Czy Twoja firma podlega pod KSC? Sam sektor to za mało
Najgroźniejsze zdanie w przygotowaniach do KSC brzmi: "mamy mniej niż 50 osób, więc nas to nie dotyczy". Może być prawdziwe, ale nie jest wystarczającą analizą.
Nowelizacja ustawy o KSC opiera kwalifikację przede wszystkim na rodzaju działalności i wielkości podmiotu. Są jednak wyjątki, a przy ustalaniu wielkości mogą mieć znaczenie przedsiębiorstwa partnerskie i powiązane. Dlatego liczba osób widoczna na jednej liście płac nie zawsze rozstrzyga sprawę.
Trzy pytania zamiast jednego
Najpierw sektor. Trzeba sprawdzić, czy działalność mieści się w sektorach i rodzajach podmiotów wskazanych w ustawie. Liczy się faktycznie świadczona usługa, a nie tylko główny kod PKD lub marketingowa nazwa firmy.
Następnie wielkość. Oficjalne FAQ odwołuje się do zasad kwalifikowania mikro, małych i średnich przedsiębiorstw. Analiza obejmuje zatrudnienie oraz dane finansowe. W zależności od struktury trzeba uwzględnić także dane podmiotów partnerskich lub powiązanych.
Na końcu wyjątki. Niektóre kategorie podlegają ustawie niezależnie od wielkości. Z drugiej strony sam fakt świadczenia usług dla podmiotu kluczowego nie czyni automatycznie dostawcy podmiotem objętym KSC, choć wymagania bezpieczeństwa mogą do niego trafić przez umowę i zarządzanie łańcuchem dostaw.
Co powinno zostać po analizie
Nie wystarczy ustna odpowiedź prawnika albo wiadomość na komunikatorze. Warto zachować krótką notatkę zawierającą:
- zakres działalności porównany z ustawą,
- dane użyte do ustalenia wielkości,
- listę uwzględnionych podmiotów partnerskich i powiązanych,
- wskazane wyjątki,
- datę oceny i osobę zatwierdzającą wniosek.
Taki dokument nie zastępuje porady prawnej. Pokazuje jednak, że samoidentyfikacja była kontrolowanym procesem.
Gdzie zaczyna się praca IT
Secvalis nie rozstrzyga, czy firma podlega ustawie. To decyzja prawno-organizacyjna. Gdy wynik brzmi "tak", dział IT potrzebuje natomiast inwentaryzacji zasobów, właścicieli, historii podatności, terminów i dowodów działań. Właśnie tę część można prowadzić w platformie.
Nie wiesz, czy w ogóle podlegasz ustawie? Sprawdź to w trzy pytania - bez rejestracji, wynik od razu.
Źródła
Cotygodniowy digest CVE
Jeden mail w tygodniu z nowo opublikowanymi podatnościami, o których warto wiedzieć. Bez zakładania konta.
Digest dotyczy ogólnie nowych podatności, nie Twoich serwerów. Jeśli chcesz wiedzieć, które z nich faktycznie działają w Twojej infrastrukturze, tym zajmuje się Secvalis : skanuje Twoje maszyny i zgłasza wyłącznie to, co ich dotyczy.