KSC i NIS2

Czy ustawa o KSC dotyczy Twojej firmy: pięć pytań

Pięć pytań, które rozstrzygają, czy nowelizacja ustawy o KSC obejmuje firmę, co trzeba zrobić do 3 października 2026 i do 3 kwietnia 2027 oraz ile może kosztować zwłoka.

Zdjęcie: Pexels, Christina Morillo

Nowelizacja ustawy o krajowym systemie cyberbezpieczeństwa (KSC), która wdraża unijną dyrektywę 2022/2555 o cyberbezpieczeństwie (NIS2), obowiązuje od 3 kwietnia 2026. Firma, która tego dnia spełniała warunki uznania za podmiot kluczowy lub ważny, składa wniosek o wpis do wykazu takich podmiotów do 3 października 2026. Obowiązki wdraża do 3 kwietnia 2027. Kary, możliwe po raz pierwszy po 3 kwietnia 2028, sięgają 10 mln euro lub 2 % przychodów. Prezes, który nie wie, czy ustawa dotyczy jego firmy, ma więc czas na odpowiedź do 3 października 2026, a na budżet do 3 kwietnia 2027. Stan prawny na 20 września 2026; kwalifikację własnej firmy warto potwierdzić z prawnikiem.

Czy prowadzisz działalność z załącznika nr 1 albo nr 2 do ustawy?

  • Załącznik nr 1, sektory kluczowe: energia; transport; bankowość i infrastruktura rynków finansowych; ochrona zdrowia; zaopatrzenie w wodę pitną i jej dystrybucja; zbiorowe odprowadzanie ścieków; infrastruktura cyfrowa; zarządzanie usługami ICT; przestrzeń kosmiczna; podmioty publiczne.
  • Załącznik nr 2, sektory ważne: usługi pocztowe; inwestycje energetyki jądrowej; gospodarowanie odpadami; produkcja, wytwarzanie i dystrybucja chemikaliów; produkcja, przetwarzanie i dystrybucja żywności; produkcja; dostawcy usług cyfrowych; badania naukowe; podmioty publiczne.

Pod sektorem „produkcja” dyrektywa wymienia wyroby medyczne, komputery, wyroby elektroniczne i optyczne, urządzenia elektryczne, maszyny i urządzenia, pojazdy samochodowe, przyczepy i naczepy oraz pozostały sprzęt transportowy. Samoidentyfikacja to według Ministerstwa Cyfryzacji analiza własnej działalności na podstawie art. 5 ustawy i załączników; kod PKD służy pomocniczo.

Czy firma jest co najmniej średnim przedsiębiorstwem?

Średnie przedsiębiorstwo według definicji unijnej zatrudnia mniej niż 250 osób, a jego roczny obrót nie przekracza 50 mln euro lub roczna suma bilansowa nie przekracza 43 mln euro. Dolna granica to definicja małego przedsiębiorstwa: mniej niż 50 zatrudnionych, a roczny obrót lub roczna suma bilansowa nie przekracza 10 mln euro. Firma, która się w niej mieści, nie spełnia kryterium wielkości. Wielkość liczy się razem z przedsiębiorstwami powiązanymi i partnerskimi, według stanu na dzień sporządzenia sprawozdania finansowego. Firma z załącznika nr 1, która przekracza progi średniego przedsiębiorstwa, jest podmiotem kluczowym. Firma średnia z załącznika nr 1 oraz firma średnia lub większa z załącznika nr 2 są podmiotami ważnymi. Ustawa pozwala też objąć decyzją mniejszą firmę z załączników, między innymi jedynego dostawcę usługi krytycznej.

Czy jesteś już w wykazie albo musisz się do niego wpisać sam?

Wykaz to aplikacja w S46, systemie teleinformatycznym z art. 46 ustawy, pod adresem wykaz-ksc.gov.pl. Z urzędu wpisuje się przedsiębiorców telekomunikacyjnych, dostawców usług zaufania, podmioty publiczne, podmioty krytyczne i dotychczasowych operatorów usług kluczowych. Pozostali składają wniosek sami, w 6 miesięcy od dnia spełnienia warunków. Firmy, które spełniały je 3 kwietnia 2026, mają na to okno od 7 maja 2026 do 3 października 2026. Wniosek elektroniczny zawiera oświadczenie kierownika podmiotu pod rygorem odpowiedzialności karnej. Firmę, która nie złoży go w terminie, może wpisać organ właściwy dla jej sektora. Oświadczenie warto więc oprzeć na spisanej analizie, gotowej przed 3 października 2026.

Co musisz mieć do 3 kwietnia 2027?

