Polska ustawa o krajowym systemie cyberbezpieczeństwa (KSC), wdrażająca unijną dyrektywę NIS2, weszła w życie 3 kwietnia 2026 r. Wraz z jej uchwaleniem nastąpiła fundamentalna zmiana w modelu nadzoru nad cyberbezpieczeństwem. Zniesiono dotychczasowy mechanizm, w którym status podmiotu kluczowego nadawany był w drodze indywidualnej decyzji administracyjnej. Obecnie to na samych przedsiębiorcach spoczywa obowiązek przeprowadzenia tzw. samoidentyfikacji – weryfikacji, czy w świetle nowych przepisów kwalifikują się jako podmiot kluczowy lub ważny i w przypadku spełnienia kryteriów, dokonania zgłoszenia do rejestru w terminie do 3 października 2026 r.
Kto podlega przepisom? Progi zatrudnienia i obrotów
Co do zasady, nowa ustawa KSC obejmuje średnie i duże przedsiębiorstwa działające w określonych sektorach gospodarki. Odwołując się do unijnych standardów kwalifikacji MŚP, za podmiot objęty reżimem uznaje się firmę, która spełnia co najmniej następujące kryteria:
- zatrudnia co najmniej 50 pracowników lub
- osiąga roczny obrót na poziomie co najmniej 10 mln EUR albo roczną sumę bilansową wynoszącą co najmniej 10 mln EUR.
Mikro i małe przedsiębiorstwa (zatrudniające poniżej 50 osób oraz posiadające obrót lub sumę bilansową poniżej 10 mln EUR) pozostają co do zasady poza zakresem ustawy. Przepisy przewidują jednak istotne wyjątki. Wymogom podlegać będą również mniejsze firmy, jeżeli pełnią funkcję jedynego dostawcy usługi kluczowej w danym obszarze, świadczą określone usługi cyfrowe (np. dostawcy usług zaufania, rejestry nazw domen, dostawcy sieci łączności elektronicznej) lub ich zakłócenie mogłoby wywołać istotne ryzyko systemowe.
Sektory kluczowe i ważne: czy Twoja branża jest na liście?
Nowelizacja znacząco rozszerza listę branż objętych przepisami o cyberbezpieczeństwie, dzieląc je na dwa poziomy reżimu regulacyjnego:
- Podmioty kluczowe: obejmują tradycyjne sektory infrastruktury krytycznej, takie jak energetyka, transport, bankowość, infrastruktura rynku finansowego, sektor zdrowotny, zaopatrzenie w wodę pitną i jej dystrybucja, odprowadzanie ścieków, infrastruktura cyfrowa, zarządzanie usługami ICT (w tym dostawcy usług zarządzanych B2B) oraz administracja publiczna.
- Podmioty ważne: obejmują sektory o wysokim znaczeniu gospodarczym i społecznym, w tym usługi pocztowe i kurierskie, gospodarowanie odpadami, produkcję i dystrybucję chemikaliów, produkcję i przetwórstwo żywności, wybrane gałęzie przemysłu wytwórczego (np. produkcja wyrobów medycznych, komputerów, urządzeń elektrycznych czy pojazdów), a także dostawców usług cyfrowych (internetowe platformy handlowe, wyszukiwarki, sieci społecznościowe).
Samoidentyfikacja bez czekania na decyzję organu
Najważniejszą zmianą praktyczną jest odejście od dotychczasowego braku konieczności podjęcia działań przez przedsiębiorcę. Nowelizacja KSC wprowadza odpowiedzialność za własną weryfikację. Brak doręczenia jakiejkolwiek decyzji administracyjnej ze strony organu nadzorczego nie zwalnia firmy z obowiązków.
Przedsiębiorca musi samodzielnie przeanalizować rodzaj prowadzonej działalności, zaklasyfikować świadczone usługi według załączników do ustawy, a następnie zestawić te dane ze swoją strukturą zatrudnienia i finansami. Warto pamiętać, że przy ocenie progu wielkości przedsiębiorstwa należy uwzględnić relacje powiązań kapitałowych i osobowych z innymi podmiotami w grupie (zgodnie z załącznikiem I do rozporządzenia KE nr 651/2014), co może sprawić, że formalnie niewielka spółka zależna zostanie uznana za część dużego podmiotu.
Jak przygotować się na zmiany
Organizacje powinny niezwłocznie przystąpić do formalnego procesu samoidentyfikacji, aby dotrzymać nadchodzącego terminu 3 października 2026 r.:
- Przeanalizować strukturę grupy i wskaźniki finansowe: zweryfikować stan zatrudnienia, roczny obrót oraz sumę bilansową za ostatnie zatwierdzone okresy sprawozdawcze z uwzględnieniem podmiotów powiązanych i partnerskich.
- Zmapować prowadzoną działalność: dokładnie porównać kody PKD oraz faktycznie świadczone usługi z listą sektorów i podsektorów określonych w nowej ustawie KSC.
- Sprawdzić wyjątki: zweryfikować, czy mimo braku przekroczenia progów wielkościowych firma nie świadczy usług stanowiących wąskie gardło dla funkcjonowania rynku lub bezpieczeństwa państwa.
- Udokumentować proces weryfikacji: sporządzić wewnętrzny protokół z samoidentyfikacji – zarówno w przypadku ustalenia, że firma podlega ustawie (co stanowi podstawę do zgłoszenia w wykazie), jak i w sytuacji uznania, że reżim KSC jej nie dotyczy (na wypadek ewentualnej kontroli).
Podsumowując
Od 3 kwietnia 2026 r. zegar bije na korzyść tych przedsiębiorców, którzy sprawnie przeprowadzą audyt prawno-organizacyjny swojej działalności. Termin 3 października 2026 r. na rejestrację w wykazie podmiotów kluczowych i ważnych jest nieprzekraczalny, a zaniechanie tego obowiązku grozi sankcjami prawnymi. Z uwagi na złożoność zasad zliczania progów w grupach kapitałowych oraz oceny materialnego zakresu świadczonych usług, warto skonsultować wyniki samoidentyfikacji ze specjalistą z zakresu prawa cyberbezpieczeństwa.
Niniejszy artykuł ma charakter informacyjny i nie jest to porada prawna.
Stan prawny na dzień 05 sierpnia 2026 r.
