Nowelizacja ustawy o krajowym systemie cyberbezpieczeństwa, wdrażająca dyrektywę NIS2, rozszerza katalog podmiotów objętych obowiązkami dotyczącymi cyberbezpieczeństwa. W miejsce wcześniejszego podziału na operatorów usług kluczowych i dostawców usług cyfrowych wprowadzono kategorie podmiotów kluczowych oraz podmiotów ważnych. Oznacza to, że także przedsiębiorstwa, które wcześniej nie musiały realizować podobnych wymagań, powinny ponownie sprawdzić swój status.
Poniższa checklista przedstawia stan prawny i danych na 3 września 2026 r. Pomaga uporządkować pierwszą ocenę, przygotowanie do wpisu do Wykazu KSC oraz organizację procesów bezpieczeństwa. Nie zastępuje jednak analizy aktualnego tekstu ustawy, właściwych załączników, oceny konkretnego stanu faktycznego ani audytu cyberbezpieczeństwa. Sama branża, nazwa firmy lub kod działalności nie przesądzają automatycznie o objęciu przepisami.
KSC i NIS2 dla firmy — od czego zacząć?
Pierwszym krokiem powinno być ustalenie, czym firma faktycznie się zajmuje i jakie usługi świadczy. Weryfikacja nie powinna opierać się wyłącznie na formalnym opisie działalności. Znaczenie ma rzeczywisty zakres usług, ich charakter oraz miejsce w określonym sektorze lub podsektorze.
Nowelizacja obejmuje między innymi sektory energii, transportu, bankowości i infrastruktury rynków finansowych, ochrony zdrowia, wody pitnej, ścieków, infrastruktury cyfrowej, zarządzania usługami ICT oraz przestrzeni kosmicznej. Wśród sektorów ważnych wskazano między innymi usługi pocztowe, gospodarowanie odpadami, chemię, żywność i produkcję wybranych wyrobów. Jest to jednak dopiero filtr wstępny. Ostateczna ocena wymaga zestawienia kilku kryteriów i sprawdzenia przepisów odnoszących się do konkretnej działalności.
Warto od początku dokumentować tok analizy: opis usług, rozważany sektor, zastosowane kryteria oraz wnioski. Taki materiał ułatwia późniejsze przygotowanie do rejestracji i rozmowę z osobami odpowiedzialnymi za bezpieczeństwo lub kwestie prawne.
Checklista: czy firma podlega KSC?
Odpowiedź na pytanie, jak sprawdzić, czy firma podlega KSC, wymaga przejścia przez kilka etapów. Nie jest to uniwersalny test, który daje taki sam wynik dla każdego przedsiębiorstwa. Najpierw należy opisać faktycznie świadczone usługi, a następnie porównać je z sektorami i podsektorami wskazanymi w aktualnym tekście ustawy oraz właściwych załącznikach.
Kolejny etap to sprawdzenie kryteriów wielkościowych przedsiębiorstwa. Trzeba także zweryfikować dodatkowe przesłanki ustawowe, w tym przepisy dotyczące danego rodzaju podmiotu. Dopiero łączne uwzględnienie tych elementów pozwala wstępnie ocenić, czy firma może zostać zakwalifikowana jako podmiot kluczowy albo ważny.
Pomocniczo można skorzystać z bezpłatnej usługi pre-weryfikacji zgodności z zaleceniami NIS2 udostępnianej przez Ministerstwo Rozwoju i Technologii. Przejście przez pytania dotyczące działalności i charakterystyki firmy może uporządkować pierwszy przegląd. Wynik należy traktować wyłącznie jako materiał pomocniczy. Nie zastępuje on analizy przepisów ani formalnego ustalenia statusu podmiotu.
Materiały do zebrania przed weryfikacją
Przed rozpoczęciem oceny warto zebrać informacje, które pozwolą opisać firmę bez uproszczeń. Przydatna będzie przede wszystkim lista faktycznie świadczonych usług, a nie tylko ogólny opis przedsiębiorstwa. Należy również przygotować informacje o wielkości firmy oraz dane pozwalające porównać działalność z właściwymi sektorami i podsektorami.
- opis usług wykonywanych faktycznie przez przedsiębiorstwo;
- informacje dotyczące wielkości przedsiębiorstwa;
- ustalenia dotyczące sektora i podsektora działalności;
- wskazanie dodatkowych przesłanek, które mogą mieć zastosowanie;
- wynik pre-weryfikacji NIS2, oznaczony jako materiał pomocniczy.
