Samookreślenie na gruncie ustawy o KSC: jak nie pomylić się w ocenie własnego statusu

Nowelizacja ustawy o KSC: co zmienia dyrektywa NIS2 w 2026 roku

Od 3 kwietnia 2026 r. obowiązuje w Polsce znowelizowana ustawa o krajowym systemie cyberbezpieczeństwa, wdrażająca unijną dyrektywę NIS2. Nowelizacja zmieniła coś więcej niż tylko nazewnictwo. Wcześniej status operatora usługi kluczowej przyznawał organ administracji w drodze decyzji, teraz to sam podmiot musi ustalić, czy podlega ustawie, i sam się zarejestrować w wykazie. To przesunięcie odpowiedzialności z urzędu na przedsiębiorcę nazywa się samoidentyfikacją i jest dziś punktem wyjścia całego reżimu ustawy KSC. W artykule postaram się wyjaśnić, jak przeprowadzić taką ocenę krok po kroku, jakie błędy można popełnić i jakie mogą być tego konsekwencje.

Termin na złożenie wniosku o wpis do wykazu podmiotów kluczowych i ważnych dla organizacji, które już 3 kwietnia 2026 r. spełniały ustawowe kryteria, mija 3 października 2026 r. Kto zacznie spełniać kryteria później, ma na zgłoszenie 6 miesięcy od dnia, w którym przesłanki się ziściły. Dla wielu firm i instytucji czas na rzetelną samoocenę już płynie, a błąd w tej ocenie, w obie strony, ma realne konsekwencje prawne.

Dlaczego samoidentyfikacja to nie formalność, tylko realny obowiązek

Zanim przejdziemy do metodyki oceny, warto wyjaśnić, na czym polega prawny charakter wpisu do wykazu i dlaczego to na podmiocie, a nie na organie, spoczywa dziś ciężar prawidłowej kwalifikacji.

Wpis do wykazu KSC ma charakter deklaratoryjny. Oznacza to, że status podmiotu kluczowego lub ważnego wynika z samego faktu spełnienia ustawowych przesłanek, nie z dokonania wpisu. Jeśli organizacja spełnia kryteria, ale nie złoży wniosku, to naraża się na wpis z urzędu przez organ właściwy do spraw cyberbezpieczeństwa, niezależnie od swojej inicjatywy. Innymi słowy: bierność nie chroni. Chroni tylko rzetelna analiza i albo świadome zgłoszenie, albo świadome i dokumentowane ustalenie, że przesłanki nie są spełnione.

Skala zmian: od wąskiego katalogu operatorów do tysięcy nowych podmiotów

Sens tej zmiany leży w skali. Poprzednio krąg operatorów usług kluczowych był względnie wąski i organ mógł go samodzielnie zidentyfikować. NIS2 rozszerzyła katalog sektorów z 7 do 18, a to oznacza tysiące nowych podmiotów, które są niemożliwe do zidentyfikowania przez administrację. Stąd doszło do przesunięcia ciężaru weryfikacji na same organizacje, przy zachowaniu mechanizmu korekcyjnego w postaci wpisu z urzędu dla tych, które się nie zgłoszą.

Samoocena sprowadza się w praktyce do odpowiedzi na trzy pytania, które trzeba zadać w konkretnej kolejności. Ministerstwo Cyfryzacji rekomenduje właśnie taki schemat:

Krok pierwszy: sektor działalności

Pierwszy etap samooceny polega na przypisaniu faktycznie prowadzonej działalności do sektora kluczowego lub ważnego wskazanego w załącznikach do ustawy, przy czym rozstrzyga rzeczywisty profil świadczonych usług, a nie kod PKD widniejący w rejestrze.

Trzeba sprawdzić, czy prowadzona działalność mieści się w załączniku nr 1 (sektory kluczowe) albo załączniku nr 2 (sektory ważne) do ustawy. Załącznik nr 1 obejmuje energetykę (w tym energetykę jądrową i wodór), transport lotniczy, kolejowy, wodny i drogowy, bankowość i infrastrukturę rynków finansowych, ochronę zdrowia, zaopatrzenie w wodę pitną, zbiorowe odprowadzanie ścieków, infrastrukturę cyfrową, zarządzanie usługami ICT, przestrzeń kosmiczną oraz podmioty publiczne. Załącznik nr 2 to usługi pocztowe, gospodarowanie odpadami, produkcja i dystrybucja chemikaliów, produkcja i dystrybucja żywności, wybrane branże produkcyjne (wyroby medyczne, elektronika, maszyny, pojazdy), dostawcy usług cyfrowych i badania naukowe. Klasyfikacja PKD jest tu pomocna, ale nie rozstrzygająca. Liczy się rzeczywisty profil działalności, nie kod wpisany do KRS albo CEIDG. Firma transportowa, która formalnie ma PKD z sekcji spedycyjnej, ale w praktyce świadczy usługi centrum przetwarzania danych, powinna analizować się jako podmiot infrastruktury cyfrowej, nie transportu.

