Czy Twoja firma podlega przepisom NIS2 i KSC? Termin zgłoszenia mija 3 października 2026 r.

Jeśli masz wątpliwości, czy Twoja firma podlega nowym przepisom, skontaktuj się z nami. Pomożemy prawidłowo ocenić jej sytuację, a następnie zaplanować rejestrację i wdrożenie wymaganych rozwiązań – 785 530 118, info@5e.legal

Dlaczego powstała dyrektywa NIS2?

Dyrektywa NIS2 powstała w odpowiedzi na rosnącą liczbę cyberataków oraz szybki rozwój technologii. Szczególne znaczenie miała pandemia COVID-19, która przyspieszyła cyfryzację i zwiększyła zależność firm od systemów informatycznych. Dalszy postęp technologiczny spowodował, że konieczne stało się więc dostosowanie przepisów i zwiększenie poziomu cyberbezpieczeństwa.

W Polsce implementacja dyrektywy NIS2 nastąpiła poprzez nowelizację ustawy o krajowym systemie cyberbezpieczeństwa (KSC). Nowe przepisy weszły w życie 3 kwietnia 2026 r. i znacząco rozszerzyły krąg podmiotów objętych obowiązkami w zakresie cyberbezpieczeństwa.

Kogo obejmują nowe przepisy KSC?

Ustawa o KSC wyróżnia dwie podstawowe kategorie podmiotów: podmioty kluczowe i podmioty ważne. O zakwalifikowaniu do jednej z nich decydują przede wszystkim:

• rodzaj prowadzonej działalności,
• średnioroczne zatrudnienie,
• roczny obrót lub roczna suma bilansowa.

Nowe obowiązki mogą dotyczyć przedsiębiorstw i instytucji działających m.in. w sektorach energetyki, transportu, ochrony zdrowia, bankowości, infrastruktury cyfrowej, gospodarki wodnej, usług pocztowych, gospodarowania odpadami oraz produkcji określonych towarów. Szczegółowy katalog działalności objętych ustawą znajduje się w załączniku nr 1 i załączniku nr 2 do ustawy o KSC.

Ustalenie, czy dana firma podlega nowym obowiązkom, nie zawsze jest oczywiste. Nie wystarczy sprawdzenie kodów PKD, liczby pracowników i wyników finansowych. Znaczenie ma bowiem przede wszystkim faktyczny zakres działalności,

Kto jest podmiotem kluczowym, a kto ważnym w KSC?

Ustawa o KSC definiuje dwie kategorie podmiotów, które obejmuje krajowy system cyberbezpieczeństwa – podmioty kluczowe i podmioty ważne. W obu przypadkach są to osoby fizyczne, osoby prawne lub jednostki organizacyjne nieposiadające osobowości prawnej, które zostały wymienione w załączniku nr 1 i 2 ustawy o KSC.

Podmioty kluczowe to takie, które przewyższają wymogi dla średniego przedsiębiorstwa, tj. zatrudniają 250 lub więcej osób oraz których roczny obrót przekracza 50 mln euro lub roczna suma bilansowa przekracza 43 mln euro. Są też odstępstwa od tej zasady. Do podmiotów kluczowych należy również dołączyć przedsiębiorców komunikacji elektronicznej, którzy spełniają wymogi dla średniego przedsiębiorcy. Niezależnie od wielkości podmiotu do tej kategorii zaliczamy również m.in. dostawców usług DNS, kwalifikowanych dostawców usług zaufania, podmioty krytyczne czy podmioty publiczne.

Podmioty ważne to takie, które spełniają wymogi dla średniego przedsiębiorcy, czyli zatrudniają 50 lub więcej, ale mniej niż 250 osób oraz których roczny obrót jest większy niż 10, ale jest mniejszy niż 50 mln euro lub roczna suma bilansowa nie przekracza 43 mln euro. W przypadku tych podmiotów również istnieją wyjątki. Za podmiot ważny uznaje się także niekwalifikowanych dostawców usług zaufania będących mikro, małym lub średnim przedsiębiorcą, przedsiębiorców komunikacji elektronicznej będących mikro lub małym przedsiębiorcą oraz podmioty uznane przez organ właściwy do spraw cyberbezpieczeństwa jako podmiot ważny.

Przy ustalaniu wielkości przedsiębiorstwa należy pamiętać także o podmiotach powiązanych i partnerskich. Dlatego sama liczba pracowników albo obrót jednej spółki nie zawsze wystarczą do prawidłowej oceny.

