KSC 2.0 już obowiązuje. Firmy muszą sprawdzić, czy mają nowy obowiązek

• Cyberbezpieczeństwo trafia na poziom zarządu
• Podmiot kluczowy czy podmiot ważny
• Samorejestracja w wykazie KSC
• Test: czy firma musi się zarejestrować
• Zarząd odpowiada osobiście
• Co zarząd powinien zrobić teraz

Cyberbezpieczeństwo trafia na poziom zarządu

Nowelizacja KSC kończy z traktowaniem cyberbezpieczeństwa jako sprawy wyłącznie technicznej. Za wykonanie obowiązków odpowiadają zarządy spółek i inne osoby kierujące podmiotami objętymi ustawą. Powód jest prosty. Skuteczny atak ransomware często oznacza przestój, utratę danych, odbudowę systemów, zakłócenia w łańcuchu dostaw i roszczenia kontrahentów. W firmach opartych na systemach ERP, platformach sprzedażowych i elektronicznym obiegu dokumentów cyberatak może zatrzymać całą działalność.

Wiele firm nadal zakłada, że KSC dotyczy głównie banków, telekomów i energetyki. Tymczasem nowe przepisy obejmują także część producentów żywności, operatorów odpadów, firm logistycznych, zakładów chemicznych oraz producentów sprzętu elektronicznego, pojazdów i maszyn.

Podmiot kluczowy czy podmiot ważny

Nowelizacja odchodzi od dawnego podziału na operatorów usług kluczowych i dostawców usług cyfrowych. W ich miejsce pojawiają się dwie kategorie: podmioty kluczowe i podmioty ważne. Różnica dotyczy przede wszystkim nadzoru państwa i wysokości kar.

Firma powinna odpowiedzieć na dwa pytania: czy działa w sektorze wskazanym w ustawie oraz czy przekracza progi wielkościowe. Przy liczeniu wielkości przedsiębiorstwa nie wystarczy spojrzeć na samą polską spółkę. Trzeba uwzględnić także podmioty partnerskie i powiązane, również z grupy międzynarodowej. Dlatego mała lokalnie spółka może zostać objęta ustawą, jeśli należy do większej grupy kapitałowej.

W uproszczeniu:

• Załącznik nr 1 obejmuje sektory wysokiej krytyczności, m.in. energetykę, transport, ochronę zdrowia, bankowość, wodociągi, infrastrukturę cyfrową, administrację publiczną i sektor kosmiczny.
• Załącznik nr 2 obejmuje m.in. usługi pocztowe i kurierskie, gospodarkę odpadami, produkcję i dystrybucję chemikaliów, produkcję żywności, sprzętu elektronicznego, pojazdów i maszyn oraz badania naukowe.

Co do zasady duże przedsiębiorstwa z Załącznika nr 1 są podmiotami kluczowymi. Średnie firmy z Załącznika nr 1 oraz średnie i duże firmy z Załącznika nr 2 są podmiotami ważnymi. Ustawa przewiduje też wyjątki, w których o statusie decyduje rodzaj działalności, a nie tylko wielkość firmy.

Tabela: Podmioty kluczowe i ważne w ustawie o KSC

Samorejestracja w wykazie KSC

Wykaz KSC działa w ramach Systemu S46, prowadzonego przez NASK. Wpisy odbywają się dwiema ścieżkami: z urzędu albo na wniosek. Wpis z urzędu dotyczy m.in. części podmiotów publicznych, telekomów, dotychczasowych operatorów usług kluczowych i dostawców usług zaufania. Dla dużej części rynku właściwa będzie samodzielna rejestracja.

Wniosek składa się elektronicznie przez wykaz-ksc.gov.pl. Można użyć podpisu kwalifikowanego, profilu zaufanego, podpisu osobistego z e-dowodu albo kwalifikowanej pieczęci elektronicznej. Termin wynosi 6 miesięcy od dnia, w którym podmiot spełnił przesłanki klasyfikacyjne. Dla firm, które spełniały je już w dniu wejścia w życie nowych przepisów, kończy się on 3 października 2026 r.

We wniosku trzeba podać m.in.:

• dane identyfikacyjne i sektorowe, w tym właściwy sektor i podsektor z ustawy;
• domeny internetowe oraz pule i zakresy adresów IP;
• informację o zewnętrznych dostawcach usług cyberbezpieczeństwa;
• co najmniej dwie osoby kontaktowe ds. cyberbezpieczeństwa.

Dane trzeba aktualizować w ciągu 14 dni od każdej zmiany. Dotyczy to m.in. osoby kontaktowej, domeny wykorzystywanej w działalności czy zakresu adresów IP.

Na końcu wniosku kierownik jednostki składa oświadczenie pod rygorem odpowiedzialności karnej za fałszywe oświadczenie. Zgłoszenie nie powinno więc być traktowane jak zwykła formalność administracyjna.

