NIS2 i KSC – czy Twoja firma jest podmiotem kluczowym lub ważnym?

Nowelizacja ustawy o Krajowym Systemie Cyberbezpieczeństwa znacząco rozszerzyła katalog organizacji objętych obowiązkami z zakresu cyberbezpieczeństwa.

Jednym z pierwszych pytań, jakie powinna zadać sobie organizacja, jest:

Czy jesteśmy podmiotem kluczowym lub podmiotem ważnym w rozumieniu ustawy o KSC?

To istotne szczególnie teraz, ponieważ 3 października 2026 r. upływa termin samorejestracji w Wykazie KSC dla podmiotów, które spełniały odpowiednie przesłanki już w dniu wejścia w życie nowelizacji, czyli 3 kwietnia 2026 r., i nie są wpisywane do wykazu z urzędu.

Czy firma jest podmiotem kluczowym czy ważnym?

Najprościej przeprowadzić wstępną kwalifikację firmy w trzech krokach:

sektor działalności → wielkość przedsiębiorstwa → wyjątki i szczególne przesłanki z art. 5 ustawy o KSC.

Sama obecność firmy w sektorze objętym nowymi przepisami nie oznacza jeszcze automatycznie, że każda organizacja, niezależnie od swojej wielkości i rodzaju działalności, będzie podlegała tym samym obowiązkom.

Podczas samoidentyfikacji należy przeanalizować przede wszystkim sektor, rodzaj prowadzonej działalności, wielkość organizacji oraz pozostałe kryteria wynikające z ustawy.

1. Najpierw sprawdź sektor działalności

Pierwszym krokiem jest ustalenie, czy działalność organizacji znajduje się wśród sektorów wskazanych w ustawie o KSC.

W załączniku nr 1 znajdują się sektory o szczególnym znaczeniu dla gospodarki i funkcjonowania państwa, obejmujące m.in. energetykę, transport, bankowość, ochronę zdrowia, wodę, infrastrukturę cyfrową oraz wybrane podmioty publiczne.

Ustawa przewiduje również drugą grupę działalności.

Obejmuje ona m.in. usługi pocztowe, gospodarowanie odpadami, sektor chemiczny, produkcję i dystrybucję żywności, określone rodzaje produkcji przemysłowej, usługi cyfrowe i badania naukowe.

Pełną kwalifikację należy zawsze przeprowadzić na podstawie aktualnego brzmienia ustawy i właściwego rodzaju działalności, a nie wyłącznie ogólnej nazwy sektora.

2. Następnie sprawdź wielkość przedsiębiorstwa

Przy ustalaniu statusu organizacji znaczenie może mieć jej wielkość.

Mikroprzedsiębiorstwo
mniej niż 10 pracowników oraz obrót roczny lub suma bilansowa nieprzekraczające 2 mln EUR.

Małe przedsiębiorstwo
mniej niż 50 pracowników oraz obrót roczny lub suma bilansowa nieprzekraczające 10 mln EUR.

Średnie przedsiębiorstwo
mniej niż 250 pracowników oraz:

• obrót roczny nieprzekraczający 50 mln EUR lub
• suma bilansowa nieprzekraczająca 43 mln EUR,

przy czym przedsiębiorstwo nie spełnia już kryteriów małego przedsiębiorstwa.

Duże przedsiębiorstwo
przedsiębiorstwo przekraczające progi właściwe dla średniego przedsiębiorcy.

Przy ustalaniu wielkości firmy należy również zwrócić uwagę na przedsiębiorstwa partnerskie i powiązane. W określonych przypadkach nie można więc ograniczyć analizy wyłącznie do jednej spółki i jej własnego zatrudnienia lub obrotu.

3. Podmiot kluczowy czy ważny?

Po ustaleniu sektora i wielkości przedsiębiorstwa można przejść do wstępnego określenia statusu organizacji.

W typowej sytuacji duże przedsiębiorstwa działające w sektorach określonych w załączniku nr 1 kwalifikują się jako podmioty kluczowe, natomiast określone średnie przedsiębiorstwa oraz podmioty działające w sektorach załącznika nr 2 mogą zostać zakwalifikowane jako podmioty ważne.

Nie można jednak opierać oceny wyłącznie na tej uproszczonej tabeli.

Bardzo istotne są wyjątki i szczególne przypadki określone w art. 5 ustawy o KSC. Dlatego prawidłowa samoidentyfikacja powinna zawsze obejmować analizę całego przepisu oraz odpowiedniego załącznika.

Ważny wyjątek – telekomunikacja

Szczególną uwagę należy zwrócić na przedsiębiorców telekomunikacyjnych.