Krok drugi: wielkość podmiotu

Drugi etap wymaga ustalenia wielkości przedsiębiorstwa według unijnych progów z rozporządzenia 651/2014, a nie polskiej definicji MŚP, i przypisania jej do jednej z czterech kategorii, od której zależy dalsza kwalifikacja. Rozstrzyga tu unijna definicja z rozporządzenia Komisji 651/2014, a nie polskie przepisy o małych i średnich przedsiębiorcach.

Progi są następujące:

  1. Mikroprzedsiębiorstwo poniżej 10 osób do 2 mln EUR obrót do 2 mln EUR;
  2. Małe przedsiębiorstwo poniżej 50 osób do 10 mln EUR obrót do 10 mln EUR;
  3. Średnie przedsiębiorstwo poniżej 250 osób do 50 mln EUR do 43 mln EUR;
  4. Duże przedsiębiorstwo 250 osób i więcej powyżej 50 mln EUR obrót powyżej 43 mln EUR.

Zasadą ogólną jest to, że duże przedsiębiorstwo z załącznika nr 1 to podmiot kluczowy, średnie z załącznika nr 1 (lub duże i średnie z załącznika nr 2) to podmiot ważny. Mikro- i małe przedsiębiorstwa co do zasady zostają poza zakresem ustawy, choć nie zawsze, i to jest istotne — więcej o tym w dalszej części.

Krok trzeci: analiza art. 5 ustawy

Trzeci etap polega na zestawieniu wyników dwóch poprzednich kroków na gruncie art. 5 ustawy, który – poza ogólną regułą łączącą sektor z wielkością – przewiduje też wyjątki i przepisy szczególne mogące zmienić ostateczny wynik kwalifikacji.

Art. 5 ustawy o KSC precyzuje zasady kwalifikacji łącząc sektor z wielkością i wskazując wyjątki. Po jego przejściu podmiot może ustalić jeden z trzech wyników: jest podmiotem kluczowym, jest podmiotem ważnym, albo pozostaje poza zakresem ustawy. Dwie rzeczy w tym miejscu najczęściej zaskakują w praktyce.

Zbieg przesłanek i kategorie szczególne, np. dla podmiotów leczniczych

Po pierwsze, gdy podmiot spełnia jednocześnie przesłanki dla obu kategorii, zawsze stosuje się przepisy dla podmiotu kluczowego. Po drugie, ustawa przewiduje kategorie szczególne, które mają własne, odrębne progi wielkościowe, niezależne od ogólnej reguły. Najlepszym przykładem są podmioty lecznicze niebędące przedsiębiorcami (np. SP ZOZ-y). Dla nich art. 5 ust. 8 ustawy ustanawia własną skalę: 50-249 zatrudnionych oznacza podmiot ważny, 250 i więcej podmiot kluczowy. SP ZOZ zatrudniający poniżej 50 osób nie staje się więc podmiotem kluczowym ani ważnym z mocy ustawy, ale placówki finansowane ze środków publicznych i posiadające np. szpitalny oddział ratunkowy bywają traktowane odmiennie, co pokazuje, że w sektorze zdrowia zawsze trzeba sprawdzić przepisy szczególne, nie tylko ogólną tabelę wielkości.

Art. 7l KSC: gdy niewielka skala działalności nie chroni przed regulacją

Największym zaskoczeniem dla wielu przedsiębiorców jest to, że kryterium wielkości nie chroni automatycznie przed objęciem ustawą. Art. 7l KSC daje organowi właściwemu do spraw cyberbezpieczeństwa prawo uznania podmiotu za kluczowy lub ważny w drodze decyzji, nawet jeśli nie spełnia on kryterium wielkościowego, w tym mikro- i małych przedsiębiorców. Dzieje się to, gdy podmiot działa w sektorze z załącznika nr 1 lub 2 i spełnia co najmniej jedną z czterech przesłanek:

  • jako jedyny świadczy usługę o kluczowym znaczeniu dla krytycznej działalności społecznej lub gospodarczej,
  • zakłócenie jego usługi zagroziłoby bezpieczeństwu państwa, porządkowi publicznemu, obronności lub zdrowiu publicznemu,
  • zakłócenie jego usługi wywołałoby ryzyko systemowe dla innych podmiotów kluczowych lub ważnych,
  • jego usługa ma istotne znaczenie na poziomie wojewódzkim lub krajowym, albo dla dwóch lub więcej sektorów.

