Podmiot kluczowy czy ważny? Jak ustalić status w KSC

Podmiot kluczowy czy ważny? Jak ustalić status firmy według ustawy o KSC

Nowelizacja ustawy o krajowym systemie cyberbezpieczeństwa weszła w życie 3 kwietnia 2026 r. i zastąpiła kategorię operatora usługi kluczowej dwiema nowymi: podmiotem kluczowym i podmiotem ważnym. Zakres obowiązków merytorycznych jest w obu przypadkach zasadniczo taki sam; wyjątkiem są podmioty ważne będące podmiotami publicznymi, które w miejsce art. 8 ust. 1 stosują wymogi z załącznika nr 4 do ustawy (art. 8 ust. 3).

Status przesądza o trybie nadzoru, obowiązku cyklicznego audytu i górnym pułapie kar. Kwalifikację przeprowadza samodzielnie sama organizacja, na podstawie art. 5 i art. 5a ustawy oraz załączników nr 1 i nr 2, ponieważ organ właściwy do spraw cyberbezpieczeństwa co do zasady nie wydaje decyzji potwierdzającej status. Poniżej znajdziesz ścieżkę decyzyjną, katalog wyjątków od kryterium wielkości oraz pięć sytuacji, w których ocena bywa błędna.

Najważniejsze pojęcia

Podmiot kluczowy to organizacja objęta ustawą o KSC w reżimie o wyższej intensywności nadzoru. Co do zasady podmiot wskazany w załączniku nr 1 do ustawy, który przewyższa wymogi dla średniego przedsiębiorstwa określone w art. 2 ust. 1 załącznika I do rozporządzenia 651/2014/UE (art. 5 ust. 1 pkt 1), a poza tym kategorie wskazane wprost w art. 5 ust. 1 pkt 2–4 oraz w art. 5 ust. 8 i 9.
Podmiot ważny to organizacja objęta ustawą w reżimie nadzoru następczego. Co do zasady średnie przedsiębiorstwo z załącznika nr 1 albo średnie i duże przedsiębiorstwo z załącznika nr 2.
Samoidentyfikacja to samodzielna analiza działalności i wielkości w oparciu o art. 5 ustawy oraz załączniki sektorowe, zakończona ustaleniem statusu i wnioskiem o wpis do Wykazu KSC
Wykaz KSC to wykaz podmiotów kluczowych i podmiotów ważnych prowadzony przez ministra właściwego do spraw informatyzacji oraz organy właściwe do spraw cyberbezpieczeństwa w zakresie nadzorowanych sektorów, w systemie teleinformatycznym, o którym mowa w art. 46 ust. 1 ustawy (potocznie: S46). Wpis następuje na wniosek podmiotu albo z urzędu.
Przedsiębiorstwa partnerskie i powiązane to podmioty, których zatrudnienie, obrót i suma bilansowa doliczane są przy ustalanzgodnie z art. 6 załącznika I do rozporządzenia Komisji (UE) nr 651/2014. Przy badaniu wielkości nie stosuje się art. 3 ust. 4 tego załącznika, dotyczącego udziału podmiotów publicznych (art. 5 ust. 3 ustawy).
Nadzór ex ante i ex post to tryb kontroli organu właściwego. Wobec podmiotów kluczowych nadzór ma charakter prewencyjny i następczy, wobec podmiotów ważnych wyłącznie następczy, w szczególności w przypadku uzasadnionego podejrzenia naruszenia przepisów ustawy (art. 53 ust. 3).

Reguła podstawowa: sektor i wielkość

Kwalifikacja opiera się na dwóch kryteriach stosowanych łącznie. Pierwsze dotyczy rodzaju prowadzonej działalności, drugie wielkości organizacji. Dopiero po ich zestawieniu sprawdza się katalog wyjątków, w których wielkość traci znaczenie.

Krok 1: sprawdź załączniki nr 1 i nr 2

Załącznik nr 1 wskazuje sektory kluczowe, między innymi energię, transport, bankowość i infrastrukturę rynków finansowych, ochronę zdrowia, wodę pitną, ścieki, infrastrukturę cyfrową, zarządzanie usługami ICT, przestrzeń kosmiczną oraz podmioty publiczne. Załącznik nr 2 wskazuje sektory ważne, w tym usługi pocztowe, gospodarowanie odpadami, chemikalia, żywność, wybrane rodzaje produkcji przemysłowej, dostawców usług cyfrowych, badania naukowe oraz podmioty publiczne. Sprawdzenia dokonuje się na poziomie konkretnych rodzajów podmiotu wymienionych w kolumnie III załączników, a nie na poziomie samego sektora; wiele pozycji jest przy tym powiązanych z konkretną koncesją, zezwoleniem albo wpisem do rejestru.

