NIS2 i KSC

Czy moja firma podlega pod ustawę o KSC? Sprawdź kilka kwestii, zanim uznasz, że to Cię nie dotyczy

Czas czytania: ok. 7 min Renata Cybula-Szwajkowska 7 sierpnia 2026

W większości przypadków sprawdzenie, czy firma podlega ustawie o KSC, sprowadza się do trzech elementów: rodzaju działalności, wielkości przedsiębiorstwa i szczególnych zasad kwalifikacji z art. 5 ustawy. Wynikiem tej analizy jest ustalenie, czy podmiot jest podmiotem kluczowym lub ważnym, albo że nie podlega obowiązkom KSC. Z własnego doświadczenia wiem, że to właśnie przy liczeniu „wielkości" najczęściej pojawiają się błędy, które utrudniają zakwalifikowanie podmiotu do odpowiedniej kategorii.

Jak liczy się wielkość przedsiębiorstwa na potrzeby ustawy o KSC?

Wielkość firmy (mikro, małe, średnie, duże) ustala się według rozporządzenia Komisji (UE) nr 651/2014 - to co innego niż liczba osób na liście płac w danym dniu. Liczy się personel w rocznych jednostkach pracy (RJP). Osoby, które nie przepracowały pełnego roku, pracujące w niepełnym wymiarze albo sezonowo, wliczają się jako ułamek RJP, a nie jako pełny etat.

Do personelu wlicza się nie tylko pracowników na umowie o pracę, ale też właścicieli-kierowników i partnerów czerpiących regularne korzyści finansowe z działalności firmy. Nie wlicza się natomiast praktykantów na szkoleniu zawodowym ani okresu urlopu macierzyńskiego lub wychowawczego.

Drugie kryterium to dane finansowe: roczny obrót i roczna suma bilansowa. Dla średniego przedsiębiorstwa próg zatrudnienia to mniej niż 250 osób, a kryterium finansowe jest spełnione, jeśli obrót nie przekracza 50 mln EUR lub suma bilansowa nie przekracza 43 mln EUR. Sprawdź oba progi, bo poprzestanie na samym obrocie bywa błędem.

Termin oceny jest inny niż w ogólnych zasadach MŚP. Rozporządzenie 651/2014 co do zasady patrzy na dwa kolejne okresy obrachunkowe. Na gruncie KSC obowiązuje jednak własna reguła z art. 5 ust. 5 ustawy: jeśli status podmiotu kluczowego lub ważnego zależy od jego wielkości, przesłanki bada się według stanu na dzień sporządzenia sprawozdania finansowego.

Czy przynależność do grupy kapitałowej zawsze zwiększa Twoją kategorię wielkości?

Nie zawsze. Jeśli Twoja firma ma powiązania kapitałowe z innymi podmiotami (spółka matka, spółki siostrzane, wspólni udziałowcy), najpierw ustal, czy są to przedsiębiorstwa partnerskie czy powiązane w rozumieniu załącznika I do rozporządzenia 651/2014. Od tego zależy, czy ich dane doliczasz proporcjonalnie, czy w całości. Spółka, która osobno wygląda jak mały podmiot, po doliczeniu danych grupy może okazać się dużym przedsiębiorcą.

Istotny wyjątek — art. 5 ust. 6 i 7 ustawy

Jeśli firma osiąga status podmiotu kluczowego lub ważnego właśnie dzięki doliczeniu danych grupy, art. 5 ust. 6 i 7 ustawy o KSC przewiduje, że mimo to nie jest ona uznawana odpowiednio za kluczową lub ważną - gdy jej system informacyjny jest niezależny od systemów przedsiębiorstw powiązanych lub partnerskich, lub gdy nie świadczy z nimi wspólnie tej samej usługi objętej ustawą. Wyjątek dotyczy więc konkretnie tej ścieżki kwalifikacji, a nie każdej firmy z niezależnym IT. Samo stwierdzenie „jesteśmy częścią dużej grupy" nie przesądza jeszcze o statusie firmy.

Czy o podleganiu KSC decyduje branża klientów?

Nie. Znaczenie ma to, jaką działalność Twoja firma faktycznie wykonuje - nie to, komu sprzedaje. Kod PKD jest wskazówką, ale przy samoidentyfikacji trzeba patrzeć na rzeczywisty charakter działalności — sam wpis w rejestrze nie przesądza jeszcze o kwalifikacji.

Producent kabli elektrycznych może podlegać ustawie o KSC ze względu na swoją działalność, nawet jeśli sprzedaje wyłącznie do hurtowni budowlanych, a nie do spółek energetycznych. O kwalifikacji decyduje profil działalności przedsiębiorstwa, nie profil jego klientów.

