Czy ustawa KSC dotyczy firmy zatrudniającej 50 osób?

Często tak — 50 osób to próg przedsiębiorstwa średniego, od którego zaczyna się reguła ogólna. Sama liczba pracowników jednak nie wystarczy: trzeba sprawdzić, czy działalność mieści się w jednym z 18 sektorów z załączników, wyjątki niezależne od wielkości oraz dane przedsiębiorstw powiązanych i partnerskich, które się sumują. Najszybciej zweryfikujesz to bezpłatnym testem kwalifikacji.

Jak sprawdzić, czy moja firma podlega pod NIS2?

Kwalifikacja to czteroetapowy test: sektor (18 branż w dwóch załącznikach), wielkość firmy (od 50 osób lub ponad 10 mln EUR obrotu albo sumy bilansowej), wyjątki oraz samoidentyfikacja i wniosek o wpis do Wykazu KSC. Decyduje faktycznie prowadzona działalność, nie sam kod PKD. Obowiązki powstają z mocy prawa w dniu spełnienia przesłanek — nikt nie przyśle zawiadomienia.

Czy NIS2 obowiązuje już w Polsce?

Tak. Nowelizacja ustawy o krajowym systemie cyberbezpieczeństwa, wdrażająca dyrektywę NIS2, weszła w życie 3 kwietnia 2026 r. i od tego dnia biegną wszystkie terminy. Ustawę uchwalono 23 stycznia 2026 r., a opublikowano w Dzienniku Ustaw 2 marca 2026 r. (poz. 252). Korzystaj z aktualnych przepisów i komunikatów, nie z wcześniejszych projektów ustawy.

Do kiedy trzeba wpisać się do Wykazu KSC?

Termin samoidentyfikacji i złożenia wniosku o wpis upływa 3 października 2026 r. — dla podmiotów, które spełniały przesłanki w dniu wejścia ustawy w życie. Samorejestracja działa od 7 maja 2026 r. na portalu wykaz-ksc.gov.pl. Część podmiotów została wpisana z urzędu; wpis ma charakter deklaratoryjny i tylko potwierdza obowiązki, które biegną od dnia spełnienia przesłanek.

Co trzeba zrobić do 3 kwietnia 2027 r.?

Do 3 kwietnia 2027 r. podmioty objęte ustawą muszą w pełni wdrożyć wymagania rozdziału o bezpieczeństwie: działający SZBI oparty na analizie ryzyka, obsługę i zgłaszanie incydentów, ciągłość działania z testowanymi kopiami, bezpieczeństwo łańcucha dostaw, szkolenia (w tym coroczne zarządu), dokumentację i ocenę skuteczności. Pozostały czas warto przeznaczyć na audyt luk i zaplanowany program zmian, nie na zakupy w ciemno.

Czym różni się podmiot kluczowy od podmiotu ważnego?

Katalog zabezpieczeń jest niemal identyczny — różnią się reżim nadzoru i sankcje. Podmiot kluczowy podlega kontrolom planowym (bez szczególnego powodu) i obowiązkowemu audytowi co najmniej raz na 3 lata, a maksymalna kara to 10 mln EUR lub 2% obrotu. Podmiot ważny jest kontrolowany po sygnale lub incydencie, audyt wykonuje na żądanie organu, a pułap kar to 7 mln EUR lub 1,4% obrotu.

Czy mała firma poniżej 50 osób może podlegać pod ustawę KSC?

Tak, w kilku przypadkach. Dostawcy usług zarządzanych w zakresie bezpieczeństwa (MSSP) podlegają już od progu małego przedsiębiorcy, a dostawcy DNS i kwalifikowani dostawcy usług zaufania — bez względu na wielkość. Organ może też wskazać podmiot indywidualną decyzją. Wreszcie w grupach kapitałowych dane przedsiębiorstw powiązanych i partnerskich się sumują, więc mała spółka może podlegać przez grupę.