Podmioty, które spełniały warunki 3 kwietnia 2026, wdrażają obowiązki z rozdziału 3 ustawy do 3 kwietnia 2027; pozostałe w 12 miesięcy od dnia spełnienia warunków. Wśród nich jest system zarządzania bezpieczeństwem informacji (SZBI) z art. 8. Dyrektywa wymaga między innymi analizy ryzyka, obsługi incydentów, ciągłości działania i kopii zapasowych, bezpieczeństwa łańcucha dostaw, bezpieczeństwa przy nabywaniu, rozwoju i utrzymaniu systemów, szkoleń i kontroli dostępu. Incydent poważny zgłasza się do sektorowego zespołu reagowania na incydenty (CSIRT): wczesne ostrzeżenie w 24 godziny od wykrycia, zgłoszenie w 72 godziny, sprawozdanie końcowe w miesiąc od zgłoszenia. Odpowiedzialność ponosi kierownik podmiotu, który raz w roku kalendarzowym przechodzi szkolenie. Podmiot kluczowy przeprowadza na własny koszt audyt co najmniej raz na 3 lata, pierwszy do 3 kwietnia 2028. Podmiotowi ważnemu organ może nakazać audyt po incydencie poważnym lub innym naruszeniu ustawy. Kary mogą być po raz pierwszy nałożone po 3 kwietnia 2028. Podmiot kluczowy: do 10 mln euro lub 2 % przychodów, nie mniej niż 20 000 zł. Podmiot ważny: do 7 mln euro lub 1,4 % przychodów, nie mniej niż 15 000 zł. Z dwóch kwot stosuje się wyższą. Kierownik podmiotu: do 300 % jego wynagrodzenia.

Jeśli firma dopiero zamawia system, wymagania dotyczące dostępu, zapisu zdarzeń, kopii i umowy z dostawcą wchodzą do zamówienia jako kryteria odbioru; dopisane do gotowego systemu są osobnym projektem.

Co, jeśli firma nie jest w żadnym załączniku?

Ustawa nie nakłada wtedy obowiązków wprost; ministerstwo opisuje taki wynik samoidentyfikacji słowami „nie podlega przepisom ustawy”. Wymagania mogą przyjść inną drogą: od klienta. Podmiot kluczowy lub ważny obejmuje swoim SZBI łańcuch dostaw: podatności (słabe punkty zabezpieczeń) dostawcy, jakość jego produktów i, według dyrektywy, procedury bezpiecznego opracowywania. Dostawca oprogramowania, sprzętu lub usług IT dla takiego klienta może więc dostać od niego wymagania i zapisy do umowy. Osobny wątek to dostawcy wysokiego ryzyka. Po decyzji ministra podmioty kluczowe i ważne nie wprowadzają objętych nią produktów, usług i procesów ICT, a używane wycofują najpóźniej w 7 lat od ogłoszenia decyzji. Według komunikatu ministerstwa z 6 sierpnia 2026 listy takich dostawców nie ma i żadnego postępowania nie wszczęto. Przepisy o tej procedurze Prezydent skierował do Trybunału Konstytucyjnego (sprawa K 19/26), dotąd bez rozprawy i orzeczenia.

Policzyć to można na jednej stronie: sektor z załącznika, wielkość z przedsiębiorstwami powiązanymi, status kluczowy albo ważny, termin wpisu. Dalej zestawienie tego, co firma już ma (polityki, kopie, kontrola dostępu, umowy z dostawcami), z listą z art. 8 i zamówieniami w toku, wobec trzech dat powyżej. Z tego wychodzi budżet i kolejność prac. Od takiej analizy, prowadzonej przez zespół z zapleczem prawnym, zaczyna się współpraca.

Źródła

Autor

Usługa, której dotyczy ten tekst

KSC i NIS2

Sprawdzenie, które obowiązki z KSC i NIS2 dotyczą Twojej firmy, i uzupełnienie braków: polityki, procedury, zabezpieczenia w systemie, umowy z dostawcami.

Zobacz usługę

Inne publikacje

Jak zaczynamy

  1. Rozmowa o problemie

    Opisujesz proces albo system, który przestał wystarczać, i mówisz, co ma się zmienić. Rozmowa nic nie kosztuje.

  2. Analiza pod NDA

    Badamy proces i systemy i oddajemy rekomendację z zakresem prac. Zakres, termin i cenę analizy znasz przed jej startem.

  3. Oferta

    Dostajesz zakres, zespół, harmonogram i cenę wdrożenia. Decydujesz, czy ruszamy.

Koszt analizy zaliczamy na poczet wdrożenia, jeśli je zamówisz.

Porozmawiajmy o projekcie

Telefon: +48 455 406 404 E-mail: contact@aliaxit.com

© 2026 ALIAX IT sp. z o.o. · ul. Boczna 28, 64-115 Wilkowice · KRS 0001102190 · NIP 6972399808 Polityka prywatności ·