Kwalifikacja spółki należącej do grupy kapitałowej nie powinna ograniczać się do odczytania liczby pracowników i obrotu jednej spółki. W zależności od struktury właścicielskiej, kontroli i relacji między przedsiębiorstwami może być konieczne uwzględnienie danych podmiotów partnerskich lub powiązanych. Jednocześnie samo istnienie grupy nie oznacza automatycznie identycznego statusu każdej spółki — ocenie podlega konkretny podmiot, jego działalność i sektor.
Materiał edukacyjny — kwalifikację potwierdź indywidualnie
Poniższe zasady mają charakter ogólny i nie zastępują analizy prawnej. Sposób agregowania danych zależy od charakteru relacji i powinien zostać potwierdzony na podstawie właściwych przepisów, do których odsyła ustawa KSC. W razie wątpliwości niezbędna jest indywidualna analiza.
Odpowiedź w 30 sekund
- najpierw ustal, czy spółka prowadzi działalność w sektorze objętym KSC,
- potem określ status: przedsiębiorstwo samodzielne, partnerskie czy powiązane,
- policz właściwe dane (zatrudnienie, obrót, suma bilansowa) na właściwy dzień,
- wspólne IT i wspólne świadczenie usług mogą mieć znaczenie dla zakresu SZBI,
- udokumentuj założenia i decyzję — nie opieraj kwalifikacji na samym PKD.
Proces kwalifikacji w grupie
- Potwierdź podmiot prawny, którego dotyczy analiza.
- Ustal faktycznie prowadzoną działalność i jej znaczenie dla sektorów objętych KSC.
- Zmapuj strukturę udziałową i prawa kontroli.
- Rozróżnij przedsiębiorstwa samodzielne, partnerskie i powiązane.
- Zbierz właściwe dane dotyczące zatrudnienia i finansów.
- Zastosuj właściwe zasady agregowania danych.
- Sprawdź wyjątki i przepisy szczególne.
- Udokumentuj źródła, założenia i zatwierdzenie wyniku.
Dlaczego wspólne IT ma znaczenie
Dwie spółki mogą mieć osobne numery KRS i własne zarządy, a jednocześnie korzystać ze wspólnego systemu tożsamości, centrum danych, SOC, zespołu IT i platformy sprzedażowej. Incydent w jednym środowisku może wtedy wpływać na usługę świadczoną przez drugą spółkę. Ocena kwalifikacji i zakresu SZBI powinna opisywać te zależności wprost — nawet jeśli formalnie to odrębne osoby prawne.
- czy logowanie i uprawnienia są zarządzane centralnie,
- czy spółki korzystają ze wspólnej sieci, chmury lub data center,
- czy backup i odtwarzanie są wspólne,
- czy jedna spółka świadczy usługi IT drugiej,
- czy usługa regulowana jest świadczona wspólnie,
- czy awaria dostawcy grupowego zatrzyma kilka spółek,
- czy decyzje bezpieczeństwa podejmuje centrala.
Dokumenty potrzebne do obrony kwalifikacji
- aktualny schemat grupy i rejestr udziałowców,
- umowy i prawa kontroli,
- sprawozdania finansowe,
- dane dotyczące zatrudnienia i metodologia liczenia,
- opis faktycznej działalności (PKD jako informacja pomocnicza, nie jedyny dowód),
- katalog usług wspólnych i diagram integracji systemów,
- przyjęta data referencyjna,
- notatka kwalifikacyjna z założeniami i decyzją kierownictwa.
Najczęstsze błędy
- analiza wyłącznie pojedynczej spółki,
- automatyczne zsumowanie całej grupy bez oceny relacji,
- oparcie się wyłącznie na kodach PKD,
- nieuwzględnienie zmian właścicielskich,
- brak udokumentowania założeń,
- utożsamianie statusu grupy ze statusem każdej spółki,
- brak rozdzielenia działalności objętej i nieobjętej zakresem.
Niekoniecznie. Przy ustalaniu wielkości mogą mieć znaczenie dane przedsiębiorstw partnerskich i powiązanych. Jeśli próg zostaje przekroczony dopiero po uwzględnieniu grupy, trzeba dodatkowo zbadać przesłanki szczególne i udokumentować wniosek — samej liczby 25 nie można traktować jako rozstrzygnięcia.
Źródła: ustawa z 23.01.2026 r. o zmianie ustawy o KSC (Dz.U. 2026 poz. 252) oraz materiały Ministerstwa Cyfryzacji. Materiał ma charakter edukacyjny i nie stanowi opinii prawnej.
Złożona struktura? Zacznij od testu, a decyzję udokumentuj
Test wskaże kierunek, ale w grupie kapitałowej ostateczna analiza uwzględnia strukturę, działalność i dokumenty źródłowe. Pomożemy ją przeprowadzić i udokumentować.
Przewodnik po ustawie KSC 2026 (PDF)