Analiza kwalifikacyjna i samoidentyfikacja NIS2 / KSC
Podmiot kluczowy czy ważny? Sprawdzimy, czy i w jakiej kategorii podlegasz
Pisemna opinia o statusie Twojej organizacji — z uzasadnieniem, które możesz przedstawić zarządowi i organowi nadzoru.
Rozmawiasz z praktykiem - CIO/CISO prowadzącym program KSC po stronie podmiotu kluczowego. Nie z handlowcem.
Zapytaj o analizę dla swojej organizacji
Wycena w 1 dzień roboczy. Stała cena ustalona przed zleceniem.
Różnica, która zmienia zakres
Kluczowy i ważny: te same obowiązki, inny nadzór
Obie kategorie mają ten sam katalog obowiązków i te same terminy zgłaszania incydentów. Różnią się tym, jak organ nadzoruje i jak karze.
Wspólne obowiązki merytoryczne
- SZBI
- analiza ryzyka
- zabezpieczenia
- incydenty
- ciągłość
- dostawcy
- dokumentacja
- osoby kontaktowe
- odpowiedzialność kierownika
Ten sam katalog i te same terminy zgłoszeń (24 h / 72 h / 1 miesiąc) dla obu kategorii.
Różnice
Podmiot kluczowyostrzejszy reżim nadzoru
Podmiot ważnylżejszy nadzór
Nadzór
- Podmiot kluczowy
- ex anteorgan może kontrolować w każdym czasie
- Podmiot ważny
- ex postpo incydencie poważnym lub naruszeniu
Audyt
- Podmiot kluczowy
- Obowiązkowyco najmniej raz na 3 lata plus na żądanie
- Podmiot ważny
- Na żądanietylko gdy organ tego zażąda
Maksymalna kara
- Podmiot kluczowy
- 10 mln EURlub 2% obrotu
- Podmiot ważny
- 7 mln EURlub 1,4% obrotu
Zawsze wyższa z dwóch kwot: widełki kwotowe albo procent obrotu.
Zapamiętaj: „Ważny” nie znaczy „lżejszy”. Różnica dotyczy nadzoru i audytu, nie jakości ochrony.
Dlatego pierwszym krokiem jest ustalenie kategorii. Od niej zależy tryb kontroli, obowiązek audytu i górny pułap kary.
FAQ KSC, różnice między podmiotami; art. 15 ustawy o KSC.
Cztery kryteria
Jak sprawdzić, czy firma podlega
- załącznik 1 — podmioty kluczowe, załącznik 2 — ważne
- decyduje faktyczna działalność, nie sam kod PKD
- progi liczy się z podmiotami powiązanymi i partnerskimi
- 30 osób w dużej grupie może przekroczyć próg
- część podmiotów podlega bez względu na wielkość
- organ może też wpisać podmiot z urzędu
- ta sama działalność bywa kwalifikowana różnie
- działalność mieszana i role pomocnicze są sporne
Odpowiedzialność
Dlaczego to nie jest formalność
Ustawa nakłada obowiązek samodzielnej oceny statusu — brak wpisu z urzędu nie oznacza braku obowiązku.
Zaniżona naraża na sankcje, zawyżona — na wdrażanie obowiązków, których nie macie.
Przed organem liczy się uzasadnienie oceny, nie samo jej brzmienie.
Zakres
Co zawiera pisemna opinia
Podmiot kluczowy, ważny albo „nie podlega” — zawsze z podstawą prawną.
Który załącznik, która pozycja i dlaczego akurat ta.
Z uwzględnieniem podmiotów powiązanych i partnerskich.
Co konkretnie i do kiedy trzeba zrobić w Waszej kategorii.
Co robić najpierw i w jakiej kolejności.
Podstawa prawna: ustawa o krajowym systemie cyberbezpieczeństwa, załącznik I · zalecenie 2003/361 (wyliczenie wielkości przedsiębiorstwa)
Wycena w 1 dzień roboczy. Opinię wydajemy niezależnie od wyniku.
Przebieg
Jak to wygląda krok po kroku
- pytamy tylko o to, czego nie sprawdzimy sami
- struktura właścicielska i profil działalności
- rejestry i dokumenty weryfikujemy we własnym zakresie
- wnioski przechodzą weryfikację prawną
- do 5 dni roboczych od kompletu informacji
- dokument podpisany, do przedstawienia zarządowi
- przechodzimy przez opinię i rekomendacje
- co z niej wynika dla Waszych terminów
Jeden zespół, trzy kompetencje
Łączymy kompetencje IT i prawne w jednym zespole
Kwalifikacja to pytanie prawne o faktach technicznych i organizacyjnych - dlatego opinia przechodzi weryfikację prawną, zanim ją wydamy.
