Czym różni się od darmowego testu?

Test online daje wstępny kierunek w 2 minuty na podstawie Twoich odpowiedzi — to wskazówka, nie dokument. Analiza kwalifikacyjna to pisemna, zweryfikowana prawnie opinia z podstawą sektorową, wyliczeniem wielkości i uzasadnieniem, którą kierownictwo może przedstawić jako dowód należytej staranności.

Co, jeśli okaże się, że nie podlegamy?

Otrzymujesz opinię niezależnie od wyniku — również wtedy, gdy przepisy Cię nie obejmują. Ma wtedy wartość jako pisemne uzasadnienie decyzji o niepodleganiu, przydatne przy pytaniach kontrahentów, jednostki nadrzędnej albo organu.

Jak liczy się wielkość firmy w grupie kapitałowej?

Według unijnej metodologii (zalecenie 2003/361): do danych własnych dolicza się dane przedsiębiorstw partnerskich (udział 25–50%) i powiązanych (kontrola powyżej 50%). Dlatego spółka zatrudniająca 30 osób, ale należąca do dużej grupy, może po zsumowaniu przekroczyć próg i podlegać ustawie. Analizę wielkości robi się na poziomie struktury właścicielskiej, nie pojedynczej spółki.

Czy opinia wystarczy do wpisu do wykazu?

Opinia rozstrzyga, czy i w jakiej kategorii obowiązek Cię dotyczy — to warunek wstępny, nie sam wniosek. Samo złożenie wniosku o wpis do wykazu podmiotów kluczowych i ważnych to osobny krok; opisujemy go na stronie o wpisie do wykazu KSC i możemy przeprowadzić go za Ciebie.

Stała cena, ustalona przed zleceniem — wycenę otrzymasz w 1 dzień roboczy od zapytania. Koszt analizy w całości zaliczamy na poczet audytu, jeśli zdecydujesz się na kolejny krok.

Pierwszy krok zgodności z KSC

Podmiot kluczowy czy ważny? Sprawdzimy, czy i w jakiej kategorii podlegasz

Pisemna analiza kwalifikacyjna NIS2/KSC z weryfikacją prawną. Jednoznaczna odpowiedź: podmiot kluczowy, podmiot ważny — albo uzasadnienie, że przepisy Cię nie obejmują. Do 5 dni roboczych od kompletu informacji.

Analizę prowadzi praktyk CIO/CISO odpowiadający za program KSC w podmiocie kluczowym; wnioski weryfikuje prawnie współpracujący adwokat.

Zadzwoń: +48 662 064 068 Wyślij zapytanie

Odpowiadamy w 1 dzień roboczy · Poufność — na życzenie NDA · Bez zobowiązań

Samoidentyfikacja i wpis do wykazu KSC — termin 3.10.2026ostateczny termin złożenia wniosku dla podmiotów, które spełniały przesłanki 3 kwietnia 2026 r.

Zapytanie

Zapytaj o analizę dla swojej organizacji

Stałą cenę poznasz przed zleceniem — wycena w 1 dzień roboczy.

Rozmawiasz bezpośrednio z praktykiem — CIO/CISO prowadzącym program KSC po stronie podmiotu kluczowego. Nie z handlowcem.

Różnice

Podmiot kluczowy a podmiot ważny

Katalog obowiązków materialnych jest dla obu kategorii niemal identyczny. Różnica leży w reżimie nadzoru i w konsekwencjach.