Czy grupa kapitałowa wpływa na to, czy podlegam pod NIS2?

Tak — to jedna z najczęstszych przyczyn błędnej samooceny. Unijna metodologia liczenia wielkości nakazuje uwzględniać dane przedsiębiorstw partnerskich (udział 25–50%) i powiązanych (kontrola powyżej 50%). Spółka zatrudniająca 30 osób, ale należąca do dużej grupy, może po zsumowaniu danych przekroczyć próg i podlegać ustawie. Analizę wielkości robi się na poziomie struktury właścicielskiej, nie pojedynczego NIP-u.

Ile kosztuje audyt NIS2?

W naszej ofercie audyt zgodności z ustawą KSC zaczyna się od 4 900 zł netto (płatność jednorazowa). Obejmuje klasyfikację podmiotu, analizę luk względem wymogów ustawy oraz raport z listą działań i priorytetami. Ostateczna cena zależy od wielkości organizacji i liczby systemów — poznasz ją po bezpłatnej konsultacji, przed podpisaniem umowy. Ceny innych firm na rynku mogą się różnić.

Ile kosztuje wdrożenie KSC w średniej firmie?

Typowe wdrożenie dla MŚP kosztuje w naszej ofercie 18 000–45 000 zł netto (jednorazowo) i obejmuje audyt oraz SZBI: polityki, analizę ryzyka, procedury obsługi incydentów, plany ciągłości działania, bezpieczeństwo łańcucha dostaw, szkolenia i wpis do wykazu. Rozpiętość zależy od stanu wyjściowego i liczby systemów — wiążącą wycenę otrzymujesz po audycie. Utrzymanie zgodności (opieka ciągła) to od 1 900 zł netto miesięcznie.

Ile trwa wdrożenie NIS2?

Audyt i analiza luk trwają zwykle 2–4 tygodnie, a wdrożenie prowadzone z doradcą — typowo 2–4 miesiące. Pełny, samodzielnie prowadzony program (od kwalifikacji, przez analizę ryzyka i wdrożenie, po dowody i przegląd zarządczy) to realistycznie około 12 miesięcy. Wymagania muszą działać przed 3 kwietnia 2027 r., więc rozpoczęcie prac w 2026 r. daje jeszcze komfortowy zapas czasu.

Czy certyfikat ISO 27001 wystarczy do zgodności z KSC?

Nie, choć bardzo pomaga — pokrycie tematyczne katalogu SZBI jest szacunkowo rzędu 80%, więc organizacja z wdrożonym ISMS startuje z przewagą. Certyfikat nie zwalnia jednak z obowiązków ustawowych: wpisu do wykazu, zegara zgłoszeń 24/72, audytu ustawowego ani wymogów wobec zarządu. Zakres certyfikacji bywa też węższy niż zakres ustawy — trzeba to sprawdzić osobno.

Czy audyt ISO 27001 zastępuje audyt ustawowy KSC?

Nie — to dwa różne audyty o innej podstawie, zakresie i adresacie raportu. Audyt ustawowy bada wymagania KSC, wykonuje go akredytowana jednostka lub audytorzy o kwalifikacjach z przepisów, a raport trafia do organu właściwego. Audyt certyfikacyjny ISO potwierdza zgodność z normą w zadeklarowanym zakresie. Dobrze zaplanowane mogą dzielić znaczną część prac, ale jeden nie zastępuje drugiego.

Czy NIS2 wymaga konkretnych produktów, np. EDR?

Nie — ustawa jest technologicznie neutralna i wymaga środków adekwatnych oraz proporcjonalnych do ryzyka, a nie konkretnych marek. EDR jest dla wielu organizacji rozsądnym sposobem ochrony i monitorowania stacji roboczych oraz serwerów, ale decyzja powinna wynikać z analizy ryzyka, architektury i modelu operacyjnego. Jedyny przewidziany wyjątek to przyszłe wykluczenia produktów dostawców wysokiego ryzyka.

