Czy mała lub średnia firma może podlegać pod Krajowy System Cyberbezpieczeństwa? Sprawdź, zanim uznasz, że nowe obowiązki Cię nie dotyczą

Nowelizacja ustawy o KSC nakłada na część przedsiębiorców zupełnie nowy obowiązek wpisu do Wykazu KSC poprzez system teleinformatyczny S46. Po dokonaniu samooceny, czy spełniają oni kryteria podmiotu kluczowego lub "podmiotu ważnego przedsiębiorcy są zobowiązani do złożenia stosownego zgłoszenia oraz do dalszego wywiązywania się z obowiązków w zakresie cyberbezpieczeństwa wynikających z uzyskanego statusu.

Wielkość przedsiębiorstwa jest ważnym kryterium, ale nie powinna być jedyną podstawą oceny. Przy określaniu skali działalności bierze się pod uwagę m.in. zatrudnienie oraz dane finansowe.

●      Mikroprzedsiębiorstwo zatrudnia mniej niż 10 pracowników, a jego roczny obrót lub roczna suma bilansowa nie przekracza 2 mln euro.

●      Małe przedsiębiorstwo zatrudnia mniej niż 50 pracowników, a jego roczny obrót lub roczna suma bilansowa nie przekracza 10 mln euro.

●      Średnie przedsiębiorstwo zatrudnia mniej niż 250 pracowników, a jego roczny obrót nie przekracza 50 mln euro lub roczna suma bilansowa nie przekracza 43 mln euro.

To jednak nie oznacza, że mikro- czy mała firma automatycznie może uznać, że nowe obowiązki jej nie dotyczą. Znaczenie ma również rodzaj prowadzonej działalności, powiązania z innymi przedsiębiorstwami, skala świadczonych usług oraz rola firmy w relacjach z innymi podmiotami.

Niewielka firma działająca w sektorze kosmicznym, prowadzi badania naukowe i prace rozwojowe. Przedsiębiorstwo zatrudnia 20 osób i opracowuje komponenty systemów satelitarnych. W myśl nowelizacji ustawy o KSC może ono zostać objęte nowymi obowiązkami. W tym przypadku znaczenie ma nie tylko liczba pracowników, ale również fakt, że firma prowadzi działalność w sektorze związanym z infrastrukturą kosmiczną i technologiami wykorzystywanymi w tym obszarze.

Innym przykładem jest średniej wielkości przedsiębiorstwo produkcyjne, zatrudniające 80 osób, które wytwarza specjalistyczne urządzenia elektroniczne wykorzystywane w przemyśle. Firma ta powinna przeanalizować swój status w kontekście KSC. Sektor produkcji określonych kategorii urządzeń jest objęty regulacjami NIS2, a o kwalifikacji decyduje rodzaj wytwarzanych produktów oraz spełnienie kryteriów ustawowych.

Dla porównania, firma chemiczna produkująca zwykłe środki czystości dla klientów detalicznych może nie podlegać obowiązkom KSC tylko dlatego, że działa w szeroko rozumianej branży chemicznej. Sam fakt prowadzenia działalności produkcyjnej nie przesądza jeszcze o objęciu ustawą, konieczna jest analiza, czy przedsiębiorstwo mieści się w zakresie działalności objętej przepisami oraz czy spełnia pozostałe warunki ustawowe.

Kogo mogą dotyczyć nowe obowiązki? Branża technologiczna to tylko jedna z grup objętych nowymi przepisami. Swoją sytuację powinny szczególnie sprawdzić przedsiębiorstwa działające w sektorach ważnych dla funkcjonowania gospodarki, państwa i obywateli.

Dotyczy to m.in. takich obszarów jak:

●      produkcja,

●      transport i logistyka,

●      usługi pocztowe i kurierskie,

●      zarządzanie usługami ICT,

●      wytwarzanie i dystrybucja chemikaliów,

●      produkcja i dystrybucja żywności,

●      sektor kosmiczny.

