Czy Twoja firma podlega NIS2? Zrób test samoidentyfikacji podmiotu kluczowego lub podmiotu ważnego przed 3 października 2026 roku

11 minut temu

7 minut(y) czytania

Nowelizacja ustawy o krajowym systemie cyberbezpieczeństwa, wdrażająca w Polsce dyrektywę NIS2, obowiązuje od 3 kwietnia 2026 roku. Do 3 paździenrika 2026 roku należy dokonać zgłoszenia do wykazu Krajowego Systemu Cyberbezpieczeństwa

Znacznie rozszerzyła krąg organizacji objętych wymaganiami cyberbezpieczeństwa. Nowe przepisy nie dotyczą już wyłącznie największych operatorów infrastruktury krytycznej. Mogą obejmować również średnie przedsiębiorstwa produkcyjne, podmioty lecznicze, dostawców usług IT, firmy spożywcze, operatorów pocztowych, jednostki badawcze czy podmioty gospodarujące odpadami.

To przedsiębiorca powinien ustalić, czy spełnia ustawowe przesłanki uznania go za podmiot kluczowy albo podmiot ważny. Brak indywidualnego zawiadomienia nie oznacza, że firma nie podlega ustawie. W wielu przypadkach działa mechanizm samoidentyfikacji, po którym należy złożyć wniosek o wpis do Wykazu KSC.

Poniższy test pozwala przeprowadzić wstępną ocenę. Nie zastępuje jednak analizy konkretnej działalności według art. 5 oraz załączników nr 1 i 2 do ustawy o krajowym systemie cyberbezpieczeństwa.

NIS2 czy ustawa o KSC — które przepisy stosuje polska firma?

NIS2 to dyrektywa Parlamentu Europejskiego i Rady (UE) 2022/2555. Dyrektywa wyznaczyła wspólne europejskie ramy bezpieczeństwa sieci i systemów informatycznych, natomiast obowiązki polskich przedsiębiorców wynikają przede wszystkim z krajowej ustawy o KSC.

W praktyce pytanie „czy firma podlega NIS2?” oznacza więc najczęściej: czy spełnia przesłanki uznania za podmiot kluczowy albo ważny na gruncie znowelizowanej ustawy o krajowym systemie cyberbezpieczeństwa.

Analiza obejmuje trzy elementy:

1. rzeczywisty rodzaj prowadzonej działalności;

2. wielkość przedsiębiorstwa;

3. szczególne reguły i wyjątki określone w art. 5 ustawy.

TEST: czy Twoja organizacja może podlegać ustawie o KSC?

Pytanie 1. Czy prowadzisz działalność w sektorze wymienionym w załączniku nr 1 lub nr 2?

Jeżeli odpowiedź brzmi „nie”, firma co do zasady nie będzie podmiotem kluczowym ani ważnym wyłącznie na podstawie ogólnych kryteriów sektorowych i wielkościowych. Trzeba jednak jeszcze sprawdzić szczególne przypadki z art. 5 ustawy.

Jeżeli odpowiedź brzmi „tak” lub „nie wiem”, przejdź do kolejnych pytań.

Sektory ujęte w załączniku nr 1

Załącznik nr 1 obejmuje:

· energię, w tym energię elektryczną, ciepło, ropę, paliwa, gaz, wodór, energetykę jądrową i wydobywanie kopalin;

· transport lotniczy, kolejowy, wodny i drogowy;

· bankowość i infrastrukturę rynków finansowych;

· ochronę zdrowia, w tym określone podmioty lecznicze, zdrowie publiczne oraz produkcję i dystrybucję substancji czynnych, produktów leczniczych i wyrobów medycznych;

· zaopatrzenie w wodę pitną i jej dystrybucję;

· zbiorowe odprowadzanie ścieków;

· infrastrukturę cyfrową, w tym określonych dostawców usług cyfrowych i komunikacji elektronicznej;

· zarządzanie usługami ICT;

· przestrzeń kosmiczną;

· określone podmioty publiczne.

Sektory ujęte w załączniku nr 2

Załącznik nr 2 obejmuje:

· usługi pocztowe;

· inwestycje energetyki jądrowej;

· gospodarowanie odpadami;

· produkcję, wytwarzanie i dystrybucję chemikaliów;

· produkcję, przetwarzanie i dystrybucję żywności;

· produkcję określonych wyrobów, m.in. wyrobów medycznych, komputerów, elektroniki, urządzeń elektrycznych, maszyn, pojazdów i sprzętu transportowego;

· określonych dostawców usług cyfrowych;

· badania naukowe;

· podmioty publiczne inne niż wskazane w załączniku nr 1.

