Ustawa KSC: kto musi się wpisać do wykazu podmiotów kluczowych i ważnych?

Przeczytaj także: Twoja firma może nie wiedzieć, że podlega NIS2. Ostatnie dni na wpis do KSC

Eksperci Stormshield i DAGMA Bezpieczeństwo IT opisują przypadki z różnych branż, a także przybliżają istotne aspekty procesu wdrażania wymogów w obszarze cyberbezpieczeństwa ujętych w ustawie KSC.

Wpis do wykazu podmiotów kluczowych i ważnych. Co trzeba zrobić?

Jednym z pierwszych obowiązków dla podmiotów, które zostały objęte wymogami znowelizowanej Ustawy o Krajowym Systemie Cyberbezpieczeństwa, jest przygotowanie i złożenie wniosku o wpis do centralnego wykazu podmiotów kluczowych lub ważnych, utworzonego przez Ministra Cyfryzacji.

Ten proces trwa, a w przypadku niektórych podmiotów dzieje się niejako automatycznie. Aktualnie urzędy i instytucje w całej Polsce otrzymują „zawiadomienie o wpisie z urzędu do Wykazu KSC oraz wezwanie do uzupełnienia danych”. Wynika to z faktu, że państwo dysponuje już ich danymi z rejestrów publicznych.

W praktyce podmioty otrzymują indywidualne wezwanie do uzupełnienia brakujących informacji. Otrzymanie zawiadomienia oznacza, że administracja zakwalifikowała dany podmiot jako podmiot kluczowy lub ważny i wpisała go do wykazu. Wiele organizacji dopiero w tym momencie odkrywa, że podlega nowym regulacjom – mówi Aleksander Kostuch, inżynier Stormshield i doradca cyberbezpieczeństwa.

W przypadku podmiotów, które zostały z automatu wpisane do rejestru, przekazywana im korespondencja jednoznacznie wskazuje zakres danych wymagających uzupełnienia, a termin na samodzielne złożenie wniosku upływa 3 października 2026 r.

Sama procedura nie jest skomplikowana. Należy wejść na stronę wykaz-ksc.gov.pl, zalogować się jako osoba uprawniona do reprezentowania podmiotu, a następnie wybrać opcję „Wprowadź kod wezwania”. W kolejnych krokach uzupełnić pola oznaczone jako „brak danych w wykazie” oraz zweryfikować dane wcześniej wpisane do niego automatycznie. Ostatnią kwestią jest wskazanie administratora konta w systemie S46 – mówi Aleksander Kostuch.

Inaczej jest w przypadku firm i innych podmiotów komercyjnych, które muszą samodzielnie przejść całą ścieżkę. Z ich perspektywy największym wyzwaniem okazuje się prawidłowa samoidentyfikacja.

Wiele organizacji błędnie zakłada, że brak otrzymanego pisma oznacza brak konieczności dokonania wpisu, a to niestety nie jest równoznaczne. Osobiście zalecam, aby dla własnego bezpieczeństwa sprawdzić, jak jest w przypadku naszej organizacji, bo przecież brak spełnienia obowiązków może prowadzić do nałożenia kar – podkreśla Piotr Zielaskiewicz, menadżer w Dagma Bezpieczeństwo IT.

Kto podlega ustawie KSC? Liczy się sektor i wielkość firmy

Ministerstwo Cyfryzacji wskazuje, że przy samoidentyfikacji należy brać pod uwagę profil działalności, właściwy kod PKD i wielkość podmiotu oraz szczególne przesłanki określone w ustawie.

Bazą do oceny czy podmiot spełnia przesłanki objęcia go obowiązkami wprowadzonymi wiosenną nowelizacją Ustawy KSC, są przede wszystkim sektor, w którym prowadzona jest działalność.

Podmioty kluczowe – podmioty działające m.in. w sektorach: energetyka, transport, bankowość, infrastruktura rynków finansowych, ochrona zdrowia, zaopatrzenie w wodę pitną, ścieki, infrastruktura cyfrowa, administracja publiczna, przestrzeń kosmiczna oraz zarządzanie usługami ICT, dostawcy usług zarządzanych w zakresie cyberbezpieczeństwa (MSSP).

Podmioty ważne – podmioty działające m.in. w sektorach: usługi pocztowe i kurierskie, gospodarowanie odpadami, produkcja i dystrybucja chemikaliów, produkcja, przetwarzanie i dystrybucja żywności, produkcja wyrobów przemysłowych, usługi cyfrowe, badania naukowe oraz inwestorzy obiektów energetyki jądrowej.

O zakwalifikowaniu decyduje również wielkość. Co do zasady duże przedsiębiorstwa są podmiotami kluczowymi, a średnie podmiotami ważnymi. Punktem wyjścia do oceny czy podmiot zalicza się do tej kategorii pozostaje rozporządzenie UE 651/2014, w myśl którego firmy średnie to podmioty zatrudniające do 250 pracowników i których roczny obrót lub roczna suma bilansowa nie przekraczają kwot, odpowiednio 50 lub 43 mln Euro.