Zobacz profilIgor Bielecki
technologia i cyberbezpieczeństwoWspółzałożyciel AYO Solutions, CIO/CISO z blisko 20-letnim doświadczeniem w technologii, cyberbezpieczeństwie i transformacji cyfrowej. Obecnie prowadzi kompleksowe wdrożenie NIS2 i KSC u producenta leków krytycznych. Wcześniej odpowiadał za IT i cyberbezpieczeństwo w międzynarodowej grupie farmaceutycznej.
PMP · PRINCE2 · ITIL · MBA
Zobacz profilAdriana Bielecka
zarządzanie projektemWspółzałożycielka AYO Solutions z kilkunastoletnim doświadczeniem w prowadzeniu projektów biznesowych, technologicznych i regulacyjnych, zdobywanym m.in. w mBanku, IPOPEMA TFI i Raiffeisen Polbank. W AYO odpowiada za to, żeby wdrożenie NIS2 było dobrze zaplanowane, sprawnie skoordynowane i doprowadzone do końca.
PRINCE2 · zarządzanie projektami
Zobacz profilArkadiusz Górecki
prawo i complianceAdwokat specjalizujący się w prawie nowych technologii, cyberbezpieczeństwie i ochronie danych. Doświadczenie zdobywał także w obszarze compliance w międzynarodowych instytucjach finansowych, m.in. w Raiffeisen Bank International i BNP Paribas. Dba o to, by dokumentacja i procedury obroniły się przy kontroli.
Adwokat · prawo nowych technologii
Doświadczenie zdobyte w organizacjach
FAQ
Najczęstsze pytania o analizę kwalifikacyjną
Do 5 dni roboczych od kompletu informacji. Najdłużej trwa zwykle zebranie danych o strukturze grupy kapitałowej — bo wielkość przedsiębiorstwa liczy się z uwzględnieniem podmiotów powiązanych i partnerskich, nie na pojedynczym NIP-ie.
Test online daje wstępny kierunek w 2 minuty na podstawie Twoich odpowiedzi — to wskazówka, nie dokument. Analiza kwalifikacyjna to pisemna, zweryfikowana prawnie opinia z podstawą sektorową, wyliczeniem wielkości i uzasadnieniem, którą kierownictwo może przedstawić jako dowód należytej staranności.
Otrzymujesz opinię niezależnie od wyniku — również wtedy, gdy przepisy Cię nie obejmują. Ma wtedy wartość jako pisemne uzasadnienie decyzji o niepodleganiu, przydatne przy pytaniach kontrahentów, jednostki nadrzędnej albo organu.
Według unijnej metodologii (zalecenie 2003/361): do danych własnych dolicza się dane przedsiębiorstw partnerskich (udział 25–50%) i powiązanych (kontrola powyżej 50%). Dlatego spółka zatrudniająca 30 osób, ale należąca do dużej grupy, może po zsumowaniu przekroczyć próg i podlegać ustawie.
Opinia rozstrzyga, czy i w jakiej kategorii obowiązek Cię dotyczy — to warunek wstępny, nie sam wniosek. Samo złożenie wniosku o wpis do wykazu podmiotów kluczowych i ważnych to osobny krok; opisujemy go na stronie o wpisie do wykazu KSC i możemy przeprowadzić go za Ciebie.
Stała cena, ustalona przed zleceniem — wycenę otrzymasz w 1 dzień roboczy od zapytania. Koszt analizy w całości zaliczamy na poczet audytu, jeśli zdecydujesz się na kolejny krok.
Następny krok
Podlegasz? Zdąż z wpisem do wykazu
Samoidentyfikacja i wniosek o wpis do wykazu KSC — termin dla większości podmiotów to 3 października 2026 r.
Kontakt
Potwierdź status, zanim zaczniesz wdrożenie
Napisz, czym zajmuje się organizacja i jak wygląda struktura właścicielska. Wycenę odeślemy w 1 dzień roboczy - a jeśli z opisu wyjdzie, że nie podlegacie, powiemy to od razu, zanim cokolwiek zlecicie.
- Wycena w 1 dzień roboczy
- Opinia niezależna od wyniku
- Koszt zaliczany na poczet audytu
20 minut online, bez zobowiązań. Widzisz wolne godziny i rezerwujesz tę, która Ci pasuje — bez czekania na odpowiedź mailem.
Rozmowa z praktykiem, nie z handlowcem
Rozmawiasz bezpośrednio z praktykiem - CIO/CISO prowadzącym program KSC po stronie podmiotu kluczowego. Nie z handlowcem.