Pełny katalog jest bardziej szczegółowy niż nazwy sektorów. Należy sprawdzić konkretny rodzaj podmiotu i działalności wskazany w odpowiednim wierszu załącznika. Aktualne zestawienie sektorów publikuje również Ministerstwo Cyfryzacji.

Pytanie 2. Czy właściwy kod PKD wystarcza do kwalifikacji?

Nie. Kod PKD jest wskazówką, ale nie rozstrzyga samodzielnie o podleganiu ustawie. Decydujący jest faktyczny zakres usług, procesów lub zadań wykonywanych przez podmiot.

Firma może podlegać KSC również wtedy, gdy działalność objęta ustawą nie została ujawniona jako jej przeważający kod PKD. Z drugiej strony samo posiadanie określonego kodu nie przesądza, że działalność jest rzeczywiście wykonywana w sposób odpowiadający definicji ustawowej.

W ramach samoidentyfikacji warto zatem przeanalizować:

· wpisy w CEIDG albo KRS;

· wszystkie wykonywane rodzaje działalności, nie tylko działalność przeważającą;

· umowy z klientami i opis świadczonych usług;

· regulaminy, zezwolenia i decyzje administracyjne;

· stronę internetową i materiały ofertowe;

· rzeczywistą rolę firmy w łańcuchu dostaw.

Ministerstwo Cyfryzacji podkreśla, że o kwalifikacji decyduje rzeczywisty charakter działalności, a kod PKD ma znaczenie pomocnicze. Zobacz oficjalne wyjaśnienia dotyczące samoidentyfikacji.

Pytanie 3. Jakiej wielkości jest przedsiębiorstwo?

W większości przypadków działalność w odpowiednim sektorze trzeba zestawić z wielkością przedsiębiorstwa. Stosowane są następujące progi:

Kategoria	Liczba zatrudnionych	Dane finansowe
Mikroprzedsiębiorstwo	mniej niż 10	obrót roczny lub suma bilansowa do 2 mln euro
Małe przedsiębiorstwo	mniej niż 50	obrót roczny lub suma bilansowa do 10 mln euro
Średnie przedsiębiorstwo	mniej niż 250	obrót roczny do 50 mln euro lub suma bilansowa do 43 mln euro
Duże przedsiębiorstwo	przekroczenie progów właściwych dla średniego przedsiębiorstwa	ocena według właściwych danych zatrudnienia i finansowych

Najczęstszy błąd polega na sprawdzeniu wyłącznie danych jednej spółki. Przy obliczaniu wielkości należy uwzględnić także przedsiębiorstwa partnerskie i powiązane. Może się więc zdarzyć, że niewielka spółka należąca do grupy kapitałowej zostanie potraktowana jako przedsiębiorstwo większe, niż wynikałoby to z jej własnego zatrudnienia i obrotu.

Ustawa przewiduje jednak szczególne reguły dotyczące oceny podmiotów powiązanych. Dlatego struktury holdingowe, franczyzowe i właścicielskie wymagają analizy zamiast prostego zsumowania wszystkich spółek „na wszelki wypadek”.

Pytanie 4. Czy firma jest co najmniej średnim przedsiębiorstwem?

Jeżeli firma:

· wykonuje działalność wymienioną w załączniku nr 1 albo nr 2 oraz

· jest co najmniej średnim przedsiębiorstwem,

istnieje wysokie prawdopodobieństwo, że podlega ustawie jako podmiot kluczowy albo ważny. Ostateczna kategoria zależy od art. 5, rodzaju działalności i wielkości podmiotu.

W dużym uproszczeniu:

· duże przedsiębiorstwa wykonujące określone rodzaje działalności z załącznika nr 1 najczęściej będą podmiotami kluczowymi;

· średnie podmioty z załącznika nr 1 oraz średnie i duże podmioty z załącznika nr 2 najczęściej będą podmiotami ważnymi, o ile szczególny przepis nie kwalifikuje ich inaczej;

· małe i mikroprzedsiębiorstwa najczęściej pozostają poza zakresem regulacji, ale od tej zasady istnieją istotne wyjątki.

Określenia „sektor kluczowy” i „podmiot kluczowy” nie są synonimami. Samo prowadzenie działalności wymienionej w załączniku nr 1 nie przesądza jeszcze o kategorii konkretnej firmy.