Z kolei podmiotami dużymi są te firmy, które zatrudniają co najmniej 250 osób. Należy jednak zastrzec, że oceny nie powinno się dokonywać jedynie w oparciu o liczbę pracowników, a przesłanki (sektorowe i wielkościowe) muszą zostać spełnione łącznie.

Jednocześnie ustawa wprowadziła katalog podmiotów, które podlegają regulacjom niezależnie od wielkości (wyjątki zostały ujęte w art. 5 ust. 1 pkt 4). Tak jest w przypadku firm świadczących usługi w obszarach: rejestrów TLD, usług DNS, kwalifikowanych dostawców usług zaufania i rejestratorów domen. Podlegają one nowym obowiązkom.

Co szczególnie ważne, wyjątki dotyczą również sektorów krytycznych, a więc na przykład wodno-kanalizacyjnego, energetyki, w tym obiektów energetyki jądrowej oraz ciepłownictwa.

Wiele lokalnych zakładów wodociągowych czy ciepłowni również podlega ustawie, choć biorąc pod uwagę skalę działalności, mogłoby się wydawać, że obowiązki z nią związane w ich przypadku nie występują – wyjaśnia Aleksander Kostuch ekspert Stormshield, europejskiego producenta technologii bezpieczeństwa IT.

Samoidentyfikacja KSC. Z tym mają problemy firmy i instytucje
Przypadek 1 – samorząd terytorialny.

Sytuacja w jednej z jednostek samorządu terytorialnego, która realizuje zadania publiczne za pośrednictwem kilku jednostek organizacyjnych. W jej strukturze funkcjonują m.in.: jednostka wodociągowo-kanalizacyjna zatrudniająca powyżej 50 pracowników, szkoły zatrudniające poniżej i powyżej 50 pracowników, ośrodek pomocy społecznej zatrudniający poniżej 50 pracowników, a także centrum usług wspólnych zatrudniające poniżej 50 pracowników.

Z tych jednostek ta odpowiedzialna za obszar wodociągów i kanalizacji realizuje działalność uznawaną w myśl przepisów za sektor krytyczny, a pozostałe wykonują zadania publiczne o innym charakterze. Pojawia się konieczność rozstrzygnięcia kwestii, czy status podmiotu kluczowego dotyczy wyłącznie jednostki wodno-ściekowej.

Z drugiej strony wątpliwości organizacji dotyczą tego, czy szkoły zatrudniające powyżej 50 pracowników powinny zostać zakwalifikowane jako podmioty ważne czy kluczowe? A przede wszystkim czy każdą jednostkę należy analizować indywidualnie lub jako część struktury JST. Oceniam, że podobne pytania padają w niejednej polskiej gminie – wskazuje Paweł Pudo, audytor systemów zarządzania w Dagma Bezpieczeństwo IT.

Rozstrzygnięcie: w myśl ustawy urząd gminy zatrudniający ponad 50 pracowników jest podmiotem kluczowym. Natomiast zakład komunalny, ośrodek pomocy społeczne, szkoły i przedszkola to osobne jednostki organizacyjne, które (niezależnie od liczby pracowników) posiadają status podmiotów ważnych.

Przypadek 2 – hotel i restauracja

Innym ciekawym przypadkiem jest hotel, którego liczba pracowników przekracza 250. Przedsiębiorstwo oprócz podstawowej działalności prowadzi także restaurację i świadczy usługi związane z przygotowywaniem żywności.

Organizacja przekracza próg dużego przedsiębiorstwa, a jednocześnie prowadzi działalność związaną z przetwarzaniem żywności. W związku z tym pojawiają się pytania, czy sam fakt zatrudniania powyżej 250 pracowników powoduje objęcie organizacji ustawą oraz czy działalność gastronomiczna może skutkować uznaniem podmiotu za podmiot ważny?

Wątpliwości, z którymi może mierzyć się nie tylko ten konkretny podmiot, dotyczą kwestii, która działalność powinna zostać uznana za dominującą – mówi ekspert DAGMA Bezpieczeństwo IT.

Rozstrzygnięcie: zgodnie z wykładnią prawa, handel detaliczny oraz usługi gastronomiczne (w tym restauracje hotelowe) przygotowujące posiłki bezpośrednio dla konsumentów końcowych są wyłączone z zakresu KSC, podobnie jak hotelarstwo. Ustawa KSC dotyczy przemysłowego przetwórstwa żywności.

Przypadek 3 – usługi krytyczne jedynie na swoje potrzeby

Kolejnym niestandardowym przypadkiem jest ten związany z posiadaniem przez jedno z przedsiębiorstw własnej infrastruktury wodociągowej i kanalizacyjnej. Organizacja będąca jej właścicielem i użytkownikiem przekracza próg zatrudnienia kwalifikujący ją do kategorii pomiotów kluczowych.

