Nie dostałeś decyzji, więc NIS2 Cię nie dotyczy? To jeden z najbardziej niebezpiecznych mitów nowej KSC

Nie dostaliśmy żadnej decyzji ani pisma z urzędu, więc zakładamy, że NIS2 nas nie dotyczy – to zdanie może być obecnie jednym z najbardziej kosztownych założeń dotyczących cyberbezpieczeństwa.

Od 3 kwietnia 2026 r. obowiązuje w Polsce znowelizowana ustawa o krajowym systemie cyberbezpieczeństwa, wdrażająca dyrektywę NIS2. Nowe przepisy nie tylko znacząco rozszerzyły katalog przedsiębiorców objętych obowiązkami z zakresu cyberbezpieczeństwa. Zmieniły także mechanizm ustalania, kto tym obowiązkom podlega.

W przypadku znacznej części przedsiębiorców nie należy oczekiwać decyzji organu stwierdzającej: „od dziś jesteście podmiotem kluczowym” albo „od dziś jesteście podmiotem ważnym”.

Zgodnie z nowymi przepisami – to przedsiębiorca ma obowiązek przeanalizować swoją działalność, ustalić, czy spełnia przesłanki wynikające z ustawy, a następnie – jeżeli odpowiedź jest twierdząca – dokonać wpisu do Wykazu podmiotów kluczowych i ważnych. Brak decyzji administracyjnej nie jest wiec potwierdzeniem, że NIS2 przedsiębiorcy nie dotyczy. W wielu przypadkach oznacza po prostu, że żadnej decyzji nie trzeba było wydawać.

„Stary” model może być największą pułapką

Przed nowelizacją przedsiębiorcy funkcjonowali w systemie, w którym szczególne obowiązki ustawy o KSC były kojarzone przede wszystkim ze statusem operatora usługi kluczowej. Status ten wynikał przy tym z decyzji administracyjnej, wydawanej przez właściwy organ. Łatwo więc przenieść dawny sposób myślenia na nowe przepisy: skoro urząd niczego nam nie doręczył, najwyraźniej pozostajemy poza systemem.

Tyle że nowa KSC działa inaczej. Art. 5 ustawy określa wprost, kto jest podmiotem kluczowym i ważnym. Kwalifikacja wynika przede wszystkim z rodzaju prowadzonej działalności, sektora, do którego należy przedsiębiorca, oraz jego wielkości. Dla niektórych kategorii podmiotów znaczenie ma również szczególny status albo rodzaj świadczonych usług, a część podmiotów podlega regulacji niezależnie od wielkości. W konsekwencji przedsiębiorca może spełniać ustawowe przesłanki objęcia KSC, mimo że nigdy nie otrzymał indywidualnej decyzji administracyjnej stwierdzającej ten fakt.

Kogo może dotyczyć nowa KSC?

Należy także pamiętać, że zakres regulacji jest znacznie szerszy niż przed implementacją NIS2. W sektorach kluczowych znajdują się m.in. energia, transport, bankowość, infrastruktura rynków finansowych, ochrona zdrowia, woda pitna i ścieki, infrastruktura cyfrowa, zarządzanie usługami ICT oraz określone podmioty publiczne. Ustawa obejmuje również sektory ważne – m.in. usługi pocztowe, gospodarowanie odpadami, produkcję, przetwarzanie i dystrybucję żywności, produkcję i dystrybucję chemikaliów, określone rodzaje produkcji przemysłowej, dostawców internetowych platform handlowych, wyszukiwarek i platform społecznościowych oraz organizacje badawcze. Ministerstwo Cyfryzacji szacuje, że po nowelizacji system może obejmować około 38 tys. podmiotów, w tym około 27 tys. podmiotów publicznych.

Należy także pamiętać, że nie należy oceniać działalności przedsiębiorcy wyłącznie na podstawie ujawnionych przez niego kodów PKD. Mogą one stanowić pomocniczy punkt odniesienia, ale nie przesądzają o objęciu danego podmiotu przepisami KSC. Dla prawidłowej kwalifikacji kluczowe znaczenie ma bowiem faktycznie wykonywana działalność oraz to, czy odpowiada ona rodzajom podmiotów, usług lub sektorów wskazanych w ustawie i jej załącznikach.

