NIS2 i Wykaz KSC: co firma powinna sprawdzić po 3 października 2026 r.?

Czy NIS2 obejmuje każdą średnią lub dużą firmę?

Nie. Wielkość jest tylko jednym z elementów testu. Firma musi jeszcze należeć do rodzaju podmiotów wskazanych w załączniku nr 1 lub 2 do ustawy albo do szczególnej kategorii wymienionej bezpośrednio w art. 5 KSC.

Sektory kluczowe obejmują między innymi energię, transport, bankowość i infrastrukturę rynków finansowych, ochronę zdrowia, wodę, ścieki, infrastrukturę cyfrową, komunikację elektroniczną i zarządzanie usługami ICT. Wśród sektorów ważnych znajdują się między innymi usługi pocztowe, gospodarka odpadami, produkcja i dystrybucja chemikaliów lub żywności, wybrane rodzaje produkcji przemysłowej, dostawcy usług cyfrowych i organizacje badawcze.

W typowych przypadkach znaczenie ma osiągnięcie co najmniej poziomu średniego przedsiębiorstwa. Nie wolno jednak ograniczać analizy do liczby pracowników jednej spółki. Zasady ustalania wielkości mogą wymagać uwzględnienia danych przedsiębiorstw partnerskich i powiązanych. Ustawa zawiera też szczególne rozwiązania dotyczące niezależności systemów oraz wspólnego świadczenia usług w grupie.

Niektóre podmioty podlegają regulacji niezależnie od wielkości albo na innych progach. Dotyczy to między innymi dostawców DNS, kwalifikowanych dostawców usług zaufania, rejestrów domen TLD, podmiotów świadczących usługi rejestracji nazw domen oraz części przedsiębiorców komunikacji elektronicznej i dostawców usług zarządzanych w zakresie cyberbezpieczeństwa. Dlatego ogólna odpowiedź „mamy mniej niż 250 pracowników” nie wystarcza.

Jak przeprowadzić samoidentyfikację firmy?

Najpierw trzeba opisać usługi faktycznie świadczone przez spółkę, a nie tylko kody PKD lub marketingową nazwę produktu. Następnie należy przyporządkować je do rodzajów podmiotów z załączników do KSC i sprawdzić kryteria szczególne właściwe dla danego sektora.

Kolejny etap to analiza wielkości przedsiębiorstwa według reguł unijnych, wraz z relacjami właścicielskimi i kontrolą w grupie. Dopiero po połączeniu tych elementów można ustalić, czy podmiot jest kluczowy, ważny czy pozostaje poza ustawowym zakresem.

Kto musi wpisać się do Wykazu KSC i w jakim terminie?

Minister właściwy do spraw informatyzacji wpisuje z urzędu między innymi część podmiotów publicznych, przedsiębiorców telekomunikacyjnych, dostawców usług zaufania oraz podmioty krytyczne. Pozostałe podmioty kluczowe i ważne składają wniosek samodzielnie.

W komunikacie z 28 września 2026 r. Ministerstwo Cyfryzacji wskazało 3 października 2026 r. jako termin samorejestracji podmiotów, które spełniały przesłanki objęcia ustawą już 3 kwietnia 2026 r. i nie są wpisywane z urzędu. Wniosek składa się elektronicznie w aplikacji Wykaz KSC. W konkretnej sprawie trzeba ustalić właściwy termin oraz sprawdzić, czy wniosek został prawidłowo podpisany i skutecznie złożony.

Jeżeli firma zaczęła spełniać przesłanki później, termin trzeba ustalić odrębnie; zasadniczo wynosi on sześć miesięcy od ich spełnienia. Zmiany danych objętych wpisem również wymagają aktualizacji. Nie należy więc zakładać, że każda firma ma ten sam termin albo że brak korespondencji od organu zwalnia ją z działania.

Co zrobić teraz, jeżeli status firmy lub zgłoszenia jest niejasny?

Najpierw ustal, czy firma podlega KSC i czy powinna zostać wpisana z urzędu, czy na własny wniosek. Jeżeli wniosek został wysłany, sprawdź jego status i zachowaj potwierdzenie. Samo przygotowanie formularza lub przekazanie danych pracownikowi nie dowodzi, że zgłoszenie zostało złożone.

