Jak sprawdzić, czy moja firma podlega pod ustawę o Krajowym Systemie Cyberbezpieczeństwa (KSC)?

Krótka odpowiedź: w większości przypadków trzeba sprawdzić trzy elementy:

• rodzaj działalności (czy mieści się w sektorze lub podsektorze z załącznika nr 1 lub 2 do ustawy o KSC),
• wielkość przedsiębiorstwa według rozporządzenia Komisji (UE) nr 651/2014
• oraz czy zastosowanie mają szczególne zasady kwalifikacji z art. 5 ustawy o KSC.

Z własnego doświadczenia wiem, że to właśnie przy liczeniu „wielkości” najczęściej pojawiają się błędy.

Sama liczba osób „na liście płac” nie wystarczy – trzeba ustalić liczbę personelu w rocznych jednostkach pracy (RJP), sprawdzić roczny obrót i roczną sumę bilansową oraz czasami uwzględnić dane przedsiębiorstw partnerskich i powiązanych.

Jeśli kwalifikacja dopiero przed Tobą: uczulam na kwestie, na które warto zwrócić szczególną uwagę

Poniżej pięć szczegółów, które najczęściej decydują o błędnej samoocenie.

1. Zatrudnienie liczy się w rocznych jednostkach pracy

Wielkość przedsiębiorstwa ustala się według liczby rocznych jednostek pracy (RJP), a nie liczby osób zatrudnionych w konkretnym dniu. Do personelu wlicza się także właścicieli-kierowników i partnerów czerpiących korzyści finansowe z działalności firmy, nie tylko osoby na umowie o pracę. Nie wlicza się praktykantów/uczniów na szkoleniu zawodowym ani okresu urlopu macierzyńskiego lub wychowawczego.

2. Liczy się grupa kapitałowa (ale nie zawsze)

Jeśli firma ma powiązania kapitałowe z innymi podmiotami (spółka matka, spółki siostrzane, wspólni udziałowcy), trzeba ustalić, czy są to przedsiębiorstwa partnerskie czy powiązane w rozumieniu rozporządzenia 651/2014. Od tego zależy, czy ich dane dolicza się proporcjonalnie, czy w całości. Jest tu jednak wyjątek: art. 5 ust. 6 i 7 KSC przewiduje, że podmiot nie jest uznawany za kluczowy ani ważny, jeśli jego system informacyjny jest niezależny od systemów grupy lub jeśli nie świadczy z nią wspólnie tej samej usługi objętej KSC.

3. Znaczenie ma faktyczny profil działalności

Kod PKD jest wskazówką, ale przy samoidentyfikacji trzeba brać pod uwagę faktyczny charakter działalności. Bez znaczenia jest tez branża klientów. Samo wpisanie lub niewpisanie danego PKD nie przesądza jeszcze o kwalifikacji. Producent kabli elektrycznych może podlegać KSC ze względu na swoją działalność, nawet jeśli sprzedaje wyłącznie do hurtowni budowlanych, a nie do spółek energetycznych.

4. Suma bilansowa to osobne kryterium (obok obrotu)

Trzeba sprawdzić oba progi finansowe, bo sam obrót nie wystarczy. Przy kwalifikacji na gruncie KSC obowiązuje jednak własna reguła: zgodnie z art. 5 ust. 5 KSC, jeżeli status podmiotu zależy od jego wielkości, przesłanki bada się według stanu na dzień sporządzenia sprawozdania finansowego.

5. Niektóre podmioty podlegają KSC na szczególnych zasadach

Dostawcy usług zarządzanych w zakresie cyberbezpieczeństwa (MSSP) mogą podlegać KSC już od poziomu małego przedsiębiorcy. Niezależnie od wielkości podlegają też m.in. dostawcy usług DNS, rejestry domen najwyższego poziomu (TLD), podmioty rejestrujące domeny i kwalifikowani dostawcy usług zaufania. Nawet mała firma może dodatkowo zostać uznana decyzją organu za podmiot kluczowy lub ważny na podstawie art. 7l KSC, jeśli działa w sektorze wskazanym w załączniku i jest np. jedynym dostawcą usługi o kluczowym znaczeniu. Przykładem może być mały regionalny dostawca usługi centrum przetwarzania danych, który jest jedynym dostawcą tej usługi dla kilku szpitali w regionie, o ile spełnia też pozostałe przesłanki z art. 7l KSC.

Podsumowując: 5 rzeczy do sprawdzenia, zanim uznasz, że KSC Cię nie dotyczy:

 1. Profil działalności: czy faktycznie wykonywane usługi mieszczą się w sektorze z załącznika nr 1 lub 2.
2. Wielkość przedsiębiorstwa: RJP oraz dane finansowe wg rozporządzenia 651/2014.
3. Powiązania z innymi przedsiębiorstwami: czy firma jest samodzielna, partnerska czy powiązana.
4. Szczególne zasady art. 5 KSC: niektóre kategorie podmiotów podlegają niezależnie od wielkości.
5. Wpis do Wykazu KSC: jeśli spełniałeś przesłanki już 3 kwietnia 2026 r. i nie podlegasz wpisowi z urzędu, termin upływa 3 października 2026 r. W innych przypadkach masz 6 miesięcy od dnia spełnienia przesłanek.

Co dalej, jeśli firma podlega KSC?

Wniosek o wpis składa się przez aplikację Wykaz KSC w ramach systemu S46. Sam wpis nie tworzy jeszcze statusu podmiotu kluczowego lub ważnego. O tym decyduje spełnienie przesłanek ustawowych, a brak wpisu nie zwalnia z obowiązków.
 
Podpowiedź praktyczna: przy liczeniu zatrudnienia, obrotu i powiązań kapitałowych pomocny może być bezpłatny Kwalifikator MŚP PARP (kwalifikator.parp.gov.pl). Uwaga: kwalifikuje on tylko wielkość firmy, nie status w KSC. 

Najważniejszy wniosek

Podlegania KSC nie da się ocenić wyłącznie na podstawie liczby pracowników. Odpowiedź „mamy mniej niż 50 osób, więc nas to nie dotyczy” może być błędna, tak samo jak „jesteśmy częścią dużej grupy, więc na pewno podlegamy”.

Powyższa porada ma charakter ogólny i wprowadzający. Ze względu na limitowaną długość nie omawia wszystkich wyjątków i nie zastępuje analizy Twojej konkretnej sytuacji.
 
Jeśli omawiane kryteria brzmią zbyt skomplikowanie, albo nie masz czasu na szczegółową analizę – pomagam ustalić właściwą kwalifikację, wspieram we wpisaniu się do wykazu i wdrożeniu wymagań NIS2.
 
Więcej praktycznych porad znajdziesz na moim blogu: kancelaria-rcs.pl