NIS2 i ustawa o KSC
Czy Państwa podmiot podlega ustawie o krajowym systemie cyberbezpieczeństwa?
Nowelizacja z 2026 roku nakłada obowiązek samoidentyfikacji: to podmiot sam ustala, czy jest kluczowy albo ważny, i sam składa wniosek o wpis do wykazu. Poniższe narzędzie prowadzi przez kryteria z art. 5 ustawy i załączników, z podstawą prawną przy każdym pytaniu. Odpowiedzi zostają w Państwa przeglądarce.
Samoidentyfikacja według ustawy o KSC
Sprawdzenie krok po kroku
Stan prawny na 13 września 2026. Odpowiedzi zostają w Państwa przeglądarce i nie są nigdzie wysyłane.
Jak liczymy
Trzy pytania, które przesądzają o wyniku
Pierwsze pytanie brzmi: jaką działalność podmiot prowadzi. Załącznik nr 1 do ustawy wymienia sektory kluczowe (energia, transport, bankowość, zdrowie, woda, ścieki, infrastruktura cyfrowa, komunikacja elektroniczna, zarządzanie usługami ICT, przestrzeń kosmiczna, podmioty publiczne), załącznik nr 2 sektory ważne (poczta, odpady, chemikalia, żywność, produkcja, usługi cyfrowe, badania, samorządowe jednostki). W każdym sektorze ustawa wskazuje konkretne rodzaje podmiotów, często przez odesłanie do koncesji, rejestru albo działu PKD. Narzędzie pyta o te rodzaje, nie o sektor w ogólności.
Drugie pytanie dotyczy wielkości. Podmiot z załącznika nr 1 przekraczający progi średniego przedsiębiorcy jest kluczowy, średni jest ważny; podmiot z załącznika nr 2 od średniego wzwyż jest ważny. Progi pochodzą z załącznika I do rozporządzenia 651/2014: 250 osób, 50 mln euro obrotu albo 43 mln euro sumy bilansowej. Dane przedsiębiorstw powiązanych i partnerskich liczy się razem, chyba że system informacyjny podmiotu jest niezależny albo usługi nie są świadczone wspólnie (art. 5 ust. 6 i 7 ustawy).
Trzecie pytanie to przesłanki niezależne od wielkości: dostawcy DNS, rejestry domen, kwalifikowani dostawcy usług zaufania, podmioty krytyczne, podmioty publiczne z załącznika, operatorzy obiektów jądrowych, a także podmioty wskazane decyzją organu. Dostawca usług zarządzanych w zakresie cyberbezpieczeństwa jest kluczowy już jako mały przedsiębiorca, przedsiębiorca komunikacji elektronicznej mikro i mały jest ważny, średni i większy kluczowy. Gdy podmiot spełnia warunki obu kategorii, jest kluczowy (art. 5 ust. 4).
Narzędzie nigdy nie odpowiada „nie podlega” na podstawie niepełnych danych. Każde „nie wiem” kończy się wynikiem „nie rozstrzygnięte” z listą brakujących informacji, bo jedyny błąd, na który nie ma tu miejsca, to uspokojenie podmiotu, który obowiązkom podlega.
Co dalej po wyniku
Wniosek, system zarządzania bezpieczeństwem, audyt
Podmiot kluczowy i ważny składa wniosek o wpis do wykazu w portalu wykaz-ksc.gov.pl. Dla podmiotów, które spełniały przesłanki 3 kwietnia 2026, harmonogram ministra wyznacza termin 3 października 2026; kto spełnił je później, ma sześć miesięcy od tego dnia (art. 7c). Wniosek zawiera dane z art. 7 ust. 2 ustawy, od numeru REGON po zakresy adresów IP i domeny, oraz oświadczenie kierownika składane pod rygorem odpowiedzialności karnej.
Do 3 kwietnia 2027 trzeba wdrożyć obowiązki z rozdziału 3: system zarządzania bezpieczeństwem informacji, obsługę i zgłaszanie incydentów, kontakt z CSIRT, podłączenie do systemu S46. Podmiot kluczowy przeprowadza pierwszy audyt do 3 kwietnia 2028 i powtarza go co trzy lata. Kary organ może nakładać od 3 kwietnia 2028, także za brak wniosku w terminie.
Wynik narzędzia to punkt wyjścia. Pisemne uzasadnienie klasyfikacji, które broni się przed organem, analiza luk i wdrożenie środków to nasza usługa: NIS2: audyt, doradztwo i pełnomocnik do spraw cyberbezpieczeństwa. Pierwsza rozmowa jest bezpłatna.
Pytania, które padają najczęściej
Jesteśmy małą spółką w dużej grupie kapitałowej. Czy liczy się grupa?
Co do zasady tak: dane przedsiębiorstw powiązanych dolicza się w całości, partnerskich proporcjonalnie do udziału. Ustawa o KSC dodaje jednak wyjątek: jeżeli system informacyjny spółki jest niezależny od systemów grupy albo spółka nie świadczy usług wspólnie z grupą, liczy się samodzielnie (art. 5 ust. 6 i 7). Narzędzie pyta o obie okoliczności.
Nie mamy jeszcze zatwierdzonego sprawozdania. Skąd wziąć liczby?
Ustawa każe badać wielkość według stanu na dzień sporządzenia sprawozdania finansowego (art. 5 ust. 5). Nowy podmiot bez sprawozdania szacuje dane w dobrej wierze w trakcie roku (art. 4 ust. 3 załącznika I do rozporządzenia 651/2014). Narzędzie pozwala zaznaczyć, że to szacunek, i oznacza wynik jako do potwierdzenia.
Odpowiedziałem „nie wiem” i nie dostałem jednoznacznego wyniku. Dlaczego?
Bo „nie wiem” nie jest „nie”. Gdybyśmy potraktowali brak odpowiedzi jak brak przesłanki, narzędzie mogłoby uspokoić podmiot, który obowiązkom podlega. Wynik „nie rozstrzygnięte” wymienia, czego brakuje; te rzeczy najszybciej ustala się w rozmowie z doradcą albo w dokumentach rejestrowych.
