NIS2 – kogo dotyczy ustawa o KSC? Jak sprawdzić, czy Twoja firma jest podmiotem kluczowym lub ważnym

NIS2 to unijna dyrektywa o cyberbezpieczeństwie. Dyrektywa nie obowiązuje firm bezpośrednio – obowiązki wynikają z prawa krajowego. W Polsce wdraża ją nowelizacja ustawy o krajowym systemie cyberbezpieczeństwa (w skrócie ustawa o KSC lub UoKSC), która obowiązuje od 3 kwietnia 2026 r.

Nowe przepisy zastąpiły dawny podział na „operatorów usług kluczowych”. Teraz są dwie kategorie: podmioty kluczowe i podmioty ważne. Obie mają te same podstawowe obowiązki w zakresie zarządzania ryzykiem, zgłaszania incydentów i odpowiedzialności zarządu.

Najważniejsza zmiana praktyczna polega na tym, że nikt nie wskaże firmy z góry. Firma sama sprawdza, czy spełnia warunki, i sama składa wniosek o wpis do wykazu prowadzonego przez ministra właściwego do spraw informatyzacji. Organ może jednak wpisać firmę z urzędu albo uznać ją za podmiot kluczowy lub ważny decyzją.

Ustawa ma dwa załączniki z sektorami. Załącznik nr 1 to sektory kluczowe, załącznik nr 2 – sektory ważne. Każdy sektor ma podsektory i opis rodzaju podmiotu, więc liczy się konkretna działalność, a nie ogólna branża.

Kilka przykładów, które często zaskakują. Transport drogowy w załączniku nr 1 obejmuje zarządców dróg i dostawców inteligentnych systemów transportowych, a nie zwykłe firmy przewozowe. Produkcja w załączniku nr 2 obejmuje tylko wybrane działy, m.in. wyroby medyczne, elektronikę, urządzenia elektryczne, maszyny i pojazdy, a nie całe przetwórstwo przemysłowe.

Tabela poniżej pokazuje główne sektory. Pełną listę z rodzajami podmiotów i odwołaniami do kodów działalności znajdziesz w załącznikach do ustawy w Dzienniku Ustaw.

Ustawa odsyła do unijnej definicji małych i średnich przedsiębiorstw. Liczy się nie tylko zatrudnienie, ale też obrót i suma bilansowa. Stan ocenia się na dzień sporządzenia sprawozdania finansowego.

Firma przestaje być mała, gdy zatrudnia co najmniej 50 osób albo gdy zarówno jej roczny obrót, jak i suma bilansowa przekraczają 10 mln euro. Zatrudnienie liczy się w rocznych jednostkach pracy, czyli w przeliczeniu na pełne etaty w ciągu roku.

Przykład pokazuje, dlaczego warto sprawdzić oba wskaźniki finansowe. Weźmy hipotetyczną firmę z 40 osobami, obrotem 12 mln euro i sumą bilansową 5 mln euro. Obrót przekracza 10 mln euro, ale bilans nie, więc firma pozostaje mała i co do zasady nie podlega ustawie.

Przy ocenie wielkości dolicza się dane przedsiębiorstw powiązanych i partnerskich, czyli spółek, które kontrolujesz, które kontrolują Ciebie albo w których masz znaczące udziały. Spółka zatrudniająca 30 osób w grupie liczącej 300 osób może więc formalnie przekroczyć próg dużej firmy.

Polska ustawa przewiduje tu ważny wyjątek (art. 5 ust. 6 i 7). Dotyczy firmy, która przekracza próg tylko dzięki danym grupy. Jeśli jej system informacyjny jest niezależny od systemów spółek z grupy albo nie świadczy z nimi usług wspólnie, nie jest podmiotem kluczowym ani ważnym.

Warunek sektora obowiązuje zawsze. Spółka z dużej grupy, która nie działa w żadnym sektorze z załączników, nie staje się podmiotem objętym ustawą tylko z powodu wielkości grupy. Przy wspólnych systemach IT w grupie ocenę warto potwierdzić z prawnikiem.

Kategorię wyznacza połączenie sektora i wielkości. Zasady podstawowe zebraliśmy w tabeli poniżej. Gdy firma spełnia warunki obu kategorii, jest podmiotem kluczowym.

