Jak sprawdzić, czy firma podlega ustawie KSC?
Firma podlega ustawie o krajowym systemie cyberbezpieczeństwa (KSC), gdy łącznie spełnia przesłanki: działa w sektorze lub usłudze wskazanej w załączniku nr 1 albo nr 2, osiąga wymaganą wielkość przedsiębiorstwa (w rozumieniu przepisów unijnych) oraz nie korzysta z wyjątku przewidzianego w art. 5. Sam fakt zatrudniania kilkudziesięciu osób nie oznacza automatycznie obowiązku wpisu do Wykazu.
Stan prawny sprawdzony: 27 lipca 2026 r. Ten artykuł ma charakter informacyjny i nie zastępuje porady prawnej. Przy granicznych przypadkach warto skonsultować kwalifikację z doradcą.
Nowelizacja weszła w życie 3.04.2026. Podmioty spełniające przesłanki w tym dniu muszą wpisać się do Wykazu do 3.10.2026; w pozostałych przypadkach — w ciągu 6 miesięcy od spełnienia przesłanek. Samorejestracja w Systemie S46 możliwa od 7.05.2026. Obowiązki wdraża się do 3.04.2027 (grupa początkowa).
Spis treści
- 9 kroków oceny podlegania KSC
- Checklist danych do zebrania
- Załącznik nr 1 i nr 2 — sektor
- Wielkość przedsiębiorstwa — bez mitu „50 osób”
- Wyjątki z art. 5
- Co dalej po kwalifikacji
- FAQ
9 kroków oceny podlegania KSC
Poniższa ścieżka pomaga uporządkować wewnętrzną analizę. To proces decyzyjny, nie checklista odhaczalna w jeden dzień bez danych.
Krok 1 — Zidentyfikuj podmiot prawny. Ustal, kto składa wniosek o wpis: spółka, oddział, jednostka samorządu. Przy grupie kapitałowej oceń, czy przesłanki wielkości dotyczą grupy skonsolidowanej.
Krok 2 — Zmapuj PKD i faktyczną działalność. Kod PKD z KRS nie wystarczy — liczy się realnie świadczona usługa (np. produkcja, operator systemu, dostawca usług cyfrowych w łańcuchu sektorowym).
Krok 3 — Porównaj z załącznikiem nr 1. Sprawdź, czy działalność mieści się w usługach/sektorach podmiotu kluczowego (energetyka, transport, finanse, zdrowie, woda, DNS, chmura publiczna itd.).
Krok 4 — Jeśli nie nr 1, sprawdź załącznik nr 2. Szerszy katalog (chemia, żywność, maszyny, poczta, badania…) z niższymi progami wielkości dla podmiotu ważnego.
Krok 5 — Oceń wielkość przedsiębiorstwa. Zbierz dane za ostatnie 2 lata obrotowe: zatrudnienie (FTE), obrót roczny, suma aktywów bilansowych. Porównaj z progami mikro/małe/średnie/duże wg przepisów o których mowa w ustawie.
Krok 6 — Przeanalizuj art. 5 (wyjątki). Czy podmiot jest wyłącznie dostawcą usług cyfrowych w sensie ustawy? Czy spełnia inne przesłanki wyłączenia? Wyjątki stosuje się wąsko.
Krok 7 — Oceń rolę w łańcuchu dostaw. Nawet jeśli firma nie jest „sektorowa”, może podlegać jako podmiot powiązany — np. krytyczny dostawca IT operatora objętego załącznikiem. To wymaga analizy umów i usług.
Krok 8 — Udokumentuj wnioski. Spisz: dane wejściowe, interpretację załącznika, wynik (kluczowy / ważny / brak podlegania), otwarte pytania. Przy audycie liczy się spójność, nie tylko wynik.
Krok 9 — Ustal plan działania. Jeśli podlegasz: harmonogram wpisu do Wykazu (krok po kroku), wyznaczenie kierownika, start SZBI (co wdrożyć). Jeśli nie podlegasz — zaplanuj ponowną ocenę przy zmianie skali lub oferty.
Checklist danych do zebrania
| Obszar | Jakie dane | Skąd wziąć |
|---|---|---|
| Podmiot | NIP, KRS, forma, siedziba, struktura grupy | KRS, umowy spółek |
| Działalność | PKD, opis usług, klienci sektorowi, udział w przychodach | Zarząd, CRM, umowy |
| Wielkość | FTE (2 lata), obrót, suma bilansowa (2 lata) | Sprawozdania, HR, GUS |
| Grupa | Skonsolidowane dane matki | Sprawozdanie skonsolidowane |
| IT / usługi | Hosting, chmura, outsourcing, dostawcy krytyczni | IT, procurement |
| Wyjątki | Model B2B/B2C, wyłącznie usługi cyfrowe, zasięg | Prawnik + produkt |
| Terminy | Data spełnienia przesłanek | Własna analiza |
Bez tych danych ryzykujesz błędną kwalifikację — np. uznanie, że firma nie podlega, mimo że grupa kapitałowa przekracza progi.
Załącznik nr 1 i nr 2 — sektor
Załącznik nr 1 wskazuje sektory o najwyższej krytyczności — m.in. energia, paliwa, transport lotniczy/szynowy/morski, bankowość, infrastruktura rynku finansowego, zdrowie, woda, cyfrowa infrastruktura, kosmiczna, administracja publiczna w części wskazanej w ustawie. Podmiot kluczowy to zwykle duże lub średnie przedsiębiorstwo sektorowe z tej listy (zgodnie z progami ustawowymi).
