3 października 2026 r. upływa istotny termin dla części przedsiębiorców objętych znowelizowaną ustawą o krajowym systemie cyberbezpieczeństwa. Termin ten wynika z nowych wymogów, które wprowadza NIS2.
Nie oznacza to jednak, że każda firma działająca np. w produkcji, transporcie, ochronie zdrowia czy gospodarce odpadami automatycznie podlega nowym obowiązkom.
W przypadku większości przedsiębiorców konieczna jest analiza co najmniej dwóch podstawowych elementów:
1. czym rzeczywiście zajmuje się firma,
2. jakiej wielkości jest przedsiębiorstwo.
Dopiero zestawienie tych kryteriów – wraz ze szczególnymi wyjątkami przewidzianymi w ustawie – pozwala odpowiedzieć na najważniejsze pytanie:
czy moja firma jest podmiotem kluczowym albo podmiotem ważnym w rozumieniu KSC?
W praktyce jednym z najważniejszych punktów orientacyjnych jest próg 50 zatrudnionych osób. Nie oznacza to jednak, że każda firma zatrudniająca 50 osób podlega NIS2 ani że firma zatrudniająca 49 osób zawsze pozostaje poza regulacją.
Kwalifikacja jest bardziej złożona.
Co oznaczają NIS2 i KSC?
NIS2 to unijna dyrektywa dotycząca wysokiego wspólnego poziomu cyberbezpieczeństwa w Unii Europejskiej.
Jej celem jest zwiększenie odporności przedsiębiorstw i instytucji na m.in.:
- cyberataki,
- utratę danych,
- awarie systemów informacyjnych,
- zakłócenia świadczenia usług,
- incydenty w łańcuchu dostaw,
- naruszenia bezpieczeństwa infrastruktury cyfrowej.
W Polsce dyrektywa została wdrożona poprzez nowelizację ustawy o krajowym systemie cyberbezpieczeństwa, czyli ustawy o KSC.
Najprościej:
NIS2 = regulacja unijna
KSC = polskie przepisy określające konkretne obowiązki podmiotów działających w Polsce
Nowelizacja weszła w życie 3 kwietnia 2026 r. i istotnie rozszerzyła katalog organizacji objętych systemem cyberbezpieczeństwa.
Czy NIS2/KSC dotyczy każdej firmy?
Nie.
To jedna z najważniejszych informacji, którą przedsiębiorcy powinni znać.
Samo prowadzenie działalności w jednym z sektorów wymienionych w ustawie nie zawsze oznacza automatyczne objęcie regulacją.
W typowym przypadku trzeba równocześnie zbadać:
- sektor i podsektor działalności,
- faktyczny rodzaj świadczonych usług,
- wielkość przedsiębiorstwa,
- status przedsiębiorstw partnerskich i powiązanych,
- szczególne przesłanki wynikające z art. 5 ustawy.
Dlatego prawidłowa kwalifikacja przedsiębiorstwa wymaga tzw. samoidentyfikacji.
Czy NIS2 dotyczy przede wszystkim firm zatrudniających co najmniej 50 osób?
W dużej części przypadków – tak, jest to bardzo istotny próg praktyczny, ale takie stwierdzenie wymaga kilku zastrzeżeń.
Ustawa o KSC odwołuje się do unijnych zasad ustalania wielkości przedsiębiorstwa.
Małe przedsiębiorstwo to co do zasady przedsiębiorstwo:
- zatrudniające mniej niż 50 osób oraz
- którego roczny obrót lub całkowity bilans roczny nie przekracza 10 mln euro.
Średnie przedsiębiorstwo to natomiast podmiot, który nie jest już mikro- ani małym przedsiębiorstwem, a jednocześnie mieści się w progach przewidzianych dla sektora MŚP.
Dlatego 50 pracowników jest bardzo ważnym punktem odniesienia, ale liczba zatrudnionych nie jest jedyną wartością, którą należy sprawdzić.