Porównanie obowiązków podmiotu kluczowego i podmiotu ważnego
Kryterium	Podmiot kluczowy	Podmiot ważny
Tryb nadzoru i kontrole	Nadzór proaktywny — organ może kontrolować planowo, bez szczególnego powodu (ex ante i ex post).	Nadzór reaktywny — kontrola po sygnale, skardze lub incydencie (ex post).
Zakres obowiązków bezpieczeństwa	Katalog obowiązków materialnych — zabezpieczeń, dokumentacji, zgłaszania incydentów — jest dla obu kategorii niemal identyczny. Różni się ciśnienie nadzorcze, nie standard bezpieczeństwa.	Jak obok. W praktyce: podmiot kluczowy musi być stale gotowy do kontroli i audytu, podmiot ważny — gotowy do obrony, gdy coś się wydarzy.
Audyt bezpieczeństwa	Obowiązkowy i cykliczny: pierwszy w ciągu 24 miesięcy, kolejne co najmniej raz na 3 lata.	Na żądanie organu.
Raportowanie incydentów	Ten sam zegar dla obu kategorii: wczesne ostrzeżenie w 24 godziny od wykrycia, zgłoszenie w 72 godziny, raport końcowy w miesiąc od zgłoszenia.	Jak obok — zegar startuje od wykrycia incydentu w organizacji, nie od momentu, gdy dowiedział się zarząd.
Sankcje	Do 10 mln EUR lub 2% całkowitego rocznego obrotu (wyższa z kwot). Środki ostateczne obejmują m.in. czasowy zakaz pełnienia funkcji zarządczych.	Do 7 mln EUR lub 1,4% obrotu. Łagodniejszy zestaw środków nadzorczych.

Tryb nadzoru i kontrole

Podmiot kluczowy: Nadzór proaktywny — organ może kontrolować planowo, bez szczególnego powodu (ex ante i ex post).
Podmiot ważny: Nadzór reaktywny — kontrola po sygnale, skardze lub incydencie (ex post).

Zakres obowiązków bezpieczeństwa

Podmiot kluczowy: Katalog obowiązków materialnych — zabezpieczeń, dokumentacji, zgłaszania incydentów — jest dla obu kategorii niemal identyczny. Różni się ciśnienie nadzorcze, nie standard bezpieczeństwa.
Podmiot ważny: Jak obok. W praktyce: podmiot kluczowy musi być stale gotowy do kontroli i audytu, podmiot ważny — gotowy do obrony, gdy coś się wydarzy.

Audyt bezpieczeństwa

Podmiot kluczowy: Obowiązkowy i cykliczny: pierwszy w ciągu 24 miesięcy, kolejne co najmniej raz na 3 lata.
Podmiot ważny: Na żądanie organu.

Raportowanie incydentów

Podmiot kluczowy: Ten sam zegar dla obu kategorii: wczesne ostrzeżenie w 24 godziny od wykrycia, zgłoszenie w 72 godziny, raport końcowy w miesiąc od zgłoszenia.
Podmiot ważny: Jak obok — zegar startuje od wykrycia incydentu w organizacji, nie od momentu, gdy dowiedział się zarząd.

Sankcje

Podmiot kluczowy: Do 10 mln EUR lub 2% całkowitego rocznego obrotu (wyższa z kwot). Środki ostateczne obejmują m.in. czasowy zakaz pełnienia funkcji zarządczych.
Podmiot ważny: Do 7 mln EUR lub 1,4% obrotu. Łagodniejszy zestaw środków nadzorczych.

Kategoria wynika z ustawy, nie z wyboru — a błędna samoocena to ryzyko po stronie organizacji.

Kwalifikacja

Jak sprawdzić, czy firma podlega

Cztery rzeczy decydują naraz — i żadna z nich osobno nie wystarcza.

Sektor z załączników do ustawy

Ustawa wymienia sektory w dwóch załącznikach: nr 1 — „kluczowe” (m.in. energia, transport, zdrowie, woda i ścieki, infrastruktura cyfrowa, zarządzanie usługami ICT, administracja publiczna) i nr 2 — „ważne” (m.in. usługi pocztowe i kurierskie, gospodarowanie odpadami, chemikalia, żywność, produkcja, dostawcy usług cyfrowych, badania naukowe). Decyduje faktycznie prowadzona działalność, nie sam kod PKD — choć przegląd kodów to dobry punkt startu. Firma o działalności mieszanej podlega, jeśli choć jeden istotny segment mieści się w załącznikach.

