Польський Закон про національну систему кібербезпеки (KSC), що імплементує Директиву ЄС NIS2, набрав чинності 3 квітня 2026 року. Його прийняття ознаменувало фундаментальну зміну в моделі нагляду за кібербезпекою. Попередній механізм, за яким статус ключового суб'єкта надавався окремим адміністративним рішенням, був скасований. Наразі самі підприємства несуть відповідальність за самоідентифікацію – перевірку того, чи вони кваліфікуються як ключовий або важливий суб'єкт згідно з новими правилами, і, якщо вони відповідають критеріям, подання заявки до реєстру до 3 жовтня 2026 року.
На кого поширюється дія цих правил? Пороги зайнятості та плинності кадрів
В принципі, новий Закон KSC охоплює середні та великі підприємства, що працюють у певних секторах економіки. Посилаючись на кваліфікаційні стандарти ЄС для МСП, компанія вважається такою, що охоплюється режимом, якщо вона відповідає принаймні таким критеріям:
- має щонайменше 50 працівників або
- має річний оборот щонайменше 10 мільйонів євро або річний баланс щонайменше 10 мільйонів євро.
Мікро- та малі підприємства (які мають менше 50 працівників та оборот або загальний баланс менше 10 мільйонів євро) зазвичай не підпадають під дію цього закону. Однак, правила передбачають важливі винятки. Менші компанії також підпадатимуть під вимоги, якщо вони є єдиним постачальником основної послуги в певній галузі, надають певні цифрові послуги (наприклад, постачальники довірчих послуг, реєстри доменних імен, постачальники мереж електронного зв'язку) або якщо порушення їхньої роботи може становити значний системний ризик.
Ключові та важливі сектори: чи є ваша галузь у списку?
Поправка значно розширює перелік галузей, на які поширюються правила кібербезпеки, розділяючи їх на два рівні регуляторного режиму:
- Критично важливі об'єкти: Включає традиційні сектори критичної інфраструктури, такі як енергетика, транспорт, банківська справа, інфраструктура фінансового ринку, охорона здоров'я, постачання та розподіл питної води, водовідведення, цифрова інфраструктура, управління послугами ІКТ (включаючи постачальників керованих послуг B2B) та державне управління.
- Важливі суб'єкти: охоплюють сектори високого економічного та соціального значення, включаючи поштові та кур'єрські послуги, управління відходами, виробництво та розповсюдження хімічних речовин, виробництво та переробку харчових продуктів, окремі виробничі галузі (наприклад, виробництво медичних виробів, комп'ютерів, електроприладів або транспортних засобів), а також постачальників цифрових послуг (онлайн-торговельні платформи, пошукові системи, соціальні мережі).
Самоідентифікація без очікування рішення влади
Найважливішою практичною зміною є відмова від попередньої відсутності обов'язку для підприємців вживати заходів. Поправка до Кодексу про комерційні товариства запроваджує відповідальність за власну перевірку. Невиконання будь-якого адміністративного рішення наглядового органу не звільняє компанію від її зобов'язань.
Підприємець повинен самостійно проаналізувати вид діяльності, що здійснюється, класифікувати надані послуги відповідно до додатків до Закону, а потім порівняти ці дані зі своєю структурою зайнятості та фінансами. Варто пам’ятати, що під час оцінки порогу розміру підприємства слід враховувати капітал та особисті зв’язки з іншими суб’єктами господарювання групи (відповідно до Додатку I до Регламенту ЄС № 651/2014), що може призвести до того, що формально невелика дочірня компанія буде вважатися частиною більшого суб’єкта господарювання.
Як підготуватися до змін
Організаціям слід негайно розпочати офіційний процес самоідентифікації, щоб вкластися в майбутній термін – 3 жовтня 2026 року:
- Проаналізуйте структуру групи та фінансові показники: перевірте статус зайнятості, річний оборот та загальний баланс за останні затверджені звітні періоди, враховуючи пов'язані та партнерські організації.
- Створіть карту свого бізнесу: ретельно порівняйте коди PKD та фактично надані послуги зі списком секторів та підсекторів, зазначених у новому Законі KSC.
- Перевірте наявність винятків: перевірте, чи, незважаючи на неперевищення порогових значень розміру, компанія не надає послуги, які є вузьким місцем для функціонування ринку або державної безпеки.
- Задокументуйте процес перевірки: підготуйте внутрішній протокол самоідентифікації – як у разі визначення того, що компанія підпадає під дію Закону (що є підставою для реєстрації в реєстрі), так і у разі визначення того, що режим KSC на неї не поширюється (у разі можливої перевірки).
Підсумовуючи
З 3 квітня 2026 року час спливає на користь тих підприємців, які ефективно проводять юридичний та організаційний аудит свого бізнесу. Кінцевий термін реєстрації у переліку ключових та важливих суб'єктів господарювання – 3 жовтня 2026 року – є суворим терміном, і його невиконання може призвести до юридичних санкцій. Через складність розрахунку порогів у межах груп капіталу та оцінки матеріального обсягу наданих послуг, доцільно проконсультуватися щодо результатів самоідентифікації зі спеціалістом з права кібербезпеки.
Ця стаття призначена лише для ознайомлення та не є юридичною консультацією.
Закон чинний станом на 5 серпня 2026 року.
