Samoidentyfikacja – czy Twój podmiot podlega pod KSC?

Już 3 października 2026 r. upływa termin złożenia wniosku o wpis do wykazu podmiotów kluczowych i podmiotów ważnych, zwanego również Wykazem KSC. Jest to jeden z pierwszych istotnych etapów wdrażania ustawy o krajowym systemie cyberbezpieczeństwa (KSC), stanowiącej implementację unijnej dyrektywy NIS 2. Podmioty objęte tą regulacją rejestrują się w wykazie samodzielnie, co wymaga od nich wcześniejszej weryfikacji, czy spełniają ustawowe kryteria. W związku ze zbliżającym się terminem przypominamy poniżej podstawowe zasady i wymagania związane z obowiązkiem samorejestracji.

Ocena charakteru prowadzonej działalności

Pierwszym kryterium oceny, czy dany podmiot może zostać uznany za kluczowy lub ważny, jest rodzaj i zakres prowadzonej działalności, w tym świadczonych usług lub oferowanych produktów.

Szczegółowy katalog podmiotów objętych regulacją, wskazany w załącznikach nr 1 i 2 do ustawy, jest dość szeroki i nie ogranicza się do jednego konkretnego sektora gospodarki. Obejmuje on m.in. branże tradycyjnie kojarzone ze szczególnymi wymogami bezpieczeństwa (takie jak energetyka, transport czy ochrona zdrowia) oraz podmioty publiczne.

Ustawa może dotyczyć również sektora IT i komunikacji, w tym m.in. dostawców:

• usług zarządzania ICT,
• chmur obliczeniowych,
• usług zaufania,
• internetowych platform handlowych,
• portali społecznościowych.

W praktyce wiele przypadków bywa niejednoznacznych i znajduje się na granicy ustawowych definicji, a dany podmiot może spełniać jednocześnie kilka przesłanek. Ocena w tym zakresie wymaga więc przeprowadzenia szczegółowej analizy profilu działalności danego podmiotu i zestawienia go z ustawowymi definicjami. Należy przy tym uwzględnić działalność faktycznie prowadzoną (w tym także uboczną), a nie ograniczać się jedynie do przeważającej działalności, czy przyjętych kodów PKD.

Ocena wielkości podmiotu – status MŚP

Po ustaleniu, że przedsiębiorstwo prowadzi działalność potencjalnie objętą przepisami KSC, można przejść do oceny kryterium jego wielkości. Jest ono ustalane według standardowych, unijnych progów określających status MŚP (mikro, małych i średnich przedsiębiorstw), tj. na podstawie wielkości zatrudnienia oraz rocznego obrotu lub rocznej sumy bilansowej.

Na podstawie tych progów wyróżnia się następujące kategorie przedsiębiorstw:

• Mikro: < 10 pracowników oraz ≤ 2 mln EUR obrotu/sumy bilansowej;
• Małe: < 50 pracowników oraz ≤ 10 mln EUR obrotu/sumy bilansowej;
• Średnie: < 250 pracowników oraz ≤ 50 mln EUR obrotu lub ≤ 43 mln EUR sumy bilansowej;
• Duże:≥ 250 pracowników lub > 50 mln EUR obrotu lub > 43 mln EUR sumy bilansowej.

Przy obliczaniu powyższych progów należy mieć jednak na uwadze kilka dodatkowych kwestii:

• Liczbę zatrudnionych określa się w tzw. rocznych jednostkach pracy (RJP), odpowiadających jednej osobie pracującej w pełnym wymiarze czasu przez cały rok. Osoby zatrudnione w niepełnym wymiarze bądź rozpoczynające lub kończące współpracę w trakcie roku uwzględnia się proporcjonalnie.
• Za pracowników uznaje się nie tylko osoby zatrudnione na podstawie stosunku pracy, ale także inne osoby świadczące pracę na rzecz podmiotu. Obejmuje to m.in. osoby wykonujące czynności na podstawie umów cywilnoprawnych (np. umów zlecenia czy kontraktów B2B), czy  nawet wspólników prowadzących regularną działalność w przedsiębiorstwie i czerpiących z niego korzyści finansowe. Wyłączeniu podlegają jedynie praktykanci i studenci odbywający szkolenie zawodowe na podstawie odpowiednich umów, a także okresy urlopów macierzyńskich i wychowawczych.
• W przypadku grup kapitałowych sumuje się dane wszystkich podmiotów powiązanych i partnerskich. Ustawa o KSC przewiduje jednak w tym zakresie wyjątek, który pozwala na pominięcie danych pozostałych podmiotów z grupy, jeżeli dany podmiot przekracza próg wielkościowy wyłącznie w wyniku tego doliczenia. Jest to możliwe pod warunkiem, że jego system informacyjny jest niezależny od systemów reszty grupy lub że podmiot ten nie świadczy z nimi wspólnie usług.

Przekroczenie jakiegokolwiek progu (np. zatrudnienie kolejnego pracownika) nie oznacza automatycznie natychmiastowej zmiany kategorii podmiotu. Uzyskanie lub utrata statusu MŚP następuje tylko wtedy, gdy sytuacja ta powtórzy się w dwóch kolejnych okresach rachunkowych.

