Twoja firma może nie wiedzieć, że podlega NIS2. Ostatnie dni na wpis do KSC

Przeczytaj także: Ustawa KSC: kto musi się wpisać do wykazu podmiotów kluczowych i ważnych?

Kogo dotyczy obowiązek wpisu do KSC?

Nowe przepisy obejmują szeroki katalog przedsiębiorstw z 18 sektorów najistotniejszych dla państwa i gospodarki. Polska ustawa precyzuje, których podmiotów dotyczą nowe obowiązki oraz rozszerza ich zakres o inwestycje w energetykę jądrową. Jako sektory kluczowe wskazuje m.in. energetykę, transport, bankowość, infrastrukturę rynków finansowych, ochronę zdrowia, zaopatrzenie w wodę pitną i jej dystrybucję, zbiorowe odprowadzanie ścieków, infrastrukturę cyfrową, zarządzanie usługami ICT, przestrzeń kosmiczną oraz podmioty publiczne. Ustawa o krajowym systemie cyberbezpieczeństwa dotyczy głównie średnich i dużych firm, jednak o obowiązku wpisu nie przesądza wyłącznie przynależność do danej branży.

- Największym problemem może być dziś nie samo wdrożenie nowych obowiązków, ale ustalenie czy firma w ogóle im podlega. Przedsiębiorcy często szukają swojej branży na liście sektorów objętych przepisami i na tej podstawie wyciągają wnioski. Tymczasem podobnie działające firmy mogą mieć różny status, jeśli różni je skala działalności, zakres usług czy rola, jaką pełnią w łańcuchu dostaw. Dlatego warto przeanalizować konkretny model biznesowy, a nie opierać się wyłącznie na branży - mówi mec. Przemysław Jaworski z kancelarii LEGALLY.SMART, ekspert ds. elektromobilności i nowych technologii.

Zgodnie z informacjami z Ministerstwa Cyfryzacji, kluczowe znaczenie ma rodzaj prowadzonej działalności, świadczone usługi, wielkość przedsiębiorstwa, powiązania kapitałowe oraz rola pełniona w łańcuchu dostaw. Jak szacuje resort cyfryzacji, z około 38 tys. objętych przepisami podmiotów, blisko 11 tys. stanowią podmioty niepubliczne.

Obowiązek może dotyczyć także firm z branży energetycznej

Przepisy mogą objąć przedsiębiorstwa z podsektorów energii elektrycznej, ciepłownictwa, ropy naftowej, gazu ziemnego i wodoru. Chodzi m.in. o wytwórców energii, operatorów systemów przesyłowych i dystrybucyjnych, sprzedawców energii, operatorów magazynów energii, agregatorów, operatorów punktów ładowania pojazdów elektrycznych i przedsiębiorstwa ciepłownicze. Dotyczy to także firm zajmujących się m.in. magazynowaniem i przesyłem ropy naftowej, gazu ziemnego i wodoru.

Związek z branżą energetyczną nie oznacza jednak automatycznie objęcia ustawą. O obowiązku wpisu decydują m.in. charakter działalności, wielkość firmy, jej powiązania kapitałowe oraz wyłączenia przewidziane w ustawie.

Obowiązek może dotyczyć także handlu

Przepisy mogą objąć również część przedsiębiorstw handlowych, m.in. hurtownie spożywcze, dystrybutorów (i producentów) chemikaliów oraz operatorów internetowych platform handlowych.

Tu także sam fakt prowadzenia sprzedaży nie oznacza jednak automatycznie objęcia ustawą. O obowiązku wpisu decydują m.in. charakter działalności, wielkość firmy, jej powiązania kapitałowe oraz wyłączenia przewidziane w ustawie.

Zarząd powinien spojrzeć także na umowy z dostawcami

Jednym z obszarów, które firmy powinny przeanalizować, są relacje z zewnętrznymi dostawcami technologii i usług. Outsourcing części procesów nie oznacza bowiem, że przedsiębiorstwo może przestać interesować się związanym z nimi ryzykiem.

- Dobrym przykładem są stacje ładowania samochodów elektrycznych. Właściciel infrastruktury i podmiot, który faktycznie nią zarządza, nie zawsze są tym samym przedsiębiorstwem. Jeżeli obsługę powierzono zewnętrznemu operatorowi, warto precyzyjnie określić zakres odpowiedzialności, zasady reagowania na incydenty i dostęp do informacji, zanim pojawi się realny problem - podkreśla mec. Przemysław Jaworski.

Jak sprawdzić, czy firma jest już w wykazie KSC?

