Do 3 października 2026 r. firmy objęte ustawą o krajowym systemie cyberbezpieczeństwa muszą wpisać się do wykazu podmiotów ważnych lub kluczowych. Jak wskazują prawnicy, obowiązek ten dotyczy większej liczby przedsiębiorców, niż początkowo zakładano. Zaskoczone mogą być m.in. hurtownie spożywcze, dostawcy oprogramowania w modelu SaaS, a nawet niektóre firmy budowlane. O konieczności wpisu może bowiem przesądzić nawet niewielki wycinek prowadzonej działalności.
Ustawa o krajowym systemie cyberbezpieczeństwa (KSC), która implementuje dyrektywę NIS2, nakłada szereg obowiązków na podmioty zaliczane do „ważnych” lub „kluczowych”. Nim jednak firmy zaczną wprowadzać system zarządzania bezpieczeństwem informacji, wyznaczać osoby odpowiedzialne za obsługę incydentów cyberbezpieczeństwa i przechodzić audyty, muszą same ocenić, czy zaliczają się do „ważnych” lub „kluczowych”.
Tzw. samoidentyfikacji i samorejestracji w wykazie podmiotów kluczowych i ważnych trzeba przeprowadzić do 3 października 2026 r. Praktyka ostatnich tygodni pokazuje, że obowiązek może dotyczyć nawet tych, którzy się tego nie spodziewali. Zaniedbanie obowiązku nie zwalnia z przestrzegania wymogów ustawy, a dodatkowo może skutkować wpisaniem z urzędu przez odpowiedni organ oraz nałożeniem kary pieniężnej.
- Według pojawiających się informacji w wykazie znajduje się już ponad 80 tys. podmiotów, z czego ponad połowę stanowią podmioty publiczne. Pokazuje to, że skala nowych regulacji jest znacznie większa, niż pierwotnie zakładano – mówi Aleksander Elmerych, radca prawny, senior associate w kancelarii Traple Konarski Podrecki i Wspólnicy.
W internecie jest wiele narzędzi ułatwiających samoidentyfikację, oferowanych zarówno przez prywatne firmy i kancelarie, jak i rządowy portal biznes.gov.pl. Często ich rola będzie jednak pomocnicza, bo sytuacja danego podmiotu wymaga indywidualnej analizy. Ustawa o KSC nie jest zero-jedynkowa. Zawiera co prawda załączniki określające sektory ważne i kluczowe, jednak są one opisane szeroko. Od generalnej zasady, że wpisowi podlegają tylko przedsiębiorstwa średnie i duże, są zaś wyjątki, które sprawiają, że obowiązek może objąć również mniejsze firmy.
- Przykładowo dostawcy usług zarządzanych w zakresie cyberbezpieczeństwa są podmiotami kluczowymi już od poziomu małego przedsiębiorstwa – wskazuje mec. Elmerych. Jak dodaje, część firm popełnia błąd, oceniając swoje ewentualne obowiązki wyłącznie pod kątem swojej głównej działalności. - Przy samoidentyfikacji nie wystarczy sprawdzić głównego kodu PKD - trzeba przeanalizować rzeczywisty zakres całej działalności organizacji, w tym działalność poboczną i usługi wewnątrzgrupowe, bo właśnie tam często kryje się „haczyk” – wyjaśnia mec. Elmerych.
- Wystarczy, że nawet poboczna, marginalna część działalności mieści się w załącznikach ustawy, a wtedy pod obowiązki wpada cała organizacja – wtóruje mu Mikołaj Otmianowski, radca prawny z Red Into Green. Zwraca też uwagę, że zakres obowiązywania przepisów należy interpretować szeroko – a jeśli ustawodawca chce zawęzić krąg podmiotów, wprost stosuje zwroty „z wyłączeniem" oraz „z wyjątkiem".
Kto więc powinien wpisać się do wykazu jako podmiot ważny lub kluczowy?
Mec. Otmianowski przykładowo wymienia firmy zajmujące się produkcją, magazynowaniem i dystrybucją substancji oraz mieszanin chemicznych, objętych regulacjami REACH i CLP, a także producentów maszyn i urządzeń, automatyki, pneumatyki i elektroniki przemysłowej. Z jego obserwacji wynika, że często przedsiębiorcy nie mają świadomości nowych przepisów.
- Średnie firmy produkcyjne sądzą, że NIS2 dotyczy tylko operatorów infrastruktury. Jeśli chodzi o produkcję, przetwarzanie i dystrybucję żywności, to szczególnie spółdzielczy producenci (mleczarnie, ubojnie, skupy owoców i warzyw) nie czują się podmiotami krytycznymi. Sektorem regulowanym nie czują się też firmy ICT dostarczające usługi SaaS. Są to podmioty, które mogą się zdziwić – mówi.
