UKSC: do 3 października firmy muszą sprawdzić, czy podlegają nowym obowiązkom

UKSC: do 3 października firmy muszą sprawdzić, czy podlegają nowym obowiązkom

Nowelizacja ustawy o krajowym systemie cyberbezpieczeństwa znacząco rozszerzyła krąg podmiotów objętych obowiązkami w zakresie cyberbezpieczeństwa. Dla wielu przedsiębiorców pierwszym obowiązkiem nie jest jednak wdrożenie nowych procedur czy systemów bezpieczeństwa, ale ustalenie, czy przepisy ustawy w ogóle mają do nich zastosowanie.

I tutaj pojawia się istotna zmiana praktyczna: przedsiębiorca nie powinien czekać na informację od organu, że został objęty ustawą. W przypadku podmiotów podlegających samorejestracji to sam przedsiębiorca powinien przeanalizować swoją działalność, ustalić, czy spełnia kryteria podmiotu kluczowego albo ważnego, a jeżeli tak – złożyć wniosek o wpis do Wykazu KSC.

Termin na dokonanie wpisu dla podmiotów spełniających kryteria w dniu wejścia w życie nowych przepisów upływa 3 października 2026 r.

Podmiot kluczowy czy podmiot ważny? Krótkie wyjaśnienie

Zanim przejdziemy dalej, warto rozjaśnić dwa pojęcia, które przewijają się przez cały tekst.

Podmiot kluczowy i podmiot ważny to dwie kategorie przedsiębiorstw objętych ustawą o KSC. O tym, do której z nich należy dany podmiot (albo czy w ogóle do którejkolwiek), decydują dwa elementy łącznie:

• sektor i rodzaj prowadzonej działalności – czy mieści się w załączniku nr 1 (m.in. energia, transport, zdrowie, infrastruktura cyfrowa) czy w załączniku nr 2 (m.in. usługi ICT, gospodarka odpadami, produkcja określonych towarów, żywność, chemikalia, usługi pocztowe) do ustawy,
• wielkość przedsiębiorstwa – liczba zatrudnionych oraz roczny obrót lub suma bilansowa, z uwzględnieniem przedsiębiorstw partnerskich i powiązanych.

To rozróżnienie ma znaczenie praktyczne – zakres obowiązków (m.in. dotyczących zarządzania ryzykiem, zgłaszania incydentów czy audytów) różni się między tymi dwiema kategoriami. Pierwszym krokiem jest jednak zawsze ustalenie, czy przedsiębiorstwo w ogóle znajduje się w którejś z nich.

Najpierw samoidentyfikacja

Nowelizacja ustawy o krajowym systemie cyberbezpieczeństwa weszła w życie 3 kwietnia 2026 r. i wdraża do polskiego prawa rozwiązania wynikające z dyrektywy NIS2.

Nowe regulacje obejmują znacznie więcej sektorów gospodarki niż dotychczas. Podmioty kluczowe i podmioty ważne mogą działać m.in. w obszarze energii, transportu, ochrony zdrowia, infrastruktury cyfrowej, usług ICT, gospodarki odpadami, produkcji określonych kategorii produktów, żywności, chemikaliów czy usług pocztowych.

Samo działanie w jednej z szeroko rozumianych branż nie przesądza jednak jeszcze o podleganiu ustawie.

Konieczne jest przeprowadzenie samoidentyfikacji, czyli analizy konkretnego przedsiębiorstwa pod kątem kryteriów wynikających przede wszystkim z art. 5 ustawy oraz jej załączników nr 1 i 2. Ministerstwo Cyfryzacji wprost wskazuje, że podmioty prowadzące działalność w sektorach objętych regulacją powinny samodzielnie przeanalizować, czy podlegają nowym przepisom.

Nie wystarczy sprawdzić kodu PKD

Jednym z najczęstszych błędów przy weryfikacji podlegania ustawie KSC może być ograniczenie analizy do kodów PKD ujawnionych przez przedsiębiorcę.

Kod PKD może być pomocny przy wstępnej identyfikacji rodzaju działalności, ale nie powinien zastępować analizy działalności faktycznie prowadzonej przez przedsiębiorstwo.