Nie każde przedsiębiorstwo musi rejestrować się samodzielnie. Minister Cyfryzacji wpisał z urzędu m.in. podmioty publiczne, przedsiębiorców telekomunikacyjnych, dostawców usług zaufania i dotychczasowych operatorów usług kluczowych. Wykaz KSC nie jest jawny. Informację o swoim statusie przedsiębiorca może zweryfikować dopiero po zalogowaniu się w serwisie wykaz-ksc.gov.pl.

Jeżeli dana firma spełniała kryteria ustawy już 3 kwietnia 2026 r. i nie została wpisana z urzędu, to do 3 października 2026 r. musi samodzielnie złożyć stosowny wniosek. Firmy wpisane automatycznie z urzędu otrzymały zawiadomienie z kodem dostępu i muszą w ciągu sześciu miesięcy uzupełnić swoje dane. Jeżeli podmiot powinien zostać wpisany z urzędu, a nie otrzymał zawiadomienia, może zgłosić to na adres S46-admin@nask.pl.

Jakie są kary za brak wpisu do rejestru?

Wpis do wykazu jedynie potwierdza status wynikający z ustawy. Firma, która spełnia kryteria, automatycznie posiada obowiązki podmiotu kluczowego lub ważnego, nawet jeśli nie złożyła wymaganego wniosku. Konsekwencją niedopełnienia tego obowiązku mogą być kary finansowe nakładane przez organ nadzoru.

W przypadku podmiotów kluczowych kara wynosi co najmniej 20 tys. zł, a jej górny limit to równowartość 10 mln euro albo 2 proc. przychodów z działalności gospodarczej osiągniętych w roku obrotowym poprzedzającym ukaranie. Z kolei podmiot ważny może zostać ukarany kwotą od 15 tys. zł do równowartości 7 mln euro albo 1,4 proc. przychodów. Wybiera się zawsze stawkę wyższą. Dodatkowo przepisy przewidują również odpowiedzialność osób kierujących organizacją.

Co dyrektywa NIS2 oznacza dla zarządów firm?

Konieczność rejestracji to dopiero początek nowych wyzwań. Przedsiębiorstwa objęte ustawą będą musiały wdrożyć rozwiązania techniczne i organizacyjne, a do 3 kwietnia 2027 r. podłączyć się do systemu S46. System ten posłuży do zgłaszania incydentów do zespołów reagowania CSIRT oraz odbierania ostrzeżeń o zagrożeniach.

Eksperci ostrzegają, że nowych przepisów nie należy ignorować.

- NIS2 zmienia przede wszystkim sposób myślenia o odpowiedzialności za cyberbezpieczeństwo. To nie jest już temat, który zarząd może po prostu przekazać działowi IT. Kierownictwo powinno wiedzieć, jakie są najważniejsze ryzyka organizacji, kto odpowiada za ich ograniczanie i czy firma jest przygotowana na sytuację, w której rzeczywiście dochodzi do poważnego incydentu – podkreśla mec. Przemysław Jaworski z kancelarii LEGALLY.SMART.

Dostosowanie się do norm wyznaczonych przez dyrektywę to także nowe obciążenia finansowe.

- Wpis do Wykazu KSC oznacza, że przedsiębiorstwo musi przygotować się na nowe, stałe obowiązki i związane z nimi wydatki. To mogą być nakłady na rozwiązania techniczne, procedury, organizację bezpieczeństwa, szkolenia czy obsługę incydentów. Dla firmy oznacza to konieczność uwzględnienia kolejnej kategorii kosztów w budżecie i cash flow.

Im wcześniej przedsiębiorstwo określi skalę potrzebnych nakładów i zabezpieczy na nie środki, tym mniejsze ryzyko, że ich kumulacja zachwieje bieżącą płynnością. Szczególnie w średnich firmach nawet kilka nieplanowanych wydatków ponoszonych w krótkim czasie może ograniczyć kapitał dostępny na wynagrodzenia, podatki, zakup materiałów czy realizację kolejnych kontraktów – ocenia Maciej Ostaszewski z eFaktor, firmy specjalizującej się w finansowaniu małych i średnich przedsiębiorstw.

Co zrobić przed 3 października?

1. Ustalić status firmy: przeanalizować faktyczny zakres działalności, kod PKD, wielkość przedsiębiorstwa oraz dane podmiotów partnerskich i powiązanych.
2. Sprawdzić, czy firma jest już w wykazie: zalogować się w serwisie wykaz-ksc.gov.pl i zweryfikować, czy wpisu dokonano z urzędu.
3. Złożyć wniosek: jeśli firma spełniała kryteria 3 kwietnia 2026 r. i nie została wpisana z urzędu, musi to zrobić najpóźniej 3 października.
4. Przygotować wdrożenie: wyznaczyć osoby odpowiedzialne, przeprowadzić analizę ryzyka, zaplanować działania techniczne i organizacyjne, a ich koszty ująć w budżecie i planie płynności finansowej.