131 pytań Ministerstwa Cyfryzacji do KSC — kluczowe interpretacje

Czym jest dokument 131 pytań

Ministerstwo Cyfryzacji opublikowało dokument zawierający 131 pytań i odpowiedzi dotyczących ustawy o krajowym systemie cyberbezpieczeństwa, odpowiadających na wątpliwości podmiotów wdrażających. Dokument nie jest aktem prawnym — stanowi oficjalne stanowisko wykładnicze, wiążące MC w działaniach administracyjnych. Sądy administracyjne nie są nim związane, ale w praktyce jest to podstawowe narzędzie interpretacji w fazie wdrażania.

Struktura dokumentu i jak go czytać

Dokument MC jest zorganizowany tematycznie — na osiem działów odpowiadających głównym obszarom wdrożenia. Taka struktura pozwala szybko znaleźć interesującą interpretację bez czytania całości.

Samoidentyfikacja — kluczowe pytania

Dział 1 to najbardziej praktyczna część dokumentu — adresuje zamieszanie wokół progów, sektorów i zasady jedynego przedsiębiorstwa. Poniższe interpretacje są kluczowe dla każdej firmy oceniającej swój status.

• Pkt 1.1 — sektor ustalamy na podstawie faktycznie prowadzonej działalności, nie tylko PKD. Jeśli firma jest wpisana w PKD jako „produkcja mebli”, a faktycznie świadczy usługi hostingowe — klasyfikowana jest jako ICT z zał. 1.
• Pkt 1.5 — pracowników liczymy w pełnych etatach (FTE) na podstawie stanu z ostatniego roku obrotowego. Umowy zlecenia i umowy o dzieło nie liczą się jako pracownicy, jeśli nie są pracownikami w rozumieniu Kodeksu pracy.
• Pkt 1.7 — MSSP (Managed Security Service Provider) to każdy dostawca świadczący usługi zarządzania cyberbezpieczeństwem na zlecenie klienta — np. SOC as a Service, pentest na zlecenie, zarządzanie SIEM. Status podmiotu kluczowego już od poziomu małego przedsiębiorcy.
• Pkt 1.9 — przedsiębiorcy telekomunikacyjni (łączność elektroniczna) podlegają KSC niezależnie od sektora zał. 1/2. Średni i duzi są kluczowi, mikro i mali — ważni. Podstawa: art. 5 ust. 1 pkt 2 i ust. 2 pkt 4.
• Pkt 1.10 — jeśli firma spełnia kryteria obu kategorii jednocześnie (kluczowy i ważny) — klasyfikowana jest jako kluczowy. Priorytet wyższej kategorii.
• Pkt 1.15 — zasada jedynego przedsiębiorstwa (zał. I rozp. 651/2014/UE) obowiązuje — przy liczeniu wielkości sumujemy dane podmiotów powiązanych i partnerskich. Samodzielne spółki zależne mogą być oceniane niezależnie tylko przy wykazaniu pełnej niezależności (art. 5 ust. 6-7).

Wykaz S46 — praktyczne stanowiska MC

Dział 2 adresuje najwięcej wątpliwości operacyjnych dotyczących wykazu S46. MC doprecyzowało kilka kwestii, które nie wynikają wprost z ustawy.

• Pkt 2.3 — rejestracja z urzędu (13.04-6.05.2026) dotyczy podmiotów jednoznacznie identyfikowalnych z CEIDG/KRS/bazy PKD. MC nie wpisze podmiotu, który wymaga indywidualnej oceny — w takich przypadkach obowiązuje samorejestracja (7.05-3.10.2026).
• Pkt 2.7 — zmiana danych w wykazie (zmiana osoby kontaktowej, adresu, sektora) wymaga wniosku o aktualizację w ciągu 30 dni od zmiany. Dokumentowe źródło zmiany (KRS, uchwała zarządu, umowa) dołączamy do wniosku.
• Pkt 2.9 — spółki grupy kapitałowej rejestrują się osobno, chyba że są organizacyjnie jednym podmiotem (np. jeden oddział, jeden zarząd, jedno NIP). Spółka z o.o. i SA w jednej grupie — dwa osobne wpisy.
• Pkt 2.12 — wykreślenie z wykazu (utrata statusu PK/PW — np. spadek zatrudnienia poniżej progu) następuje na wniosek podmiotu z wykazaniem dowodów. Nie jest automatyczne. Do momentu wykreślenia obowiązki pozostają.
• Pkt 2.15 — podmiot zagraniczny świadczący usługi w Polsce rejestruje się przez wyznaczonego reprezentanta w UE (art. 3 ust. 3 KSC). Reprezentant odpowiada wspólnie z podmiotem.

