Czy moja firma podlega ustawie o KSC? Sprawdź w 5 minut
Nowelizacja ustawy o Krajowym Systemie Cyberbezpieczeństwa (wdrażająca unijną dyrektywę NIS2) obejmuje tysiące polskich firm — także takich, które nigdy nie myślały o sobie „infrastruktura krytyczna". O tym, czy podlegasz, decydują w praktyce dwa kryteria: sektor działalności i wielkość firmy.
Kryterium 1: sektor działalności
Ustawa obejmuje 18 sektorów wymienionych w załącznikach — podzielonych na sektory „wysokiej krytyczności" i „pozostałe krytyczne". Wśród nich są m.in.:
- Energetyka — w tym ciepłownictwo, paliwa, OZE
- Transport i logistyka — drogowy, kolejowy, lotniczy, wodny
- Ochrona zdrowia — szpitale, przychodnie, laboratoria
- Wodociągi i ścieki
- Gospodarka odpadami
- Produkcja — m.in. spożywcza, chemiczna, maszynowa, urządzeń medycznych, elektroniki
- Usługi cyfrowe i IT — w tym dostawcy usług zarządzanych (MSP!)
- Usługi pocztowe i kurierskie
- Bankowość i infrastruktura rynków finansowych
- Infrastruktura cyfrowa — hosting, DNS, centra danych
- Administracja publiczna
- Żywność — produkcja, przetwarzanie, dystrybucja
- Badania naukowe i przestrzeń kosmiczna
Jeżeli Twoja działalność mieści się w którymś z sektorów — przechodzisz do kryterium drugiego.
Kryterium 2: wielkość firmy
Co do zasady ustawa obejmuje firmy co najmniej średnie, czyli takie, które przekraczają próg:
- 50 pracowników, lub
- 10 mln EUR rocznego obrotu (lub sumy bilansowej).
W niektórych przypadkach firma podlega ustawie niezależnie od wielkości — dotyczy to m.in. części infrastruktury cyfrowej (np. dostawców usług DNS) oraz podmiotów wskazanych ze względu na szczególną rolę. Mała firma w „zwykłym" sektorze zwykle nie podlega, ale nie jest to reguła bez wyjątków.
Podmiot kluczowy czy ważny — jaka to różnica?
Ustawa dzieli objęte firmy na dwie kategorie, od których zależy zakres nadzoru i wysokość kar:
| Podmiot kluczowy | Podmiot ważny | |
|---|---|---|
| Kto | duże firmy w sektorach wysokiej krytyczności (m.in. energetyka, transport, zdrowie, woda) | średnie firmy w sektorach wysokiej krytyczności oraz firmy z sektorów „pozostałych krytycznych" |
| Nadzór | proaktywny — kontrole mogą być prowadzone wyprzedzająco | następczy — kontrola zwykle po incydencie lub sygnale |
| Maks. kara | do 10 mln EUR lub 2% obrotu | do 7 mln EUR lub 1,4% obrotu |
Obowiązki merytoryczne (zarządzanie ryzykiem, zabezpieczenia, zgłaszanie incydentów) są w obu kategoriach bardzo zbliżone — różni się głównie tryb nadzoru i sankcje. Więcej o karach piszemy w osobnym artykule: Kary za brak zgodności z KSC.
Podlegam. Co dalej?
- Rejestracja — podmioty kluczowe i ważne mają obowiązek zgłoszenia się do właściwego wykazu w ustawowym terminie.
- Analiza ryzyka i zabezpieczenia — system zarządzania bezpieczeństwem informacji dopasowany do skali ryzyka.
- Procedury obsługi incydentów — poważne incydenty trzeba zgłaszać: wczesne ostrzeżenie w 24 godziny, raport w 72 godziny.
- Dokumentacja i szkolenia — polityki, plany ciągłości działania, świadomość zespołu i kierownictwa.
Według harmonogramu publikowanego w serwisie biznes.gov.pl okres dostosowawczy dla podmiotów objętych ustawą w dniu jej wejścia w życie kończy się 3 kwietnia 2027 r. — to mniej czasu, niż się wydaje, bo samo wdrożenie zajmuje zwykle 2–4 miesiące. Jak wygląda proces, opisujemy w przewodniku Wdrożenie KSC krok po kroku.
Nie zgaduj — sprawdź w 60 sekund
Odpowiedz na kilka pytań w bezpłatnym narzędziu sprawdzksc.pl i dowiedz się, czy Twoja firma podlega ustawie i w jakiej kategorii.
Artykuł ma charakter informacyjny i nie stanowi porady prawnej. Stan na lipiec 2026 r. — przepisy i terminy mogą ulec zmianie; kwalifikację konkretnej firmy warto potwierdzić analizą podlegania lub konsultacją prawną.