Sama nazwa branży lub kod PKD są ważnym punktem wyjścia, ale mogą nie dać pełnej gwarancji, że przedsiębiorca nie podlega wymogom związanym z cyberbezpieczeństwem. Przy ocenie należy brać pod uwagę również rzeczywisty charakter działalności oraz faktyczny zakres wykonywanych zadań lub świadczonych usług.

– Nawet jeśli firma nie będzie bezpośrednio zobowiązana do wpisu do Wykazu KSC, nowe wymagania mogą wpłynąć na jej relacje biznesowe. Podmioty objęte obowiązkami będą zwracały większą uwagę na bezpieczeństwo swoich dostawców i partnerów. Dlatego to właśnie cyberbezpieczeństwo coraz częściej staje się elementem wiarygodności firmy w relacjach B2B – komentuje Maria Magdoń, Zastępca Dyrektora Departamentu Gospodarki Cyfrowej w Ministerstwie Rozwoju i Technologii.

Sama weryfikacja jest wartościowa, nawet jeśli po sprawdzeniu okaże się, że firma nie musi dokonywać wpisu do Wykazu KSC. Pozwala to uporządkować wiedzę o tym, od jakich systemów, danych i procesów zależy codzienne działanie przedsiębiorstwa.

Dla małej lub średniej firmy to dobry moment, żeby spojrzeć na cyberbezpieczeństwo nie tylko jak na obowiązek prawny, ale także jako element stabilności biznesu. Weryfikacja może być pierwszym krokiem do sprawdzenia, czy firma jest przygotowana na sytuacje, które mogłyby zakłócić jej prawidłowe funkcjonowanie. W efekcie może być to fundament dojrzałego zarządzania ryzykiem w organizacji. Wdrożenie wynikających z takiej analizy środków technicznych i organizacyjnych nie tylko chroni przed skutkami cyberataków, ale przede wszystkim buduje kulturę odpowiedzialności kadry zarządzającej za ciągłość świadczonych usług.

Firmy, które spełniają kryteria ustawowe, muszą zarejestrować się w wykazie KSC i w odpowiedni sposób zarządzać ryzykiem w cyberbezpieczeństwie. Aby ustalić, czy ten obowiązek dotyczy Twojej firmy, warto przejść prostą ścieżkę.

1. Zbierz dane firmy

Przygotuj aktualne informacje o zatrudnieniu, dane finansowe oraz listę zarejestrowanych kodów PKD. Musisz też wiedzieć, czy firma jest powiązana z innymi podmiotami.

2. Przeanalizuj profil usług

Zastanów się, czy świadczone usługi lub wytwarzane produkty wpisują się w sektory gospodarki objęte ustawą. Warto uwzględnić nie tylko główną działalność, ale także tę poboczną, która może mieć znaczenie dla klientów lub partnerów.

3. Skorzystaj z usługi na Biznes.gov.pl

Wejdź na portal Biznes.gov.pl i skorzystaj z usługi Pre-weryfikacja zgodności z zaleceniami NIS2. Pomoże ona uporządkować najważniejsze informacje i wstępnie ocenić, czy firma powinna przejść dalszą ścieżkę związaną z wpisem do Wykazu KSC.

Październikowy termin może wydawać się odległy, ale samo ustalenie, czy firma podlega nowym obowiązkom, warto przeprowadzić wcześniej. Wcześniejsza weryfikacja daje czas na uporządkowanie danych, podjęcie decyzji i przygotowanie się do dalszych działań, jeśli okażą się konieczne.

Dlatego nie warto zakładać z góry, że NIS2 "jest dla innych". Lepiej krok po kroku sprawdzić status swojej firmy: przeanalizować PKD, kluczowych klientów, zależność innych podmiotów od Twoich usług i potencjalne skutki zatrzymania działania systemów. To pomoże uniknąć ryzyka niedopełnienia obowiązków, które po 3 października 2026 r. mogą wiązać się z poważnymi sankcjami.

Artykuł został przygotowany w ramach kampanii edukacyjno-informacyjnej dla przedsiębiorców "Cyfrowy Biznes", upowszechniającej korzyści płynące z technologii cyfrowych i cyberbezpieczeństwa. Projekt jest dofinansowany z Programu Fundusze Europejskie na Rozwój Cyfrowy.