Czy podlegamy pod KSC? Trzy pytania, od których warto zacząć

Rozmowy o nowelizacji ustawy o krajowym systemie cyberbezpieczeństwa zaczynają się dziś najczęściej od zdania: "podobno nas to dotyczy". Potem pada pytanie o audyt, o system zarządzania bezpieczeństwem informacji, o wczesne ostrzeżenie o poważnym incydencie w 24 godziny. I dopiero po kilkunastu minutach okazuje się, że nikt przy stole nie potrafi jednoznacznie powiedzieć, czy firma w ogóle jest podmiotem objętym ustawą.

To zła kolejność. Kupowanie odpowiedzi na pytanie "jak mamy się dostosować" przed odpowiedzią na pytanie "czy i jako kto podlegamy" może prowadzić do pracy nad niewłaściwym zakresem albo obowiązkami, które danej firmy nie dotyczą.

Punkt wyjścia: co się właściwie zmieniło

Nowelizacja ustawy o KSC została ogłoszona jako Dz.U. 2026 poz. 252 i weszła w życie 3 kwietnia 2026 roku. To ona wdraża do polskiego porządku prawnego dyrektywę NIS2.

Druga data, która najczęściej pada w rozmowach, to 3 października 2026. Warto ją opisywać precyzyjnie, bo krąży w obiegu w co najmniej dwóch błędnych wersjach. Dla podmiotów objętych samorejestracją, które spełniały kryteria już 3 kwietnia 2026, jest to termin złożenia wniosku o wpis do Wykazu podmiotów kluczowych i ważnych, w skrócie Wykazu KSC. Podmiot, który spełni kryteria później, ma co do zasady sześć miesięcy od tego momentu, więc jego termin jest inny. Część podmiotów jest wpisywana z urzędu. Nie jest to data, od której "zaczynają obowiązywać przepisy", ani "termin osiągnięcia zgodności". Tryb, w jakim podmiot trafia do Wykazu, zależy od jego kategorii i to trzeba potwierdzić w tekście ustawy, a nie w cudzej prezentacji. Kolejne terminy z ustawy dotyczą już systemu zarządzania bezpieczeństwem, obsługi incydentów i audytów.

Zanim jednak którakolwiek z tych dat zacznie mieć znaczenie dla konkretnej firmy, trzeba przejść przez zakres podmiotowy.

Trzy pytania, które rozstrzygają najwięcej

O objęciu ustawą nie rozstrzyga nazwa firmy ani sam kod PKD wpisany w rejestrze. Kod może być wskazówką, ale decyduje rzeczywisty zakres działalności. Zakres podmiotowy budują trzy rzeczy.

Pierwsza: rodzaj faktycznie świadczonej usługi. Rodzaje działalności wymieniają załączniki do ustawy. Załącznik nr 1 obejmuje między innymi energię, transport, bankowość i infrastrukturę rynków finansowych, ochronę zdrowia, wodę pitną, komunikację elektroniczną, zarządzanie usługami ICT czy infrastrukturę cyfrową. Załącznik nr 2 obejmuje między innymi usługi pocztowe i kurierskie, gospodarowanie odpadami, chemikalia, żywność, produkcję wyrobów medycznych, elektroniki, maszyn i pojazdów oraz dostarczanie usług cyfrowych. Rozstrzyga to, co firma realnie robi; kod PKD jest tylko wskazówką. Sam załącznik nie przesądza jeszcze, czy podmiot będzie kluczowy czy ważny.

Druga: wielkość podmiotu. Progi biorą się z art. 5 ustawy w związku z załącznikiem I do rozporządzenia (UE) nr 651/2014. Mikroprzedsiębiorstwo zatrudnia mniej niż 10 osób i ma roczny obrót lub sumę bilansową nieprzekraczającą 2 mln EUR. Małe przedsiębiorstwo zatrudnia mniej niż 50 osób i ma roczny obrót lub sumę bilansową nieprzekraczającą 10 mln EUR. Średnie przedsiębiorstwo zatrudnia mniej niż 250 osób i ma obrót do 50 mln EUR lub sumę bilansową do 43 mln EUR, a jednocześnie nie mieści się już w kategorii małego przedsiębiorstwa. Duże przedsiębiorstwo zatrudnia co najmniej 250 osób albo, przy niższym zatrudnieniu, przekracza jednocześnie 50 mln EUR obrotu i 43 mln EUR sumy bilansowej. Do tej rachuby często trzeba doliczyć dane podmiotów partnerskich i powiązanych, o czym łatwo zapomnieć w grupie kapitałowej.

Trzecia: wyjątki i reguły szczególne dotyczące wielkości. Art. 5 jako całość obejmuje między innymi wszystkich przedsiębiorców komunikacji elektronicznej, choć zależnie od wielkości mogą być podmiotami kluczowymi albo ważnymi. Niezależnie od wielkości podmiotami kluczowymi są między innymi dostawcy usług DNS, kwalifikowani dostawcy usług zaufania i wskazane w ustawie podmioty publiczne. Dla dostawców usług zarządzanych w cyberbezpieczeństwie próg nie jest zniesiony, ale obniżony do małego przedsiębiorcy. Firma dziesięcioosobowa może więc być objęta, mimo że standardowy próg wielkości sugeruje coś przeciwnego.

