Firmy odliczą ulgę na cyberbezpieczeństwo

Działania w zakresie digitalizacji banku, automatyzacji produktów bankowych, budowania bezpieczeństwa danych i struktury odporności cyfrowej, nawet jeśli bank kupuje oprogramowanie od podmiotu trzeciego, mogą być podstawą do skorzystania z ulgi B+R - pisze Iwona Makosz, prawnik w Kancelarii Adwokackiej Małgorzata Boguszewska i Wspólnicy.

O cyberbezpieczeństwie warto przypomnieć w związku z obowiązującą od 2 kwietnia 2026 r. ustawą o nowelizacji Krajowego Systemu Cyberbezpieczeństwa i nowymi obowiązkami dla wielu przedsiębiorstw, które będą zobowiązane do działania w tym zakresie np. dostosowania systemów informatycznych do nowych wymagań i stworzenia procedur odporności cyfrowej.

W niniejszym artykule wskażemy, czy działania podmiotów kluczowych i ważnych, będzie można kwalifikować do ulgi B+R i w jakim zakresie, w odniesieniu do powyżej powołanej ustawy.

Krajowy System Cyberbezpieczeństwa - nowe wymogi

W pierwszej kolejności przypomnijmy, jakie obowiązki będą spoczywać na przedsiębiorcach objętych postanowieniami nowelizacji ustawy o Krajowym Systemie Cyberbezpieczeństwa (ustawa z 23 stycznia 2026 r., Dz. U. 2026 poz.252). Nowelizacja stanowi, że podmioty kluczowe i podmioty ważne (np. producenci żywności, chemikaliów, wyrobów medycznych, urządzeń i maszyn czy producenci urządzeń elektrycznych, pojazdów samochodowych czy sprzętu transportowego) będą zobowiązani do wdrożenia rozwiązań technicznych i organizacyjnych z zakresu cyberbezpieczeństwa, aby chronić swoje dane i infrastrukturę przed cyberzagrożeniami.

W celu budowania odporności cyfrowej i reagowania na incydenty w sieci, przedsiębiorcy zobowiązani będą do:

• wprowadzenia systemu zarządzania bezpieczeństwem informacji w procesach służących świadczeniu usług przez te podmioty (zapobiegania, wykrywania i reagowania na incydenty tj. obsługa incydentów, zarządzanie incydentami, bezpieczeństwo sieci i systemów informacyjnych, stosowanie zasad tzw. cyberhigieny, w tym kryptografii i szyfrowania;
• wdrożenia skutecznych zabezpieczeń, szacowania ryzyka związanego z cyberbezpieczeństwem, w tym: stosowania mechanizmów zapewniających poufność, integralność, dostępność i autentyczność danych przetwarzanych w systemie informacyjnym, regularne przeprowadzanie aktualizacji oprogramowania;
• przekazywania informacji i raportowania o poważnych incydentach do wyznaczonych podmiotów jak CSIRT;
•  wymiany informacji dotyczących cyberbezpieczeństwa. Podmioty mogą wymieniać miedzy sobą informacje o cyberzagrożeniach, potencjalnych zdarzeniach dla cyberbezpieczeństwa, podatnościach, technikach i procedurach, oznakach naruszenia integralności systemu informacyjnego, ostrzeżenia dotyczące cyberbezpieczeństwa);
• korzystania z systemu S46 służącego wymianie informacji o incydentach, cyberzagrożeniach i podatnościach. Będzie to główny system komunikacji pomiędzy podmiotami KSC.

Przedsiębiorca, w terminie sześciu miesięcy od opublikowanych wymagań przez ministra właściwego do spraw informatyzacji na stronie podmiotowej Biuletynu Informacji Publicznej, musi dostosować sprzęt informatyczny do korzystania z systemu S46. Dostosowanie systemu informacyjnego przez przedsiębiorcę oznacza spełnienie minimalnych wymagań technicznych i funkcjonalnych.

Cyberbezpieczeństwo a ulga B+R

To, czy dostosowanie systemów informatycznych firmy do systemu S46 i dostosowanie wymagań technicznych do budowania systemu bezpieczeństwa danych zgodnie z wymienioną ustawą można zaliczyć do kosztów ulgi B+R, będzie zapewne tematem przyszłych interpretacji indywidualnych. 

