Twoja firma podlega pod NIS2/KSC, jeżeli jej działalność mieści się w jednym z 18 sektorów wymienionych w załącznikach do ustawy i jest ona przedsiębiorstwem co najmniej średnim — od 50 osób lub powyżej 10 mln EUR obrotu albo sumy bilansowej (z ważnymi wyjątkami, które obejmują także mniejsze firmy). Kwalifikację wykonujesz samodzielnie: nikt nie przyśle zawiadomienia, a obowiązki powstają z mocy prawa w dniu spełnienia przesłanek. Ten przewodnik prowadzi przez cały czteroetapowy test — sektor, wielkość, wyjątki, samoidentyfikacja — wraz z pułapkami, które najczęściej psują samoocenę.
Odpowiedź w 30 sekund
- kwalifikacja = sektor (18 branż w dwóch załącznikach) + wielkość firmy + wyjątki
- progi: od 50 osób lub ponad 10 mln EUR obrotu / sumy bilansowej
- obowiązki biegną od dnia spełnienia przesłanek — wpis do wykazu tylko je potwierdza
- w grupach kapitałowych dane spółek się sumują — mała spółka może podlegać przez grupę
- termin samoidentyfikacji i wniosku o wpis: 3 października 2026 r.
Zasada nadrzędna: obowiązki nie czekają na wpis ani na pismo z urzędu
Zanim przejdziemy do kroków, jedna zasada, najczęściej przeoczana w praktyce: obowiązki powstają z mocy prawa w dniu spełnienia przesłanek, a nie w dniu wpisu do wykazu. Wpis ma charakter deklaratoryjny — potwierdza stan, którego nie tworzy. Organ może zresztą wpisać podmiot do wykazu z urzędu, bez wniosku. Strategia „poczekamy, aż nas znajdą” nie odracza więc obowiązków — odracza tylko moment, w którym firma dowie się, że już od dawna je narusza.
To zmiana filozofii względem starej ustawy z 2018 r., w której organy państwa indywidualnymi decyzjami wyznaczały operatorów usług kluczowych — kilkaset podmiotów w całym kraju. NIS2 odwraca logikę: definiuje całe sektory i progi wielkości, a obowiązek ustalenia, czy się podlega, przerzuca na same przedsiębiorstwa. Skala zmiany jest skokowa — z setek podmiotów na, według szacunków rynkowych, kilkanaście-kilkadziesiąt tysięcy w samej Polsce.
Krok 1. Sektor: czy Twoja działalność jest w jednym z 18 sektorów?
Ustawa wymienia sektory w dwóch załącznikach. Decyduje faktycznie prowadzona działalność, nie sam kod PKD — choć przegląd kodów PKD to dobry punkt startu analizy. Firma o działalności mieszanej podlega, jeśli choć jeden istotny segment jej działalności mieści się w załącznikach.
Załącznik nr 1 — sektory „kluczowe”
- Energia — wytwarzanie, przesył, dystrybucja i obrót energią elektryczną, ciepłem, gazem, ropą; także ładowanie pojazdów elektrycznych i wodór,
- Transport — lotniczy (przewoźnicy, zarządzający lotniskami, obsługa działająca w ramach lotnisk, zarządzanie ruchem), kolejowy, wodny i drogowy (m.in. zarządcy infrastruktury, inteligentne systemy transportowe),
- Zdrowie — świadczeniodawcy (szpitale, sieci przychodni), laboratoria referencyjne, producenci substancji farmaceutycznych i leków oraz producenci wyrobów medycznych uznanych za krytyczne, podmioty prowadzące badania nad lekami — to dlatego wytwórca farmaceutyczny jest podmiotem kluczowym, mimo że potocznie „zdrowie” kojarzy się tylko ze szpitalami,
- Woda pitna i ścieki — przedsiębiorstwa wodociągowo-kanalizacyjne,
- Infrastruktura cyfrowa — punkty wymiany ruchu, dostawcy usług DNS, rejestry domen najwyższego poziomu, dostawcy chmury obliczeniowej, centrów danych, sieci dostarczania treści, usług zaufania, publicznych sieci i usług łączności elektronicznej,
- Zarządzanie usługami ICT (B2B) — dostawcy usług zarządzanych (MSP) i usług zarządzanych w zakresie bezpieczeństwa (MSSP) — czyli firmy IT administrujące cudzymi środowiskami i bezpieczeństwem,
- Administracja publiczna — szeroko: administracja rządowa i, w polskim wydaniu, znaczna część samorządowej,
- Przestrzeń kosmiczna — operatorzy infrastruktury naziemnej wspierającej usługi kosmiczne,
- Bankowość i infrastruktura rynków finansowych — formalnie w załączniku, ale w praktyce sektor finansowy realizuje wymogi zarządzania ryzykiem ICT i zgłaszania incydentów przez odrębne rozporządzenie DORA, które jest wobec NIS2 przepisem szczególnym.
