Czy Twoja firma nagle stała się „podmiotem ważnym”? Jak sprawdzić, czy podlegasz nowej ustawie o KSC
Od 3 kwietnia 2026 r. obowiązuje gruntowna nowelizacja ustawy o krajowym systemie cyberbezpieczeństwa (KSC), wdrażająca unijną dyrektywę NIS2. Krąg podmiotów objętych regulacją rozrósł się z kilkuset operatorów usług kluczowych do dziesiątek tysięcy przedsiębiorstw. Wiele firm, które wcześniej nigdy nie miały styczności z KSC, musi dziś same ustalić, czy nowe przepisy ich dotyczą.
Kluczowa zmiana: koniec z wąskim gronem „operatorów”
Stara ustawa mówiła o operatorach usług kluczowych, to jest wąskiej – z dzisiejszej perspektywy – grupie dużych podmiotów wyznaczanych decyzją administracyjną. Nowelizacja wprowadza dwie szersze kategorie: podmioty kluczowe i podmioty ważne, obejmujące znacznie więcej sektorów niż dotychczas.
Punkt wyjścia: załączniki nr 1 i 2 do ustawy
Podstawowym narzędziem samoidentyfikacji jest analiza dwóch załączników do ustawy, które enumeratywnie wymieniają sektory, podsektory i rodzaje podmiotów objętych regulacją. Nie da się ustalić statusu firmy „na oko”, trzeba porównać rzeczywisty profil działalności z tymi zestawieniami i dopiero na tej podstawie wyciągnąć wniosek o podleganiu lub niepodleganiu przepisom.
Załącznik nr 1 (sektory kluczowe) obejmuje m.in.: energię (w tym wydobycie kopalin, energię elektryczną, ciepło, ropę i paliwa, gaz, energetykę jądrową, wodór), transport (lotniczy, kolejowy, wodny, drogowy), bankowość i infrastrukturę rynków finansowych, ochronę zdrowia, zaopatrzenie w wodę pitną, odprowadzanie ścieków, infrastrukturę cyfrową, zarządzanie usługami ICT, przestrzeń kosmiczną oraz podmioty publiczne.
Załącznik nr 2 (sektory ważne) obejmuje m.in.: usługi pocztowe, gospodarkę odpadami, produkcję i dystrybucję chemikaliów oraz żywności, wybraną produkcję przemysłową (wyroby medyczne, elektronikę, urządzenia elektryczne, pojazdy), dostawców usług cyfrowych oraz badania naukowe.
Każda pozycja w załącznikach jest opisana precyzyjnie, często z odwołaniem do konkretnych ustaw branżowych czy rodzajów koncesji, dlatego analiza wymaga zestawienia realnego przedmiotu działalności firmy (a nie tylko wpisanego kodu PKD) z literalnym brzmieniem przepisu.
Kryteria wielkości i wyjątki
Oprócz przynależności sektorowej liczy się wielkość przedsiębiorstwa: podmioty kluczowe to zasadniczo duże firmy, natomiast ustawa obejmuje również podmioty średnie. Od tej reguły są jednak wyjątki, otóż niektóre branże (np. telekomunikacja, kwalifikowani dostawcy usług zaufania, podmioty publiczne) podlegają ustawie niezależnie od rozmiaru.
Samoidentyfikacja to obowiązek, nie opcja
Ustawa nie przewiduje, że ktoś „z urzędu” poinformuje każdą firmę o objęciu przepisami. Z urzędu wpisywani są jedynie dotychczasowi operatorzy usług kluczowych i inne podmioty już znane regulatorowi. Pozostałe firmy muszą same przeprowadzić proces samoidentyfikacji w oparciu o załączniki, udokumentować go i – jeśli spełniają kryteria – dokonać wpisu do Wykazu KSC, ale na tym nie kończą się ich obowiązki…
Co dalej
Jeśli analiza załączników wskazuje, że firma może podlegać nowym przepisom, kolejnym krokiem powinno być sprawdzenie konkretnych obowiązków (m.in. wdrożenie systemu zarządzania bezpieczeństwem informacji, zgłaszanie incydentów, wyznaczenie osoby odpowiedzialnej) oraz terminów przejściowych przewidzianych w ustawie, to jednak temat na osobne opracowanie.
Temat KSC będziemy zgłębiać w kolejnych wpisach, a więc zachęcam do śledzenia.
Marcin Szumlański
Adwokat, który od wielu lat prowadzi własną kancelarię prawną, wspierając klientów w rozwiązywaniu kompleksowych spraw z zakresu prawa gospodarczego i cywilnego.
Jest ekspertem nie tylko w tradycyjnych obszarach prawa, ale także pasjonatem nowych technologii – szczególnie sztucznej
inteligencji i jej praktycznych zastosowań w pracy prawnika.Prowadził szkolenie z zakresu inżynierii promptów dla prawników, dzieląc się wiedzą na temat skutecznego korzystania z AI w profesjonalnej praktyce adwokackiej.