W praktyce oznacza to konieczność przeanalizowania nie tylko formalnego przedmiotu działalności ujawnionego w rejestrze, ale również rzeczywiście świadczonych usług, oferowanych produktów, roli przedsiębiorcy w danym łańcuchu dostaw oraz sposobu, w jaki świadczy on usługi na rzecz klientów. Może się więc zdarzyć, że przedsiębiorca nie posiada kodu PKD, który intuicyjnie kojarzyłby się z sektorem objętym KSC, a mimo to faktyczny charakter jego działalności będzie odpowiadał jednej z kategorii ustawowych. Możliwa jest również sytuacja odwrotna – samo posiadanie określonego kodu PKD nie powinno automatycznie prowadzić do uznania, że przedsiębiorca spełnia wszystkie przesłanki uznania go za podmiot kluczowy lub ważny.

Prawidłowa kwalifikacja wymaga zatem zestawienia faktycznie prowadzonej działalności z kryteriami wynikającymi z KSC, a następnie zweryfikowania także pozostałych przesłanek – w szczególności kryterium wielkości przedsiębiorstwa, ewentualnych zasad odnoszących się do podmiotów powiązanych oraz wyjątków, w których określony rodzaj działalności podlega regulacji niezależnie od skali przedsiębiorcy. Dopiero taka analiza pozwala wiarygodnie stwierdzić, czy dany podmiot powinien zostać uznany za kluczowy albo ważny.

Samorejestracja oznacza dokładnie to, co sugeruje jej nazwa

Dla części podmiotów Minister Cyfryzacji dokonuje wpisu do Wykazu KSC z urzędu. Dotyczy to m.in. podmiotów publicznych, przedsiębiorców telekomunikacyjnych, dostawców usług zaufania oraz dotychczasowych operatorów usług kluczowych. Takie podmioty otrzymują zawiadomienie o wpisie i wezwanie do uzupełnienia określonych informacji.

To jednak wyjątek, który może dodatkowo utrwalać błędne przekonanie, podczas gdy dla pozostałych podmiotów mechanizm wygląda odwrotnie.

Jeżeli przedsiębiorca spełnia kryteria uznania za podmiot kluczowy lub podmiot ważny – sam ma obowiązek złożyć wniosek o wpis do Wykazu KSC. Art. 7c ust. 1 KSC przewiduje sześciomiesięczny termin liczony od dnia spełnienia przesłanek uznania za podmiot kluczowy lub ważny. Co więcej, wpis następuje z chwilą złożenia wniosku w systemie teleinformatycznym. W przypadku podmiotów, które spełniały te przesłanki już w dniu wejścia w życie nowelizacji, termin samorejestracji upływa 3 października 2026 r.

Do 3 października zostało niewiele czasu

Dla przedsiębiorcy, który nie przeprowadził jeszcze kwalifikacji, 3 października nie powinien być traktowany jako data, w której trzeba dopiero zacząć interesować się NIS2. Najpierw należy odpowiedzieć na kilka pytań:

Czy rodzaj rzeczywiście prowadzonej działalności znajduje się w jednym z sektorów wskazanych jaku kluczowe lub ważne? Czy przedsiębiorca spełnia właściwe dla tej działalności kryteria wielkościowe? Czy należy do kategorii objętej regulacją niezależnie od wielkości? Czy prowadzi kilka działalności, które mogą wymagać odrębnego wskazania we wniosku? Czy w ramach grupy kapitałowej sposób liczenia zatrudnienia i danych finansowych nie zmienia wyniku kwalifikacji?

Dopiero odpowiedź na te pytania pozwala stwierdzić, czy przedsiębiorca powinien dokonać wpisu.

Istotne jest przy tym, że wniosek zawiera oświadczenie kierownika podmiotu o prawdziwości przedstawionych danych składane pod rygorem odpowiedzialności karnej za złożenie fałszywego oświadczenia.