Firma zatrudniająca mniej niż 50 osób może w określonych okolicznościach nie mieścić się już w kategorii małego przedsiębiorstwa ze względu na jej dane finansowe.
Z drugiej strony przy ustalaniu wielkości przedsiębiorstwa konieczne może być uwzględnienie danych podmiotów partnerskich lub powiązanych.
Czy firma zatrudniająca mniej niż 50 osób może podlegać KSC?
Tak.
Dlatego nie należy stosować automatycznego założenia:
„mamy 30 pracowników, więc NIS2 nas nie dotyczy”.
Przyczyn może być kilka.
Po pierwsze, o wielkości przedsiębiorstwa nie zawsze przesądza sama liczba pracowników.
Po drugie, w określonych sytuacjach uwzględniane są również dane przedsiębiorstw partnerskich i powiązanych.
Po trzecie, ustawa przewiduje szczególne kategorie podmiotów objętych regulacją niezależnie od wielkości.
Dotyczy to m.in. niektórych dostawców usług DNS, kwalifikowanych dostawców usług zaufania, podmiotów krytycznych czy określonych podmiotów publicznych.
Szczególne reguły przewidziano również dla przedsiębiorców komunikacji elektronicznej oraz niektórych dostawców usług cyfrowych i usług cyberbezpieczeństwa.
Dlatego liczba pracowników powinna być traktowana jako istotny element analizy, ale nie jako jedyny test.
Czy trzeba uwzględniać spółki z grupy kapitałowej?
Może być to konieczne.
Przy ustalaniu wielkości przedsiębiorstwa przepisy unijne przewidują uwzględnianie przedsiębiorstw partnerskich oraz powiązanych.
To szczególnie istotne dla spółek należących do grup kapitałowych.
Nie zawsze można więc oceniać wyłącznie liczbę pracowników, obrót i bilans pojedynczej spółki.
Jednocześnie polska ustawa wprowadza w tym zakresie istotne zastrzeżenie.
Jeżeli status podmiotu kluczowego albo ważnego wynikałby wyłącznie z doliczenia danych przedsiębiorstw partnerskich lub powiązanych, ale system informacyjny danego podmiotu jest od nich niezależny albo podmiot nie świadczy wspólnie z nimi usług, może mieć to znaczenie dla końcowej kwalifikacji.
Dlatego w strukturach grupowych analiza powinna obejmować nie tylko dane finansowe i zatrudnienie, ale również powiązania technologiczne i sposób świadczenia usług.
Jakie firmy powinny szczególnie sprawdzić, czy podlegają KSC?
Nowelizacja obejmuje szeroki katalog sektorów.
Należą do nich m.in.:
- energia,
- transport,
- bankowość,
- infrastruktura rynków finansowych,
- ochrona zdrowia,
- dostarczanie i dystrybucja wody,
- infrastruktura cyfrowa,
- usługi ICT,
- usługi cyfrowe,
- gospodarka odpadami,
- produkcja i dystrybucja chemikaliów,
- produkcja i dystrybucja żywności,
- określone rodzaje produkcji przemysłowej,
- produkcja komputerów i elektroniki,
- produkcja urządzeń elektrycznych,
- produkcja maszyn,
- produkcja pojazdów,
- badania naukowe.
Nie oznacza to jednak, że każda firma produkcyjna albo każda firma z branży spożywczej podlega KSC.
Najpierw trzeba sprawdzić konkretny rodzaj działalności wskazany w załącznikach do ustawy, a następnie zastosować właściwe kryterium wielkości.
Czy wystarczy sprawdzić kod PKD?
Nie.
Kod PKD jest jedynie wskazówką pomocniczą.
Przy samoidentyfikacji decydujące znaczenie ma rzeczywisty charakter prowadzonej działalności.
Przedsiębiorstwo powinno zatem przeanalizować:
- co faktycznie sprzedaje lub produkuje,
- jakie usługi świadczy,
- komu je świadczy,
- w jakim sektorze funkcjonuje,
- jak wygląda jego struktura,
- ilu zatrudnia pracowników,
- jakie osiąga dane finansowe,
- czy posiada podmioty partnerskie lub powiązane.