W praktyce należy zatem odpowiedzieć nie tylko na pytanie: „jakie PKD mamy wpisane?”, lecz przede wszystkim:

jakie produkty rzeczywiście wytwarzamy, jakie usługi faktycznie świadczymy i w jakim modelu biznesowym działamy?

Znaczenie tej różnicy dobrze widać na przykładzie spółki, która formalnie działa jako software house i tak też postrzega swoją działalność na co dzień. Jeśli jednak obok tworzenia oprogramowania na zamówienie świadczy również usługi hostingowe lub utrzymuje infrastrukturę chmurową dla klienta z sektora energetycznego, ta dodatkowa działalność może samodzielnie podlegać ocenie pod kątem załącznika do ustawy – niezależnie od tego, że w PKD i w komunikacji marketingowej spółka nazywa się software house’em.

Ministerstwo Rozwoju i Technologii zwraca uwagę właśnie na znaczenie faktycznie prowadzonej działalności, rodzaju świadczonych usług, wielkości przedsiębiorstwa oraz jego powiązań z innymi podmiotami.

Działalność objęta KSC nie musi być jedyną działalnością przedsiębiorcy

Kolejnym elementem wymagającym uwagi jest sytuacja przedsiębiorstw prowadzących kilka rodzajów działalności.

Fakt, że działalność potencjalnie objęta ustawą KSC stanowi jedynie część działalności przedsiębiorstwa, nie pozwala automatycznie przyjąć, że ustawa nie znajduje zastosowania.

Dlatego analiza nie powinna sprowadzać się wyłącznie do ustalenia, jaka działalność jest dominująca ani jaki procent przychodów generuje określona usługa.

Jeżeli przedsiębiorstwo obok swojej podstawowej działalności świadczy również usługę mieszczącą się w zakresie sektorów lub rodzajów działalności wskazanych w ustawie, należy odrębnie zbadać, czy w związku z tą działalnością spełnia przesłanki uznania go za podmiot kluczowy albo ważny.

To szczególnie istotne w przypadku firm posiadających rozbudowane modele biznesowe, grup kapitałowych oraz przedsiębiorstw, które oprócz podstawowych produktów oferują klientom dodatkowe usługi cyfrowe, infrastrukturalne czy zarządzane.

Znaczenie ma również wielkość przedsiębiorstwa – i jego powiązania

Samo ustalenie rodzaju działalności to jeszcze nie koniec analizy. W wielu przypadkach konieczne jest również sprawdzenie kryteriów dotyczących wielkości przedsiębiorstwa.

I również tutaj sytuacja może okazać się bardziej skomplikowana niż sprawdzenie liczby zatrudnionych pracowników czy rocznego obrotu pojedynczej spółki.

Przy ocenie wielkości podmiotu trzeba bowiem w odpowiednich przypadkach uwzględnić także przedsiębiorstwa partnerskie i powiązane. Ministerstwo Cyfryzacji zwraca na ten element uwagę w materiałach dotyczących samorejestracji.

W konsekwencji spółka, która analizowana samodzielnie wydaje się nie przekraczać określonych progów, może wymagać odmiennej kwalifikacji po uwzględnieniu jej struktury właścicielskiej i powiązań z innymi przedsiębiorstwami.

A co z łańcuchem dostaw?

Nowe regulacje dotyczące cyberbezpieczeństwa powodują, że warto spojrzeć również szerzej na miejsce przedsiębiorstwa w łańcuchu dostaw.

Samo bycie dostawcą podmiotu objętego KSC nie oznacza automatycznie, że dostawca również staje się podmiotem kluczowym lub ważnym. Jego własny status należy oceniać według kryteriów wynikających z ustawy.

Nie oznacza to jednak, że KSC będzie dla takiego dostawcy obojętne.

Podmioty kluczowe i ważne mają obowiązek zarządzania ryzykiem związanym z bezpieczeństwem łańcucha dostaw, w tym produktami ICT, usługami ICT i procesami ICT, od których zależy świadczenie ich usług. W praktyce może to oznaczać zwiększenie wymagań stawianych dostawcom, także poprzez postanowienia umowne, wymagania dotyczące bezpieczeństwa, audytów, obsługi incydentów czy informacji o podatnościach.

