Czy moja firma podlega KSC/NIS2? Test kwalifikacyjny i co zrobić po terminie wpisu

Znowelizowana ustawa o krajowym systemie cyberbezpieczeństwa, która wdraża dyrektywę NIS2, obowiązuje od 3 kwietnia 2026 r. Pierwszy twardy termin już minął: firmy, które od tego dnia są podmiotem kluczowym albo ważnym, miały złożyć wniosek o wpis do wykazu do 3 października 2026 r. Jeśli Twoja firma tego nie zrobiła, wpis nadal jest obowiązkowy, a kolejny termin, 3 kwietnia 2027 r. na wdrożenie systemu zarządzania bezpieczeństwem informacji, biegnie bez względu na to, czy firma jest w wykazie. Najpierw trzeba jednak ustalić, czy ustawa w ogóle Cię obejmuje. Poniżej pokazuję, jak to sprawdzić.

Czym różni się ustawa o KSC od dyrektywy NIS2 i dlaczego liczy się ustawa?

Dyrektywa NIS2 (2022/2555) to akt unijny skierowany do państw członkowskich, a nie bezpośrednio do firm. Obowiązki polskiej spółki wynikają z krajowej ustawy, która dyrektywę wdraża. W Polsce jest to ustawa z 5 lipca 2018 r. o krajowym systemie cyberbezpieczeństwa, znowelizowana ustawą z 23 stycznia 2026 r. (Dz.U. 2026 poz. 252), która weszła w życie 3 kwietnia 2026 r.

W praktyce oznacza to, że katalog sektorów, progi, terminy i kary sprawdzasz w ustawie i jej załącznikach, a nie w dyrektywie. Dyrektywa przydaje się do wykładni, ale nie zastępuje ustawy.

Jakie dwa warunki musisz spełnić łącznie, żeby podlegać KSC?

Co do zasady ustawa obejmuje firmę, która spełnia oba poniższe warunki:

1. Sektor. Firma prowadzi działalność wymienioną w załączniku nr 1 (sektory kluczowe) lub nr 2 (inne sektory krytyczne) do ustawy.
2. Wielkość. Firma jest co najmniej średnim przedsiębiorcą według unijnych progów: średnie przedsiębiorstwo ma mniej niż 250 pracowników i roczny obrót do 50 mln EUR albo sumę bilansową do 43 mln EUR. Mikro- i małe przedsiębiorstwa (mniej niż 50 pracowników i obrót albo suma bilansowa do 10 mln EUR) co do zasady są poza ustawą.

Załącznik nr 1 obejmuje: energię (w tym energię elektryczną, gaz, wodór i energetykę jądrową), transport (lotniczy, kolejowy, wodny, drogowy), bankowość i infrastrukturę rynków finansowych, ochronę zdrowia, wodę pitną i ścieki, infrastrukturę cyfrową (w tym komunikację elektroniczną), zarządzanie usługami ICT, przestrzeń kosmiczną oraz podmioty publiczne.

Załącznik nr 2 obejmuje: usługi pocztowe, gospodarkę odpadami, chemikalia, żywność, wybrane gałęzie produkcji (wyroby medyczne, elektronika i optyka, urządzenia elektryczne, maszyny, pojazdy i inny sprzęt transportowy), dostawców usług cyfrowych, badania naukowe i część podmiotów publicznych.

Dla firm technologicznych kluczowe są dwie pozycje załącznika nr 1:

• „Infrastruktura cyfrowa” obejmuje m.in. dostawców chmury obliczeniowej, usług centrum przetwarzania danych i sieci dostarczania treści. Ustawa definiuje dostawcę chmury obliczeniowej szeroko: to podmiot świadczący usługę, która daje dostęp do skalowalnego i elastycznego zbioru zasobów obliczeniowych, współdzielonych przez wielu użytkowników (art. 2 pkt 4e). Dostawca SaaS powinien więc sprawdzić, czy jego usługa mieści się w tej definicji, zamiast zakładać, że „chmura” to tylko hosting.
• „Zarządzanie usługami ICT” obejmuje dostawców usług zarządzanych i usług zarządzanych w zakresie cyberbezpieczeństwa. Software house, który utrzymuje i obsługuje systemy klientów, może się tu znaleźć. Samo wytwarzanie oprogramowania na zamówienie nie jest osobnym rodzajem podmiotu w załącznikach.

