Pełna lista sektorów objętych ustawą o KSC oraz sposób czytania załączników nr 1 i nr 2
KSC lista branż: kogo dotyczy ustawa i jak czytać załączniki nr 1 i nr 2
Ustawa o KSC obejmuje dziewiętnaście obszarów gospodarki opisanych w dwóch załącznikach. Załącznik nr 1 zawiera sektory kluczowe, załącznik nr 2 sektory ważne, a o statusie konkretnej organizacji rozstrzyga zestawienie tych list z wielkością przedsiębiorstwa. Ministerstwo Cyfryzacji szacuje, że nowe przepisy mogą objąć około 38 tysięcy podmiotów, z czego około 27 tysięcy stanowią podmioty publiczne. Poniżej znajdziesz obie listy w całości, trzy pytania porządkujące analizę oraz branże, w których wynik najczęściej zaskakuje.
Najważniejsze pojęcia
- Sektor kluczowy to obszar gospodarki wskazany w załączniku nr 1 do ustawy, o najwyższym znaczeniu dla funkcjonowania państwa.
- Sektor ważny to obszar gospodarki wskazany w załączniku nr 2, o istotnym, choć niższym znaczeniu systemowym.
- Podmiot kluczowy i podmiot ważny to kategorie statusu organizacji, wynikające z połączenia sektora z wielkością przedsiębiorstwa oraz z wyjątków wskazanych w ustawie.
- Działalność faktycznie wykonywana to realny zakres usług i procesów, który rozstrzyga o kwalifikacji. Kody PKD pełnią funkcję pomocniczą.
- Wpis z urzędu to wpis do Wykazu KSC dokonywany przez ministra na podstawie rejestrów publicznych, bez wniosku podmiotu.
Trzy pytania, które porządkują analizę
- Czy prowadzimy którąkolwiek z działalności wymienionych w załącznikach? Analizę prowadzi się na poziomie konkretnych rodzajów działalności, a nie całych branż w rozumieniu potocznym.
- Który to załącznik? Ta sama wielkość przedsiębiorstwa daje inny status w zależności od tego, czy działalność pochodzi z listy sektorów kluczowych czy ważnych.
- Jaka jest wielkość przedsiębiorstwa? Progi liczy się z uwzględnieniem przedsiębiorstw partnerskich i powiązanych. Od tego kryterium ustawa przewiduje wyjątki, w których wielkość nie ma znaczenia. Przy uwzględnianiu przedsiębiorstw partnerskich i powiązanych należy dodatkowo sprawdzić wyjątki określone w art. 5 ust. 6–7 ustawy.
Załącznik nr 1: sektory kluczowe
Załącznik nr 2: sektory ważne
Co wynika z załącznika, a co z wielkości
Reguła podstawowa jest krótka. Duże przedsiębiorstwo prowadzące działalność z załącznika nr 1 jest podmiotem kluczowym. Średnie przedsiębiorstwo z tego samego załącznika jest podmiotem ważnym. Średnie i duże przedsiębiorstwo z załącznika nr 2 również jest podmiotem ważnym. Mikroprzedsiębiorstwa i małe przedsiębiorstwa co do zasady pozostają poza ustawą.
Od tej reguły ustawa przewiduje wyjątki, w których status wynika z samego rodzaju działalności. W przypadku części rodzajów podmiotów kryterium wielkości nie ma zastosowania — dotyczy to m.in. dostawców usług DNS, kwalifikowanych dostawców usług zaufania, rejestrów nazw domen najwyższego poziomu (TLD) i podmiotów świadczących usługi rejestracji nazw domen. Dla innych kategorii, takich jak przedsiębiorcy komunikacji elektronicznej czy dostawcy usług zarządzanych w zakresie cyberbezpieczeństwa, ustawa wprowadza szczególne progi wielkościowe. Podstawowy, merytoryczny zakres obowiązków jest w dużej mierze wspólny dla obu kategorii, a status przesądza o trybie nadzoru, obowiązku cyklicznego audytu i górnym pułapie kar. Według informacji Ministerstwa Cyfryzacji podmiotom ważnym grozi kara do 7 milionów euro albo do 1,4 procent przychodów, a podmiotom kluczowym do 10 milionów euro albo do 2 procent przychodów.
Pięć branż, w których wynik zaskakuje
- Transport drogowy. Sektor transportu obejmuje podsektor drogowy, przy czym w praktyce chodzi o zarządzanie ruchem i inteligentne systemy transportowe. Typowe firmy przewozowe i spedycyjne zwykle pozostają poza zakresem, a objęci są armatorzy, porty, kolej i lotnictwo.
- Produkcja przemysłowa. Załącznik nr 2 wymienia sześć rodzajów produkcji, od wyrobów medycznych po pojazdy samochodowe. Zakład produkujący wyroby spoza tej listy nie trafia do systemu z tego tytułu.