Załącznik nr 2 — sektory „ważne”
- Usługi pocztowe i kurierskie,
- Gospodarowanie odpadami,
- Chemikalia — produkcja, wytwarzanie i dystrybucja substancji i wyrobów chemicznych,
- Żywność — produkcja, przetwarzanie i dystrybucja na skalę przemysłową/hurtową,
- Produkcja — pięć grup: wyroby medyczne i wyroby do diagnostyki in vitro; komputery, elektronika i optyka; urządzenia elektryczne; maszyny i urządzenia; pojazdy samochodowe, przyczepy i pozostały sprzęt transportowy. To załącznik, który „wciąga” do ustawy ogromną część polskiego przemysłu średniej wielkości,
- Dostawcy usług cyfrowych — internetowe platformy handlowe (marketplace), wyszukiwarki, platformy społecznościowe,
- Badania naukowe — organizacje badawcze (z wyłączeniem instytucji edukacyjnych co do zasady).
Etykieta sektora to jeszcze nie kategoria firmy
Etykiety „kluczowe/ważne” przy sektorach opisują charakter działalności i wpływają na kategorię podmiotu dopiero w połączeniu z jego wielkością (krok 2) — sam fakt bycia w załączniku nr 1 nie czyni jeszcze firmy podmiotem kluczowym.
Dla wybranych branż przygotowaliśmy osobne przewodniki sektorowe — z progami, specyfiką obowiązków i typowymi lukami:
Krok 2. Wielkość: czy przekraczasz próg?
Reguła ogólna obejmuje przedsiębiorstwa co najmniej średnie w rozumieniu prawa unijnego (zalecenie 2003/361 / załącznik I do rozporządzenia 651/2014):
| Wielkość | Kryteria | Skutek w połączeniu z sektorem |
|---|---|---|
| Średnie przedsiębiorstwo | od 50 osób lub roczny obrót albo suma bilansowa powyżej 10 mln EUR | załącznik nr 1 → podmiot ważny; załącznik nr 2 → podmiot ważny |
| Duże przedsiębiorstwo | 250+ osób lub ponad 50 mln EUR obrotu (43 mln EUR sumy bilansowej) | załącznik nr 1 → podmiot kluczowy; załącznik nr 2 → podmiot ważny |
| Mikro i małe firmy | poniżej progów | co do zasady poza ustawą — z wyjątkami z kroku 3 |
Pułapka grup kapitałowych
Unijna metodologia liczenia wielkości nakazuje uwzględniać dane przedsiębiorstw partnerskich (udział 25–50%) i powiązanych (kontrola powyżej 50%). W efekcie spółka zatrudniająca 30 osób, ale należąca do dużej grupy, może po zsumowaniu danych przekroczyć próg i podlegać ustawie, mimo że „na własnym NIP-ie” wygląda na małą. Analizę wielkości trzeba robić na poziomie struktury właścicielskiej, nie pojedynczej spółki — to jedna z najczęstszych przyczyn błędnej samooceny „nas to nie dotyczy”.
Krok 3. Wyjątki: kto podlega niezależnie od wielkości
Dla niektórych kategorii progi wielkości nie obowiązują albo są obniżone, bo ich zakłócenie uderza w system niezależnie od rozmiaru firmy:
- dostawcy usług DNS i rejestry domen najwyższego poziomu — bez względu na wielkość,
- kwalifikowani dostawcy usług zaufania — bez względu na wielkość,
- przedsiębiorcy komunikacji elektronicznej (telekomy zostały włączone do reżimu KSC) — według zasad ustawy, w praktyce od bardzo niskich progów,
- podmioty administracji publicznej — według odrębnych reguł, nie progów MŚP,
- dostawcy usług zarządzanych w zakresie cyberbezpieczeństwa (MSSP) — już od progu małego przedsiębiorcy; polska specyfika istotna dla rynku IT: firma 12-osobowa administrująca bezpieczeństwem klientów może podlegać ustawie,
- podmioty wskazane indywidualną decyzją organu — np. jedyny dostawca usługi istotnej dla państwa, podmiot, którego zakłócenie miałoby istotny wpływ na bezpieczeństwo publiczne, lub podmiot krytyczny w rozumieniu przepisów o odporności.