Czy firma zatrudniająca mniej niż 50 osób może podlegać KSC?

Tak. To najczęstsza pułapka w samoocenie, a pojawia się w dwóch sytuacjach.

• Grupa kapitałowa. Unijne progi wielkości liczy się razem z przedsiębiorstwami powiązanymi i partnerskimi. 45-osobowa spółka, która należy do grupy zatrudniającej 400 osób, zwykle nie jest małym przedsiębiorcą. Liczenie samej spółki to prosta droga do błędnego wniosku „nas to nie dotyczy”.
• Podmioty objęte niezależnie od wielkości. Ustawa obejmuje je bez względu na zatrudnienie i obrót. To m.in. dostawcy usług DNS, rejestry nazw domen najwyższego poziomu i podmioty świadczące usługi rejestracji domen, kwalifikowani dostawcy usług zaufania, podmioty krytyczne w rozumieniu dyrektywy CER, wskazane podmioty publiczne oraz podmioty uznane za kluczowe lub ważne decyzją administracyjną. W komunikacji elektronicznej obowiązki mają również mikro- i mali przedsiębiorcy (jako podmioty ważne).

Podmiot kluczowy czy ważny i czy to zmienia Twoje obowiązki?

W uproszczeniu: podmiotem kluczowym jest przede wszystkim duży przedsiębiorca z sektora z załącznika nr 1 oraz podmioty z katalogu „niezależnie od wielkości”. Podmiotem ważnym jest średni przedsiębiorca z załącznika nr 1 oraz średni lub duży przedsiębiorca z załącznika nr 2.

Katalog obowiązków jest dla obu kategorii zbliżony: wpis do wykazu, system zarządzania bezpieczeństwem informacji (SZBI), zgłaszanie incydentów, szkolenia kierownictwa. Różnice dotyczą przede wszystkim:

• kar: podmiot kluczowy do 10 mln EUR lub 2% przychodów, podmiot ważny do 7 mln EUR lub 1,4% przychodów (w obu przypadkach liczy się wyższa kwota),
• audytu: podmiot kluczowy przechodzi obowiązkowy audyt, pierwszy w ciągu 24 miesięcy od spełnienia przesłanek,
• nadzoru: wobec podmiotów kluczowych jest on bardziej intensywny.

Jak wygląda wpis do wykazu w systemie S46?

1. Samoocena. Zacznij od rządowej ankiety „Sprawdź, czy Twoja firma podlega pod NIS2/KSC” na biznes.gov.pl. Ankieta nie zastępuje analizy, ale szybko pokazuje, czy temat w ogóle Cię dotyczy.
2. Dane do wniosku. Przygotuj: podstawowe dane firmy, dane osób do kontaktu, osobę, która będzie administratorem konta firmy w systemie S46, oraz zakresy adresów IP i domeny, z których korzysta firma. Zebranie tej ostatniej listy zajmuje najwięcej czasu.
3. Złożenie wniosku. Wniosek składa się elektronicznie w systemie S46 prowadzonym przez ministra cyfryzacji. Podpisuje go kierownik podmiotu albo osoba upoważniona: kwalifikowanym podpisem elektronicznym, podpisem zaufanym albo podpisem osobistym. Można też użyć kwalifikowanej pieczęci elektronicznej.

Część podmiotów, m.in. przedsiębiorcy telekomunikacyjni, dostawcy usług zaufania, podmioty publiczne i dotychczasowi operatorzy usług kluczowych, jest wpisywana do wykazu z urzędu. Dostają one wezwanie do uzupełnienia danych i mają na to 6 miesięcy od jego doręczenia.

Co grozi firmie, która nie złożyła wniosku do 3 października 2026?

