Czy moja prywatna firma podlega KSC?
Ustawa o krajowym systemie cyberbezpieczeństwa (Dz.U. 2026 poz. 20), obowiązująca od 3 kwietnia 2026 r., implementuje unijną dyrektywę NIS2 i obejmuje zarówno podmioty publiczne, jak i prywatne. Kluczowe pytanie dla każdego przedsiębiorcy brzmi: czy moja firma spełnia oba warunki objęcia ustawą jednocześnie? Pierwszym warunkiem jest działanie w sektorze wymienionym w Załączniku 1 (podmioty kluczowe) lub Załączniku 2 (podmioty ważne) do ustawy. Drugim warunkiem jest zaliczenie się do kategorii dużego lub średniego przedsiębiorcy. Wyjątek bez progu wielkości (art. 5 ust. 1 pkt 4 KSC) jest zamknięty i obejmuje tylko: dostawców usług DNS, kwalifikowanych dostawców usług zaufania, rejestry TLD oraz podmioty świadczące rejestrację nazw domen. MSSP (dostawca usług zarządzanych w cyberbezpieczeństwie) jest PK od małego przedsiębiorcy (art. 5 ust. 1 pkt 3). Pozostali dostawcy usług cyfrowych (chmura, CDN, centrum danych, marketplace, wyszukiwarka, social media) podlegają standardowemu progowi z zał. 1 lub zał. 2.
| Pytanie kontrolne | Odpowiedź TAK | Odpowiedź NIE |
|---|---|---|
| Czy Twoja firma działa w sektorze z Załącznika 1 lub 2 do ustawy o KSC? | Przejdź do pytania 2 | Ustawa nie dotyczy Twojej firmy — na razie monitoruj zmiany |
| Czy Twoja firma jest dużym przedsiębiorcą — przewyższa progi MŚP z art. 2 ust. 1 zał. I rozp. 651/2014/UE (≥ 250 pracowników, LUB jednocześnie obrót > 50 mln EUR ORAZ suma bilansowa > 43 mln EUR)? | Firma podlega KSC: zał. 1 → podmiot kluczowy (art. 5 ust. 1 pkt 1); zał. 2 → podmiot ważny (art. 5 ust. 2 pkt 2) | Przejdź do pytania 3 |
| Czy Twoja firma jest średnim przedsiębiorcą (50–249 pracowników ORAZ obrót do 50 mln EUR LUB suma bilansowa do 43 mln EUR)? | Firma podlega KSC: zał. 1 → podmiot ważny (art. 5 ust. 2 pkt 1); zał. 2 → podmiot ważny (art. 5 ust. 2 pkt 2). Wyjątek dla MSSP — art. 5 ust. 1 pkt 3 (status PK także dla MŚP) | Firma nie spełnia progu — sprawdź powiązania kapitałowe oraz wyjątki podmiotowe z art. 5 ust. 1 pkt 4 KSC (DNS, dostawcy usług zaufania, podmioty krytyczne, podmioty publiczne z zał. 1) |
| Czy Twoja firma należy do grupy kapitałowej? (zasada jednego przedsiębiorstwa — art. 3 ust. 3 zał. I rozp. 651/2014/UE) | Progi liczy się łącznie z przedsiębiorstwami powiązanymi i partnerskimi — może dojść do objęcia ustawą | Oceń firmę samodzielnie według poprzednich pytań |
| Czy Twoja firma jest jednym z podmiotów bez progu wielkości — dostawca usług DNS (a), kwalifikowany dostawca usług zaufania (b), rejestr TLD (i) lub rejestrator nazw domen (j) — zgodnie z art. 5 ust. 1 pkt 4 KSC? | Firma jest podmiotem kluczowym niezależnie od wielkości | Jeżeli świadczysz inne usługi cyfrowe (chmura, CDN, marketplace, social media itp.) — stosuj standardowe progi z pytań 1–3 i zał. 1 lub 2 |
| Czy Twoja firma świadczy usługi zarządzane w zakresie cyberbezpieczeństwa (MSSP) — np. SOC, MDR, IRT (art. 5 ust. 1 pkt 3 KSC)? | Firma jest podmiotem kluczowym od poziomu małego przedsiębiorcy (mikroprzedsiębiorca wyłączony) | Klasyczny dostawca usług zarządzanych IT (MSP, bez funkcji bezpieczeństwa) podlega standardowemu progowi z zał. 1 |
Wynik oceny determinuje nie tylko fakt podlegania ustawie, ale i kategorię podmiotu. Podmioty kluczowe (PK) działają w sektorach z Załącznika 1 i podlegają surowszym wymaganiom i wyższym karom. Podmioty ważne (PW) z Załącznika 2 mają nieco łagodniejszy reżim, choć zakres obowiązków technicznych jest zbliżony. Jeśli nie masz pewności co do klasyfikacji swojej firmy, skonsultuj się z prawnikiem specjalizującym się w prawie cyberbezpieczeństwa.