Pytanie 5. Czy podlegasz ustawie niezależnie od wielkości?

W niektórych przypadkach kryterium wielkości nie wyłącza obowiązków. Szczególne zasady dotyczą m.in. określonych:

· przedsiębiorców telekomunikacyjnych;

· dostawców usług zaufania;

· rejestrów nazw domen najwyższego poziomu i podmiotów świadczących usługi systemu nazw domen;

· podmiotów publicznych;

· podmiotów krytycznych lub organizacji wskazanych ze względu na znaczenie świadczonych usług.

Przykładowo wszyscy przedsiębiorcy telekomunikacyjni podlegają ustawie bez względu na wielkość. Duży i średni przedsiębiorca telekomunikacyjny jest kwalifikowany jako podmiot kluczowy, a mały i mikroprzedsiębiorca — jako podmiot ważny.

Dlatego odpowiedź „zatrudniamy mniej niż 50 osób” nie kończy testu. Mały podmiot powinien jeszcze sprawdzić, czy nie należy do kategorii objętej regulacją niezależnie od wielkości.

Pytanie 6. Czy firma otrzymała zawiadomienie o wpisie z urzędu?

Do Wykazu KSC z urzędu wpisywane są m.in.:

· podmioty publiczne;

· przedsiębiorcy telekomunikacyjni;

· dostawcy usług zaufania;

· podmioty, które wcześniej miały status operatora usługi kluczowej.

Po otrzymaniu wezwania podmiot powinien uzupełnić wpis w terminie sześciu miesięcy. Nie należy składać drugiego wniosku o samorejestrację, jeżeli podmiot został już wpisany z urzędu.

Brak zawiadomienia ma jednak ograniczone znaczenie. Prywatne przedsiębiorstwa, które nie należą do grup wpisywanych z urzędu, muszą samodzielnie ocenić swój status i złożyć wniosek.

Pytanie 7. Czy trzeba wpisać firmę do Wykazu KSC?

Jeżeli organizacja spełnia przesłanki podmiotu kluczowego lub ważnego i nie jest wpisywana z urzędu, powinna dokonać samorejestracji.

Podmioty, które spełniały kryteria w dniu wejścia w życie nowelizacji, mają złożyć wniosek o wpis do 3 października 2026 r. Samorejestracja jest dostępna od 7 maja 2026 r. w elektronicznym Wykazie KSC. Wniosek podpisuje kierownik podmiotu albo osoba przez niego upoważniona. Ministerstwo Cyfryzacji opisuje procedurę wpisu krok po kroku.

Jeżeli przesłanki zostaną spełnione później, termin należy ustalić zgodnie z przepisami odnoszącymi się do powstania lub zmiany statusu podmiotu. Nie warto czekać na kontrolę ani na pismo organu, ponieważ ustawowy status powstaje w wyniku spełnienia przesłanek, a nie dopiero wskutek wpisu do wykazu.

Wynik testu

Wynik A — firma prawdopodobnie nie podlega KSC

Taki wynik jest najbardziej prawdopodobny, gdy firma:

· nie wykonuje żadnej działalności wymienionej w załącznikach nr 1 i 2;

· nie należy do kategorii objętej ustawą niezależnie od wielkości;

· nie została uznana za podmiot o szczególnym znaczeniu na podstawie art. 5.

Warto zachować krótką notatkę z przeprowadzonej analizy i ponawiać ją po zmianie profilu działalności, struktury grupy lub wielkości przedsiębiorstwa.

Wynik B — potrzebna jest pogłębiona analiza

Dotyczy to szczególnie sytuacji, gdy:

· działalność firmy tylko częściowo odpowiada opisowi z załącznika;

· kod PKD i faktyczny zakres usług nie są spójne;

· spółka należy do grupy kapitałowej;

· firma świadczy usługi IT dla podmiotów objętych KSC;

· trudno ustalić, czy usługa ma charakter zarządzanej usługi ICT, usługi chmurowej, centrum danych, platformy cyfrowej lub innej usługi wskazanej w ustawie;

· występuje kilka możliwych podstaw kwalifikacji.

Samo bycie dostawcą podmiotu objętego KSC nie zawsze powoduje, że dostawca również staje się podmiotem kluczowym lub ważnym. Może jednak skutkować daleko idącymi wymaganiami kontraktowymi dotyczącymi bezpieczeństwa łańcucha dostaw.