SZBI i wdrożenie — interpretacje

Dział 3-4 przynosi najwięcej praktycznych wskazówek dla działów bezpieczeństwa. MC wypowiedziało się w kilku kwestiach, które decydują o zakresie wdrożenia.

• Pkt 3.1 — „istniejący podmiot” vs „nowy podmiot”: istniejący to każdy działający przed 7.05.2026 r. Dla niego biegną terminy od wpisu do wykazu (6 miesięcy na SZBI, 12 na pełne wdrożenie, 24 na audyt). Nowy podmiot to zawiązany/rozpoczynający działalność po 7.05.2026 — terminy biegną od dnia powstania.
• Pkt 4.2 — ISO 27001 + ISO 22301 daje domniemanie zgodności z częścią wymogów SZBI (art. 14 ust. 5a KSC), ale nie pokrywa wszystkich: nie obejmuje wpisu do wykazu, raportowania incydentów do CSIRT ani szczegółów łańcucha dostaw zdefiniowanych w KSC. Certyfikat ISO jest silnym wkładem, ale wymaga uzupełnienia.
• Pkt 4.6 — zakres SZBI obejmuje systemy wykorzystywane do świadczenia usługi kluczowej/ważnej — nie całą infrastrukturę firmy. System kadrowy czy marketing mogą być poza SZBI, jeśli nie są powiązane z usługą objętą KSC. Dokumentuj decyzję zakresową w analizie.
• Pkt 4.9 — analiza ryzyka musi być aktualizowana co najmniej raz w roku oraz przy istotnych zmianach (wprowadzenie nowej usługi, wymiana kluczowego dostawcy, po incydencie poważnym). Metodyka dowolna — ISO 27005, NIST CSF, CIS, MAGERIT są akceptowane.
• Pkt 4.12 — szkolenia personelu: dla ogólnych pracowników — przy zatrudnieniu i co 12 miesięcy; dla zarządu — co 12 miesięcy obowiązkowo (art. 14a KSC); dla ról krytycznych — dodatkowo rolowe szkolenia specjalistyczne.

Kontrowersje i ograniczenia dokumentu

Dokument 131 pytań ma też ograniczenia — nie adresuje wszystkich wątpliwości, niektóre interpretacje budzą spory, a część będzie wymagała doprecyzowania w rozporządzeniach wykonawczych lub orzecznictwie sądów administracyjnych.

• Moratorium kar — stanowisko MC (komunikat z maja 2026) mówi o okresie przejściowym bez kar za nieumyślne naruszenia do końca 2026 r. To stanowisko administracyjne, nie prawo — sądy mogą go nie uznać.
• Pokrycie DORA vs KSC — dokument nie precyzuje wszystkich punktów styku, w szczególności dla fintechów i dostawców ICT do instytucji finansowych.
• Relacja KSC — DORA — RODO — dokument częściowo adresuje, ale nie w pełni — brakuje dokładnych map procesów dla incydentów wielokategorialnych.
• Interpretacje dot. niezależności systemów (art. 5 ust. 6-7) są ogólne — konkretne przypadki grup kapitałowych wymagają indywidualnej analizy i konsultacji z MC.
• Brak szczegółowych wskazówek dla sektorów niszowych — np. biotechnologia, instytucje naukowe, NGO świadczące usługi publiczne.
• Dokument nie zawiera wzorów dokumentów (polityka, analiza ryzyka, procedury) — odsyła do norm ISO lub rozporządzeń wykonawczych (w wielu przypadkach jeszcze niewydanych).