Польский закон о национальной системе кибербезопасности (НЦК), имплементирующий директиву ЕС NIS2, вступил в силу 3 апреля 2026 года. Его принятие ознаменовало собой фундаментальное изменение модели надзора за кибербезопасностью. Прежний механизм, в рамках которого статус ключевого субъекта присваивался индивидуальным административным решением, был упразднен. В настоящее время предприятия сами несут ответственность за самоидентификацию – проверку соответствия критериям ключевого или важного субъекта согласно новым правилам и, если они соответствуют критериям, подачу заявления в реестр до 3 октября 2026 года.
На кого распространяются данные правила? Пороговые значения занятости и оборота
В принципе, новый закон о малых и средних предприятиях распространяется на средние и крупные предприятия, работающие в определенных секторах экономики. Согласно стандартам ЕС для малых и средних предприятий, компания считается подпадающей под действие режима, если она соответствует как минимум следующим критериям:
- имеет не менее 50 сотрудников или
- достигает годового оборота не менее 10 миллионов евро или годового балансового показателя не менее 10 миллионов евро.
Микро- и малые предприятия (с численностью сотрудников менее 50 человек и оборотом или балансовой суммой менее 10 миллионов евро) в целом не подпадают под действие этого закона. Однако правила предусматривают важные исключения. К малым компаниям также будут применяться эти требования, если они являются единственным поставщиком основных услуг в данном регионе, предоставляют определенные цифровые услуги (например, поставщики доверительных услуг, регистраторы доменных имен, поставщики услуг электронных коммуникационных сетей) или если их деятельность может представлять значительный системный риск.
Ключевые и важные отрасли: есть ли ваша отрасль в этом списке?
Поправка значительно расширяет список отраслей, подпадающих под действие правил кибербезопасности, разделяя их на два уровня нормативного режима:
- Критически важные объекты: Включает традиционные сектора критической инфраструктуры, такие как энергетика, транспорт, банковское дело, инфраструктура финансовых рынков, здравоохранение, водоснабжение и водоотведение, очистка сточных вод, цифровая инфраструктура, управление ИКТ-услугами (включая поставщиков управляемых услуг B2B) и государственное управление.
- Важные субъекты: охватывают секторы, имеющие большое экономическое и социальное значение, включая почтовые и курьерские услуги, управление отходами, производство и распределение химической продукции, производство и переработку продуктов питания, отдельные отрасли обрабатывающей промышленности (например, производство медицинских изделий, компьютеров, электроприборов или транспортных средств), а также поставщиков цифровых услуг (онлайн-торговые платформы, поисковые системы, социальные сети).
Самоидентификация без ожидания решения властей
Наиболее важное практическое изменение заключается в отказе от прежнего отсутствия у предпринимателей обязанности предпринимать какие-либо действия. Поправка к Кодексу коммерческих компаний вводит ответственность за собственную проверку. Невыполнение какого-либо административного решения надзорного органа не освобождает компанию от ее обязательств.
Предприниматель должен самостоятельно проанализировать вид осуществляемой деятельности, классифицировать предоставляемые услуги в соответствии с приложениями к Закону, а затем сравнить эти данные со своей структурой занятости и финансами. Стоит помнить, что при оценке порогового значения размера предприятия следует учитывать капитальные и личные связи с другими организациями в группе (в соответствии с Приложением I к Регламенту ЕС № 651/2014), что может привести к тому, что формально малое дочернее предприятие будет считаться частью более крупной организации.
Как подготовиться к переменам
Организациям следует незамедлительно начать формальный процесс самоидентификации, чтобы уложиться в приближающийся срок — 3 октября 2026 года:
- Проанализировать структуру группы и финансовые показатели: проверить статус занятости, годовой оборот и итоговую сумму баланса за последние утвержденные отчетные периоды, принимая во внимание связанные и партнерские организации.
- Составьте карту своего бизнеса: внимательно сравните коды PKD и фактически предоставляемые услуги со списком секторов и подсекторов, указанных в новом Законе о KSC.
- Проверьте наличие исключений: убедитесь, что компания, несмотря на то, что не превышает установленные пороговые значения размера, не предоставляет услуги, которые создают препятствие для функционирования рынка или государственной безопасности.
- Документируйте процесс проверки: подготовьте внутренний протокол самоидентификации – как в случае определения того, что компания подпадает под действие Закона (который является основанием для регистрации в реестре), так и в случае определения того, что режим KSC к ней не применяется (в случае возможной проверки).
Подводить итоги
С 3 апреля 2026 года время начинает отсчитываться в пользу тех предпринимателей, которые эффективно проведут юридический и организационный аудит своего бизнеса. Крайний срок регистрации в списке ключевых и важных субъектов — 3 октября 2026 года — является жестким, и несоблюдение этого срока может повлечь за собой юридические санкции. В связи со сложностью расчета пороговых значений внутри групп капитала и оценки материального объема предоставляемых услуг, целесообразно проконсультироваться по результатам самоидентификации со специалистом по кибербезопасности.
Данная статья носит исключительно информационный характер и не является юридической консультацией.
Закон действует по состоянию на 5 августа 2026 года.