Brak wpisu jest naruszeniem ustawy. Organ może wpisać firmę do wykazu z urzędu i objąć ją nadzorem. Ministerstwo Cyfryzacji zapowiada, że kary pieniężne za większość naruszeń będzie można nakładać dopiero po 3 kwietnia 2028 r. Wyjątkiem jest kara ekstraordynaryjna do 100 mln zł, przewidziana dla najpoważniejszych naruszeń, np. zagrażających bezpieczeństwu państwa albo życiu i zdrowiu.

Nie jest to jednak okres bezkarności. Terminy na wdrożenie SZBI biegną od dnia spełnienia przesłanek, a nie od dnia wpisu. Firma, która zarejestruje się późno, ma przez to mniej czasu na resztę obowiązków. Ustawa przewiduje też osobistą odpowiedzialność kierownika: karę do 300% wynagrodzenia w podmiocie prywatnym (do 100% w publicznym), m.in. za zaniedbania dotyczące wykazu, SZBI, corocznego szkolenia i obsługi incydentów.

Jakie obowiązki i terminy czekają firmę po wpisie?

Terminy liczy się od dnia spełnienia przesłanek. Dla firm objętych ustawą od jej wejścia w życie wyglądają tak:

• 3 października 2026: wniosek o wpis do wykazu (6 miesięcy) - termin minął, wpis nadal obowiązkowy,
• 3 kwietnia 2027: wdrożenie systemu zarządzania bezpieczeństwem informacji i podłączenie do systemu S46 (12 miesięcy),
• 3 kwietnia 2028: pierwszy audyt podmiotu kluczowego (24 miesiące); od tej daty co do zasady można też nakładać kary pieniężne.

Od wpisu obowiązuje też procedura zgłaszania incydentów poważnych do właściwego CSIRT przez system S46:

• wczesne ostrzeżenie w ciągu 24 godzin od wykrycia incydentu,
• pełne zgłoszenie w ciągu 72 godzin,
• sprawozdanie końcowe w ciągu miesiąca od zgłoszenia.

Kierownik firmy musi co roku przejść szkolenie z cyberbezpieczeństwa i odpowiada za nadzór nad SZBI. SZBI obejmuje także łańcuch dostaw, czyli przegląd dostawców sprzętu i oprogramowania oraz umów z nimi. Jeżeli ta sama firma jest też administratorem danych osobowych, incydent poważny może być jednocześnie naruszeniem ochrony danych z art. 33 RODO, zgłaszanym do Prezesa UODO w ciągu 72 godzin. Warto od razu zaprojektować jedną procedurę obsługi incydentów, która obejmie oba zgłoszenia.

Checklista: 10 pytań, które rozstrzygają kwalifikację

1. Czy któraś z Twoich działalności (według PKD i faktycznie świadczonych usług) mieści się w załączniku nr 1 lub 2?
2. Ile osób zatrudnia firma łącznie z podmiotami powiązanymi i partnerskimi?
3. Jaki jest łączny roczny obrót i suma bilansowa, liczone tak samo?
4. Czy świadczysz usługi DNS, rejestracji domen albo usługi zaufania?
5. Czy firma jest przedsiębiorcą komunikacji elektronicznej?
6. Czy firma została wskazana jako podmiot krytyczny albo otrzymała decyzję o uznaniu za podmiot kluczowy lub ważny?
7. Czy świadczysz klientom usługi chmurowe, centrum danych albo usługi zarządzane IT lub bezpieczeństwa?
8. Od kiedy spełniasz przesłanki: od 3 kwietnia 2026 r. czy później? Od tej daty liczą się Twoje terminy.
9. Kto w firmie będzie administratorem konta w S46 i kto ma uprawnienia do podpisania wniosku?
10. Czy masz aktualną listę adresów IP i domen, której wymaga wniosek?

Jeśli odpowiedź na pytanie 1 brzmi „nie”, a na pytania 4-7 również „nie”, najpewniej ustawa Cię nie obejmuje. Zapisz jednak ten wniosek z datą i uzasadnieniem, bo przyda się przy zmianie skali działalności albo w rozmowie z klientem, który pyta o NIS2 w łańcuchu dostaw.

Artykuł ma charakter informacyjny i nie stanowi porady prawnej.