KSC i NIS2: Czy Twoja firma podlega nowym obowiązkom?
To ważne pytanie, jakie powinny dziś zadać sobie firmy w związku z nowelizacją ustawy o Krajowym Systemie Cyberbezpieczeństwa (KSC), wdrażającą unijną dyrektywę NIS2, która w Polsce weszła w życie 3 kwietnia 2026 roku. W praktyce wiele organizacji powinno zacząć nie od zakupu nowych narzędzi, ale od ustalenia, czy podlega przepisom KSC/NIS2, w jakiej roli występuje i jakie obowiązki będzie musiało spełnić.
To nie jest temat wyłącznie dla największych organizacji, infrastruktury krytycznej czy sektora publicznego. W określonych przypadkach obowiązki wynikające z KSC/NIS2 mogą dotyczyć również mniejszych firm – szczególnie tych działających w sektorach objętych ustawą, świadczących usługi istotne dla innych organizacji lub spełniających kryteria określone w przepisach.
Dlatego najważniejsze pytanie nie brzmi: „Czy jesteśmy dużą firmą?”, lecz:
Czy nasza działalność podlega KSC/NIS2 i jakie obowiązki faktycznie nas dotyczą?
W eBimedia zajmujemy się obsługą IT, audytami i cyberbezpieczeństwem, dlatego skupiamy się na praktycznej stronie KSC/NIS2: systemach, zabezpieczeniach i przygotowaniu firmy do wdrożenia wymagań.
Umów się na bezpłatną konsultację
NIS2 i KSC – co oznaczają te skróty?
NIS2 to unijna dyrektywa dotycząca bezpieczeństwa sieci i systemów informatycznych. Jej celem jest podniesienie poziomu cyberbezpieczeństwa w organizacjach, których działanie ma znaczenie dla gospodarki, społeczeństwa lub funkcjonowania państwa.
Dyrektywa rozszerzyła katalog objętych podmiotów, zwiększyła odpowiedzialność kierownictwa i ujednoliciła wymagania dotyczące między innymi:
- zarządzania ryzykiem
- ochrony systemów i danych
- reagowania na incydenty
- ciągłości działania
- bezpieczeństwa dostawców
- szkoleń pracowników
- zgłaszania poważnych incydentów
KSC to polska ustawa o Krajowym Systemie Cyberbezpieczeństwa. To właśnie ona wdraża wymagania NIS2 w Polsce i określa, kto podlega regulacji, jakie ma obowiązki oraz jakie konsekwencje mogą grozić za brak wymaganych działań.
Nowelizacja KSC weszła w życie 3 kwietnia 2026 roku. Według szacunków administracji nowe regulacje mogą objąć około 38 tysięcy podmiotów, w tym około 27 tysięcy jednostek publicznych. Nowelizacja KSC zastąpiła wcześniejszy podział na operatorów usług kluczowych i dostawców usług cyfrowych nowym podziałem na:
PODMIOTY KLUCZOWE oraz PODMIOTY WAŻNE.
Jak sprawdzić, czy moja firma podlega NIS2? Zacznij od samoidentyfikacji.
Czy KSC/NIS2 dotyczy małych firm? Może dotyczyć, ale nie należy tego oceniać „na oko”. Sama liczba pracowników ani ogólne określenie „mała firma” nie wystarczą.
Pierwszym krokiem, jaki musi wykonać każda organizacja, jest SAMOIDENTYFIKACJA – czyli formalna analiza działalności na podstawie art. 5 oraz załączników nr 1 i 2 do ustawy o KSC. Nie chodzi o prostą deklarację, ale o odpowiedź na kilka kluczowych pytań:
- Rodzaj działalności: Czy firma prowadzi działalność wymienioną w ustawie i czy odpowiada ona dokładnemu opisowi jednego z sektorów, podsektorów lub rodzajów podmiotów?
- Wielkość firmy: Czy firma jest mikro-, małym, średnim czy dużym przedsiębiorstwem?
- Powiązania: Czy przy określaniu wielkości trzeba uwzględnić przedsiębiorstwa partnerskie, powiązane lub pozostałe spółki z grupy kapitałowej?
- Wyjątki: Czy firma należy do kategorii objętej szczególnymi zasadami, dla której standardowe progi wielkościowe nie obowiązują albo stosuje się je inaczej?
- Status: Czy po połączeniu tych informacji firma jest podmiotem kluczowym, podmiotem ważnym, czy pozostaje poza standardowym zakresem KSC?
Dopiero po ustaleniu statusu można określić, czy firma powinna zostać wpisana do Wykazu KSC w trybie samorejestracji, czy zostanie wpisana z urzędu, oraz jakie obowiązki techniczne i organizacyjne musi wdrożyć.
Kogo obejmuje KSC i NIS2?
KSC obejmuje przede wszystkim organizacje, które:
- faktycznie prowadzą jeden z rodzajów działalności wskazanych w ustawie,
- osiągają określoną wielkość albo należą do grupy objętej szczególnymi zasadami.
Nie decyduje sama nazwa firmy ani główny kod PKD. Najważniejsze jest to, jakie usługi organizacja rzeczywiście świadczy.