Ewelina Mirończuk-Wesołowska, prawniczka z kancelarii 5E Legal, zwraca uwagę, że często o obowiązku wpisu może decydować bardzo wąski wycinek prowadzonej działalności gospodarczej. - Przykładowo, przedsiębiorca zajmujący się przede wszystkim sprzedażą urządzeń dźwigowych oraz ich instalacją, konserwacją i modernizacją, sklasyfikowaną jako prowadzenie działalności gospodarczej w obszarze „pozostałych instalacji budowlanych” (główny kod PKD), może zostać objęty regulacjami NIS2 wyłącznie dlatego, że dodatkowo świadczy usługę zdalnego monitorowania danych wysyłanych przez część tych urządzeń do chmury - wskazuje prawniczka.
- W grupach kapitałowych takim mniej oczywistym źródłem podlegania pod ustawę bywa natomiast działalność spółek pełniących funkcję centrum usług wspólnych – świadczone przez takie spółki wyłącznie na rzecz innych spółek z grupy usługi IT lub cyberbezpieczeństwa mogą stanowić usługi zarządzane albo usługi zarządzane w zakresie cyberbezpieczeństwa – dodaje mec. Elmerych.
Mec. Otmianowski podaje jeszcze przykład przedsiębiorcy zarządzającego punktem ładowania pojazdów i jego obsługą, świadczącego usługę ładowania na rzecz użytkowników końcowych (także w imieniu i na rzecz dostawcy usług mobilności). Zaleca, aby każdy podmiot odpowiedzialny za punkt ładowania - np. centrum handlowe, hotel z własną stacją, sklep, fabryka, gospodarstwo rolne - dokonał odpowiedniej analizy.
- Nie chodzi o samo posiadanie ładowarki, tylko o zarządzanie punktem ładowania i świadczenie usługi ładowania na rzecz użytkowników końcowych – zaznacza prawnik i dodaje, że podobnie jest z prowadzeniem stacji paliw. - W dużych miastach jest to rzadziej spotykane, ale na obrzeżach miast lub w mniejszych miejscowościach stacje paliw czasami prowadzą duże sklepy lub inne zakłady. One też powinny dokonać analizy, czy fakt prowadzenia stacji paliw nie spowoduje, że staną się podmiotami podlegającymi pod KSC – mówi mec. Otmianowski.
Mecenas Elmerych przyznaje, że duża firma budowlana czy handlowa może stanowić podmiot kluczowy tylko dlatego, że prowadzi ograniczony obrót paliwami na jednej lub dwóch stacjach przy centrach dystrybucyjnych albo wytwarza energię z OZE na podstawie koncesji.
- Każdy przedsiębiorca, który zajmuje się wytwarzaniem energii elektrycznej, nawet z alternatywnych źródeł, powinien dokonać dokładnej analizy. Nie chcę tutaj przesądzać o każdym przypadku, bo każdy niuans może być istotny, np. czy energia jest na własny użytek, czy do dalszej sprzedaży (chodzi o przedsiębiorcę, nie osobę fizyczną) itp. Niemniej są to sektory, gdzie warto dokonać analizy prawnej, bo mogą być na granicy – wskazuje mec. Otmianowski.
Zdarzają się również sytuacje odwrotne, w których firma z sektora potocznie kojarzonego z cyberprzestrzenią nie musi wpisywać się do wykazu.
- Samo prowadzenie własnego sklepu internetowego nie oznacza na przykład, że przedsiębiorca jest dostawcą internetowej platformy handlowej. Ta kategoria dotyczy przede wszystkim platform typu marketplace, umożliwiających zawieranie umów pomiędzy podmiotami trzecimi, a część podmiotów intuicyjnie – co jest oczywiście w pełni zrozumiałe bez pogłębionej analizy przepisów – stawia znak równości pomiędzy sklepem internetowym a taką platformą – wyjaśnia mec. Elmerych.
Przypomina też, że – mimo istnienia wyjątków - co do zasady podmiot kluczowy lub ważny powinien być co najmniej średnim przedsiębiorcą.
- Dlatego mniejsza, samodzielnie działająca spółka, która w sposób oczywisty prowadzi działalność wymienioną w ustawie, może nie kwalifikować się jako podmiot kluczowy ani ważny i nie mieć obowiązku wpisu do wykazu, mimo że jej obszar działalności wprost by na to wskazywał – mówi mec. Elmerych. Zwraca jednak uwagę, że sytuacja komplikuje się w grupach kapitałowych, gdzie co do zasady (chociaż i tu są wyjątki) przy ustalaniu wielkości przedsiębiorstwa trzeba uwzględnić również dane finansowe i dane dotyczące zatrudnienia powiązanych i partnerskich podmiotów.
Mec. Otmianowski zwraca uwagę na jeszcze jeden przypadek – firma może mieć zgłoszoną działalność w kodzie PKD, który determinuje wpis do wykazu, ale której realnie nie wykonuje. W takiej sytuacji wystarczy uporządkowanie wpisów w dokumentach rejestrowych.
Linki w tekście artykułu mogą odsyłać bezpośrednio do odpowiednich dokumentów w programie LEX. Aby móc przeglądać te dokumenty, konieczne jest zalogowanie się do programu. Dostęp do treści dokumentów LEX jest zależny od posiadanych licencji.