Czy mała firma może zostać uznana za podmiot kluczowy, mimo że nie spełnia progów wielkości?

Tak. Organ właściwy do spraw cyberbezpieczeństwa może w drodze decyzji uznać za podmiot kluczowy lub ważny także podmiot, który nie spełnia standardowych progów wielkości, jeżeli jest wskazany w załączniku nr 1 lub 2 do ustawy i spełnia co najmniej jedną z przesłanek z art. 7l ustawy o KSC. Wystarczy jedna z nich - na przykład: podmiot jako jedyny świadczy usługę o kluczowym znaczeniu dla działalności społecznej lub gospodarczej, albo zakłócenie jego usługi groziłoby poważnym zagrożeniem dla zdrowia publicznego czy bezpieczeństwa państwa.

Przykład z praktyki

Mały lub średni regionalny dostawca usługi centrum przetwarzania danych. To kategoria wprost wskazana w załączniku nr 1, w sektorze infrastruktury cyfrowej. Sam nie osiąga progu wielkości wymaganego dla podmiotu ważnego, ale jest jedynym dostawcą hostingu dla kilku szpitali w regionie. Jeżeli zakłócenie świadczonej przez niego usługi mogłoby spowodować poważne zagrożenie dla zdrowia publicznego, a spełnione byłyby też pozostałe przesłanki art. 7l, organ mógłby wydać decyzję uznającą go za podmiot ważny, mimo niespełnienia standardowych progów wielkości.

Odrębne zasady dotyczą dostawców usług zarządzanych w zakresie cyberbezpieczeństwa (MSSP), którzy mogą podlegać ustawie już od poziomu małego przedsiębiorcy, oraz dostawców usług DNS, rejestrów domen najwyższego poziomu, podmiotów świadczących usługi rejestracji nazw domen i kwalifikowanych dostawców usług zaufania - którzy podlegają ustawie niezależnie od wielkości.

Osobna zasada obowiązuje też przedsiębiorców komunikacji elektronicznej. Średni i duży przedsiębiorca komunikacji elektronicznej jest podmiotem kluczowym. Mikro- i mały przedsiębiorca komunikacji elektronicznej jest podmiotem ważnym. To jedyna kategoria w ustawie, w której nawet najmniejsza firma z tego sektora automatycznie ma status podmiotu ważnego, bez dodatkowych przesłanek uznaniowych.

Czy firma zatrudniająca mniej niż 50 osób może podlegać KSC?

Tak. Nie ma jednej uniwersalnej granicy 50 pracowników, po której obowiązki z ustawy o KSC zaczynają obowiązywać. O podleganiu decydują rodzaj rzeczywiście wykonywanej działalności, wielkość przedsiębiorstwa liczona według opisanych wyżej zasad oraz szczególne przesłanki - w tym MSSP, DNS/TLD i uznaniowa kwalifikacja z art. 7l.

Co zrobić, jeśli okaże się, że firma podlega KSC?

Jeśli podmiot nie jest objęty wpisem z urzędu, wniosek o wpis składa się elektronicznie w aplikacji Wykaz KSC, działającej w ramach Systemu S46, w terminie od 7 maja do 3 października 2026 r. - o ile przesłanki były spełnione już 3 kwietnia 2026 r. W pozostałych przypadkach termin liczy się inaczej: 6 miesięcy od dnia spełnienia przesłanek. Brak wpisu nie zwalnia z obowiązków, a sam wpis nie tworzy jeszcze statusu podmiotu kluczowego czy ważnego. O tym decyduje spełnienie przesłanek ustawowych.

Moja wskazówka

Sprawdź profil rzeczywiście wykonywanej działalności - nie kodów PKD, ale faktycznych operacji.
Policz wielkość w rocznych jednostkach pracy plus dane finansowe (obrót i suma bilansowa).
Zweryfikuj powiązania kapitałowe i to, czy dotyczy Cię wyjątek z art. 5 ust. 6 i 7.
Sprawdź przesłanki uznaniowej kwalifikacji z art. 7l. Przy liczeniu wielkości możesz skorzystać z Kwalifikatora MŚP udostępnianego przez PARP - pamiętaj, że kwalifikuje on tylko wielkość firmy, nie status w KSC. Sektor i wyjątki musisz zweryfikować osobno.

Podlegania KSC nie da się prawidłowo ocenić wyłącznie na podstawie liczby pracowników. Odpowiedź „skoro zatrudniamy mniej niż 50 osób, to NIS2 nas nie dotyczy" bywa błędna. Tak samo jak błędne może być podejście „jesteśmy częścią dużej grupy, więc z pewnością podlegamy NIS2". Ustal to teraz, póki masz czas.