Co to jest KSC i kogo dotyczy
Krajowy System Cyberbezpieczeństwa (KSC) to polski system ochrony cyberprzestrzeni, oparty na ustawie z dnia 5 lipca 2018 r. o krajowym systemie cyberbezpieczeństwa (t.j. Dz.U. z 2026 r. poz. 20 i 252), która wdraża dyrektywę NIS 2 do polskiego porządku prawnego. Ustawa nakłada obowiązki na dwie kategorie podmiotów: podmioty kluczowe i podmioty ważne. Każda organizacja ma obowiązek samodzielnie ocenić, czy spełnia kryteria klasyfikacji — to tzw. samoidentyfikacja (Q&A Ministerstwa Cyfryzacji, pkt 1.1).
3 kroki samoidentyfikacji
Samoidentyfikacja sprowadza się do trzech kroków: określenia sektora działalności, zbadania wielkości przedsiębiorstwa i ustalenia statusu (podmiot kluczowy lub ważny). Każdy z tych kroków wymaga analizy konkretnych danych organizacji w odniesieniu do przepisów ustawy.
- Krok 1 — Sektor: Sprawdź, czy Twoja działalność jest wymieniona w załączniku nr 1 (sektory kluczowe: energetyka, transport, zdrowie, woda, infrastruktura cyfrowa, bankowość, rynek finansowy, przestrzeń kosmiczna, zarządzanie usługami ICT) lub załączniku nr 2 (sektory ważne: usługi cyfrowe, administracja, badania, odpady, produkcja, poczta, chemia, żywność). Działalność określ na podstawie kodów PKD, koncesji i wpisów rejestrowych (Q&A pkt 1.1).
- Krok 2 — Wielkość: Zweryfikuj dane ze sprawozdania finansowego. Duży przedsiębiorca (≥ 250 pracowników lub (obrót > 50 mln EUR oraz suma bilansowa > 43 mln EUR)) z załącznika nr 1 to podmiot kluczowy. Średni przedsiębiorca (50–249 pracowników, obrót 10–50 mln EUR) z załącznika nr 1 lub średni/duży z załącznika nr 2 to podmiot ważny (art. 5 ust. 1–2, Q&A pkt 1.5).
- Krok 3 — Status: Na podstawie sektora i wielkości ustal, czy jesteś podmiotem kluczowym czy ważnym. Jeśli spełniasz kryteria obu kategorii jednocześnie — jesteś podmiotem kluczowym (Q&A pkt 1.10).
Wyjątki i przypadki szczególne
Ustawa przewiduje kilka kategorii podmiotów, które podlegają KSC niezależnie od wielkości przedsiębiorstwa (art. 5 ust. 1 pkt 4). Są to m.in. dostawcy usług DNS, kwalifikowani dostawcy usług zaufania, podmioty krytyczne (CER) oraz podmioty publiczne wskazane w załączniku nr 1. Dostawcy usług zarządzanych w zakresie cyberbezpieczeństwa (MSSP) są podmiotami kluczowymi już od poziomu małego przedsiębiorcy (art. 5 ust. 1 pkt 3, Q&A pkt 1.7).
| Przypadek szczególny | Status w KSC | Podstawa prawna |
|---|---|---|
| Dostawca usług DNS | Podmiot kluczowy (niezależnie od wielkości) | art. 5 ust. 1 pkt 4 lit. a |
| Kwalifikowany dostawca usług zaufania | Podmiot kluczowy (niezależnie od wielkości) | art. 5 ust. 1 pkt 4 lit. b |
| MSSP (mały, średni lub duży) | Podmiot kluczowy | art. 5 ust. 1 pkt 3 |
| Przedsiębiorca telekom (średni/duży) | Podmiot kluczowy | art. 5 ust. 1 pkt 2 |
| Przedsiębiorca telekom (mikro/mały) | Podmiot ważny | art. 5 ust. 2 pkt 4 |
| Spółka zależna z niezależnym IT | Możliwe wyłączenie z KSC | art. 5 ust. 6–7 |
Co dalej — rejestracja i obowiązki
Jeśli Twoja organizacja spełnia kryteria podmiotu kluczowego lub ważnego, musisz złożyć wniosek o wpis do wykazu w terminie 6 miesięcy od dnia spełnienia przesłanek (art. 7c ust. 1). Podmioty istniejące w dniu wejścia w życie ustawy (3 kwietnia 2026 r.) mają czas do 3 października 2026 r. Wniosek składa się elektronicznie w systemie S46 — cały proces opisujemy w przewodniku rejestracji krok po kroku. Sprawdź też, jakie grożą kary za brak rejestracji.
Pogłębienie tematu — kolejne kroki
Po przejściu samoidentyfikacji warto zgłębić wybrany aspekt klasyfikacji. Każdy z poniższych artykułów rozwija jeden z tematów dotkniętych powyżej — niezależnie od tego, czy chcesz dokładnie zrozumieć różnicę między kategoriami, sprawdzić obowiązki dla swojej kategorii, czy poznać sytuację MŚP.
- Podmiot kluczowy vs. ważny — sprawdź swój status — pełne porównanie obu kategorii: progi (zał. 1 i 2), nadzór (proaktywny vs. reaktywny), kary administracyjne (art. 73 ust. 3 i 4) i konsekwencje statusu.
- Podmiot ważny KSC — obowiązki i reżim nadzoru — deep-dive w sytuację PW: progi z zał. 2, obowiązki z art. 8, nadzór reaktywny, terminy i sankcje. Dla podmiotów, które wiedzą już że są ważne.
- Kiedy MŚP podlega ustawie o KSC? — perspektywa mikro/małej/średniej firmy: kiedy wyłączenie spod progu nie obowiązuje (art. 5 ust. 1 pkt 3 i 4), pułapka jedynego przedsiębiorstwa, sektor ICT bez progu wielkości.
- Czy SZBI jest obowiązkowe? Kogo dotyczy KSC — encyklopedia 30 najczęściej zadawanych pytań z trzech obszarów: kwalifikacja, SZBI, terminy i odpowiedzialność.
- Specyficzne przypadki sektorowe: Producent żywności w KSC — czy podlegam? · Firma odpadowa w KSC — czy podlegam? — odpowiedzi specyficzne dla działalności głównej (PKD) i progów sektorowych.