Krok 2: ustal wielkość przedsiębiorstwa

Wielkość ustala się według progów mikro, małego i średniego przedsiębiorstwa, z uwzględnieniem przedsiębiorstw partnerskich i powiązanych. Jeżeli status zależy od wielkości podmiotu, przesłanki bada się według stanu na dzień sporządzenia sprawozdania finansowego (art. 5 ust. 5 ustawy). Ministerstwo Cyfryzacji wskazuje, że przy liczeniu personelu uwzględnia się również osoby pracujące na podstawie umów cywilnoprawnych oraz właścicieli kierujących przedsiębiorstwem.

Zestawienie obu kryteriów daje regułę podstawową. Duże przedsiębiorstwo z załącznika nr 1 jest podmiotem kluczowym. Średnie przedsiębiorstwo z załącznika nr 1 jest podmiotem ważnym. Średnie i duże przedsiębiorstwo z załącznika nr 2 jest podmiotem ważnym. Podmiot spełniający jednocześnie wymogi dla obu kategorii jest podmiotem kluczowym (art. 5 ust. 4). Mikroprzedsiębiorstwa i małe przedsiębiorstwa co do zasady pozostają poza ustawą, z zastrzeżeniem wyjątków opisanych poniżej.

Kiedy wielkość nie decyduje o statusie

Ustawa wskazuje kategorie, w których status wynika z samego rodzaju podmiotu albo z progów innych niż ogólne. To częste źródło zaskoczenia w organizacjach, które ograniczyły analizę do progów zatrudnienia i obrotu.

Podmioty publiczne, przedsiębiorcy telekomunikacyjni, dostawcy usług zaufania i podmioty krytyczne (art. 7a ust. 2) oraz dotychczasowi operatorzy usług kluczowych (art. 34 ust. 2 ustawy nowelizującej) są wpisywani do Wykazu KSC z urzędu i otrzymują zawiadomienie wraz z wezwaniem do uzupełnienia danych w terminie 6 miesięcy od dnia doręczenia wezwania, pod rygorem nałożenia kary pieniężnej (art. 7b ust. 2). Pozostałe organizacje składają wniosek samodzielnie.

Co status zmienia w praktyce

Merytoryczny zakres obowiązków jest wspólny dla obu kategorii: system zarządzania bezpieczeństwem informacji, szacowanie ryzyka, bezpieczeństwo łańcucha dostaw, zgłaszanie incydentów poważnych i edukacja personelu. Różnice dotyczą sposobu, w jaki państwo weryfikuje realizację tych obowiązków.

Harmonogram jest wspólny dla obu kategorii. Podmioty, które spełniały przesłanki 3 kwietnia 2026 r., składają wniosek o wpis do Wykazu KSC do 3 października 2026 r., oraz rozpoczynają korzystanie z systemu S46 zgodnie z harmonogramem ogłaszanym w komunikacie ministra właściwego do spraw informatyzacji (art. 33 ust. 3 i art. 34 ust. 3 ustawy nowelizującej, podłączają się do systemu S46 i wdrażają obowiązki wynikające z nowych przepisów w ciągu 12 miesięcy od dnia wejścia ustawy w życie, czyli do 3 kwietnia 2027 r. Ministerstwo Cyfryzacji wskazuje, że w przypadku większości obowiązków administracyjne kary pieniężne mogą być nakładane po upływie dwóch lat od wejścia ustawy w życie, czyli po 3 kwietnia 2028 r. (art. 35 ustawy nowelizującej).