Obie kategorie mają te same podstawowe obowiązki: system zarządzania bezpieczeństwem informacji, zgłaszanie incydentów i odpowiedzialność zarządu. Różnią się nadzorem i wysokością kar. Podmiot kluczowy może być kontrolowany w każdej chwili i przechodzi obowiązkowe audyty, a podmiot ważny jest kontrolowany głównie po sygnale o nieprawidłowościach.

Maksymalne kary to 10 mln euro lub 2% przychodów dla podmiotu kluczowego oraz 7 mln euro lub 1,4% przychodów dla podmiotu ważnego. Kary pieniężne można nakładać dopiero od 3 kwietnia 2028 r., a kierownik podmiotu, czyli zwykle zarząd, może zostać ukarany osobiście. Szczegóły opisujemy w osobnym artykule o karach.

Niektóre podmioty są objęte ustawą niezależnie od wielkości albo już jako małe firmy. Jeśli prowadzisz którąś z poniższych działalności, sprawdź swoją sytuację szczególnie starannie.

Organ właściwy do spraw cyberbezpieczeństwa może też decyzją uznać za podmiot kluczowy lub ważny mniejszą firmę z sektora z załączników. Dzieje się tak np. wtedy, gdy jako jedyna świadczy usługę ważną dla regionu albo gdy jej awaria zagroziłaby bezpieczeństwu publicznemu.

Poniższe przykłady są hipotetyczne i uproszczone. Pokazują sposób rozumowania, a nie gotową opinię prawną dla konkretnej firmy.

Producent maszyn rolniczych zatrudniający 120 osób. Produkcja maszyn jest w załączniku nr 2, a firma jest średnia. To podmiot ważny, niezależnie od tego, czy obsługuje klientów krajowych, czy zagranicznych.

Firma informatyczna zatrudniająca 60 osób, która administruje serwerami i siecią klientów na stałej umowie. To dostawca usług zarządzanych z sektora zarządzania usługami ICT w załączniku nr 1. Jako firma średnia jest podmiotem ważnym, a gdyby prowadziła też monitoring bezpieczeństwa klientów, byłaby podmiotem kluczowym.

Firma transportowa zatrudniająca 200 osób, która przewozi towary ciężarówkami. Zwykłe przewozy drogowe nie są w załącznikach, więc firma co do zasady nie podlega ustawie. Może jednak dostać wymagania bezpieczeństwa od klientów, którzy jej podlegają.

Termin złożenia wniosku o wpis do wykazu dla firm, które spełniały warunki w dniu wejścia ustawy w życie, minął 3 października 2026 r. Jeśli Twoja firma go przegapiła, złóż wniosek niezwłocznie przez system teleinformatyczny ministra właściwego do spraw informatyzacji. Wniosek zawiera oświadczenie kierownika podmiotu, więc przygotuj go razem z zarządem.

Kary pieniężne z ustawy można nałożyć po raz pierwszy dopiero po 3 kwietnia 2028 r. To nie jest powód do zwłoki. Organ może wcześniej kontrolować firmy, wydawać ostrzeżenia i nakazy, a obowiązki trzeba wykonać w terminach z listy poniżej.

Podmioty kluczowe i ważne muszą zadbać o bezpieczeństwo i ciągłość łańcucha dostaw produktów i usług IT, od których zależy ich działalność. Wynika to wprost z art. 8 ustawy. W praktyce oznacza to ankiety bezpieczeństwa, klauzule w umowach i prawo do kontroli u dostawców.

Najczęściej dotyczy to firm dostarczających oprogramowanie, usługi IT, utrzymanie systemów i dostęp zdalny do infrastruktury klienta. Jeśli Twoim klientem jest szpital, operator energetyczny albo producent z załącznika nr 2, spodziewaj się takich pytań.

Dobrze przygotowana firma ma spisane zasady bezpieczeństwa, wieloskładnikowe logowanie do kluczowych systemów, kopie zapasowe z testem odtwarzania i procedurę zgłaszania incydentów klientowi. Te same elementy przydadzą się, gdy firma urośnie i sama zacznie podlegać ustawie.