Dopiero takie zestawienie pozwala na prawidłową kwalifikację.
Podmiot kluczowy czy podmiot ważny – jaka jest różnica?
Nowelizacja KSC wprowadziła podział na:
podmioty kluczowe
oraz
podmioty ważne.
W pewnym uproszczeniu status zależy od rodzaju działalności i wielkości podmiotu.
W przypadku części działalności wskazanych w załączniku nr 1 przedsiębiorca spełniający wymagania średniego przedsiębiorstwa może być podmiotem ważnym, natomiast podmiot przekraczający kryteria średniego przedsiębiorstwa może uzyskać status podmiotu kluczowego.
Dla działalności wskazanych w załączniku nr 2 przedsiębiorstwa co najmniej średnie mogą zostać zakwalifikowane jako podmioty ważne.
Nie jest to jednak uniwersalny schemat dla wszystkich kategorii.
Art. 5 ustawy zawiera szereg regulacji szczególnych, dlatego przy kwalifikacji konkretnej organizacji trzeba analizować dokładny rodzaj podmiotu.
Praktyczny test: czy moja firma może podlegać NIS2/KSC?
Pierwsze sprawdzenie można przeprowadzić poprzez cztery pytania:
1. Czy moja firma prowadzi działalność wymienioną w załączniku nr 1 albo nr 2 do ustawy o KSC?
Jeżeli nie – w typowym przypadku regulacja nie będzie miała zastosowania.
2. Czy firma zatrudnia co najmniej 50 osób?
Jeżeli tak – jest to istotny sygnał, że należy przeprowadzić pełną analizę.
3. Jeżeli firma zatrudnia mniej niż 50 osób – czy przekracza progi finansowe właściwe dla małego przedsiębiorstwa albo należy do większej grupy?
Jeżeli tak – sama liczba pracowników nie przesądza o wyłączeniu spod KSC.
4. Czy firma należy do kategorii objętych regulacją niezależnie od wielkości?
Jeżeli tak – kryterium 50 pracowników może w ogóle nie mieć znaczenia.
Dlaczego 3 października 2026 r. jest ważny?
Podmioty kluczowe i ważne, które spełniały ustawowe kryteria w dniu wejścia w życie nowych przepisów i nie zostały wpisane do Wykazu KSC z urzędu, powinny dokonać wpisu do 3 października 2026 r.
Samorejestracja została uruchomiona 7 maja 2026 r.
Nie należy więc rozpoczynać od samego formularza rejestracyjnego.
Pierwszym etapem powinno być ustalenie czy przedsiębiorstwo faktycznie podlega regulacji.
Dopiero po prawidłowej samoidentyfikacji można przejść do rejestracji.
Czy urząd sam poinformuje firmę, że podlega KSC?
Nie należy na tym polegać. Model przyjęty w ustawie zakłada w wielu przypadkach samoidentyfikację i samorejestrację przedsiębiorcy.
Organ właściwy do spraw cyberbezpieczeństwa posiada kompetencje do analizowania rynku i może dokonać wpisu podmiotu z urzędu, jeżeli stwierdzi, że spełnia on ustawowe przesłanki.
Nie oznacza to jednak, że przedsiębiorca może biernie czekać na pismo z urzędu.
Brak korespondencji od organu nie jest równoznaczny z brakiem obowiązków.
Czy wpis do Wykazu KSC kończy wdrożenie NIS2?
Nie. Rejestracja jest dopiero pierwszym etapem. Podmiot kluczowy lub ważny będzie następnie zobowiązany m.in. do odpowiedniego zarządzania bezpieczeństwem informacji i ryzykiem cyberbezpieczeństwa.