Praktyczny przykład: mały dostawca oprogramowania obsługujący systemy dyspozytorskie jednego regionalnego operatora wodociągów może nie spełniać żadnego progu wielkości, ale jeśli jego usługa jest dla tego operatora jedynym rozwiązaniem tej klasy na danym obszarze, organ może objąć go regulacją decyzją administracyjną. To zasadniczo zmienia sposób myślenia o samoidentyfikacji: analiza progów finansowych to konieczny, ale nie zawsze wystarczający krok. Trzeba też ocenić, jak krytyczna jest świadczona usługa dla łańcucha dostaw innych podmiotów objętych ustawą.

Grupy kapitałowe: doliczanie danych przedsiębiorstw powiązanych i partnerskich

Kolejny obszar, w którym samoocena bywa błędna, dotyczy przedsiębiorstw wchodzących w skład grup kapitałowych. Zgodnie z ogólną zasadą rozporządzenia 651/2014, przy ustalaniu wielkości przedsiębiorstwa dolicza się dane przedsiębiorstw powiązanych i partnerskich, więc mała spółka-córka dużego koncernu energetycznego, sama zatrudniająca 20 osób, może po doliczeniu danych grupy przekroczyć próg dużego przedsiębiorstwa i stać się podmiotem kluczowym.

Wyłączenie z art. 5 ust. 6-7: separacja infrastruktury IT jako warunek

Ustawa przewiduje jednak wyłączenie z tej zasady. Zgodnie z art. 5 ust. 6 i 7 ustawy o KSC, jeżeli przyczyną kwalifikacji jest wyłącznie doliczenie danych przedsiębiorstw powiązanych lub partnerskich, a system informacyjny danej spółki jest niezależny od sieci i systemów informacyjnych tych przedsiębiorstw, i spółka nie świadczy usług wspólnie z nimi, to nie staje się podmiotem kluczowym ani ważnym z tego tylko tytułu. W praktyce oznacza to, że spółka musi udowodnić dwie rzeczy: pełną separację infrastruktury IT (serwery, sieci, bazy danych fizycznie i logicznie odseparowane od spółki-matki czy spółek-sióstr) oraz brak wspólnego świadczenia usług z innymi podmiotami grupy. Jeśli spółka korzysta ze wspólnej infrastruktury IT grupy, choćby z centralnego serwera pocztowego czy współdzielonej sieci VPN, nie może powołać się na to wyłączenie, nawet gdyby jej działalność operacyjna była w pełni odrębna.

To zapis, który wymaga rzeczywistej analizy architektury systemów informacyjnych, a nie tylko struktury właścicielskiej czy organizacyjnej. Kancelarie prawne i działy compliance grup kapitałowych powinny to sprawdzać osobno dla każdej spółki zależnej, bo wynik może być różny w zależności od tego, jak zorganizowana jest infrastruktura IT danej jednostki.

Przykłady kwalifikacji z praktyki: ochrona zdrowia, chemikalia, logistyka

Dla przykładu:

  • duży szpital wojewódzki zatrudniający 400 osób jest podmiotem kluczowym niezależnie od formy prawnej: przewyższa próg dla dużego przedsiębiorstwa albo, jeśli nie jest przedsiębiorcą, przekracza próg 250 zatrudnionych z art. 5 ust. 8. Prywatna klinika stomatologiczna zatrudniająca 8 osób pozostaje poza zakresem ustawy, o ile nie świadczy usług o znaczeniu regionalnym objętych mechanizmem art. 7l. Średniej wielkości przychodnia specjalistyczna zatrudniająca 80 osób, będąca przedsiębiorcą, powinna analizować się jako podmiot ważny;
  • producent nawozów sztucznych zatrudniający 120 osób i mający obrót 30 mln EUR kwalifikuje się jako podmiot ważny z sektora chemikaliów (załącznik nr 2). Firma zajmująca się recyklingiem odpadów przemysłowych, przy podobnej skali, podlega analizie jako podmiot z sektora gospodarowania odpadami. Katalog czynności w tym sektorze jest szeroki i obejmuje też pośredników w obrocie odpadami, nie tylko fizyczne przetwarzanie;
  • spółka logistyczna będąca częścią dużej grupy transportowej, zatrudniająca lokalnie 30 osób, ale korzystająca z centralnego systemu zarządzania flotą prowadzonego przez spółkę-matkę, nie może powołać się na wyłączenie z art. 5 ust. 6-7, bo współdzieli infrastrukturę IT. Musi więc doliczyć dane grupy i sprawdzić, czy łącznie przekracza próg podmiotu ważnego lub kluczowego.

