„Wśród przedsiębiorców pojawiają się wątpliwości, co do mającej kluczowe znaczenie w tym kontekście samoidentyfikacji, rozstrzygającej czy firma podlega obowiązkom wynikającym z ustawy KSC” mówi Aleksander Kostuch.  

Eksperci Stormshield i DAGMA Bezpieczeństwo IT, doradzający firmom w budowaniu cyberodporności, opisują realne przypadki oraz przybliżają istotne aspekty wdrażania wymogów ujętych w znowelizowanym wiosną akcie prawnym. Jak zwracają uwagę, obowiązki mogą dotyczyć również podmiotów, które tworzą łańcuch dostaw.

Wpis do wykazu podmiotów kluczowych i ważnych - kluczowe: sektor działalności i wielkość

Jednym z pierwszych obowiązków dla podmiotów, które zostały objęte wymogami znowelizowanej Ustawy o Krajowym Systemie Cyberbezpieczeństwa, jest przygotowanie i złożenie wniosku o wpis do centralnego wykazu podmiotów kluczowych lub ważnych, utworzonego przez Ministra Cyfryzacji.

– Ten proces trwa, a w przypadku niektórych podmiotów dzieje się niejako automatycznie. Urzędy i instytucje w całej Polsce otrzymują „zawiadomienie o wpisie z urzędu do Wykazu KSC oraz wezwanie do uzupełnienia danych”. Wynika to z faktu, że państwo dysponuje już ich danymi z rejestrów publicznych – mówi Aleksander Kostuch, inżynier Stormshield i doradca cyberbezpieczeństwa.

W przypadku firm i innych podmiotów komercyjnych muszą one samodzielnie przejść całą ścieżkę.

– Wiele organizacji błędnie zakłada, że brak otrzymanego pisma oznacza brak konieczności dokonania wpisu, a to niestety nie jest równoznaczne. Osobiście zalecam, aby dla własnego bezpieczeństwa sprawdzić, jak jest w przypadku naszej organizacji, bo przecież brak spełnienia obowiązków może prowadzić do nałożenia kar – podkreśla Piotr Zielaskiewicz, menadżer w Dagma Bezpieczeństwo IT.

Z perspektywy firm największym wyzwaniem okazuje się prawidłowa samoidentyfikacja. Ministerstwo Cyfryzacji wskazuje, że należy brać pod uwagę profil działalności, właściwy kod PKD i wielkość podmiotu oraz szczególne przesłanki określone w ustawie.

*  [Webinar] KSC&NIS2 - raj zgodności czy piekło incydentu? Odpowiemy nawet na najtrudniejsze pytania [środa, 23.09.2026 g. 11.00]

Co do zasady duże przedsiębiorstwa są podmiotami kluczowymi, a średnie podmiotami ważnymi. Punktem wyjścia do oceny czy podmiot zalicza się do tej kategorii pozostaje rozporządzenie UE 651/2014, w myśl którego firmy średnie to podmioty zatrudniające do 250 pracowników i których roczny obrót lub roczna suma bilansowa nie przekraczają kwot, odpowiednio 50 lub 43 mln Euro. Z kolei podmiotami dużymi są te firmy, które zatrudniają co najmniej 250 osób. Należy jednak zastrzec, że oceny nie powinno się dokonywać jedynie w oparciu o liczbę pracowników, a przesłanki (sektorowe i wielkościowe) muszą zostać spełnione łącznie.

###

Podmioty kluczowe – podmioty działające m.in. w sektorach: energetyka, transport, bankowość, infrastruktura rynków finansowych, ochrona zdrowia, zaopatrzenie w wodę pitną, ścieki, infrastruktura cyfrowa, administracja publiczna, przestrzeń kosmiczna oraz zarządzanie usługami ICT, dostawcy usług zarządzanych w zakresie cyberbezpieczeństwa (MSSP).

Podmioty ważne – podmioty działające m.in. w sektorach: usługi pocztowe i kurierskie, gospodarowanie odpadami, produkcja i dystrybucja chemikaliów, produkcja, przetwarzanie i dystrybucja żywności, produkcja wyrobów przemysłowych, usługi cyfrowe, badania naukowe oraz inwestorzy obiektów energetyki jądrowej.

###

Jednocześnie ustawa wprowadziła katalog podmiotów, które podlegają regulacjom niezależnie od wielkości (wyjątki zostały ujęte w art. 5 ust. 1 pkt 4). Tak jest w przypadku firm świadczących usługi w obszarach: rejestrów TLD, usług DNS, kwalifikowanych dostawców usług zaufania i rejestratorów domen. Podlegają one nowym obowiązkom.

– Co szczególnie ważne, wyjątki dotyczą również sektorów krytycznych, a więc na przykład wodno-kanalizacyjnego, energetyki, w tym obiektów energetyki jądrowej oraz ciepłownictwa. Wiele lokalnych zakładów wodociągowych czy ciepłowni również podlega ustawie, choć biorąc pod uwagę skalę działalności, mogłoby się wydawać, że obowiązki z nią związane w ich przypadku nie występują – wyjaśnia Aleksander Kostuch.

Praktyczne problemy, z jakimi muszą mierzyć się podmioty na etapie samoidentyfikacji

Case 1 – hotel i restauracja

Ciekawym przypadkiem jest hotel, którego liczba pracowników przekracza 250. Przedsiębiorstwo oprócz podstawowej działalności prowadzi także restaurację i świadczy usługi związane z przygotowywaniem żywności.