Wielkość liczona z powiązaniami

Reguła ogólna obejmuje przedsiębiorstwa co najmniej średnie w rozumieniu prawa unijnego (zalecenie 2003/361): od 50 osób albo powyżej 10 mln EUR obrotu lub sumy bilansowej. Unijna metodologia nakazuje uwzględnić dane przedsiębiorstw partnerskich (udział 25–50%) i powiązanych (kontrola powyżej 50%). Spółka zatrudniająca 30 osób, ale należąca do dużej grupy, może po zsumowaniu przekroczyć próg — to jedna z najczęstszych przyczyn błędnej samooceny „nas to nie dotyczy”.

Wyjątki i przypadki szczególne

Dla części kategorii progi wielkości nie obowiązują albo są obniżone: dostawcy usług DNS i rejestry domen najwyższego poziomu oraz kwalifikowani dostawcy usług zaufania — bez względu na wielkość; przedsiębiorcy komunikacji elektronicznej — od bardzo niskich progów; podmioty administracji publicznej — według odrębnych reguł, nie progów MŚP; dostawcy usług zarządzanych w zakresie cyberbezpieczeństwa (MSSP) — już od progu małego przedsiębiorcy. Organ może też wskazać podmiot indywidualną decyzją albo wpisać go do wykazu z urzędu, bez wniosku.

Granice sektorów bywają nieoczywiste

Wytwórca farmaceutyczny jest podmiotem kluczowym, mimo że potocznie „zdrowie” kojarzy się tylko ze szpitalami. Załącznik nr 2 „wciąga” do ustawy ogromną część polskiego przemysłu średniej wielkości — od wyrobów medycznych po pojazdy i maszyny. Przypadki graniczne to działalność mieszana, niejednoznaczna rola w sektorze (usługi pomocnicze na lotniskach, podwykonawstwo w energetyce) i spory interpretacyjne wokół „skali przemysłowej” w żywności.

Darmowy test da Ci wstępny kierunek w 2 minuty. Analiza kwalifikacyjna daje dokument.

Odpowiedzialność kierownictwa

Dlaczego to nie jest formalność

Obowiązki powstają z mocy prawa

Obowiązki powstają w dniu spełnienia przesłanek, a nie w dniu wpisu do wykazu — wpis ma charakter deklaratoryjny, potwierdza stan, którego nie tworzy. Organ może wpisać podmiot do wykazu z urzędu, bez wniosku. Strategia „poczekamy, aż nas znajdą” nie odracza obowiązków — odracza tylko moment, w którym firma dowie się, że już od dawna je narusza.

Samoidentyfikacja jest po stronie firmy

Nikt nie przyśle zawiadomienia. Firma sama wykonuje analizę, sama składa wniosek o wpis i sama odpowiada za aktualność danych. W przypadkach granicznych bezpieczniejsza jest kwalifikacja ostrożnościowa: skoro obowiązki i tak biegną od spełnienia przesłanek, błąd „w dół” jest znacznie droższy niż błąd „w górę”.

Odpowiedzialności nie da się delegować

„Kierownik podmiotu kluczowego lub ważnego” to w spółkach co do zasady cały zarząd. Kierownik zatwierdza SZBI i dokumentację, nadzoruje wdrożenie, przechodzi coroczne szkolenie i ponosi osobistą odpowiedzialność za realizację obowiązków — z karą pieniężną do 300% własnego wynagrodzenia włącznie. Można delegować zadania — nie można delegować odpowiedzialności.

Naruszenia „zero-jedynkowe” — brak wpisu do wykazu, brak zgłoszenia incydentu, brak audytu, brak przeszkolonego zarządu — są dla organu trywialne do stwierdzenia i niemożliwe do wytłumaczenia; to od nich realnie zaczyna się egzekwowanie.