Dlatego przedsiębiorstwo może być dotknięte regulacją na dwa sposoby: bezpośrednio, jeżeli samo spełnia przesłanki podmiotu kluczowego lub ważnego, albo pośrednio, jako element łańcucha dostaw organizacji podlegającej KSC.

To rozróżnienie ma istotne znaczenie przy ocenie obowiązków przedsiębiorcy.

Jeśli po lekturze powyższych sekcji nadal nie masz pewności, czy któraś z tych sytuacji dotyczy Twojej firmy – zapytaj o formularz samoidentyfikacji, o którym piszemy na końcu artykułu.

Co grozi za brak wpisu w terminie?

Warto pamiętać, że samorejestracja nie jest formalnością, którą można potraktować jako opcjonalną. Ustawa przewiduje sankcje administracyjne za niedopełnienie obowiązków wynikających z KSC, w tym za brak wpisu do Wykazu KSC w wymaganym terminie. Nie podajemy tu konkretnych kwot kar, bo ich wysokość zależy od okoliczności konkretnej sprawy i kategorii podmiotu – ale sam fakt istnienia takiej odpowiedzialności to dodatkowy argument, żeby nie zostawiać tematu na ostatnią chwilę.

3 października 2026 r. – ważny termin dla przedsiębiorców

Podmioty, które spełniają ustawowe kryteria i nie są wpisywane do Wykazu KSC z urzędu, powinny złożyć wniosek o wpis najpóźniej 3 października 2026 r.

Samorejestracja została uruchomiona 7 maja 2026 r. i odbywa się poprzez elektroniczny Wykaz KSC.

Nie wszystkie podmioty dokonują jednak wpisu samodzielnie. Z urzędu wpisywane są m.in. podmioty publiczne, przedsiębiorcy telekomunikacyjni, dostawcy usług zaufania oraz podmioty posiadające wcześniej status operatora usługi kluczowej.

Dla pozostałych przedsiębiorców kluczowe jest więc obecnie nie tyle samo wypełnienie formularza rejestracyjnego, ile poprzedzające go pytanie:

czy nasza organizacja w ogóle powinna znaleźć się w Wykazie KSC?

Nie zawsze odpowiedź jest oczywista

W prostych przypadkach przedsiębiorca może być w stanie dokonać samoidentyfikacji samodzielnie. W praktyce spotykamy jednak sytuacje, w których odpowiedź wymaga dokładniejszego przeanalizowania modelu działalności.

Wątpliwości mogą pojawić się szczególnie wtedy, gdy przedsiębiorstwo:

• prowadzi kilka rodzajów działalności,
• tylko częściowo świadczy usługi mogące podlegać KSC,
• działa w ramach grupy kapitałowej lub posiada przedsiębiorstwa partnerskie albo powiązane,
• jest dostawcą usług lub technologii dla podmiotów z sektorów objętych KSC,
• świadczy usługi IT, chmurowe, zarządzane, cyberbezpieczeństwa lub inne usługi cyfrowe obok swojej podstawowej działalności,
• ma kody PKD, które nie odpowiadają w pełni rzeczywiście prowadzonej działalności.

W takich przypadkach warto przeprowadzić analizę przed dokonaniem wpisu – albo przed przyjęciem, że przedsiębiorstwa ustawa nie dotyczy.

Masz wątpliwości, czy Twoja firma podlega KSC?

W naszej kancelarii przygotowaliśmy formularz samoidentyfikacji KSC, który pozwala zebrać informacje potrzebne do wstępnej oceny, czy przedsiębiorstwo może spełniać kryteria podmiotu kluczowego albo podmiotu ważnego.

Formularz obejmuje m.in. rodzaj faktycznie prowadzonej działalności i świadczonych usług, wielkość przedsiębiorstwa, strukturę i powiązania z innymi podmiotami oraz inne okoliczności mogące mieć znaczenie dla kwalifikacji na gruncie ustawy.

Jeżeli nie masz pewności, czy Twoja firma podlega nowym przepisom, skontaktuj się z nami – prześlemy formularz, który pozwoli uporządkować informacje potrzebne do przeprowadzenia analizy.

Warto zrobić to odpowiednio wcześnie – okno na samorejestrację jest krótsze, niż mogłoby się wydawać, a przed złożeniem wniosku trzeba jeszcze przeprowadzić samą analizę.