Krok 4. Samoidentyfikacja: przypadki graniczne rozstrzygaj ostrożnościowo
Nikt nie przyśle zawiadomienia. Firma sama wykonuje analizę z kroków 1–3, sama składa wniosek o wpis do wykazu podmiotów kluczowych i ważnych (portal wykaz-ksc.gov.pl, docelowo komunikacja przez system S46) i sama odpowiada za aktualność danych.
W przypadkach granicznych — działalność mieszana, niejednoznaczna rola w sektorze (np. usługi pomocnicze na lotniskach, podwykonawstwo w energetyce), spory interpretacyjne wokół „skali przemysłowej” w żywności — bezpieczniejsza jest kwalifikacja ostrożnościowa: skoro obowiązki i tak biegną od spełnienia przesłanek, błąd „w dół” jest znacznie droższy niż błąd „w górę”. Status wpływa m.in. na model nadzoru, audyt i maksymalne sankcje — nie należy go ustalać wyłącznie na podstawie ogólnej tabeli sektorowej, bez analizy szczegółowego przepisu.
„Nie podlegam” — czy na pewno? Łańcuch dostaw i zmiany w czasie
Nawet jeśli dziś nie spełniasz przesłanek, dwie rzeczy mogą to zmienić. Po pierwsze, łańcuch dostaw: jeśli Twoim klientem jest podmiot objęty ustawą, to on zacznie wymagać klauzul bezpieczeństwa od Ciebie — od poziomów usług przez informowanie o incydentach po prawo audytu. KSC rozlewa się w dół łańcucha także na firmy formalnie nieobjęte.
Po drugie, kwalifikację trzeba monitorować na bieżąco: dla podmiotów, które przesłanki spełnią później (nowa działalność, przekroczenie progu zatrudnienia lub obrotu, zmiana profilu), terminy liczą się indywidualnie od dnia spełnienia przesłanek — wniosek o wpis w ustawowym terminie, 12 miesięcy na obowiązki bezpieczeństwa, 24 miesiące na pierwszy audyt (podmioty kluczowe). Firma rosnąca przez próg 50 osób „wpada” w ustawę w trakcie roku, nie przy okazji nowelizacji.
Podlegam — co dalej i do kiedy?
Najpierw ustal kategorię: podmiot kluczowy (duże przedsiębiorstwo w sektorze z załącznika nr 1) czy podmiot ważny (średnie w załączniku nr 1 oraz średnie lub duże w załączniku nr 2). Katalog obowiązków materialnych jest dla obu niemal identyczny — różnią się reżim nadzoru (proaktywny vs reaktywny), obowiązkowy audyt i pułap kar. Szczegółowe porównanie znajdziesz w artykule o różnicach między kategoriami.
| Data | Obowiązek |
|---|---|
| 3 października 2026 | ostateczny termin samoidentyfikacji i złożenia wniosku o wpis do wykazu (dla spełniających przesłanki w dniu wejścia ustawy) |
| do 3 kwietnia 2027 | pełne wdrożenie SZBI i pozostałych obowiązków rozdziału o bezpieczeństwie |
| do 3 kwietnia 2028 | pierwszy obowiązkowy audyt bezpieczeństwa — podmioty kluczowe |
Warto też pamiętać o skali sankcji: do 10 mln EUR lub 2% obrotu (kluczowy), do 7 mln EUR lub 1,4% (ważny), do 100 mln zł w przypadkach kwalifikowanych oraz kara osobista kierownika do 300% wynagrodzenia. Naruszenia „zero-jedynkowe” — jak brak wpisu do wykazu — są dla organu trywialne do stwierdzenia.