Jest jeszcze czwarty wątek, który nie zmienia zakresu podmiotowego, ale zmienia rzeczywistość operacyjną. Jeżeli świadczysz usługi na rzecz podmiotu objętego, samo to nie czyni Cię podmiotem objętym. Wymagania bezpieczeństwa mogą jednak trafić do Ciebie umową, bo art. 21 ust. 2 lit. d dyrektywy NIS2 każe podmiotowi objętemu uwzględnić w zarządzaniu ryzykiem bezpieczeństwo relacji z bezpośrednimi dostawcami. Dla wielu integratorów i firm hostingowych to jest właśnie ten kanał, którym przepisy wchodzą do organizacji.

Dlaczego zbudowaliśmy z tego stronę, a nie kolejny PDF

Powyższe da się przeczytać w ustawie. Problem polega na tym, że dla osoby, która robi to pierwszy raz, przejście od tekstu prawnego do zdania "prawdopodobnie jesteśmy w sektorze X, powyżej progu, więc trzeba to zweryfikować z prawnikiem" zajmuje wieczór, a nie pięć minut.

Dlatego udostępniliśmy prostą stronę samoidentyfikacji: Czy podlegam pod KSC. Zadaje dwa pytania obowiązkowe, o rodzaj działalności i o wielkość podmiotu, oraz jedno opcjonalne, o dostarczanie usług podmiotowi objętemu. Wynik pojawia się od razu, bez rejestracji i bez podawania danych firmy.

Ważniejsze jest to, czego ta strona celowo nie robi.

Nie wystawia oceny procentowej ani wyniku w rodzaju "7 na 10 punktów zgodności". Nie mówi "jesteś objęty", tylko "zadeklarowane odpowiedzi wskazują na objęcie, do potwierdzenia". Przy każdym wyniku pokazuje listę rzeczy, których nie sprawdziła: podmioty partnerskie i powiązane, pozostałe przypadki objęcia niezależnie od wielkości, pełną analizę faktycznie świadczonej usługi i pomocniczego kodu PKD, rozróżnienie na podmiot kluczowy i ważny oraz decyzje organu właściwego i wpis do wykazu, które mogą objąć podmiot niezależnie od tej samooceny.

Każde kryterium ma w kodzie przypisane źródło: konkretny załącznik albo artykuł. To nie jest ozdobnik. Treść, która twierdzi coś o obowiązkach prawnych, powinna dać się prześledzić do przepisu, bo inaczej po kilku miesiącach nikt nie odróżni ustaleń od cudzych parafraz.

Wynik można skopiować jako zwykłą notatkę z datą i zadeklarowanymi odpowiedziami. To wystarczy, żeby wejść z tym na spotkanie z zarządem albo z kancelarią i zacząć rozmowę od konkretu zamiast od "podobno nas to dotyczy".

Czego to nie zastępuje

Trzeba to powiedzieć wprost: to nie jest opinia prawna i nie rozstrzyga statusu podmiotu. Przy dwóch pytaniach nie da się objąć wszystkich przypadków, a przypisanie do sektora bywa sporne nawet między prawnikami. Strona daje wskazanie kierunku i listę pytań, które trzeba zadać dalej.

Naszym zdaniem to jest uczciwy zakres takiego narzędzia. Firma, która dostaje z internetu wynik "zgodny w 68%", nie wie o sobie nic więcej niż przed kliknięciem. Firma, która wie, że jest w sektorze z załącznika nr 1, powyżej progu i musi zweryfikować dane podmiotów powiązanych, wie już, o co pytać.

Kiedy zaczyna się część, którą robi się narzędziami

Gdy status jest ustalony, zaczyna się praca, która trwa latami: przegląd podatności, terminy naprawy, decyzje o akceptacji ryzyka, dowody na to, że proces faktycznie działał, a nie tylko został opisany w polityce. Secvalis wspiera tę techniczną część; samoidentyfikacja jej nie zastępuje.

Kolejność ma jednak znaczenie. Najpierw ustal, czy i jako kto podlegasz. Dopiero potem wybieraj narzędzia.

Sprawdź w trzy pytania, czy prawdopodobnie podlegasz pod KSC

Źródła

• Ustawa z dnia 23 stycznia 2026 r. o zmianie ustawy o krajowym systemie cyberbezpieczeństwa oraz niektórych innych ustaw, Dz.U. 2026 poz. 252 (załączniki nr 1 i nr 2, art. 5)
• Dyrektywa (UE) 2022/2555 (NIS2), art. 21 ust. 2 lit. d
• Rozporządzenie (UE) nr 651/2014, załącznik I (progi wielkości przedsiębiorstwa)
• Oficjalne FAQ do ustawy o KSC