Czy każda firma objęta KSC musi mieć SOC 24/7?

Nie wprost. Ustawa wymaga zdolności wykrycia i zgłoszenia incydentu w terminach 24/72 godziny, co w praktyce wymusza jakąś formę dyżuru lub usługi zewnętrznej — ale skrojoną do skali firmy, nie korporacyjny SOC z trzema zmianami. Możliwe są modele wewnętrzne, zewnętrzne i hybrydowe; liczą się zakres monitorowania, scenariusze, umowne czasy reakcji i skuteczna obsługa alertów.

Jak szybko trzeba zgłosić incydent według ustawy KSC?

Po wykryciu incydentu poważnego biegnie sztywny zegar zgłoszeń do właściwego CSIRT (operacyjnie przez system S46): wczesne ostrzeżenie w 24 godziny, zgłoszenie w 72 godziny i raport końcowy zasadniczo w ciągu miesiąca. Zegar startuje od wykrycia incydentu w organizacji — nie od poinformowania zarządu ani zakończenia analizy — więc potrzebna jest wewnętrzna ścieżka eskalacji liczona w godzinach.

Czy trzeba zgłaszać każdy incydent bezpieczeństwa?

Nie. Obowiązek zgłoszenia uruchamia incydent poważny — powodujący lub mogący spowodować poważne zakłócenie usług albo istotne straty. Każdy incydent trzeba jednak obsłużyć i zarejestrować wewnętrznie, bo rejestr (także drobnych zdarzeń) jest jednym z dowodów, których organ szuka w kontroli. Ustawa przewiduje też zgłoszenia dobrowolne — bez ryzyka, że samo zgłoszenie pogorszy sytuację zgłaszającego.

Czy wyciek danych osobowych zgłasza się dwa razy — do CSIRT i do UODO?

Tak, reżimy są równoległe i niezależne. Incydent naruszający dane osobowe wymaga zgłoszenia naruszenia do Prezesa UODO w 72 godziny na podstawie RODO — obok zgłoszeń do CSIRT według zegara KSC (24/72 godziny). Jedno zdarzenie potrafi więc generować dwa zgłoszenia do dwóch organów na dwóch formularzach. Procedura incydentowa powinna od razu zawierać ścieżkę oceny, czy doszło także do naruszenia danych.

Jakie kary przewiduje ustawa KSC?

Maksymalne kary to 10 mln EUR lub 2% rocznego obrotu dla podmiotu kluczowego i 7 mln EUR lub 1,4% obrotu dla podmiotu ważnego; w przypadkach kwalifikowanych kara może sięgnąć 100 mln zł, a kierownik podmiotu odpowiada osobiście do 300% wynagrodzenia. System jest skonstruowany tak, by karać przede wszystkim ignorowanie obowiązków — brak wpisu, zgłoszenia, audytu czy szkolenia zarządu — a nie niedoskonałość wdrożenia.

Czy zarząd odpowiada osobiście za NIS2?

Tak. Kierownik podmiotu — w spółkach co do zasady cały zarząd, nie tylko prezes czy członek „od IT” — zatwierdza SZBI, nadzoruje wdrożenie i utrzymanie systemu, przechodzi coroczne szkolenie i ponosi osobistą odpowiedzialność z karą do 300% własnego wynagrodzenia włącznie. Zadania można delegować do CISO, IT czy firmy doradczej — odpowiedzialności nie. W kontroli zarząd broni się uchwałami, zatwierdzeniami i odbytymi szkoleniami.

Jak często zarząd musi przechodzić szkolenie z cyberbezpieczeństwa?