- Firmy kurierskie. Szukają odpowiedzi pod hasłem transportu, a podlegają jako usługi pocztowe z załącznika nr 2.
- Spółki komunalne. Prowadzą równolegle działalność z obu załączników, na przykład wodę i ścieki obok gospodarowania odpadami oraz ciepłownictwa. Organizacja spełniająca kryteria obu kategorii jest podmiotem kluczowym.
- Farmacja i wyroby medyczne. Produkcja i dystrybucja substancji czynnych, produktów leczniczych i wyrobów medycznych pojawia się w sektorze ochrony zdrowia z załącznika nr 1, a produkcja wyrobów medycznych także w załączniku nr 2. Granicę między tymi pozycjami trzeba ustalić dla konkretnej działalności.
Skala i harmonogram
Ministerstwo Cyfryzacji rozpoczęło wpisywanie z urzędu do Wykazu KSC 13 kwietnia 2026 r., obejmując dotychczasowych operatorów usług kluczowych, dostawców usług zaufania, przedsiębiorców telekomunikacyjnych oraz podmioty publiczne. Samorejestracja dla pozostałych organizacji ruszyła 7 maja 2026 r. Podmioty, które spełniały przesłanki w dniu wejścia nowelizacji w życie, składają wniosek o wpis do 3 października 2026 r., a obowiązki wynikające z rozdziału 3 ustawy wdrażają do 3 kwietnia 2027 r.
Jak prowadzić kwalifikację w Quantifier.ai
Analiza sektorowa kończy się listą rodzajów działalności przypisanych do pozycji załączników. Ta lista jest artefaktem, który trzeba utrzymywać razem ze zmianami w ofercie i strukturze grupy. W module NIS2 prowadzi się ją jako rejestr: każda działalność otrzymuje przypisanie do załącznika, właściciela po stronie compliance i biznesu oraz dowody, na których oparto ocenę.
- Zbuduj rejestr działalności. Wprowadź rodzaje działalności faktycznie prowadzonej, wraz z dokumentami regulacyjnymi, takimi jak koncesje i zezwolenia.
Rejestr działalności z przypisaniem do załączników ustawy
- Przypisz właścicieli i dowody. Każda pozycja powinna mieć osobę odpowiedzialną oraz dokumenty, na których oparto kwalifikację.
- Ustaw przegląd. Nowa usługa, przejęcie spółki albo zmiana zatrudnienia potrafią zmienić wynik analizy sprzed pół roku.
Status kwalifikacji i termin przeglądu przesłanek
Umów demo Quantifier.ai. Zobacz, jak prowadzić kwalifikację, rejestr działalności i dowody w jednym miejscu: quantifier.ai/en/contact
FAQ — najczęściej zadawane pytania
Ile sektorów obejmuje ustawa o KSC?
Załącznik nr 1 wymienia dziesięć sektorów kluczowych, a załącznik nr 2 dziewięć sektorów ważnych. Analizę prowadzi się jednak na poziomie konkretnych rodzajów działalności wskazanych wewnątrz każdego sektora.
Czy przynależność do sektora oznacza, że firma podlega ustawie?
Sektor jest pierwszym kryterium. Drugim jest wielkość przedsiębiorstwa, liczona z uwzględnieniem przedsiębiorstw partnerskich i powiązanych. Ustawa przewiduje też wyjątki, w których wielkość nie ma znaczenia.
Czy mała firma może podlegać KSC?
Tak, jeżeli mieści się w jednym z wyjątków. Dotyczy to między innymi dostawców usług DNS, kwalifikowanych dostawców usług zaufania oraz dostawców usług zarządzanych w zakresie cyberbezpieczeństwa.
Skąd wiadomo, ile podmiotów obejmie ustawa?
Ministerstwo Cyfryzacji szacuje liczbę na około 38 tysięcy, w tym około 27 tysięcy podmiotów publicznych. To szacunek resortu, a nie liczba wpisów w wykazie.
Co zrobić, gdy działalność mieści się w obu załącznikach?
Jeżeli podmiot spełnia jednocześnie przesłanki uznania go za podmiot kluczowy i podmiot ważny, ustawa nakazuje traktować go jako podmiot kluczowy. Sam fakt prowadzenia działalności wymienionej w obu załącznikach nie przesądza jednak jeszcze o statusie — trzeba uwzględnić również kryteria z art. 5.
Autor: Weronika Czaplewska
Konsultacja merytoryczna: Ekspert ds. NIS2 i KSC
Źródła
Ministerstwo Cyfryzacji, Nowelizacja ustawy o KSC: kogo obejmuje
Ministerstwo Cyfryzacji, Nowelizacja ustawy o KSC: obowiązki podmiotów kluczowych i ważnych
Ministerstwo Cyfryzacji, Q&A do nowelizacji ustawy o KSC, aktualizacja z czerwca 2026 r. (PDF)