Czy Twoja firma podlega NIS2 (czyli ustawie o KSC)? To pytanie powinni sobie zadać nie tylko przedsiębiorcy działający w sektorach istotnych dla funkcjonowania państwa i gospodarki. Nowelizacja ustawy o krajowym systemie cyberbezpieczeństwa (KSC) rozszerzyła zakres obowiązków dotyczących cyberbezpieczeństwa, a nowe wymagania mogą mieć znaczenie również dla dostawców i podwykonawców.
Co istotne, przedsiębiorstwa powinny samodzielnie zweryfikować, czy spełniają kryteria określone w przepisach. Brak pewności co do statusu firmy nie oznacza, że można odłożyć analizę na później.
Kogo dotyczy NIS2?
NIS2 dotyczy przede wszystkim podmiotów kluczowych i podmiotów ważnych, działających w sektorach wskazanych w ustawie o krajowym systemie cyberbezpieczeństwa (KSC), m.in. w energetyce, transporcie, ochronie zdrowia, infrastrukturze cyfrowej czy gospodarce wodno-ściekowej. O objęciu przepisami nie decyduje wyłącznie branża, ale także wielkość przedsiębiorstwa oraz szczegółowe kryteria określone w ustawie. W celu ustalenia swojego statusu organizacja powinna przeprowadzić tzw. samoidentyfikację.
NIS2 a KSC: czym różnią się te przepisy?
NIS2 to dyrektywa Unii Europejskiej, której celem jest podniesienie poziomu cyberbezpieczeństwa w państwach członkowskich. W Polsce jej wymagania zostały wdrożone poprzez nowelizację ustawy o krajowym systemie cyberbezpieczeństwa, która weszła w życie 3 kwietnia 2026 r.
Nowe regulacje mają zwiększać odporność organizacji na cyberzagrożenia. Obejmują nie tylko zabezpieczenia techniczne, ale również sposób zarządzania ryzykiem, odpowiedzialność kierownictwa, reagowanie na incydenty i bezpieczeństwo dostawców.
Dla polskich przedsiębiorców podstawą ustalania obowiązków jest przede wszystkim ustawa o KSC.
KSC: podmioty kluczowe i ważne
Nowelizacja KSC wyróżnia dwie kategorie organizacji: podmioty kluczowe i podmioty ważne.
Do sektorów objętych regulacjami należą m.in.:
- nergetyka i transport,
- bankowość i infrastruktura rynków finansowych,
- ochrona zdrowia,
- infrastruktura cyfrowa,
- zarządzanie usługami ICT,
- dostawcy usług cyfrowych,
- gospodarka wodno-ściekowa,
- gospodarowanie odpadami,
- produkcja, przetwarzanie i dystrybucja żywności,
- produkcja i dystrybucja chemikaliów,
- wybrane rodzaje działalności produkcyjnej,
- usługi pocztowe, w tym kurierskie,
- badania naukowe,
- sektor przestrzeni kosmicznej.
O zakwalifikowaniu firmy do konkretnej kategorii decyduje nie tylko branża, ale również wielkość przedsiębiorstwa i szczegółowe przesłanki ustawowe.
Ważne: status małego przedsiębiorstwa (mniej niż 50 pracowników oraz roczny obrót lub suma bilansowa do 10 mln EUR, z uwzględnieniem przedsiębiorstw powiązanych i partnerskich) nie zawsze oznacza wyłączenie z obowiązków KSC. Ustawa przewiduje również przypadki objęcia regulacjami podmiotów niezależnie od ich wielkości, np. wszystkich przedsiębiorców telekomunikacyjnych.
Szczegółowy wykaz sektorów i kryteriów przedstawia Ministerstwo Cyfryzacji w informacji o podmiotach objętych nowelizacją KSC.
Jak sprawdzić, czy firma podlega KSC?
Pierwszym krokiem jest przeprowadzenie samoidentyfikacji, czyli analizy pozwalającej ustalić status przedsiębiorstwa.
-
Zweryfikować faktyczny zakres działalności: sprawdzić, czy wykonywane usługi lub zadania odpowiadają sektorom wymienionym w załącznikach do ustawy.
-
Określić wielkość przedsiębiorstwa: uwzględniając odpowiednie kryteria zatrudnienia i finansowe oraz zasady dotyczące przedsiębiorstw powiązanych i partnerskich.
-
Przeanalizować art. 5 ustawy o KSC: zweryfikować szczególne przesłanki uznania firmy za podmiot kluczowy lub ważny.
-
Ustalić i udokumentować wnioski: zachować informacje oraz uzasadnienie przyjętej kwalifikacji.
Warto podkreślić, że sam kod PKD nie przesądza o podleganiu ustawie. Istotny jest rzeczywisty charakter działalności organizacji.
Dokładną procedurę opisuje Ministerstwo Cyfryzacji w poradniku „Jak dokonać samoidentyfikacji?”.