W tym przypadku nie można przyjąć prostego założenia:

„firma ma mniej niż 50 pracowników, więc KSC jej nie dotyczy”.

W przypadku przedsiębiorców telekomunikacyjnych wielkość organizacji wpływa na jej status jako podmiotu kluczowego albo ważnego, ale sama niewielka wielkość przedsiębiorstwa nie oznacza automatycznie wyłączenia z KSC.

Ustawa przewiduje także inne szczególne kategorie, w których standardowe kryterium wielkości nie jest jedynym elementem decydującym o objęciu przepisami.

Dlatego podczas auditu lub samoidentyfikacji należy zweryfikować art. 5 ustawy, a nie ograniczać się jedynie do tabeli zatrudnienia i obrotów.

Jak wpisać się do Wykazu KSC?

Jeżeli z przeprowadzonej analizy wynika, że organizacja spełnia kryteria podmiotu kluczowego albo ważnego i nie została wpisana do wykazu z urzędu, powinna dokonać samorejestracji.

Wykaz KSC jest aplikacją stanowiącą część Systemu S46.

Proces można przedstawić w kilku krokach:

1. Wejdź do aplikacji Wykaz KSC w Systemie S46.
2. Zaloguj się i rozpocznij proces wpisu nowego podmiotu.
3. Uzupełnij dane identyfikacyjne organizacji, w tym m.in. nazwę, NIP, REGON i wymagane dane adresowe.
4. W części dotyczącej klasyfikacji wskaż właściwy sektor, podsektor oraz rodzaj działalności.
5. Uzupełnij dane osób kontaktowych oraz administratorów systemu.
6. Wprowadź wymagane dane techniczne, w tym odpowiednie informacje dotyczące domen i publicznych adresów IP.
7. Uzupełnij pozostałe informacje wymagane dla danego rodzaju organizacji.
8. Jeżeli wniosek składa osoba działająca z upoważnienia kierownika podmiotu – przygotuj właściwe pełnomocnictwo.
9. Zweryfikuj dane i wymagane oświadczenia.
10. Podpisz i prześlij wniosek elektronicznie.

Przed rozpoczęciem procesu warto przygotować m.in. dane identyfikacyjne organizacji, informacje dotyczące klasyfikacji sektorowej, dane kontaktowe, informacje o osobach odpowiedzialnych za cyberbezpieczeństwo oraz wymagane dane techniczne, takie jak adresy IP i domeny.

Wniosek składa kierownik podmiotu albo osoba przez niego upoważniona.

Termin 3 października 2026 r. – kogo dokładnie dotyczy?

Termin 3 października 2026 r. dotyczy podmiotów zobowiązanych do samorejestracji, które spełniały przesłanki uznania ich za podmiot kluczowy lub ważny już 3 kwietnia 2026 r., czyli w dniu wejścia w życie nowelizacji ustawy.

Nie wszystkie organizacje muszą składać wniosek samodzielnie. Część podmiotów jest wpisywana do wykazu z urzędu.

Dlatego pierwszym etapem zawsze powinna być prawidłowa samoidentyfikacja organizacji.

Co dzieje się po wpisie?

Wpis do Wykazu KSC jest również powiązany z dostępem do S46 Cyber Hub.

Platforma umożliwia podmiotom KSC m.in.:

• zgłaszanie i obsługę incydentów,
• odbieranie ostrzeżeń,
• wymianę informacji o cyberzagrożeniach,
• współpracę z zespołami CSIRT,
• współpracę z organami właściwymi ds. cyberbezpieczeństwa.

Administrator wskazany podczas rejestracji uzyskuje dostęp do S46 Cyber Hub bez konieczności składania dodatkowego wniosku.

Sam wpis do Wykazu KSC to dopiero początek

Rejestracja nie wyczerpuje obowiązków organizacji wynikających z nowych przepisów.

Nowelizacja KSC, wdrażająca wymagania dyrektywy NIS2, nakłada na podmioty kluczowe i ważne również obowiązki związane m.in. z zarządzaniem ryzykiem cyberbezpieczeństwa oraz wdrożeniem odpowiednich rozwiązań organizacyjnych i technicznych.

Dlatego organizacja powinna nie tylko odpowiedzieć sobie na pytanie:

„Czy muszę wpisać się do Wykazu KSC?”

ale również:

„Czy jesteśmy przygotowani do spełnienia pozostałych obowiązków wynikających z KSC i NIS2?”

Termin samorejestracji dla podmiotów objętych tym obowiązkiem: 3 października 2026 r.