Jeżeli nie masz pewności, czy obowiązek został wykonany, nie odkładaj wyjaśnienia sprawy. Zweryfikuj kwalifikację firmy, datę powstania obowiązku i dokumenty zgłoszenia, a następnie ustal potrzebne działania. Ocena dochowania terminu wymaga sprawdzenia konkretnej sytuacji; ten artykuł nie przesądza, że każda firma bez wpisu jest już w opóźnieniu.

Równolegle uzgodnij plan dalszego wdrożenia z osobami odpowiedzialnymi za IT, bezpieczeństwo i zarządzanie. Rejestracja nie zastępuje procedur, dokumentacji ani umów potrzebnych do wykonania pozostałych obowiązków.

Jakie informacje trzeba przygotować do wpisu?

Zakres danych jest szerszy niż podstawowe dane rejestrowe. Obejmuje między innymi sektor i rodzaj podmiotu, adresy, NIP i REGON, publiczne adresy IP oraz domeny używane w sposób ciągły, dane osób kontaktowych, deklarację wielkości, państwa UE, w których prowadzona jest działalność, oraz informacje o zewnętrznym dostawcy usług zarządzanych w zakresie cyberbezpieczeństwa, jeżeli zawarto taką umowę.

Przed złożeniem wniosku warto uzgodnić dane między działem prawnym, IT, bezpieczeństwem i finansami. Błędna kwalifikacja sektora, niepełna lista domen albo przypadkowe wskazanie osoby kontaktowej może utrudnić dalszą komunikację i wdrożenie S46.

Co firma musi wdrożyć po rejestracji?

Dla podmiotów, które spełniały przesłanki objęcia ustawą w dniu wejścia w życie nowelizacji, przepisy przejściowe przewidują odrębny okres wdrożenia obowiązków z rozdziału 3 KSC. Ministerstwo Cyfryzacji wskazuje dla tej grupy datę 3 kwietnia 2027 r. To osobny etap od zgłoszenia do wykazu. Nie należy czekać z przygotowaniem do końca tego okresu.

Podmiot kluczowy lub ważny powinien wdrożyć system zarządzania bezpieczeństwem informacji w systemach wykorzystywanych w procesach wpływających na świadczenie objętej usługi. SZBI ma obejmować między innymi analizę ryzyka, bezpieczeństwo dostawców, ciągłość działania, monitorowanie, zarządzanie incydentami, cyberhigienę, kontrolę dostępu, kryptografię, aktualizacje i edukację personelu.

Potrzebna jest dokumentacja normatywna i operacyjna, wyznaczenie osób do kontaktu, procedura obsługi i zgłaszania incydentów, korzystanie z S46 oraz wewnętrzna struktura odpowiedzialna za cyberbezpieczeństwo albo umowa z odpowiednim dostawcą. Outsourcing może wspierać wykonanie zadań, ale nie zastępuje nadzoru firmy nad zakresem usługi, raportowaniem i dostępem do informacji.

Przegląd umów z dostawcami powinien objąć czasy reakcji, przekazywanie informacji o incydentach i podatnościach, prawo audytu, podwykonawców, ciągłość świadczenia i współpracę przy raportowaniu. Samo ogólne oświadczenie dostawcy o „zgodności z NIS2” nie opisuje tych mechanizmów. Podobną logikę oceny dostawcy wyjaśnia artykuł o umowie powierzenia danych, choć KSC i RODO tworzą odrębne obowiązki.

Za co odpowiada zarząd lub inne kierownictwo?

Kierownik podmiotu odpowiada za wykonanie obowiązków z zakresu cyberbezpieczeństwa. Jeżeli funkcję kierownika pełni organ wieloosobowy i nie wskazano osoby odpowiedzialnej, odpowiedzialność ponoszą wszyscy jego członkowie. Ustawa wyraźnie wskazuje, że powierzenie obowiązków innej osobie nie usuwa odpowiedzialności kierownika.

Do zadań kierownictwa należy podejmowanie decyzji dotyczących SZBI, zapewnienie budżetu, podział zadań, nadzór i budowanie świadomości personelu. Kierownik oraz osoba, której powierzono jego obowiązki w zakresie cyberbezpieczeństwa, mają co roku przechodzić udokumentowane szkolenie.

To istotnie odróżnia wdrożenie od zakupu pojedynczego narzędzia IT. Zarząd powinien otrzymywać cykliczną informację o ryzykach, stanie wdrożenia, incydentach, zależnościach od dostawców i brakach budżetowych.