Wynik C — firma prawdopodobnie jest podmiotem kluczowym lub ważnym

Takiego wyniku należy spodziewać się, jeżeli firma wykonuje działalność szczegółowo wskazaną w załączniku nr 1 lub 2, osiąga wymagany próg wielkości albo należy do kategorii objętej regulacją niezależnie od wielkości.

W takim przypadku należy ustalić właściwą kategorię, tryb wpisu i organ właściwy, a następnie rozpocząć wdrażanie obowiązków. Sama rejestracja nie wyczerpuje wymagań KSC.

Co po ustaleniu, że firma podlega KSC?

Podmioty, które spełniały kryteria w dniu wejścia w życie nowelizacji, powinny:

· złożyć wniosek o wpis do Wykazu KSC do 3 października 2026 roku, jeżeli nie podlegają wpisowi z urzędu;

· podłączyć się do systemu S46 do 3 kwietnia 2027 roku;

· do 3 kwietnia 2027 roku wdrożyć wymagane rozwiązania organizacyjne i techniczne, w tym system zarządzania bezpieczeństwem informacji;

· przygotować proces zarządzania i zgłaszania incydentów;

· wyznaczyć osoby odpowiedzialne za kontakty w ramach KSC;

· uwzględnić bezpieczeństwo łańcucha dostaw i personelu;

· zapewnić wymaganą dokumentację oraz dowody realizowania obowiązków.

Podmioty kluczowe, które nie były wcześniej operatorami usług kluczowych, powinny przeprowadzić pierwszy obowiązkowy audyt cyberbezpieczeństwa do 3 kwietnia 2028 r. Kolejne audyty przeprowadza się co najmniej raz na trzy lata. Terminy i podstawowe obowiązki potwierdza Ministerstwo Cyfryzacji.

Najczęstsze błędy podczas samoidentyfikacji

Do błędnej kwalifikacji prowadzi najczęściej:

1. sprawdzenie tylko przeważającego kodu PKD;

2. pominięcie działalności faktycznie wykonywanej, lecz ubocznej;

3. utożsamienie załącznika nr 1 z automatycznym statusem podmiotu kluczowego;

4. ocena wielkości wyłącznie na podstawie danych jednej spółki;

5. nieuwzględnienie przedsiębiorstw partnerskich i powiązanych;

6. założenie, że mała firma nigdy nie podlega KSC;

7. oczekiwanie na indywidualną decyzję albo zawiadomienie organu;

8. potraktowanie wpisu do wykazu jako jedynego obowiązku;

9. brak udokumentowania przeprowadzonej analizy;

10. przyjęcie, że certyfikat ISO automatycznie oznacza pełną zgodność z ustawą.

Jak udokumentować samoidentyfikację?

Nawet gdy wynik analizy jest negatywny, warto sporządzić notatkę zawierającą:

· opis rzeczywistej działalności;

· analizę właściwych pozycji załączników nr 1 i 2;

· wykaz kodów PKD i wyjaśnienie ich znaczenia;

· dane dotyczące zatrudnienia, obrotu i sumy bilansowej;

· opis przedsiębiorstw partnerskich i powiązanych;

· analizę wyjątków z art. 5;

· wniosek dotyczący statusu podmiotu;

· datę analizy i termin jej ponownego przeglądu.

Taki dokument nie daje formalnego „certyfikatu niepodlegania”, ale pozwala wykazać, że zarząd nie zignorował obowiązku oceny i oparł decyzję na konkretnych danych.

Podsumowanie

Ustalenie, czy firma podlega NIS2 i ustawie o KSC, nie powinno opierać się na jednym kodzie PKD ani na intuicji, że przepisy dotyczą wyłącznie wielkich przedsiębiorstw. Prawidłowa samoidentyfikacja wymaga połączenia trzech analiz: faktycznej działalności, wielkości podmiotu oraz szczególnych reguł z art. 5 ustawy.

Jeżeli firma działa w jednym z sektorów wskazanych w załącznikach, jest co najmniej średnim przedsiębiorstwem, należy do grupy kapitałowej albo świadczy usługi cyfrowe lub ICT, wynik powinien zostać zweryfikowany szczególnie starannie. Do 3 października 2026 r. pozostało niewiele czasu, a wpis do Wykazu KSC jest dopiero początkiem procesu dostosowania organizacji.

Stan prawny na dzień: 9 września 2026 roku

Zdjęcie: magnific.com