Załącznik nr 2 obejmuje m.in. produkcję chemiczną, żywność, sprzęt medyczny, elektronikę, maszyny, pojazdy, usługi pocztowe i kurierskie, produkcję sprzętu cyfrowego, badania naukowe. Tu kwalifikują się częściej podmioty ważne — przy niższych progach wielkości niż w załączniku nr 1.
Różnicę kategorii omawiam w artykule Podmiot kluczowy a podmiot ważny. Kontekst szerszy: Krajowy System Cyberbezpieczeństwa i cyberbezpieczeństwo NIS2.
Wielkość przedsiębiorstwa — bez mitu „50 osób”
W mediach często pojawia się uproszczenie: „firmy powyżej 50 pracowników”. Ustawa operuje definicją unijną przedsiębiorstwa, która łączy trzy wymiary: pracowników, obrót i sumę bilansową. Progi różnią się dla mikro, małych, średnich i dużych podmiotów. Dodatkowo w załączniku nr 2 średnie przedsiębiorstwo może podlegać jako ważne, podczas gdy w załączniku nr 1 wymagania co do wielkości są wyższe.
Firma z 30 pracownikami w sektorze załącznika nr 2 może podlegać, jeśli finansowo kwalifikuje się jako średnie przedsiębiorstwo. Firma z 200 pracownikami w sektorze nieobjętym załącznikami nie podlega KSC wyłącznie z powodu liczby etatów. Dlatego w krokach 5 i 6 analizy liczą się sprawozdania, nie sam wielkość open space.
Wyjątki z art. 5
Art. 5 przewiduje m.in. wyłączenia dla określonych dostawców usług cyfrowych i sytuacji, gdy wpływ podmiotu na bezpieczeństwo sieci i systemów informatycznych jest marginalny w rozumieniu ustawy. Wyjątek trzeba udokumentować — w razie kontroli organ będzie oceniał fakty, nie deklarację zarządu.
Typowy błąd: traktowanie wyjątku jak „polisy ubezpieczeniowej” bez corocznej weryfikacji. Zmiana modelu biznesu (np. wejście w usługi dla sektora energii) może zlikwidować podstawę wyłączenia z dniem wejścia w nową działalność.
Jeśli po analizie nadal masz zonę szarej interpretacji (np. usługa cyfrowa wspierająca klientów sektorowych, ale bez bezpośredniego operatorstwa), zapisz to w memo i rozważ konsultację z prawnikiem sektorowym przed podjęciem decyzji o braku wpisu — opóźnienie wpisu przy błędnej ocenie „nie podlegamy” jest trudniejsze do obrony niż uzasadnione wątpliwości udokumentowane wcześniej.
Co dalej po kwalifikacji
Jeśli wnioskiem jest podleganie KSC:
- Wyznacz właściciela procesu (kierownik ds. bezpieczeństwa informacji — z art. 8f weryfikacją niekaralności, z wyjątkami).
- Zaplanuj wpis do Wykazu — termin 3.10.2026 dla grupy początkowej lub 6 miesięcy od kwalifikacji.
- Rozpocznij SZBI i analizę ryzyka — deadline obowiązków 3.04.2027.
- Przygotuj proces zgłaszania incydentów poważnych (24 h / 72 h / miesiąc).
- Zaplanuj audyt — dla podmiotu kluczowego pierwszy do 3.04.2028 (jeśli wcześniej nie był OUK).
Jeśli wnioskiem jest brak podlegania — utrzymuj rejestr oceny i powtarzaj ją przy fuzjach, nowych produktach sektorowych i wzroście obrotów. Możesz i tak skorzystać z audytu bezpieczeństwa IT jako higieny technicznej niezależnej od KSC.
FAQ
Czy każda firma z 50+ pracownikami podlega KSC?
Nie. Decyduje sektor (załączniki), wielkość przedsiębiorstwa w sensie unijnym oraz ewentualne wyjątki — nie sam próg zatrudnienia powtarzany w mediach.
Kto powinien prowadzić analizę podlegania?
Zalecany zespół: prawnik znający sektor, finanse (dane o wielkości), IT/operacje (usługi i dostawcy), reprezentacja zarządu. DevSentinel wspiera część techniczną, nie zastępuje kwalifikacji prawnej.
Czy wpis do Wykazu jest potrzebny od razu?
Obowiązek wpisu powstaje po spełnieniu przesłanek — z terminem 6 miesięcy, a dla grupy początkowej do 3.10.2026. Szczegóły: Wpis do Wykazu i S46.
Czy podmiot ważny ma lżejsze obowiązki niż kluczowy?
Tak — m.in. brak ustawowego cyklu audytu co 3 lata, ale organ może audyt nakazać. Porównanie: podmiot kluczowy a ważny.
Czy outsourcing IT zwalnia z KSC?
Przeniesienie operacji do dostawcy nie usuwa obowiązków podmiotu regulowanego. Wymagania wobec dostawców i odpowiedzialność kierownika pozostają.
Potrzebujesz wsparcia przy ocenie luk i wdrożeniu? Wejdź na cyberbezpieczeństwo i NIS2 — bez obietnicy „100% zgodności”.