Pięć sytuacji, w których kwalifikacja bywa błędna

Pominięcie przedsiębiorstw partnerskich i powiązanych. Przy badaniu statusu mikro-, małego i średniego przedsiębiorstwa dolicza się obrótprzychody, sumę bilansową i liczbę pracowników w przedsiębiorstwach powiązanych i partnerskich, na zasadach z art. 6 załącznika I do rozporządzenia 651/2014/UE. Ustawa przewiduje jednocześnie istotny wyjątek: jeżeli podmiot spełnia wymogi wyłącznie wskutek doliczenia danych zgodnie z art. 6 ust. 2-4 załącznika I do rozporządzenia 651/2014/UE, a jego system informacyjny jest niezależny od systemów przedsiębiorstw powiązanych lub partnerskich albo nie świadczy on usług wspólnie z tymi przedsiębiorstwami, to nie jest odpowiednio podmiotem kluczowym ani podmiotem ważnym (art. 5 ust. 6 i 7). Skutkiem jest więc brak statusu, a nie samo pominięcie danych w wyliczeniu. Niezależność wymaga należytego udokumentowania.
Traktowanie kodu PKD jako rozstrzygnięcia. Kody PKD są punktem wyjścia analizy. Rozstrzyga działalność faktycznie wykonywana, potwierdzona dokumentami urzędowymi takimi jak koncesje, zezwolenia i wpisy do rejestrów działalności regulowanej. W Wykazie KSC wykazuje się działalność faktycznie prowadzoną.
Pominięcie działalności pomocniczej. Ustawa nie różnicuje wprost działalności głównej i pomocniczej - decyduje przypisanie do rodzaju podmiotu z kolumny III załącznika, a taką wykładnię potwierdza Ministerstwo Cyfryzacji. Wyjątki wynikają natomiast z treści samych załączników: w sektorach zaopatrzenia w wodę pitną i zbiorowego odprowadzania ścieków wyłączone są podmioty, dla których ta działalność jest inną niż istotna częścią ogólnej działalności, a w sektorze gospodarowania odpadami - przedsiębiorstwa, dla których te usługi nie stanowią podstawowej działalności gospodarczej w rozumieniu przepisów o statystyce publicznej.
Zatrzymanie się na pierwszej pasującej kategorii. Organizacja spełniająca kryteria obu kategorii jednocześnie jest podmiotem kluczowym i tak należy ją traktować. We wniosku o wpis wykazuje się przy tym odrębnie każdy rodzaj prowadzonej działalności (art. 7d ust. 2). Dotyczy to zwłaszcza grup prowadzących równolegle działalność z obu załączników.
Przyjęcie typu z Wykazu jako ostatecznego. Wpisy z urzędu powstają na podstawie rejestrów publicznych, które bywają niepełne. Jeżeli wezwanie do uzupełnienia danych wskazuje podmiot ważny, a własna ocena prowadzi do statusu kluczowego, po uzupełnieniu danych Wykaz przypisze właściwy typ. Aktualny status widać w polu „Typ podmiotu" w sekcji „H. Przypisanie" zakładki „Szczegóły wpisu". Przy wpisie dokonanym błędnie służy wniosek o wykreślenie, rozpatrywany w terminie miesiąca.

Jak udokumentować ocenę statusu

Organ właściwy do spraw cyberbezpieczeństwa może zwrócić się do dowolnego podmiotu z żądaniem przedstawienia informacji umożliwiających identyfikację. Nieprzekazanie tych informacji jest zagrożone karą pieniężną w wysokości 50 000 zł (art. 73b ust. 1 pkt 4 i ust. 4). Wynik samoidentyfikacji warto więc utrwalić w formie, którą da się przedstawić bez rekonstruowania analizy po latach. Minimalny zestaw obejmuje:

datę oceny oraz stan faktyczny, na którym ją oparto, w tym dane ze sprawozdania finansowego i stan zatrudnienia
listę rodzajów działalności z odniesieniem do konkretnych pozycji załącznika nr 1 lub nr 2,
wykaz przedsiębiorstw partnerskich i powiązanych wraz z uzasadnieniem ich uwzględnienia albo pominięcia,
wskazanie osoby, która zatwierdziła kwalifikację, ponieważ za realizację zadań z zakresu cyberbezpieczeństwa odpowiada kierownik podmiotu,
termin kolejnego przeglądu przesłanek.

Utrzymanie statusu po pierwszej ocenie

Kwalifikacja opisuje stan organizacji w konkretnym momencie. Zmiana zatrudnienia, obrotu, struktury właścicielskiej albo zakresu działalności może przesunąć organizację między kategoriami lub wprowadzić ją do systemu po raz pierwszy. Podmiot, który zacznie spełniać przesłanki już po wejściu ustawy w życie, składa wniosek o wpis w terminie 6 miesięcy od dnia ich spełnienia (art. 7c ust. 1), a dane w Wykazie aktualizuje w terminie 14 dni od dnia ich zmiany (art. 7c ust. 3). Od dnia spełnienia przesłanek biegnie także 12 miesięcy na realizację obowiązków z rozdziału 3 oraz 24 miesiące na pierwszy audyt (art. 16).

W praktyce oznacza to potrzebę stałego procesu zamiast jednorazowej analizy. Quantifier.ai porządkuje tę część pracy w platformie GRC: rejestr rodzajów działalności powiązanych z załącznikami, przypisanie właścicieli po stronie compliance, bezpieczeństwa i zarządu, przechowywanie dowodów przeprowadzonej oceny oraz cykliczne przeglądy przesłanek wraz z raportem dla kierownictwa. Warstwa technologiczna ogranicza pracę ręczną i utrzymuje widoczność stanu. Interpretacja przypadków granicznych, takich jak niezależność systemów informacyjnych w grupie kapitałowej, pozostaje zadaniem ekspertów i osób odpowiedzialnych w organizacji, ponieważ ocena wymaga analizy konkretnego podmiotu.

Sprawdź poziom przygotowania swojej organizacji. Wypełnij krótki test cyberbezpieczeństwa Quantifier.ai i zobacz, które obszary wymagają uwagi przed kolejnymi terminami wynikającymi z ustawy o KSC: quantifier.ai/pl/sprawdz-cyberbezpieczenstwo

FAQ — najczęściej zadawane pytania

Czy podmiot kluczowy ma więcej obowiązków niż podmiot ważny?