Co konkretnie oznacza „podleganie” — przegląd obowiązków
Obowiązki układają się w cztery warstwy. Pierwsza jest formalna: wniosek o wpis do wykazu (z danymi identyfikującymi podmiot, sektorem, kategorią i danymi kontaktowymi), wskazanie co najmniej dwóch osób do kontaktu z CSIRT-em i organami, aktualizacja danych w krótkim ustawowym terminie oraz korzystanie z systemu S46. Po wpisie podmiot wyznacza też osobę odpowiedzialną za cyberbezpieczeństwo w organizacji.
Druga to system zarządzania bezpieczeństwem informacji — serce ustawy. Najważniejsze zdanie interpretacyjne: ustawa nie każe kupić technologii — każe zbudować system: przemyślany (oparty na analizie ryzyka), udokumentowany, wdrożony, mierzony i zatwierdzony przez zarząd, ze środkami proporcjonalnymi do ryzyka, wielkości podmiotu i kosztów. Katalog obowiązkowych obszarów obejmuje m.in. analizę ryzyka i polityki, obsługę incydentów, ciągłość działania (kopie z testami odtworzenia, BCP/DRP), łańcuch dostaw, zarządzanie podatnościami, ocenę skuteczności, cyberhigienę i szkolenia, kryptografię, kontrolę dostępu oraz MFA.
Trzecia to incydenty: po wykryciu incydentu poważnego biegnie sztywny zegar zgłoszeń do właściwego CSIRT — wczesne ostrzeżenie w 24 godziny, zgłoszenie w 72 godziny, raport końcowy zasadniczo w 1 miesiąc. Czwarta to zarząd: kierownik podmiotu (co do zasady cały zarząd) zatwierdza SZBI, nadzoruje system, przechodzi coroczne szkolenie i ponosi osobistą odpowiedzialność — z karą do 300% wynagrodzenia. Zadania można delegować, odpowiedzialności nie.
Kto jest kim w systemie — dwa adresy, które musisz znać
Mapa instytucji jest krótsza, niż sugeruje objętość ustawy. Dla firmy w praktyce liczą się dwa adresy: jej CSIRT (incydenty, przez S46) i jej organ właściwy (nadzór, raporty z audytów). Zgłoszenia przyjmują trzy CSIRT-y poziomu krajowego: CSIRT NASK (sektor prywatny i większość podmiotów — domyślny adres dla typowej firmy), CSIRT GOV (administracja i infrastruktura krytyczna) i CSIRT MON (obszar obronny). Organy właściwe to co do zasady ministrowie kierujący działami administracji odpowiadającymi poszczególnym sektorom (energia — minister właściwy ds. energii, zdrowie — minister zdrowia itd.), a Minister Cyfryzacji prowadzi wykaz podmiotów i system S46.
Jeszcze jedna zależność między przepisami: podmiot uznany za krytyczny w równolegle wdrażanym reżimie odporności (dyrektywa CER) podlega KSC niezależnie od progów wielkości, a telekomy zostały przeniesione pod reżim KSC — ich wymogi bezpieczeństwa i zgłaszania incydentów biegną tym samym torem co dla reszty podmiotów.
Najczęstsze błędy samooceny
- Czekanie „aż nas wpiszą” — obowiązki biegną od spełnienia przesłanek; wpis jest deklaratoryjny, a organ może wpisać z urzędu.
- Liczenie wielkości na poziomie jednej spółki — dane przedsiębiorstw partnerskich i powiązanych się sumują.
- Ocena po samym kodzie PKD — decyduje faktycznie prowadzona działalność; PKD to tylko punkt startu.
- Pominięcie wyjątków — MSSP podlega już od progu małego przedsiębiorcy, a DNS i usługi zaufania bez względu na wielkość.
- Uznanie sporu przed TK za powód do czekania — żaden obowiązek nie został zawieszony; terminy, SZBI, zgłoszenia i kary działają normalnie.
Nie — ustawa opiera się na samoidentyfikacji. Firma sama wykonuje analizę, sama składa wniosek o wpis do wykazu (portal wykaz-ksc.gov.pl) i sama odpowiada za aktualność danych. Organ może też wpisać podmiot z urzędu, ale brak pisma niczego nie przesądza: obowiązki biegną od dnia spełnienia przesłanek.
Rozstrzygnij to w 2 minuty
Bezpłatny test kwalifikacji przeprowadzi Cię przez sektor, wielkość i wyjątki — a wynik od razu pokaże Twoje najbliższe terminy. W przypadkach granicznych umów bezpłatną konsultację.
Przewodnik po ustawie KSC 2026 (PDF)