Co najmniej raz w każdym roku kalendarzowym — to twardy, udokumentowany obowiązek kierownika podmiotu, obok zapewnienia szkoleń pracownikom i podstawowej cyberhigieny. Zaświadczenia ze szkoleń kierownictwa należą do dowodów, których organ szuka w pierwszej kolejności; ich brak to gotowy materiał na karę osobistą niezależnie od tego, ile firma wydała na technologie.

Kiedy pierwszy obowiązkowy audyt bezpieczeństwa i kogo dotyczy?

Audyt bezpieczeństwa jest obowiązkowy dla podmiotów kluczowych: pierwszy w ciągu 24 miesięcy od spełnienia przesłanek (dla podmiotów istniejących w dniu wejścia ustawy — do 3 kwietnia 2028 r.), kolejne co najmniej raz na 3 lata. Wykonuje go akredytowana jednostka oceniająca albo audytorzy o kwalifikacjach określonych w przepisach, a raport przekazuje się organowi właściwemu. Podmiot ważny wykonuje audyt na żądanie organu.

Co to jest system S46 i do czego służy?

S46 to rządowa platforma, przez którą biegnie komunikacja w krajowym systemie cyberbezpieczeństwa: rejestracja, zgłoszenia incydentów i wymiana informacji. Dla nowych podmiotów system uruchomiono 12 czerwca 2026 r.; prowadzi go Minister Cyfryzacji. W praktyce firma styka się z dwoma adresami: swoim CSIRT-em (incydenty, właśnie przez S46) i organem właściwym (nadzór, raporty z audytów).

Kto kontroluje zgodność z ustawą KSC?

Organy właściwe do spraw cyberbezpieczeństwa — co do zasady ministrowie kierujący działami administracji odpowiadającymi sektorom (energia, zdrowie, transport, cyfryzacja itd.). Mogą kontrolować (u podmiotów kluczowych także planowo), żądać informacji i dokumentów, wydawać zalecenia i nakazy usunięcia naruszeń, a dopiero na końcu tej drabiny nakładać kary. Zgłoszenia incydentów przyjmują trzy CSIRT-y poziomu krajowego: NASK (domyślny dla typowej firmy), GOV i MON.

Co to jest dostawca wysokiego ryzyka (DWR) w NIS2?

To dostawca sprzętu lub usług ICT uznany decyzją Ministra Cyfryzacji — po opinii Kolegium ds. Cyberbezpieczeństwa, w wieloetapowym postępowaniu — za zagrożenie m.in. dla bezpieczeństwa państwa. Podmioty objęte ustawą nie mogą wprowadzać jego produktów do wskazanych systemów, a posiadane muszą wycofać w ciągu 7 lat. Planując inwestycje w infrastrukturę krytyczną dla działalności, warto uwzględniać to ryzyko regulacyjne.

Czy spór przed Trybunałem Konstytucyjnym zawiesza obowiązki KSC?

Nie — żaden obowiązek przedsiębiorców nie został zawieszony. Prezydent skierował do TK część przepisów (rozszerzony zakres sektorowy, konstrukcję postępowań DWR, polecenia zabezpieczające) w trybie kontroli następczej, ale terminy, SZBI, zgłoszenia i kary działają normalnie. Ewentualny wyrok może w przyszłości zmienić część mechanizmów państwo–dostawcy; planowanie zgodności „na przeczekanie Trybunału” to hazard z bardzo złym profilem ryzyka.

Ile dokumentów wymaga NIS2 i czy można kupić gotowe wzory?

Nie ma jednej urzędowej listy dokumentów. Ustawa wymaga dwóch warstw: dokumentacji normatywnej (polityki, procedury, plany — jak ma być) i operacyjnej (rejestry, raporty z testów, zapisy szkoleń — dowód, że tak jest), które można łączyć stosownie do skali. Gotowe wzory mogą być punktem startu, ale bez dopasowania do procesów, ról i ryzyka nie obronią się w kontroli — dokumentacja operacyjna waży tam więcej niż normatywna.

Czym różni się BCP od DRP, a RTO od RPO?