Najczęstsze błędy w samoidentyfikacji podmiotów KSC

Z doświadczeń pierwszych miesięcy funkcjonowania nowych przepisów wynika, że błędy w samoidentyfikacji koncentrują się w kilku powtarzających się miejscach:

  1. Pierwszy błąd to poprzestanie na kodzie PKD jako jedynym kryterium sektorowym. Kod w rejestrze jest tylko wskazówką, rozstrzyga rzeczywisty charakter świadczonych usług. Firma może mieć PKD niezwiązane z sektorem KSC, a faktycznie świadczyć usługę objętą załącznikiem, np. zarządzanie infrastrukturą IT dla klienta z sektora energetycznego.
  2. Drugi błąd to ignorowanie przepisów szczególnych dla konkretnych typów podmiotów, takich jak art. 5 ust. 8 dla placówek leczniczych niebędących przedsiębiorcami. Zastosowanie ogólnej tabeli wielkości MŚP do takiego podmiotu prowadzi do błędnego wniosku.
  3. Trzeci błąd, szczególnie częsty wśród mikro- i małych przedsiębiorstw, to przekonanie, że niski próg zatrudnienia automatycznie wyłącza spod ustawy. Jak pokazano wyżej, art. 7l pozwala organowi objąć regulacją nawet najmniejszy podmiot, jeśli jego usługa ma krytyczne znaczenie systemowe. Właśnie mikro- i małe firmy mają z tym największy problem, bo z automatu wykluczają się z analizy na etapie kryterium wielkości, nie docierając do etapu oceny znaczenia usługi;
  4. Czwarty błąd dotyczy grup kapitałowych: pominięcie doliczenia danych przedsiębiorstw powiązanych i partnerskich, albo odwrotnie, automatyczne przyjęcie, że dane trzeba doliczyć, bez zbadania niezależności systemów informacyjnych, co mogłoby prowadzić do wyłączenia z art. 5 ust. 6-7.
  5. Piąty błąd to traktowanie samoidentyfikacji jako czynności jednorazowej. Status podmiotu może się zmienić: wzrost zatrudnienia, przekroczenie progu obrotowego, zmiana profilu działalności albo przejęcie nowego kontraktu o znaczeniu systemowym. Ustawa przewiduje 14-dniowy termin na zgłoszenie zmiany danych w wykazie, więc organizacja musi monitorować swój status na bieżąco, a nie tylko w chwili wejścia w życie nowelizacji.
  6. Szósty błąd, dotyczący zwłaszcza łańcuchów dostaw, to niedocenienie presji kontraktowej. Nawet podmiot formalnie poza zakresem ustawy bywa zobowiązywany przez klientów będących podmiotami kluczowymi lub ważnymi do wdrożenia analogicznych standardów bezpieczeństwa w umowach. Mikro- lub mały przedsiębiorca współpracujący z dużym operatorem infrastruktury cyfrowej może więc de facto podlegać części wymogów bezpieczeństwa, mimo że formalnie nie musi się rejestrować w wykazie KSC.

