KSC i NIS2: jak zakwalifikować firmę i uporządkować odpowiedzialność

Przegląd: 13 października 2026 · Polskie prawo i podatki

Kwalifikacja do KSC wymaga sprawdzenia rzeczywistej działalności firmy, jej wielkości i ustawowych wyjątków. Sam kod PKD albo przekonanie, że cyberbezpieczeństwo dotyczy wyłącznie branży IT, nie wystarczą. Dobrym rezultatem analizy jest pisemna odpowiedź, dlaczego podmiot podlega określonym obowiązkom albo dlaczego pozostaje poza ich zakresem, wraz z danymi, na których oparto ocenę.

KSC jest polskim wdrożeniem NIS2

Ustawa z 23 stycznia 2026 r. zmieniająca ustawę o krajowym systemie cyberbezpieczeństwa została ogłoszona w Dz.U. pod poz. 252 i weszła zasadniczo w życie 3 kwietnia 2026 r. Wprowadziła model podmiotów kluczowych i ważnych. Dla firmy działającej w Polsce punktem odniesienia są obowiązujące polskie przepisy, ich załączniki i regulacje przejściowe, czytane w kontekście dyrektywy NIS2.

Nie należy zakładać, że wystarczy wdrożenie przyjęte przez zagraniczną centralę grupy. Może ono zapewniać użyteczne procedury i narzędzia, lecz trzeba sprawdzić polski zakres podmiotowy, odpowiedzialność oraz kanały zgłoszeń. Osobnej uwagi wymagają podmioty objęte szczególnymi regulacjami sektorowymi.

Przeprowadź test kwalifikacji

Najpierw przyporządkuj faktyczne usługi lub produkty do sektorów, podsektorów i rodzajów podmiotów wskazanych w ustawie. Następnie zbierz dane o zatrudnieniu i finansach oraz ustal, jak uwzględniać przedsiębiorstwa powiązane i partnerskie. Sprawdź także kategorie obejmowane niezależnie od wielkości oraz szczególne przesłanki objęcia regulacją. Uproszczone hasło o liczbie pracowników nie zastąpi tego testu.

Wynik powinien wskazywać kategorię podmiotu, właściwy organ, obowiązki rejestrowe i podstawę przyjętych terminów. Jeśli firma nie podlega bezpośrednio KSC, nadal może otrzymywać wymagania bezpieczeństwa od klientów w łańcuchu dostaw. Takie zobowiązania umowne trzeba ocenić osobno; nie są automatycznie dowodem ustawowego statusu.

Kierownictwo musi mieć zadania i dowody nadzoru

Ustawa przypisuje kierownikowi podmiotu odpowiedzialność za określone obowiązki cyberbezpieczeństwa. Powierzenie zadań pracownikowi lub usługodawcy nie usuwa jej automatycznie. W organie wieloosobowym należy uporządkować wskazanie osoby odpowiedzialnej, zakres decyzji i dokumentację nadzoru, uwzględniając ustawowe zasady odpowiedzialności.

Praktyczny podział pracy powinien obejmować ocenę ryzyka, budżet, bezpieczeństwo dostawców, zarządzanie dostępem, ciągłość działania i obsługę incydentów. Kierownictwo potrzebuje informacji o brakach oraz terminach ich usunięcia. Ustawa przewiduje również udokumentowane szkolenie kierownika i osoby, której powierzono jego obowiązki, raz w roku kalendarzowym. Sam zakup narzędzia lub certyfikat dostawcy nie dowodzą wykonania wszystkich zadań.

Terminy KSC: co sprawdzić po 3 października 2026 r.

Dla podmiotów spełniających przesłanki przy wejściu nowelizacji w życie i objętych samorejestracją wskazany przez Ministerstwo Cyfryzacji termin wpisu minął 3 października 2026 r. Na dzień tego przeglądu trzeba więc sprawdzić faktyczny status w wykazie; jeśli właściwy wniosek nie został złożony, pilnie ustalić sposób uzupełnienia obowiązku.

Dla grupy objętej okresem dostosowawczym termin wdrożenia obowiązków i rozpoczęcia korzystania z S46 przypada 3 kwietnia 2027 r. Pierwszy audyt nowych podmiotów kluczowych, które nie były operatorami usług kluczowych, przypada do 3 kwietnia 2028 r. Dotychczasowi operatorzy zachowują własny cykl audytowy. Podmioty później spełniające przesłanki wymagają odrębnego wyliczenia terminów; tych dat nie stosuj do nich automatycznie.

Rozdziel wpis, system zarządzania bezpieczeństwem, zgłaszanie incydentów i audyt. Późniejszy termin jednego obowiązku nie odracza wszystkich pozostałych. Harmonogram porównaj z przepisami przejściowymi i aktualnym komunikatem właściwego organu.

Przykład modelowy, checklista i następny krok

Producent urządzeń elektrycznych zatrudnia 120 osób i korzysta z infrastruktury informatycznej zagranicznej grupy. Te informacje uzasadniają analizę, lecz same nie przesądzają kategorii podmiotu. Trzeba potwierdzić rodzaj działalności, dane grupowe, zależności usługowe i ewentualne wyjątki. Przykład jest hipotetyczny.

• Udokumentuj test zakresu i wielkości podmiotu.
• Wyznacz odpowiedzialnych oraz zastępstwa.
• Zidentyfikuj systemy, dostawców i najważniejsze ryzyka.
• Przypisz obowiązkom terminy i dowody wykonania.
• Przećwicz obieg informacji o incydencie i decyzję o zgłoszeniu.

Pierwszym etapem może być kwalifikacja prawna i mapa odpowiedzialności, a następnie plan uzupełnienia konkretnych braków. Omów zakres analizy KSC z TLP, przygotowując opis działalności, strukturę grupy i dostępne procedury bezpieczeństwa.