Test: czy firma musi się zarejestrować

Weryfikację warto przeprowadzić w trzech krokach.

Krok 1. Sprawdź szczególne usługi technologiczne

Najpierw trzeba ustalić, czy firma prowadzi działalność, która może powodować objęcie ustawą na szczególnych zasadach. Chodzi m.in. o niektóre usługi cyfrowe, usługi zaufania, DNS, rejestry TLD, usługi zarządzane w zakresie cyberbezpieczeństwa, centra danych, usługi chmurowe i działalność telekomunikacyjną.

Jeżeli firma świadczy usługi technologiczne dla innych podmiotów albo odpowiada za infrastrukturę cyfrową, powinna dokładnie sprawdzić art. 5 ustawy i definicje ustawowe.

Krok 2. Sprawdź skalę działalności

Jeżeli firma nie mieści się w szczególnych kategoriach technologicznych, trzeba sprawdzić jej wielkość. Ustawa obejmuje co do zasady średnie i duże przedsiębiorstwa, czyli podmioty zatrudniające co najmniej 50 pracowników albo przekraczające odpowiednie progi finansowe. Przy tej ocenie trzeba uwzględnić przedsiębiorstwa partnerskie i powiązane.

Szczególną ostrożność powinny zachować polskie spółki należące do międzynarodowych grup. Sama lokalna skala działalności może nie wystarczyć do wyłączenia z nowych obowiązków.

Krok 3. Sprawdź sektor

Jeżeli firma przekracza próg wielkościowy, trzeba ustalić, czy działa w sektorze wymienionym w Załączniku nr 1 albo Załączniku nr 2 do ustawy.

• Załącznik nr 1: duża firma może być podmiotem kluczowym, a średnia firma – podmiotem ważnym.
• Załącznik nr 2: średnia lub duża firma może być podmiotem ważnym.

Jeżeli firma nie działa w żadnym z tych sektorów i nie mieści się w szczególnych kategoriach technologicznych, nowe obowiązki KSC mogą jej nie dotyczyć. Gdy odpowiedź jest niepewna, bezpieczniej przeprowadzić formalną samoidentyfikację niż czekać na reakcję organu.

Zarząd odpowiada osobiście

Najgłośniejszą zmianą jest odpowiedzialność kierownictwa. Cyberbezpieczeństwa nie da się już po prostu „oddać do IT”. Za wykonanie obowiązków odpowiadają osoby kierujące podmiotem – w zależności od formy prawnej m.in. członkowie zarządu, komplementariusze, właściciele jednoosobowych działalności objętych ustawą, likwidatorzy, syndycy albo zarządcy sukcesyjni.

Zlecenie obsługi cyberbezpieczeństwa firmie zewnętrznej nie zwalnia kierownictwa z odpowiedzialności wobec państwa. Outsourcing może pomóc w wykonaniu obowiązków, ale nie przenosi odpowiedzialności za nadzór.

Do obowiązków kierownictwa należą m.in.:

• * zarządzanie ryzykiem w cyberbezpieczeństwie;
• * nadzór nad politykami, procedurami i planami ciągłości działania;
• * zapewnienie kompetencji osób odpowiedzialnych za cyberbezpieczeństwo;
• * udział w wymaganych szkoleniach i dokumentowanie ich odbycia;
• * prawidłowe raportowanie incydentów.

Kary mogą dotyczyć nie tylko firmy. Ustawa przewiduje także sankcje personalne wobec osób kierujących jednostką. W sektorze prywatnym mogą one sięgać do 300 proc. miesięcznego wynagrodzenia, a w sektorze publicznym do 100 proc. W skrajnych sytuacjach możliwe są również czasowe ograniczenia w pełnieniu funkcji kierowniczych.

Co zarząd powinien zrobić teraz

Pierwszym krokiem nie powinien być zakup kolejnego narzędzia IT, lecz analiza statusu firmy. Zarząd powinien:

• ustalić, czy firma działa w sektorze z Załącznika nr 1 albo Załącznika nr 2;
• * sprawdzić wielkość przedsiębiorstwa z uwzględnieniem podmiotów partnerskich i powiązanych;
• ocenić, czy firma świadczy usługi technologiczne objęte szczególnymi zasadami;
• wskazać osobę odpowiedzialną za projekt KSC/NIS2;
• zebrać dane do wniosku: sektory, domeny, adresy IP, dostawców usług cyberbezpieczeństwa i osoby kontaktowe;
• zaplanować szkolenia kierownictwa i osób odpowiedzialnych za cyberbezpieczeństwo;
• rozpocząć prace nad Systemem Zarządzania Bezpieczeństwem Informacji.

Cyberbezpieczeństwo przestało być sprawą działu IT. Stało się obowiązkiem zarządu – z osobistą odpowiedzialnością prawną i finansową w tle. Ignorowanie tej zmiany może być jednym z najkosztowniejszych zaniedbań, jakie kierownictwo firmy popełni w najbliższych miesiącach.