Tak przygotowany zestaw nie rozstrzyga jeszcze o podleganiu KSC. Ułatwia jednak uporządkowanie pytań, wskazanie brakujących danych i przygotowanie dalszej analizy.
Podmiot kluczowy czy ważny?
Podział na podmioty kluczowe i ważne jest jednym z podstawowych elementów nowego podejścia. Nie należy jednak przypisywać firmy do kategorii wyłącznie na podstawie szerokiej nazwy branży. Przykładowo samo działanie w obszarze transportu, produkcji, energetyki albo chemii nie przesądza jeszcze o objęciu regulacją.
Znaczenie ma jednocześnie sektor lub podsektor, faktycznie świadczona usługa, kryteria wielkościowe oraz dodatkowe przesłanki ustawowe. W określonych przypadkach istotny będzie także właściwy organ nadzorczy i szczególne regulacje sektorowe. Dlatego kwalifikację należy oprzeć na aktualnym tekście ustawy i odpowiednich załącznikach, a nie na ogólnym skojarzeniu firmy z jednym z wymienionych obszarów.
Dla przedsiębiorcy praktyczny wniosek jest prosty: najpierw trzeba ustalić, co firma rzeczywiście dostarcza lub obsługuje, następnie sprawdzić właściwy podsektor i dopiero później analizować kategorię podmiotu. Takie podejście ogranicza ryzyko zarówno pominięcia obowiązków, jak i przyjęcia zbyt szerokiej kwalifikacji bez podstawy w przepisach.
Wpis do Wykazu KSC — przygotowanie i terminy
Jeżeli przedsiębiorstwo spełnia kryteria objęcia przepisami, kolejnym zadaniem jest uporządkowanie spraw związanych z Wykazem KSC. Podmioty kluczowe i ważne spełniające kryteria w dniu wejścia nowelizacji powinny złożyć wniosek o wpis do 3 października 2026 r. Źródła rozróżniają podmioty wpisywane z urzędu oraz te, które dokonują samodzielnej rejestracji. Sposób postępowania zależy więc od statusu i zakresu zastosowania przepisów.
Przed rejestracją warto zebrać dane organizacyjne oraz udokumentować wcześniejszą analizę. Należy także wyznaczyć osoby odpowiedzialne za utrzymywanie kontaktów z podmiotami systemu KSC. UKE wskazuje co najmniej dwie osoby, a w przypadku małego lub mikroprzedsiębiorstwa co najmniej jedną, przy czym tę informację trzeba zweryfikować względem aktualnej ustawy i sytuacji konkretnej firmy.
Harmonogram przygotowań
- Najpierw opisz faktyczną działalność, sprawdź sektor, podsektor, wielkość firmy i dodatkowe przesłanki ustawowe.
- Następnie ustal, czy firma może być podmiotem kluczowym lub ważnym oraz jaki tryb wpisu ma zastosowanie.
- Przygotuj dane organizacyjne i wniosek o wpis do Wykazu KSC najpóźniej do 3 października 2026 r., jeśli obowiązek samodzielnej rejestracji dotyczy firmy.
- Do 3 kwietnia 2027 r. wdroż obowiązki wynikające z KSC i podłącz się do systemu S46 zgodnie z zakresem dotyczącym podmiotu.
Nie jest to szczegółowa instrukcja technicznej konfiguracji S46. Dostępne informacje nie uzasadniają tworzenia jednego zestawu czynności dla wszystkich branż. Warto natomiast wcześniej ustalić odpowiedzialność za dane, kontakty i kolejne działania organizacyjne.
Procedury cyberbezpieczeństwa, które warto uporządkować
Przygotowanie do obowiązków powinno obejmować nie tylko rejestrację, lecz także procesy zarządzania bezpieczeństwem. Jednym z głównych obszarów jest system zarządzania bezpieczeństwem informacji. Powinien on być powiązany z systematycznym szacowaniem i zarządzaniem ryzykiem oraz z doborem środków technicznych i organizacyjnych proporcjonalnych do tego ryzyka.
Firma powinna uporządkować sposób zbierania informacji o zagrożeniach i podatnościach. Ważne jest również określenie, jak wykrywane, obsługiwane i zgłaszane są incydenty. Sama obecność dokumentu nie przesądza o gotowości organizacji. Znaczenie ma jasny podział ról, znajomość ścieżek kontaktu oraz możliwość wykazania, że ustalone działania są stosowane.
W analizie należy uwzględnić bezpieczeństwo dostawców i łańcucha dostaw. Ryzyko nie kończy się bowiem na własnych systemach przedsiębiorstwa. Dostawcy, usługi zewnętrzne i zależności operacyjne powinny zostać rozpoznane w zakresie odpowiadającym działalności firmy i jej ryzyku.