Jak udokumentować samoocenę: checklista krok po kroku

Skoro wpis ma charakter deklaratoryjny i organ może w każdej chwili zweryfikować, czy dany podmiot słusznie uznał się za wyłączony z ustawy, warto przeprowadzić samoocenę w sposób, który da się później wykazać. Praktyczne czynności wyglądają tak:

  1. zidentyfikuj rzeczywisty profil działalności – nie kod PKD, a faktyczne usługi i systemy informacyjne, za pomocą których są świadczone;
  2. przypisz działalność do konkretnego sektora i podsektora z załącznika nr 1 lub nr 2, z odniesieniem do konkretnego przepisu ustawy;
  3. ustal wielkość przedsiębiorstwa według rozporządzenia 651/2014, pamiętając o obowiązku doliczenia danych przedsiębiorstw powiązanych i partnerskich, o ile nie zachodzi wyłączenie z art. 5 ust. 6-7;
  4. sprawdź, czy nie stosuje się przepis szczególny dotyczący konkretnego typu podmiotu (np. art. 5 ust. 8 dla podmiotów leczniczych);
  5. jeżeli wynik analizy wielkości wskazuje na wyłączenie spod ustawy, sprawdź dodatkowo przesłanki z art. 7l, czyli czy usługa ma znaczenie krytyczne, systemowe lub ponadsektorowe;
  6. sporządź notatkę z przebiegu analizy, z datą, podstawą prawną każdego etapu i wnioskiem końcowym. To dokument, który może być potrzebny przy ewentualnej kontroli organu właściwego;
  7. wyznacz osobę lub zespół odpowiedzialny za monitorowanie zmian w organizacji, które mogłyby wpłynąć na status (zmiana zatrudnienia, obrotu, zakresu usług, struktury grupy).

Jeśli wynik jest pozytywny, złóż wniosek o wpis do wykazu KSC w systemie dostępnym pod adresem wykaz-ksc.gov.pl, logując się przez Węzeł Krajowy (Profil Zaufany, mObywatel, e-Dowód, bankowość elektroniczna lub kwalifikowany certyfikat).

Konsekwencje błędnej samoidentyfikacji i kary administracyjne

Konsekwencje błędnej samoidentyfikacji rozkładają się w czasie, co bywa źródłem złudnego poczucia bezpieczeństwa. Ustawa przewiduje, że administracyjne kary pieniężne za naruszenie obowiązków z KSC, w tym za brak wpisu do wykazu, mogą być nałożone po raz pierwszy dopiero po upływie 2 lat od dnia wejścia w życie ustawy, czyli od 3 kwietnia 2028 r. To wydłużenie względem pierwotnego projektu, wprowadzone w toku prac parlamentarnych, nie oznacza jednak bezkarności do tego czasu, oznacza tylko, że kary pieniężne czekają. Obowiązki materialne, w tym obowiązek zgłaszania incydentów w ustawowych terminach (24 godziny na wczesne ostrzeżenie, 72 godziny na zgłoszenie incydentu poważnego, miesiąc na sprawozdanie końcowe zgodnie z art. 11 ustawy) i osobista odpowiedzialność kierownika podmiotu z art. 8c, obowiązują od 3 kwietnia 2026 r., niezależnie od tego, czy podmiot dokonał wpisu.

To rozróżnienie jest istotne dla praktyki: brak kar pieniężnych do 2028 r. nie oznacza braku ryzyka. Kierownik podmiotu, który nie doprowadził do prawidłowej samoidentyfikacji i wdrożenia systemu zarządzania bezpieczeństwem informacji, odpowiada osobiście od dnia wejścia w życie ustawy. Poza tym błędna samoocena, która doprowadzi do wpisu z urzędu przez organ, wiąże się z utratą kontroli nad terminami i sposobem wdrożenia. Organ nadaje status, a podmiot musi się dostosować w terminach wynikających z decyzji, zamiast zaplanować wdrożenie samodzielnie.

Kontekst konstytucyjny: skierowanie ustawy do Trybunału Konstytucyjnego

Jest też kontekst konstytucyjny, o którym nie można zapominać. Prezydent RP, podpisując nowelizację 19 lutego 2026 r., równocześnie skierował ją do Trybunału Konstytucyjnego w trybie kontroli następczej, obejmującej między innymi przepisy o uznawaniu dostawców wysokiego ryzyka, poleceniach zabezpieczających i karach administracyjnych. Skierowanie do Trybunału nie wstrzymało wejścia w życie ustawy, ale oznacza, że część przepisów może w przyszłości zostać uznana za niekonstytucyjną, co warto monitorować, zwłaszcza jeśli dotyczy to obszarów istotnych dla konkretnej branży klienta.

 

 

Bartłomiej Kasprzyk

 

 

Adwokat, który wnosi szeroką wiedzę branżową, zwłaszcza w dziedzinie prawa, z ponad 10-letnim doświadczeniem. Jego rolą jest zapewnienie zgodności z wszystkimi przepisami dotyczącymi bezpieczeństwa, chroniąc integralność i bezpieczeństwo naszych danych.