– Organizacja przekracza próg dużego przedsiębiorstwa, a jednocześnie prowadzi działalność związaną z przetwarzaniem żywności. W związku z tym pojawiają się pytania, czy sam fakt zatrudniania powyżej 250 pracowników powoduje objęcie organizacji ustawą oraz czy działalność gastronomiczna może skutkować uznaniem podmiotu za podmiot ważny? Wątpliwości, z którymi może mierzyć się nie tylko ten konkretny podmiot, dotyczą kwestii, która działalność powinna zostać uznana za dominującą – mówi Paweł Pudo, ekspert DAGMA Bezpieczeństwo IT.

Rozstrzygnięcie: zgodnie z wykładnią prawa, handel detaliczny oraz usługi gastronomiczne (w tym restauracje hotelowe) przygotowujące posiłki bezpośrednio dla konsumentów końcowych są wyłączone z zakresu KSC, podobnie jak hotelarstwo. Ustawa KSC dotyczy przemysłowego przetwórstwa żywności.

Case 2 – usługi krytyczne, ale na własne potrzeby

Kolejnym niestandardowym przypadkiem jest ten związany z posiadaniem przez jedno z przedsiębiorstw własnej infrastruktury wodociągowej i kanalizacyjnej. Organizacja będąca jej właścicielem i użytkownikiem przekracza próg zatrudnienia kwalifikujący ją do kategorii pomiotów kluczowych.

– W tym przypadku mamy jednak do czynienia z sytuacją, w której podmiot posiada infrastrukturę wodno-ściekową, ale nie świadczy usług w tym obszarze na rzecz odbiorców zewnętrznych. Jest ona wykorzystywana jedynie na własne potrzeby. To rodzi wątpliwości, co do obowiązku dokonania wpisu – mówi Paweł Pudo.

Rozstrzygnięcie: ustawa nakłada obowiązki na "dostawców" i "podmioty gospodarujące" zasobami wodnymi dla ludności. Zużycie wewnętrzne nie czyni z podmiotu przedsiębiorstwa wodno-kanalizacyjnego, co oznacza brak obowiązków wynikających z przepisów KSC.

*  [Webinar] Cyberbezpieczeństwo przemysłowe zgodne z NIS2 [czwartek, 24.09.2026 g. 10.00]

Przypadek 3 – a co z „samozatrudnionymi”?

Organizacja zatrudnia liczbę pracowników zbliżoną do progu kwalifikacyjnego, a jednocześnie korzysta z usług osób współpracujących z nią w modelu B2B.

– I w zależności od przyjętej metody obliczeń może być zaliczona zarówno do kategorii poniżej, jak i powyżej progu 50 pracowników. Abstrahując od troski o bezpieczeństwo własnych zasobów, podleganie obowiązkom ustawy rodzi konsekwencje dla organizacji. Nie dziwi więc zatem, że kwestia tego, jak prawidłowo ustalić poziom zatrudnienia na potrzeby samoidentyfikacji spędza sen z powiek zarządu – podkreśla Paweł Pudo z DAGMA Bezpieczeństwo IT.

Rozstrzygnięcie: organizacja balansująca na granicy progów wielkościowych musi precyzyjnie obliczyć liczbę personelu w Rocznych Jednostkach Pracy (RJP), ponieważ od tego zależy podleganie pod ustawę o KSC. Prawidłowa kalkulacja eliminuje ryzyko błędnej samoidentyfikacji i opiera się na bezwzględnych zasadach: Do RJP należy wliczyć jednoosobowe działalności gospodarcze (JDG). Zgodnie z art. 22 § 1 Kodeksu pracy, decyduje stan faktyczny: jeśli samozatrudniony świadczy usługi osobiście, w sposób ciągły, w miejscu, czasie i pod nadzorem wyznaczonym przez firmę, to taka relacja nosi cechy stosunku pracy. Unijne prawo nakazuje ująć te osoby w limicie personelu.

System S46 – fundament sprawnej komunikacji

Powiązany z wpisem do rejestru podmiotów kluczowych i ważnych jest wątek przygotowania do korzystania z systemu S46. W założeniu ustawodawcy ma być on podstawowym kanałem komunikacji między podmiotami ujętymi w spisie, a właściwymi organami i zespołami CSIRT poziomu krajowego (na przykład będącym w trakcie organizacji CSIRT Infrastruktura).

W myśl przepisów gotowość formalno-rejestrowa (którą również należy osiągnąć do 3 października br.) oznacza, że podmiot jest technicznie i organizacyjnie przygotowany do realizacji obowiązków ustawowych poprzez system, a także ma za sobą prawidłową identyfikację jako podmiot kluczowy lub ważny, potwierdzoną wpisem do Wykazu KSC.

Jesteś w łańcuchu dostaw – też możesz być zobligowany do działania

Współpraca z podmiotami, które są objęte obowiązkami nowej ustawy, może nieść konsekwencje również dla firm, które same z siebie pod jej przepisy nie podlegają. Podmioty kluczowe i ważne mają ustawowy obowiązek weryfikacji swoich dostawców usług IT i cyberbezpieczeństwa.

– Ataki na łańcuch dostaw to coraz powszechniejsza praktyka. To skłania szczególnie większe organizacje do oczekiwania spełnienia przez dostawców wymogów bezpieczeństwa, w duchu zasad określonych w nowej ustawie KSC – mówi Aleksander Kostuch.

Może to dotyczyć między innymi zarządzania ryzykiem, kontroli dostępu, aktualizacji i usuwania podatności, ochrony wymienianych informacji za pomocą tuneli szyfrowanych mocnymi algorytmami, zgłaszania incydentów, zapewnienia ciągłości działania oraz poddawania się audytom bezpieczeństwa.

– Spełnienie tych warunków może zostać zapisane w umowie i stanowić warunek rozpoczęcia lub kontynuowania współpracy – podkreśla ekspert europejskiego producenta technologii cyberbezpieczeństwa.

 Materiał Promocyjny