W tym miejscu możemy powołać się na wydaną przez dyrektora Krajowej Informacji Skarbowej interpretację indywidualną z 26 lutego 2026 r. (nr 0111-KDIB1-3.4010.16.2026.2.DW), w której organ podatkowy zgodził się, że bank jest uprawniony do skorzystania z ulgi na działalność badawczo-rozwojową, o której mowa w art. 18d ustawy o CIT.

Dyrektor KIS potwierdził, że działania banku w zakresie poprawy cyberbezpieczeństwa (cyber security) i bezpieczeństwa danych, tworzenia ulepszonego modelu odporności cyfrowej to działania wypełniające definicję działalności badawczo-rozwojowej. 

Bank ponosi koszty wynagrodzeń oraz składek pracowników oraz odpisów amortyzacyjnych od środków trwałych i wartości niematerialnych i prawnych wykorzystywanych w działalności B+R, w tym licencji na specjalistyczne oprogramowanie.

Dyrektor KIS potwierdził, że w wyniku realizacji opisanych prac powstaje nowa wiedza związana m.in. z opracowywaniem, organizacją i funkcjonowaniem systemów informatycznych oraz procesów bankowych w środowisku o podwyższonych wymaganiach regulacyjnych i bezpieczeństwa. Nowa wiedza dotyczy w szczególności obszaru technologii informatycznych (IT), cyberbezpieczeństwa, zapewnienia integralności danych, ciągłości działania oraz budowy odporności cyfrowej organizacji funkcjonującej w modelu wieloplacówkowym. Obejmuje m.in. know-how w zakresie opracowania i konfiguracji rozwiązań informatycznych dostosowanych do specyfiki banku, identyfikacji i eliminacji punktów krytycznych infrastruktury, definiowania scenariuszy zakłóceniowych i awaryjnych oraz opracowywania mechanizmów ich automatycznej mitygacji.

W ramach prowadzonych prac bank opracował nowe produkty, usługi, procesy oraz rozwiązania, które nie funkcjonowały wcześniej w jego praktyce, w szczególności: spójny, całościowy model odporności cyfrowej obejmujący bank jako jedną organizację (zamiast rozproszonych, punktowych zabezpieczeń), zautomatyzowane mechanizmy mitygacji zdarzeń i awarii uruchamiane według zdefiniowanych scenariuszy, a także nowe podejście do zapewnienia ciągłości działania w środowisku wieloplacówkowym, pozwalające na utrzymanie pełnej funkcjonalności banku niezależnie od dostępności konkretnej lokalizacji. Unikatowość tych rozwiązań polega na ich indywidualnym zaprojektowaniu pod specyfikę banku oraz integracji wielu obszarów: technicznych, organizacyjnych i proceduralnych.

W konsekwencji działania w zakresie digitalizacji banku, automatyzacji produktów bankowych, budowania bezpieczeństwa danych i struktury odporności cyfrowej, nawet jeśli bank kupuje oprogramowanie od podmiotu trzeciego, mogą być podstawą do skorzystania z ulgi B+R.

Warto uzyskać interpretację 

Dyrektor KIS potwierdził, że bank odliczy koszty wynagrodzenia i składek osób realizujących działalność B+R oraz odpisy amortyzacyjne od środków trwałych wartości niematerialnych i prawnych wykorzystywane w tej działalności, w tym w szczególności licencji na specjalistyczne oprogramowanie.

To oznacza, że nowe podmioty Krajowego Systemu Cyberbezpieczeństwa mają możliwość zaliczenia do kosztów kwalifikowanych ulgi B+R części kosztów ponoszonych na dostosowanie systemu informatycznego do nowych obowiązków wynikających z ustawy. Konsekwencją tego jest zmniejszenie zobowiązania podatkowego CIT i PIT.

Warto oczywiście złożyć wniosek do dyrektora Krajowej Informacji Skarbowej o wydanie indywidualnej interpretacji w zakresie realizowanych prac, by uzyskać potwierdzenie, iż wskazane działania wypełniają definicję działalności badawczo-rozwojowej. Pozytywna indywidualna stanowi dla podatnika ochronę prawno-podatkową w zakresie odliczenia ulgi B+R.

Autor: Iwona Makosz, prawnik w Kancelarii Adwokackiej Małgorzata Boguszewska i Wspólnicy