych przedsiębiorstw partnerskich i powiązanych. KSC przewiduje jednak szczególne rozwiązanie, gdy wyższy status wynika wyłącznie z agregacji, a systemy operatora są niezależne albo usługi nie są świadczone wspólnie. Każdy taki przypadek wymaga indywidualnej analizy i udokumentowania.
Ile czasu jest na zgłoszenie do Wykazu KSC?
Podmiot składa wniosek o wpis co do zasady w ciągu 6 miesięcy od spełnienia przesłanek. Przedsiębiorca wpisany z urzędu powinien uzupełnić brakujące dane w ciągu 6 miesięcy od otrzymania zawiadomienia.
Czy mały operator musi przeprowadzać audyt co 3 lata?
Podmiot ważny nie jest objęty cyklicznym obowiązkiem audytowym właściwym dla podmiotu kluczowego. Organ może jednak nakazać mu audyt doraźny, zwłaszcza w związku z informacjami o naruszeniu lub poważnym incydentem.
Czy zewnętrzna firma IT może przejąć odpowiedzialność zarządu?
Nie. Zadania operacyjne można powierzyć pracownikom lub dostawcom, ale kierownictwo nadal odpowiada za zatwierdzenie i nadzór nad środkami zarządzania ryzykiem. Umowa z dostawcą powinna jasno określać zakres, czasy reakcji, raportowanie i odpowiedzialność.
Nie masz pewności, czy operator jest podmiotem kluczowym czy ważnym?
Zweryfikujemy status przedsiębiorcy, dane grupowe i wpis do Wykazu KSC, a następnie wskażemy obowiązki, terminy i kolejność wdrożenia. Otrzymasz konkretną ocenę sytuacji zamiast ogólnej listy wymagań.