Prawidłowe przeprowadzenie samooceny w reżimie nowej ustawy o krajowym systemie cyberbezpieczeństwa (KSC) wymaga nie tylko ustalenia, czy firma podlega przepisom, ale również sprecyzowania jej statusu. Ustawa dzieli adresatów obowiązków na dwie główne kategorie: podmioty kluczowe oraz podmioty ważne. Choć obie grupy stoją przed koniecznością wdrożenia środków zarządzania ryzykiem w cyberprzestrzeni i dokonania zgłoszenia do rejestru do 3 października 2026 r., zakres nadzoru oraz ewentualne sankcje finansowe znacząco się różnią.
Jak odróżnić podmiot kluczowy od ważnego?
O przynależności do konkretnej kategorii decydują dwa główne czynniki: sektor gospodarki, w którym działa przedsiębiorstwo oraz jego wielkość (mierzona zatrudnieniem i wskaźnikami finansowymi).
| Kryterium | Podmiot kluczowy | Podmiot ważny |
| Sektory gospodarki | Sektory kluczowe (m.in. energia, transport, bankowość, zdrowie, woda, infrastruktura cyfrowa, ICT). | Sektory ważne (m.in. poczta/kurierzy, odpady, chemia, żywność, produkcja przemysłowa, usługi cyfrowe). |
| Wielkość przedsiębiorstwa | Duże przedsiębiorstwa w sektorach kluczowych (≥250 pracowników lub obrót >50 mln EUR / bilans >43 mln EUR). | Średnie przedsiębiorstwa w sektorach kluczowych oraz średnie i duże w sektorach ważnych. |
| Kwalifikacja niezależna od wielkości | Dostawcy usług zaufania, rejestry nazw domen, podmioty administracji publicznej lub wyznaczone indywidualnie ze względu na ryzyko systemowe. | Podmioty wskazane w ustawie jako ważne bez względu na skalę działalności. |
Nadzór ex-ante a nadzór ex-post: kluczowa różnica ustrojowa
Najistotniejsza różnica praktyczna pomiędzy obiema kategoriami dotyczy sposobu, w jaki organy regulacyjne sprawują kontrolę nad przestrzeganiem przepisów:
- Podmioty kluczowe (nadzór ex-ante): Regulatorzy posiadają uprawnienia do prowadzenia prewencyjnych i regularnych kontroli. Mogą w dowolnym momencie – bez wcześniejszego wystąpienia incydentu – żądać dokumentacji, nakazywać przeprowadzenie niezależnych audytów bezpieczeństwa na koszt spółki czy weryfikować stosowane procedury.
- Podmioty ważne (nadzór ex-post): Reżim nadzorczy ma charakter następczy. Organy podejmują działania kontrolne i egzekucyjne dopiero po uzyskaniu dowodów, zgłoszenia lub uzasadnionego podejrzenia, że doszło do naruszenia przepisów (np. w następstwie poważnego incydentu lub skargi).
Obowiązki organizacyjne
Obie kategorie podmiotów muszą wdrożyć analogiczny zestaw środków technicznych i organizacyjnych, w tym:
- regularną analizę ryzyka i polityki bezpieczeństwa systemów teleinformatycznych,
- procedury obsługi incydentów oraz planowanie ciągłości działania (BCP) i zarządzanie kryzysowe,
- weryfikację bezpieczeństwa łańcucha dostaw (audytowanie dostawców oprogramowania i usług IT),
- obowiązkowe stosowanie kryptografii i szyfrowania tam, gdzie jest to uzasadnione.
Dla obu grup terminem na pełne wdrożenie Systemu Zarządzania Bezpieczeństwem Informacji (SZBI) pozostaje 3 kwietnia 2027 r.
Sankcje finansowe i odpowiedzialność kadry kierowniczej
Różnice w krytyczności sektora odzwierciedla również taryfikator kar pieniężnych za niewypełnienie obowiązków:
- Dla podmiotów kluczowych: Kary mogą wynosić do 10 000 000 EUR lub do 2% całkowitego światowego rocznego obrotu przedsiębiorstwa w poprzednim roku obrotowym (wybiera się kwotę wyższą).
- Dla podmiotów ważnych: Maksymalne sankcje sięgają do 7 000 000 EUR lub do 1,4% całkowitego światowego rocznego obrotu (wybiera się kwotę wyższą).
Warto podkreślić, że nowela KSC przewiduje także osobistą odpowiedzialność kierowników jednostek (członków zarządu). W przypadku podmiotów kluczowych organy nadzorcze w skrajnych przypadkach uporczywego uchylania się od zaleceń pokontrolnych zyskują uprawnienie do wystąpienia o czasowe zawieszenie osoby fizycznej w pełnieniu funkcji kierowniczych.
Podsumowując
Choć podmioty ważne objęte są łagodniejszym, następczym modelem kontroli (ex-post), zakres koniecznych do wdrożenia procedur bezpieczeństwa jest niemal tożsamy jak w przypadku podmiotów kluczowych. Pobieżna interpretacja przepisów i odkładanie prac wdrożeniowych z uwagi na brak prewencyjnych kontroli jest wysokie ryzykiem biznesowym – pierwszy poważny incydent w podmiocie ważnym uruchomi procedurę kontrolną. Aby uchronić organizację przed dotkliwymi karami, proces analizy luki technologicznej i prawnej warto rozpocząć równolegle z przygotowaniem wniosku o wpis do rejestru.
Niniejszy artykuł ma charakter informacyjny i nie jest to porada prawna.
Stan prawny na dzień 13 sierpnia 2026 r.