Poniższa tabela to uproszczony skrót, który pomaga szybko połączyć rodzaj działalności z wielkością firmy i wstępnie określić jej możliwy status. Nie zastępuje pełnej samoidentyfikacji, ale pozwala lepiej zrozumieć podstawową zasadę kwalifikacji.
Rodzaj działalności i wielkość firmy
Przykładowe obszary działalności | Mikro- lub mała firma | Średnia firma | Duża firma |
|---|---|---|---|
Energetyka, transport, bankowość, infrastruktura rynków finansowych, ochrona zdrowia, woda i ścieki, infrastruktura cyfrowa, zarządzane usługi IT, przestrzeń kosmiczna | najczęściej nie podlega* | podmiot ważny | podmiot kluczowy |
Usługi pocztowe, odpady, chemikalia, żywność, produkcja wybranych komputerów, urządzeń, maszyn i pojazdów, usługi cyfrowe, działalność badawcza | najczęściej nie podlega* | podmiot ważny | podmiot ważny |
* Mikro- i małe organizacje mogą podlegać KSC, jeżeli należą do jednej z kategorii objętych szczególnymi zasadami.
Nazwy działalności w tabeli zostały uproszczone. Przy samoidentyfikacji należy sprawdzić, czy konkretna usługa świadczona przez organizację odpowiada działalności opisanej w ustawie. Przykładowo samo prowadzenie firmy transportowej nie musi oznaczać objęcia KSC – znaczenie ma dokładny rodzaj wykonywanego transportu.
Pełne katalogi sektorów i rodzajów działalności znajdują się w załącznikach nr 1 i 2 do ustawy.
Co oznacza mała, średnia i duża firma?
Przy ustalaniu wielkości bierze się pod uwagę liczbę pracowników oraz dane finansowe.
- Małe przedsiębiorstwo zatrudnia mniej niż 50 osób, a jego roczny obrót lub roczna suma bilansowa nie przekracza 10 mln euro.
- Średnie przedsiębiorstwo zatrudnia mniej niż 250 osób, a jego roczny obrót nie przekracza 50 mln euro lub roczna suma bilansowa nie przekracza 43 mln euro.
- Duże przedsiębiorstwo to firma, która przekracza progi przewidziane dla średniego przedsiębiorstwa.
Dla porządku: mikroprzedsiębiorstwo zatrudnia mniej niż 10 osób, a jego obrót lub suma bilansowa nie przekracza 2 mln euro.
Przy obliczaniu wielkości nie zawsze można brać pod uwagę wyłącznie dane jednej spółki. Trzeba również sprawdzić przedsiębiorstwa partnerskie i powiązane, na przykład spółki należące do tej samej grupy kapitałowej.
Kto może podlegać KSC na szczególnych zasadach?
Ustawa przewiduje wyjątki. W przypadku niektórych rodzajów działalności nawet mikro- lub mała organizacja może zostać objęta KSC.
Szczególne zasady dotyczą między innymi:
- przedsiębiorców telekomunikacyjnych,
- dostawców usług DNS,
- rejestrów domen najwyższego poziomu i podmiotów rejestrujących domeny,
- dostawców usług zaufania,
- wybranych podmiotów publicznych,
- dostawców zarządzanych usług cyberbezpieczeństwa,
- podmiotów formalnie uznanych za krytyczne.
Przykładowo mikro- i mały przedsiębiorca komunikacji elektronicznej jest podmiotem ważnym, a średni lub duży – podmiotem kluczowym. Dostawca zarządzanych usług cyberbezpieczeństwa może natomiast zostać podmiotem kluczowym już jako małe przedsiębiorstwo.
A co z firmami będącymi dostawcami podmiotów objętych KSC?
Firma może nie być bezpośrednio podmiotem kluczowym ani ważnym, ale świadczyć istotne usługi dla organizacji objętej ustawą.
Nie zmienia to automatycznie jej formalnego statusu. Może jednak oznaczać dodatkowe wymagania ze strony klientów dotyczące między innymi zabezpieczeń, dostępu do systemów, zgłaszania incydentów, ciągłości działania i warunków współpracy. Podmioty objęte KSC mają bowiem obowiązek uwzględniać bezpieczeństwo i ciągłość łańcucha dostaw usług oraz produktów ICT.
Ustalenie, czy organizacja podlega KSC, wymaga więc połączenia czterech elementów: rzeczywistego zakresu działalności, wielkości przedsiębiorstwa, jego powiązań oraz wyjątków przewidzianych w ustawie.
eBimedia pomaga firmom zebrać i uporządkować informacje potrzebne do samoidentyfikacji. Po ustaleniu statusu przeprowadzamy Audyt IT, przygotowujemy plan działań oraz wdrażamy i utrzymujemy zabezpieczenia w ramach Wsparcia IT, Obsługi informatycznej i usług z obszaru Bezpieczeństwa IT.
Wykaz KSC, System S46 i najważniejsze terminy
Jeżeli firma spełnia kryteria uznania za podmiot kluczowy albo ważny, pojawiają się konkretne obowiązki formalne, organizacyjne i techniczne.
Wykaz podmiotów kluczowych i ważnych, nazywany Wykazem KSC, jest prowadzony w specjalnej aplikacji będącej częścią Systemu S46. Samorejestracja działa od 7 maja 2026 roku, a nowe podmioty mogą korzystać z Systemu S46 od 12 czerwca 2026 roku.