Dowody gotowości organizacyjnej
Praktycznym sposobem porządkowania prac jest przypisanie właścicieli procesów i odpowiedzialności za poszczególne obszary. Warto również uporządkować rejestry, procedury obsługi incydentów oraz informacje o wykonanych działaniach. Zebrane dowody mogą pomóc wykazać, jakie czynności zostały zaplanowane i wykonane.
- ustal właścicieli procesów bezpieczeństwa;
- opisz odpowiedzialność za zgłaszanie i eskalację incydentów;
- uporządkuj rejestry zagrożeń, podatności i działań;
- sprawdź, czy procedury obejmują dostawców i łańcuch dostaw;
- gromadź dowody wykonania kontroli i działań organizacyjnych.
To praktyczna synteza organizacji pracy, a nie kompletna lista ustawowa dla każdej branży. Nie należy też ujawniać wrażliwych informacji o infrastrukturze, procedurach reagowania ani dostawcach w materiałach dostępnych szerokiemu gronu.
Ciągłość działania i audyt
W przygotowaniach trzeba uwzględnić ciągłość działania usług oraz ciągłość działania łańcucha dostaw. Firma powinna przeanalizować, które procesy są istotne dla świadczenia usług, jak wygląda odtwarzanie działania oraz kto podejmuje decyzje w sytuacji zakłócenia. Uporządkowanie tych kwestii może obejmować także testowanie procedur i sprawdzanie możliwości odtworzenia usług, ale są to praktyczne elementy przygotowań, a nie jednolita lista wymagań dla każdego podmiotu.
Odrębnym etapem jest audyt. Podmioty kluczowe, które nie były wcześniej operatorami usług kluczowych, mają przeprowadzić pierwszy obowiązkowy audyt cyberbezpieczeństwa do 3 kwietnia 2028 r. Kolejne audyty mają być wykonywane co najmniej raz na trzy lata. Termin audytu nie zastępuje wcześniejszych obowiązków: wpisu do Wykazu KSC oraz wdrożenia wymagań i podłączenia do S46.
Zakres audytu i obowiązków może zależeć od statusu podmiotu, właściwego organu nadzorczego i regulacji sektorowych. Nie każdy przedsiębiorca będzie więc działać według identycznego harmonogramu szczegółowego.
Najczęstsze błędy przedsiębiorców
Największym błędem jest uznanie, że sama branża albo kod działalności przesądza o podleganiu KSC. Taka ocena pomija faktyczne usługi, wielkość przedsiębiorstwa i dodatkowe przesłanki ustawowe. Drugim problemem bywa traktowanie wyniku pre-weryfikacji NIS2 jako formalnej decyzji. Narzędzie pomaga uporządkować pytania, lecz nie zastępuje analizy przepisów.
Ryzyko organizacyjne rośnie także wtedy, gdy firma odkłada ocenę statusu i rejestrację do ostatniej chwili przed 3 października 2026 r. Częste przeoczenia to brak wyznaczonych osób kontaktowych, niejasna procedura obsługi incydentów, pominięcie dostawców i łańcucha dostaw oraz brak planu ciągłości działania.
Nie należy również przedstawiać spełnienia kilku punktów checklisty jako gwarancji zgodności z prawem albo ochrony przed incydentami. Checklista porządkuje przygotowania, ale nie wydaje indywidualnej kwalifikacji prawnej. Ostateczne ustalenia wymagają odniesienia do aktualnej ustawy, załączników i sytuacji konkretnej firmy.
Podsumowanie: Najlepiej rozpocząć od opisu faktycznie świadczonych usług, a następnie sprawdzić sektor, podsektor, wielkość przedsiębiorstwa i dodatkowe przesłanki ustawowe. Kolejny krok to ustalenie kategorii podmiotu, przygotowanie do wpisu do Wykazu KSC do 3 października 2026 r. oraz uporządkowanie obowiązków i podłączenia do S46 do 3 kwietnia 2027 r. W dalszej perspektywie trzeba uwzględnić ciągłość działania i, tam gdzie ma to zastosowanie, audyt do 3 kwietnia 2028 r. Zakres działań zależy od konkretnej firmy, dlatego checklista nie zastępuje analizy prawnej ani audytu cyberbezpieczeństwa. Sprawdź inne materiały Łączy nas Biznes i rozwijaj firmę w oparciu o praktyczną, aktualną wiedzę.