W praktyce obowiązki obejmują m.in.:
- przygotowanie i wdrożenie Systemu Zarządzania Bezpieczeństwem Informacji – SZBI,
- zarządzanie incydentami,
- zgłaszanie określonych incydentów do właściwego CSIRT,
- organizację odpowiedzialności wewnętrznej,
- wyznaczenie osób do kontaktów w ramach KSC,
- korzystanie z Systemu S46,
- bezpieczeństwo łańcucha dostaw,
- ciągłość działania,
- odpowiednią dokumentację.
Dla podmiotów spełniających kryteria w dniu wejścia w życie nowelizacji zasadniczy termin wdrożenia obowiązków przypada na 3 kwietnia 2027 r.
Czym jest SZBI?
SZBI, czyli System Zarządzania Bezpieczeństwem Informacji, nie jest jednym programem informatycznym.
To system organizacyjny obejmujący ludzi, procedury, procesy i rozwiązania techniczne.
Może obejmować m.in.:
- identyfikację i ocenę ryzyk,
- polityki bezpieczeństwa,
- zarządzanie dostępami,
- procedury reagowania na incydenty,
- ciągłość działania,
- bezpieczeństwo dostawców,
- tworzenie kopii zapasowych,
- zarządzanie podatnościami,
- szkolenia,
- dokumentowanie działań.
Dlatego wdrożenie KSC nie powinno być sprowadzane do zakupu nowego oprogramowania.
Czy NIS2/KSC to temat wyłącznie dla działu IT?
Nie. To jeden z najczęstszych błędów w podejściu do nowych regulacji.
Cyberbezpieczeństwo jest oczywiście silnie związane z technologią, ale KSC obejmuje również:
- compliance,
- zarządzanie ryzykiem,
- governance,
- dokumentację,
- nadzór zarządu,
- organizację procesów,
- bezpieczeństwo dostawców,
- reagowanie na incydenty.
Dlatego prawidłowe wdrożenie może wymagać współpracy:
zarządu + IT + compliance + działu prawnego + osób odpowiedzialnych za bezpieczeństwo informacji.
Za co odpowiada zarząd?
Nowe regulacje wyraźnie przesuwają cyberbezpieczeństwo na poziom zarządczy.
Z perspektywy zarządu istotne jest w szczególności:
- prawidłowe ustalenie, czy spółka podlega KSC,
- wykonanie obowiązków rejestracyjnych,
- zapewnienie wdrożenia wymaganych środków,
- zapewnienie zasobów organizacyjnych i finansowych,
- nadzorowanie procesu zarządzania ryzykiem,
- kontrolowanie procedur incydentowych,
- dbanie o bezpieczeństwo dostawców,
- monitorowanie zgodności organizacji z KSC.
Samo przekazanie projektu do działu IT nie oznacza więc, że odpowiedzialność na poziomie zarządczym znika.
Co firma powinna zrobić przed 3 października 2026 r.?
Najbezpieczniejszy model postępowania obejmuje cztery etapy.
1. Samoidentyfikacja
Należy ustalić:
- sektor i podsektor,
- rodzaj działalności,
- wielkość przedsiębiorstwa,
- liczbę pracowników,
- obrót i sumę bilansową,
- powiązania z innymi przedsiębiorstwami,
- ewentualne wyjątki ustawowe.
2. Kwalifikacja
Efektem analizy powinna być odpowiedź:
podmiot kluczowy / podmiot ważny / podmiot nieobjęty KSC.
3. Rejestracja
Jeżeli przedsiębiorstwo podlega samorejestracji, należy dokonać wpisu do Wykazu KSC w ustawowym terminie.
4. Gap analysis i wdrożenie
Następnie trzeba ustalić, jakie wymagania organizacja już spełnia, a czego jeszcze brakuje.
Dopiero wtedy powinien powstać plan wdrożenia.
Checklista NIS2/KSC dla zarządu
Przed 3 października warto odpowiedzieć na następujące pytania:
Czy wiemy, czy nasza działalność znajduje się w załączniku nr 1 lub 2 do KSC?
Czy prawidłowo ustaliliśmy wielkość przedsiębiorstwa?