BCP to plan utrzymania działalności biznesowej podczas zakłócenia (procedury ręczne, praca w trybie ograniczonym, komunikacja), a DRP — plan odtworzenia technologii: systemów, danych, sieci i infrastruktury. RTO to docelowy czas przywrócenia usługi, a RPO — maksymalna akceptowalna utrata danych liczona w czasie. Parametry ustala właściciel procesu na podstawie BIA, bo to on zna koszt godziny przestoju.

Czy backup wystarczy jako plan disaster recovery?

Nie. Kopia zapasowa to tylko źródło danych do odtworzenia; disaster recovery obejmuje też środowisko, kolejność odtwarzania systemów, tożsamość, sieć, konfigurację, ludzi, runbooki i komunikację. Ustawa traktuje kopie z testami odtworzenia jako element ciągłości działania — backup nietestowany to deklaracja, nie zabezpieczenie. Raport z testu odtworzenia należy do najmocniejszych dowodów w kontroli.

Od czego zacząć zgodność z KSC, jeśli termin jest blisko?

Najpierw potwierdź kwalifikację i domknij formalności: wpis do Wykazu KSC oraz wskazanie osób kontaktowych. Równolegle uruchom audyt luk i analizę największych ryzyk, a także wprowadź szybkie zabezpieczenia o wysokiej wartości: MFA, ochronę endpointów, zarządzanie podatnościami, kopie z testem odtworzenia i procedurę incydentową z próbą generalną. Sensowne wydatki wynikają z planu — nie z katalogu produktów.

Baza wiedzy

Najczęstsze pytania o NIS2 i KSC

Zebrane w jednym miejscu odpowiedzi na pytania, które najczęściej zadają zarządy, IT i compliance — prostym językiem, ze wskazaniem, co wynika z prawa, a co jest dobrą praktyką. Każda odpowiedź zaczyna się od sedna.

Autor: Igor BieleckiAktualizacja: 2026-07-17Stan prawny: 10 lipca 2026 r.Wersja: 1.0

: Często tak — 50 osób to próg przedsiębiorstwa średniego, od którego zaczyna się reguła ogólna. Sama liczba pracowników jednak nie wystarczy: trzeba sprawdzić, czy działalność mieści się w jednym z 18 sektorów z załączników, wyjątki niezależne od wielkości oraz dane przedsiębiorstw powiązanych i partnerskich, które się sumują. Najszybciej zweryfikujesz to bezpłatnym testem kwalifikacji.

Nie znalazłeś odpowiedzi?

Zadaj pytanie ekspertowi Słownik pojęć

Powiązane materiały

Przewodnik NIS2/KSC Terminy i obowiązki Test kwalifikacji Oferta i orientacyjne ceny

Źródła i podstawa opracowania

Igor Bielecki

CIO/CISO, praktyk wdrażający NIS2/KSC jako podmiot kluczowy · PMP · PRINCE2 · ITIL · MBA

O zespole

Materiały mają charakter edukacyjny i nie stanowią opinii prawnej ani gwarancji zgodności. Zakres obowiązków zależy od indywidualnej sytuacji organizacji, aktualnych przepisów, aktów wykonawczych i stanowisk właściwych organów. Przed podjęciem decyzji wymagającej interpretacji prawa należy przeprowadzić analizę odpowiednią dla danego podmiotu.

Porozmawiajmy o Twojej sytuacji

Bezpłatna, ok. 20-minutowa rozmowa: kwalifikacja, terminy, poziom przygotowania i sensowny pierwszy krok. Bez zobowiązań.

Umów konsultację tel. +48 662 064 068

office@ayo-solutions.com

NIS2 i KSC

Jak wdrożyć

SZBI i ciągłość

Najczęstsze pytania o NIS2 i KSC

Powiązane materiały

Źródła i podstawa opracowania

Porozmawiajmy o Twojej sytuacji