Ustawa o KSC – terminy, obowiązki

Jeżeli firma spełniała warunki uznania jej za podmiot kluczowy lub ważny już w dniu wejścia nowych przepisów w życie (3 kwietnia 2026 r.), powinna złożyć wniosek o wpis najpóźniej do 3 października 2026 r.  Dotyczy to podmiotów, które nie zostały wpisywane do wykazu z urzędu (tj. głównie instytucji publicznych).

Wykaz KSC funkcjonuje w ramach Systemu S46, czyli systemu teleinformatycznego służącego do obsługi krajowego systemu cyberbezpieczeństwa. Wniosek o wpis składa się elektronicznie za pośrednictwem dedykowanej aplikacji Wykaz KSC. System S46 służy następnie m.in. do zgłaszania incydentów oraz komunikacji z organami odpowiedzialnymi za cyberbezpieczeństwo.

Na samym wpisie obowiązki przedsiębiorcy się jednak nie kończą. Podmioty, które są objęte ustawą o KSC, powinny do 3 kwietnia 2027 r. rozpocząć korzystanie z Systemu S46 oraz wdrożyć wymagane rozwiązania w zakresie cyberbezpieczeństwa, w tym również przygotować odpowiednią dokumentację, potwierdzającą konkretne działania.

Co grozi za brak rejestracji w systemie KSC?

Niezłożenie przez dany podmiot w terminie wniosku o wpis może skutkować nałożeniem kary pieniężnej przez organ właściwy do spraw cyberbezpieczeństwa.

Ustawa przewiduje wysokie poziomy kar:

• w przypadku podmiotu kluczowego kara może wynieść do 10 mln euro albo 2% przychodów z działalności gospodarczej;
• w przypadku podmiotu ważnego kara może wynieść do 7 mln euro albo 1,4% przychodów z działalności gospodarczej.

Na ten moment kary pieniężne mogą być po raz pierwszy nałożone po upływie 2. lat od dnia wejścia w życie ustawy, tj. od  dnia 3 kwietnia 2028 r. Niemniej terminowe zarejestrowanie się w wykazie pozwoli przedsiębiorcy na wczesne wdrożenie  pozostałych obowiązków w zakresie cyberbezpieczeństwa.

Ustawa o KSC – co przedsiębiorca powinien zrobić teraz?

Jeżeli Twoje przedsiębiorstwo działa w sektorze objętym ustawą o KSC, w pierwszej kolejności sprawdź, czy spełnia kryteria podmiotu kluczowego lub ważnego. Jeżeli tak jest, zarejestruj się w systemie do 3 października 2026 r. Możesz to zrobić samodzielnie lub przez pełnomocnika.

Sam wpis nie kończy jednak procesu dostosowania firmy do nowych regulacji. Kolejnym krokiem będzie wdrożenie wymaganych środków zarządzania ryzykiem, zasad reagowania na incydenty i pozostałych obowiązków wynikających z ustawy.

W internecie dostępne są testy, które pomagają wstępnie ocenić, czy firma podlega ustawie o KSC. Ich wynik ma jednak charakter orientacyjny. Ostateczna ocena należy do przedsiębiorcy, a jej dokonanie nie zawsze jest proste. Dlaczego?

W niektórych przypadkach kwalifikacja firmy będzie oczywista. W innych może wymagać szczegółowej analizy. Kody PKD są jedynie wskazówką – decydujące znaczenie ma faktyczny zakres świadczonych usług lub wykonywanych zadań. Zdarza się, że o objęciu przedsiębiorcy przepisami przesądza tylko niewielki fragment jego działalności, np. świadczenie dodatkowej usługi cyfrowej lub zdalnego monitoringu urządzeń. Znaczenie mogą mieć także powiązania z innymi podmiotami. Jeżeli odpowiedź nie jest jednoznaczna, warto skonsultować się z prawnikiem. Pomożemy ustalić, czy Twoja firma podlega nowym przepisom, a następnie zaplanować rejestrację i wdrożenie wymaganych rozwiązań.

Autor: mec. Ewelina Mirończuk-Wesołowska

Jeśli masz wątpliwości, czy Twoja firma podlega nowym przepisom, skontaktuj się z nami. Pomożemy prawidłowo ocenić jej sytuację, a następnie zaplanować rejestrację i wdrożenie wymaganych rozwiązań.

📞 785 530 118
✉️ info@5e.legal