Merytoryczny zakres obowiązków jest taki sam dla obu kategorii, z wyjątkiem podmiotów ważnych będących podmiotami publicznymi, które stosują wymogi z załącznika nr 4 (art. 8 ust. 3). . Różnica dotyczy nadzoru i audytu. Wobec podmiotów kluczowych nadzór ma charakter prewencyjny, a audyt jest cykliczny, co najmniej raz na trzy lata. Podmioty ważne podlegają wyłącznie nadzorowi następczemu, a zewnętrzny audyt organ może im nakazać dopiero w razie incydentu poważnego lub innego naruszenia ustawy (art. 15 ust. 1b).

Czy organ wyda decyzję potwierdzającą status mojej firmy?

Co do zasady każdy podmiot analizuje swój status samodzielnie i nie otrzymuje w tej sprawie decyzji administracyjnej. Wyjątkiem jest uznanie za podmiot kluczowy albo ważny przez organ właściwy, możliwe wobec organizacji, które nie spełniają zwykłych kryteriów, na przykład jako jedyne świadczą usługę o kluczowym znaczeniu dla działalności społecznej lub gospodarczej. Odrębną podstawą jest uznanie państwowej osoby prawnej za podmiot kluczowy decyzją ministra właściwego do spraw informatyzacji (art. 7m). W obu przypadkach terminy na wdrożenie obowiązków i pierwszy audyt biegną od dnia doręczenia decyzji.

Czy średnie przedsiębiorstwo z załącznika nr 1 jest podmiotem ważnym?

Co do zasady tak. Wyjątki wynikają z art. 5 ustawy i obejmują między innymi przedsiębiorców komunikacji elektronicznej, dostawców usług zarządzanych w zakresie cyberbezpieczeństwa oraz dostawców usług DNS, którzy są podmiotami kluczowymi na innych zasadach. Odrębne progi dotyczą podmiotu leczniczego niebędącego przedsiębiorcą: jest on podmiotem ważnym przy 50–249 osobach zatrudnionych i podmiotem kluczowym od 250 osób (art. 5 ust. 8).

Co się stanie, jeżeli organizacja pomyli się przy samoidentyfikacji?

Podmioty, które nie zarejestrują się w wykazie, mogą zostać wpisane z urzędu. Za samo niezłożenie wniosku w terminie organ może nałożyć karę pieniężną na podmiot (art. 73 ust. 1a pkt 1), a odrębna kara może objąć kierownika podmiotu (art. 73a ust. 1 pkt 1). Podmiot wpisany omyłkowo może złożyć wniosek o wykreślenie z Wykazu KSC.

Czy status wpływa na terminy wdrożenia?

Terminy wpisu do Wykazu KSC oraz wdrożenia systemu zarządzania bezpieczeństwem informacji są wspólne dla obu kategorii. Status ma znaczenie dla audytu: obowiązek przeprowadzenia pierwszego audytu do 3 kwietnia 2028 r. dotyczy wszystkich podmiotów, które 3 kwietnia 2026 r. spełniały przesłanki uznania za podmiot kluczowy (art. 33 ust. 2 ustawy nowelizującej). Dotychczasowi operatorzy usług kluczowych, którzy wykonali audyt na podstawie art. 15 ust. 1, są wyłączeni jedynie ze stosowania art. 16 pkt 2 (art. 25 ustawy nowelizującej) i kontynuują trzyletni cykl liczony od raportu z ostatniego audytu. Obowiązki biegną od momentu spełnienia przesłanek, a nie od dnia wpisu do wykazu.

Autor: Weronika Czaplewska

Konsultacja merytoryczna: Ekspert ds. NIS2 i KSC

Źródła

Ministerstwo Cyfryzacji, Nowelizacja ustawy o KSC: obowiązki podmiotów kluczowych i ważnych, 5.06.2026

Ministerstwo Cyfryzacji, Q&A do nowelizacji ustawy o KSC, aktualizacja z czerwca 2026 r. (PDF)

Ministerstwo Cyfryzacji, Nowelizacja ustawy o KSC: jak dokonać samoidentyfikacji

Ministerstwo Cyfryzacji, Nowelizacja ustawy o KSC zaczyna obowiązywać

Ustawa z dnia 23 stycznia 2026 r. o zmianie ustawy o krajowym systemie cyberbezpieczeństwa oraz niektórych innych ustaw (Dz.U. 2026 poz. 252)

Obwieszczenie w sprawie ogłoszenia jednolitego tekstu ustawy o KSC (Dz.U. 2026 poz. 20)

Wykaz KSC

Kwalifikator MŚP, Polska Agencja Rozwoju Przedsiębiorczości