Brak wpisu również może kosztować

Ustawa wprost przewiduje możliwość nałożenia kary pieniężnej na podmiot, który nie złożył w terminie wymaganego wniosku o wpis do Wykazu KSC. W przypadku podmiotu kluczowego ustawowy maksymalny poziom kary sięga co do zasady 10 mln euro albo 2% przychodów z działalności gospodarczej z poprzedniego roku – przy zastosowaniu wyższej z tych wartości. Dla podmiotu ważnego maksymalny poziom wynosi 7 mln euro albo 1,4% przychodów. W szczególnie poważnych przypadkach ustawa przewiduje możliwość kary do 100 mln zł. Kar nie można więc uznać za „symboliczne”.

Nie oznacza to oczywiście, że niezłożenie wniosku o wpis automatycznie zakończy się karą liczonymi w milionach euro. Pokazuje jednak skalę, w jakiej ustawodawca traktuje obowiązki cyberbezpieczeństwa. Dodatkowo, KSC przewiduje możliwość nakładania kar również na kierownika podmiotu kluczowego lub ważnego za niewykonywanie określonych obowiązków, w tym dotyczących wpisu. W przypadku podmiotów prywatnych kara dla kierownika może wynieść do 300% jego miesięcznego wynagrodzenia obliczanego według zasad stosowanych przy ustalaniu ekwiwalentu za urlop.

Wpis do Wykazu dopiero rozpoczyna pracę

Drugim niebezpiecznym uproszczeniem jest założenie, że po dokonaniu wpisu przedsiębiorca „NIS2 jest załatwione”. Niestety – nie jest . Wpis do Wykazu jest dopiero pierwszym z obowiązków. Podmioty, które były objęte nową regulacją w dniu wejścia w życie nowelizacji, mają do 3 kwietnia 2027 r. czas na wdrożenie zasadniczych obowiązków przewidzianych w rozdziale 3 KSC oraz rozpoczęcie korzystania z systemu S46.

W praktyce oznacza to konieczność stworzenia i rzeczywistego wdrożenia systemu zarządzania bezpieczeństwem informacji. Obejmuje on m.in. systematyczne szacowanie ryzyka, wdrożenie proporcjonalnych środków technicznych i organizacyjnych, zarządzanie incydentami, zbieranie informacji o cyberzagrożeniach i podatnościach oraz zapewnienie bezpieczeństwa i ciągłości działania łańcucha dostaw. Do tego dochodzi przygotowanie procedur zgłaszania incydentów, wyznaczenie osób odpowiedzialnych za kontakty w ramach KSC, odpowiednia weryfikacja personelu oraz obowiązki po stronie kierownictwa.

Kilka miesięcy może wyglądać jak komfortowy termin jedynie do momentu, w którym trzeba zidentyfikować kluczowe systemy, zinwentaryzować dostawców, przeanalizować kilkadziesiąt umów IT, przeprowadzić analizę ryzyka, opracować procedury i sprawdzić, czy proces opisany w dokumentacji rzeczywiście działa.

Zarząd nie może oddać odpowiedzialności firmie IT

Nowa KSC bardzo wyraźnie podnosi cyberbezpieczeństwo na poziom zarządczy. Nie wystarczy wskazać CISO, administratora bezpieczeństwa albo zewnętrznego dostawcę i uznać, że temat został „przekazany specjalistom”. To zarząd odpowiada za realizację ustawowych obowiązków, a ustawa przewiduje jego bezpośrednią ekspozycję na sankcje. Oznacza to w praktyce konieczność realnego uczestniczenia w procesie zarządzania ryzykiem: zatwierdzania rozwiązań, zapewnienia środków finansowych, nadzorowania wdrożenia oraz zdobywania odpowiedniej wiedzy.

Największym ryzykiem może być dziś założenie, że „nas to nie dotyczy”

Dlatego przed 3 października 2026 r. zarządy przedsiębiorstw działających w sektorach objętych KSC powinny otrzymać odpowiedź na podstawowe pytania:

czy podlegamy nowej KSC, na jakiej podstawie dokonaliśmy tej kwalifikacji i – jeżeli podlegamy – czy wykonaliśmy obowiązek wpisu do Wykazu?

Dopiero potem przychodzi czas na kolejne pytanie: czy zdążymy z pełnym wdrożeniem do 3 kwietnia 2027 r.?