Czy samoidentyfikacja powinna być udokumentowana?
Rekomendowanym rozwiązaniem jest pisemne udokumentowanie przeprowadzonej samoidentyfikacji, w tym analizowanych przepisów, danych przedsiębiorstwa i uzasadnienia przyjętych wniosków.
Tak przygotowana dokumentacja może pomóc wykazać, na jakiej podstawie organizacja uznała, że podlega przepisom KSC lub pozostaje poza ich bezpośrednim zakresem.
Jeżeli interpretacja przepisów budzi wątpliwości, warto uzyskać pisemną opinię prawną, sporządzoną z uwzględnieniem specyfiki działalności firmy.
Ma to szczególne znaczenie w przypadku przedsiębiorstw prowadzących działalność w kilku sektorach lub realizujących usługi, których klasyfikacja nie jest jednoznaczna.
Wpis do Wykazu KSC: co przedsiębiorcy powinni wiedzieć?
Podmioty kluczowe i ważne podlegają obowiązkom związanym z Wykazem KSC.
Dla podmiotów spełniających odpowiednie kryteria w dniu wejścia w życie nowelizacji termin samorejestracji upłynął 3 października 2026 r. Niektóre organizacje były wpisywane do wykazu z urzędu.
Jeśli firma ustaliła, że podlega obowiązkowi samorejestracji, a nie dopełniła go w terminie, powinna niezwłocznie zweryfikować swoją sytuację i dalszy sposób postępowania.
Informacje dotyczące obowiązku wpisu i pozostałych terminów opublikowało Ministerstwo Cyfryzacji w omówieniu obowiązków podmiotów kluczowych i ważnych.
Twoja firma nie podlega KSC? Wymagania mogą pojawić się ze strony kontrahentów
Brak bezpośredniego obowiązku wynikającego z KSC nie zawsze oznacza brak nowych oczekiwań dotyczących cyberbezpieczeństwa.
Przedsiębiorstwa objęte przepisami muszą uwzględniać ryzyka związane z bezpieczeństwem łańcucha dostaw.
Firmy dostarczające usługi IT, oprogramowanie, komponenty czy inne usługi biznesowe mogą zostać zobowiązane przez swoich kontrahentów do wykazania, że stosują odpowiednie zabezpieczenia i procedury cyberbezpieczeństwa.
Takie wymagania mogą wynikać ze współpracy handlowej i umów, nawet jeżeli dostawca sam nie jest podmiotem kluczowym ani ważnym. Dlatego warto rozpatrywać NIS2/KSC nie tylko jako kwestię zgodności z przepisami, ale również jako element zarządzania ryzykiem we współpracy z klientami.
Co zrobić po ustaleniu, że firma podlega KSC?
Samo ustalenie statusu przedsiębiorstwa to dopiero początek przygotowań.
Kolejnym etapem powinno być zweryfikowanie obecnego poziomu cyberbezpieczeństwa, stosowanych zabezpieczeń technicznych, dokumentacji, procedur oraz kompetencji pracowników.
Pozwala to określić, które wymagania organizacja już realizuje, a w których obszarach konieczne będą dodatkowe działania.
Dla podmiotów, które spełniały kryteria ustawowe 3 kwietnia 2026 r., termin wdrożenia obowiązków dotyczących systemu zarządzania bezpieczeństwem informacji przypada 3 kwietnia 2027 r. Terminy w innych sytuacjach należy ustalać zgodnie z ustawą.
Chcesz dowiedzieć się, jak przygotować firmę do wymagań NIS2/KSC?
Zapraszamy na bezpłatny webinar „NIS2 i KSC: jak przygotować firmę na nowe wymagania?”, który odbędzie się 18 listopada 2026 r. o godz. 11:00.
Podczas spotkania omówimy obowiązki przedsiębiorców, odpowiedzialność kierownictwa i praktyczne podejście do przygotowania organizacji..
Zapisz się na bezpłatny webinar NIS2/KSCŹródła i podstawa prawna
- Ustawa z 23 stycznia 2026 r. o zmianie ustawy o krajowym systemie cyberbezpieczeństwa oraz niektórych innych ustaw, Dz.U. 2026 poz. 252.
- Ministerstwo Cyfryzacji: Nowelizacja KSC: kogo obejmuje?.
- Ministerstwo Cyfryzacji: Jak dokonać samoidentyfikacji?.
- Ministerstwo Cyfryzacji: Obowiązki podmiotów kluczowych i ważnych.
WERYFIKACJA MERYTORYCZNA
Łukasz Kowalkowski
Konsultant, audytor i trener ds. bezpieczeństwa informacji, ISOpomoc.pl. Specjalizuje się w bezpieczeństwie informacji, normie ISO 27001 oraz przygotowaniu organizacji do wymagań NIS2/KSC.