Spór konstytucyjny nie zawiesza terminów

Prezydent, podpisując ustawę, skierował do Trybunału Konstytucyjnego wniosek o kontrolę następczą, kwestionując rozszerzony zakres podmiotowy, konstrukcję postępowań o uznanie za dostawcę wysokiego ryzyka oraz polecenia zabezpieczające. Znaczenie praktyczne sporu: żaden obowiązek przedsiębiorców nie został zawieszony. Terminy, SZBI, zgłoszenia i kary działają normalnie; ewentualny wyrok TK może w przyszłości zmienić część mechanizmów państwo–dostawcy, ale planowanie zgodności „na przeczekanie Trybunału” jest hazardem z bardzo złym profilem ryzyka.

Zakres

Co zawiera pisemna opinia

Status: podmiot kluczowy, podmiot ważny albo „nie podlega” — zawsze z uzasadnieniem.
Podstawa sektorowa i prawna: który załącznik, która pozycja, dlaczego akurat ta.
Wyliczenie wielkości przedsiębiorstwa z uwzględnieniem podmiotów powiązanych i partnerskich.
Lista obowiązków i terminów właściwych dla Twojej kategorii.
Rekomendacja pierwszych kroków — co robić najpierw i w jakiej kolejności.

Opinia jest weryfikowana prawnie i podpisana. Otrzymujesz ją niezależnie od wyniku — również wtedy, gdy przepisy Cię nie obejmują.

Poproś o wycenę

Co wybrać

Gdzie przebiega granica

Trzy drogi do odpowiedzi „czy podlegam” — różnią się głębokością i tym, co zostaje w ręku.

Test online

Wstępny wynik w 2 minuty, na podstawie Twoich odpowiedzi. Bezpłatny.

Zrób test

Bezpłatna konsultacja

20 minut rozmowy kierunkowej: co dalej i w jakiej kolejności.

Analiza kwalifikacyjna

Pisemny, zweryfikowany prawnie dokument, którym kierownictwo potwierdza decyzję o samoidentyfikacji.

Poproś o wycenę

Przebieg

Jak to wygląda krok po kroku

1
Krótki kwestionariusz
Pytamy tylko o to, czego nie sprawdzimy sami — przede wszystkim o strukturę właścicielską i faktyczny profil działalności.
2
Analiza
Rejestry i dokumenty weryfikujemy we własnym zakresie. Wnioski przechodzą weryfikację prawną.
3
Pisemna opinia
Do 5 dni roboczych od kompletu informacji. Dokument podpisany, do przedstawienia kierownictwu.
4
Omówienie wyniku
Przechodzimy przez opinię i rekomendacje — co z niej wynika dla Twoich najbliższych terminów.

Wycena

Stała cena, ustalona przed zleceniem — wycenę otrzymasz w 1 dzień roboczy. Koszt analizy w całości zaliczamy na poczet audytu, jeśli zdecydujesz się na kolejny krok.

Termin ustawowy

Wykaz KSC i samoidentyfikacja

Do 3 października 2026 r. podmioty kluczowe i ważne mają obowiązek samoidentyfikacji i wpisu do wykazu. Analiza kwalifikacyjna rozstrzyga, czy obowiązek Cię dotyczy i w jakiej kategorii — zanim złożysz wniosek.

Zobacz, jak wygląda wpis do wykazu

Pytania i odpowiedzi

Najczęstsze pytania o analizę kwalifikacyjną

Do 5 dni roboczych od kompletu informacji. Najdłużej trwa zwykle zebranie danych o strukturze grupy kapitałowej — bo wielkość przedsiębiorstwa liczy się z uwzględnieniem podmiotów powiązanych i partnerskich, nie na pojedynczym NIP-ie.

Następny krok

Potwierdź status, zanim zaczniesz wdrożenie