Czy uwzględniliśmy przedsiębiorstwa partnerskie i powiązane?
Czy sprawdziliśmy, czy przepisy szczególne obejmują nas niezależnie od wielkości?
Czy wiemy, czy jesteśmy podmiotem kluczowym czy ważnym?
Czy musimy dokonać samorejestracji do 3 października 2026 r.?
Czy mamy plan dostosowania organizacji do 3 kwietnia 2027 r.?
Czy zarząd jest regularnie informowany o ryzykach cyberbezpieczeństwa?
Czy mamy procedurę reagowania na incydenty?
Czy znamy ryzyka związane z naszymi dostawcami i podwykonawcami?
Najczęstsze pytania – NIS2/KSC Q&A
Czy NIS2 dotyczy wszystkich firm zatrudniających co najmniej 50 osób?
Nie. Firma musi również prowadzić działalność należącą do zakresu ustawy albo spełniać jedną ze szczególnych przesłanek objęcia regulacją.
50 pracowników to ważny próg, ale nie automatyczny test NIS2.
Czy firma zatrudniająca 20 osób może podlegać KSC?
Tak, w określonych przypadkach. Może to wynikać m.in. z danych finansowych, zasad dotyczących przedsiębiorstw partnerskich lub powiązanych albo szczególnego rodzaju prowadzonej działalności.
Czy firma zatrudniająca 100 osób zawsze podlega NIS2?
Nie. Jeżeli nie prowadzi działalności objętej ustawą i nie spełnia żadnej ze szczególnych przesłanek, sama liczba pracowników nie powoduje objęcia KSC.
Czy PKD przesądza o objęciu regulacją?
Nie. Kod PKD może pomagać w analizie, ale decydujący jest faktyczny rodzaj działalności.
Czy trzeba brać pod uwagę grupę kapitałową?
W określonych sytuacjach tak. Przy ustalaniu wielkości przedsiębiorstwa należy analizować także przedsiębiorstwa partnerskie i powiązane, z uwzględnieniem szczególnych regulacji KSC dotyczących niezależności systemów informacyjnych i wspólnego świadczenia usług.
Czy brak 50 pracowników oznacza, że nic nie trzeba robić?
Nie należy tak zakładać. Najpierw trzeba sprawdzić zarówno wielkość przedsiębiorstwa według pełnych kryteriów, jak i ewentualne wyjątki ustawowe.
Do kiedy trzeba dokonać wpisu?
Dla podmiotów kluczowych i ważnych spełniających kryteria w chwili wejścia w życie nowelizacji termin samorejestracji upływa 3 października 2026 r.
Do kiedy trzeba wdrożyć obowiązki KSC?
Dla tych podmiotów zasadniczy okres dostosowawczy kończy się 3 kwietnia 2027 r.
NIS2/KSC – od czego najlepiej zacząć?
Nie od zakupu systemu bezpieczeństwa. Nie od zamówienia audytu technicznego. I nie od automatycznego założenia: „mamy mniej niż 50 osób, więc temat nas nie dotyczy”.
Pierwszym krokiem powinna być prawidłowa kwalifikacja prawna przedsiębiorstwa.
Dopiero po ustaleniu:
- rodzaju działalności,
- wielkości przedsiębiorstwa,
- struktury grupy,
- statusu podmiotu,
- właściwego sektora,
można odpowiedzieć na pytanie, jakie obowiązki rzeczywiście trzeba wdrożyć.
To szczególnie ważne obecnie, ponieważ termin 3 października 2026 r. jest coraz bliżej.
RPR LEGAL Radcowie Prawni i Adwokaci wspiera przedsiębiorców i spółki w zakresie NIS2/KSC, prawa nowych technologii, compliance oraz bieżącej obsługi prawnej biznesu, w tym w przeprowadzaniu analizy kwalifikacyjnej, ustalaniu statusu podmiotu kluczowego lub ważnego oraz organizacji procesu wdrożenia obowiązków KSC.