Podmioty kluczowe i ważne

Połączenie dwóch powyższych cech podmiotu – tj. rodzaju świadczonych usług oraz jego wielkości – pozwala ocenić, czy i w jakim zakresie podlega on przepisom KSC.

Co do zasady ustawa obejmuje podmioty średnie i duże, które prowadzą działalność wskazaną w załącznikach do KSC. Nie oznacza to jednak, że mniejsze firmy nie mogą zostać objęte przepisami – ostateczna kwalifikacja zależy od kilku wyjątków. Przewidziano bowiem katalog podmiotów zyskujących status podmiotów kluczowych niezależnie od swojej wielkości. Wśród nich znajdują się m.in. dostawcy usług DNS, podmioty świadczące usługi rejestracji nazw domen czy kwalifikowani dostawcy usług zaufania. Ponadto dla wybranych kategorii obniżono progi wielkościowe – przykładowo dostawcy usług zarządzanych w zakresie cyberbezpieczeństwa podlegają ustawie począwszy od małego przedsiębiorstwa. Pokazuje to, że nie należy poprzestawać wyłącznie na samej analizie wielkości organizacji z błędnym przekonaniem, że dany podmiot jest zbyt mały, by potencjalnie podlegać przepisom ustawy.

Wpis do Wykazu  KSC

Zarówno podmioty kluczowe, jak i ważne są zobowiązane do złożenia wniosku o wpis do Wykazu KSC do 3 października 2026 r., o ile spełniały wszystkie przesłanki w dniu wejścia ustawy w życie. Wniosek składa się za pośrednictwem Systemu S46 – tej samej platformy, która posłuży do późniejszej realizacji obowiązków wynikających z KSC, w tym do zgłaszania incydentów.

W rejestrze podaje się zarówno podstawowe dane dotyczące podmiotu, jak i szczegółowe informacje związane z realizacją ustawy, takie jak zakresy publicznych adresów IP i domen internetowych czy dane dostawców usług zarządzanych w zakresie cyberbezpieczeństwa (jeśli podmiot z nimi współpracuje). Dodatkowo wnioskodawca jest zobowiązany do wyznaczenia osób odpowiedzialnych za kontakt w sprawach związanych z realizacją ustawy, w tym administratora konta w Systemie S46.

Nie będę spełniał kryteriów KSC przed 3 października – czy mogę już zapomnieć o obowiązku samorejestracji?

Nie, każdy wynik analizy pod kątem objęcia przepisami ustawy o KSC warto najpierw odpowiednio udokumentować na wypadek kontroli – niezależnie od tego, czy okaże się on pozytywny, czy negatywny. Jest to szczególnie istotne w przypadkach granicznych, w których o podleganiu ustawowym definicjom mogą decydować detale.

Obowiązek stosowania ustawy nie dotyczy wyłącznie podmiotów spełniających wymogi w tym momencie – ma on charakter ciągły. W przypadku spełnienia przesłanek w późniejszym terminie wniosek o wpis należy złożyć w ciągu 6 miesięcy od dnia ich zaistnienia. Oznacza to, że kwestię objęcia ustawą należy brać pod uwagę przy każdym rozwoju działalności – zarówno przy wprowadzaniu nowych usług, jak i przy wzroście wielkości podmiotu. Same kryteria wielkościowe opierają się na sprawozdaniach finansowych, dlatego analiza w tym zakresie nie musi odbywać się w trybie ciągłym, a terminy na realizację obowiązków biegną od dnia sporządzenia ostatniego sprawozdania.

Warto również pamiętać o obowiązku aktualizacji danych objętych wpisem w Wykazie KSC – w terminie 14 dni od zaistnienia zmiany.

Jakie inne obowiązki wynikają z KSC?

KSC, poza rejestracją w wykazie, przewiduje dla podmiotów kluczowych i ważnych wdrożenie i stałe utrzymywanie systemu zarządzania bezpieczeństwem informacji (SZBI). Jest to spójny i udokumentowany zbiór działań oraz procedur, mający zapewnić poufność, integralność, dostępność i autentyczność przetwarzanych danych oraz usług świadczonych przy użyciu systemów informacyjnych.

Wiąże się to z obowiązkami w zakresie m.in.:

• oceny i zarządzania ryzykiem;
• wdrożenia odpowiednich środków technicznych i organizacyjnych;
• monitorowania systemów pod kątem zagrożeń;
• zgłaszania incydentów do CSIRT;
• wymogów informacyjnych wobec użytkowników;
• zapewnienia bezpieczeństwa łańcucha dostaw ICT;

Podmioty objęte obecnie przepisami KSC mają czas do 3 kwietnia 2027 r. na wdrożenie SZBI. Z kolei podmioty kluczowe będą dodatkowo zobowiązane do przeprowadzenia pierwszego audytu bezpieczeństwa najpóźniej do 3 kwietnia 2028 r.

Jeśli potrzebujesz wsparcia w szczegółowej analizie sytuacji swojej organizacji, ocenie zakresu świadczonych usług pod kątem KSC czy w bezbłędnym złożeniu wniosku w Systemie S46 – zapraszamy do kontaktu.