W tym przypadku mamy jednak do czynienia z sytuacją, w której podmiot posiada infrastrukturę wodno-ściekową, ale nie świadczy usług w tym obszarze na rzecz odbiorców zewnętrznych. Jest ona wykorzystywana jedynie na własne potrzeby. To rodzi wątpliwości, co do obowiązku dokonania wpisu – mówi Paweł Pudo.

Rozstrzygnięcie: ustawa nakłada obowiązki na "dostawców" i "podmioty gospodarujące" zasobami wodnymi dla ludności. Zużycie wewnętrzne nie czyni z podmiotu przedsiębiorstwa wodno-kanalizacyjnego, co oznacza brak obowiązków wynikających z przepisów KSC.

Przypadek 4 – a co z „samozatrudnionymi”?

Organizacja zatrudnia liczbę pracowników zbliżoną do progu kwalifikacyjnego, a jednocześnie korzysta z usług osób współpracujących z nią w modelu B2B.

I w zależności od przyjętej metody obliczeń może być zaliczona zarówno do kategorii poniżej, jak i powyżej progu 50 pracowników. Abstrahując od troski o bezpieczeństwo własnych zasobów, podleganie obowiązkom ustawy rodzi konsekwencje dla organizacji.

Nie dziwi więc zatem, że kwestia tego, jak prawidłowo ustalić poziom zatrudnienia na potrzeby samoidentyfikacji spędza sen z powiek zarządu – podkreśla Paweł Pudo.

Rozstrzygnięcie: organizacja balansująca na granicy progów wielkościowych musi precyzyjnie obliczyć liczbę personelu w Rocznych Jednostkach Pracy (RJP), ponieważ od tego zależy podleganie pod ustawę o KSC.

Prawidłowa kalkulacja eliminuje ryzyko błędnej samoidentyfikacji i opiera się na bezwzględnych zasadach: Do RJP należy wliczyć jednoosobowe działalności gospodarcze (JDG). Zgodnie z art. 22 § 1 Kodeksu pracy, decyduje stan faktyczny: jeśli samozatrudniony świadczy usługi osobiście, w sposób ciągły, w miejscu, czasie i pod nadzorem wyznaczonym przez firmę, to taka relacja nosi cechy stosunku pracy. Unijne prawo nakazuje ująć te osoby w limicie personelu.

System S46. Firmy muszą być gotowe do korzystania z systemu

Powiązany z wpisem do rejestru podmiotów kluczowych i ważnych jest wątek przygotowania do korzystania z systemu S46. W założeniu ustawodawcy ma być on podstawowym kanałem komunikacji między podmiotami ujętymi w spisie, a właściwymi organami i zespołami CSIRT poziomu krajowego (na przykład będącym w trakcie organizacji CSIRT Infrastruktura).

W myśl przepisów gotowość formalno-rejestrowa (którą również należy osiągnąć do 3 października br.) oznacza, że podmiot jest technicznie i organizacyjnie przygotowany do realizacji obowiązków ustawowych poprzez system, a także ma za sobą prawidłową identyfikację jako podmiot kluczowy lub ważny, potwierdzoną wpisem do Wykazu KSC.

Przy czym spełnienie wymogów technicznych obejmuje wskazanie niezbędnych danych organizacji, wyznaczenie osób uprawnionych do działania w systemie z zapewnieniem dostępu do środowiska S46 Cyber Hub – wyjaśnia Aleksander Kostuch ze Stormshield.

Łańcuch dostaw a KSC. Obowiązki mogą dotyczyć także dostawców

Współpraca z podmiotami, które są objęte obowiązkami nowej ustawy, może nieść konsekwencje również dla firm, które same z siebie pod jej przepisy nie podlegają. Podmioty kluczowe i ważne mają ustawowy obowiązek weryfikacji swoich dostawców usług IT i cyberbezpieczeństwa.

 Ataki na łańcuch dostaw to coraz powszechniejsza praktyka. To skłania szczególnie większe organizacje do oczekiwania spełnienia przez dostawców wymogów bezpieczeństwa, w duchu zasad określonych w nowej ustawie KSC. Oczekiwania te mogą dotyczyć między innymi zarządzania ryzykiem, kontroli dostępu, aktualizacji i usuwania podatności, ochrony wymienianych informacji za pomocą tuneli szyfrowanych mocnymi algorytmami, zgłaszania incydentów, zapewnienia ciągłości działania oraz poddawania się audytom bezpieczeństwa.

Spełnienie tych warunków może zostać zapisane w umowie i stanowić warunek rozpoczęcia lub kontynuowania współpracy – podkreśla Aleksander Kostuch, ekspert europejskiego producenta technologii cyberbezpieczeństwa.