Sektory z firmami prywatnymi w KSC
Ustawa obejmuje szerokie spektrum sektorów, w których dominują lub aktywnie działają podmioty prywatne. Wbrew powszechnemu przekonaniu, KSC to nie tylko regulacja dla spółek Skarbu Państwa czy administracji publicznej — prywatne przedsiębiorstwa stanowią znaczącą część podmiotów objętych obowiązkami.
| Sektor | Załącznik | Przykłady firm prywatnych | Status |
|---|---|---|---|
| Energia elektryczna i gaz | Załącznik 1 (PK) | Prywatni producenci energii, operatorzy sieci dystrybucyjnych, dostawcy gazu | Podmiot kluczowy |
| Telekomunikacja | Załącznik 1 (PK) | Operatorzy sieci komórkowych i stacjonarnych, dostawcy Internetu (ISP) | Podmiot kluczowy |
| Bankowość i infrastruktura finansowa | Załącznik 1 (PK) | Prywatne banki komercyjne, domy maklerskie, izby rozliczeniowe | Podmiot kluczowy |
| Ochrona zdrowia | Załącznik 1 (PK) | Prywatne szpitale, sieci klinik, laboratoria diagnostyczne, producenci wyrobów medycznych | Podmiot kluczowy |
| Przestrzeń kosmiczna | Załącznik 1 (PK) | Prywatni operatorzy satelitarni, dostawcy usług nawigacyjnych | Podmiot kluczowy |
| Ubezpieczenia | Załącznik 1 (PK) | Prywatne towarzystwa ubezpieczeniowe, brokerzy ubezpieczeniowi | Podmiot kluczowy |
| Infrastruktura cyfrowa (chmura, CDN, centrum danych, DNS, TLD, rejestr domen) | Załącznik 1 (PK) | Operatorzy chmury (IaaS/PaaS/SaaS), hostingodawcy, dostawcy DNS, rejestratorzy domen, operatorzy TLD .pl/.com/.eu | Podmiot kluczowy — duży zał. 1; średni → PW (art. 5 ust. 2 pkt 1). DNS, kwalifikowany dostawca zaufania, TLD i rejestrator domen — PK bez progu wielkości (art. 5 ust. 1 pkt 4 lit. a, b, i, j) |
| Dostawcy usług cyfrowych (marketplace, wyszukiwarka, social media) | Załącznik 2 (PW) | Platformy e-commerce, aukcyjne, wyszukiwarki, media społecznościowe | Podmiot ważny — średni i duży (art. 5 ust. 2 pkt 7). Mikro/mały — wyłączony, chyba że objęty wyjątkiem podmiotowym |
| Produkcja (wyroby metalowe, elektryczne, chemiczne, spożywcze) | Załącznik 2 (PW) | Fabryki, zakłady przemysłowe, producenci żywności i napojów | Podmiot ważny |
| Usługi pocztowe i kurierskie | Załącznik 2 (PW) | Prywatne firmy kurierskie, operatorzy pocztowi | Podmiot ważny |
| Gospodarka odpadami | Załącznik 2 (PW) | Zakłady utylizacji i recyklingu odpadów, firmy gospodarcze komunalne | Podmiot ważny |
Obowiązki — krok po kroku
Objęcie ustawą o KSC nakłada na prywatne firmy szereg konkretnych obowiązków rozłożonych w czasie. Ustawa przewiduje etapowe wdrożenie: najpierw rejestracja, potem wdrożenie systemu zarządzania bezpieczeństwem informacji (SZBI), a dla podmiotów kluczowych — audyt zewnętrzny. Kluczowe jest dotrzymanie terminów, ponieważ ich przekroczenie może skutkować sankcjami finansowymi.
| Krok | Podstawa prawna | Termin | Co zrobić |
|---|---|---|---|
| 1. Samoocena i klasyfikacja | Art. 4–6 ustawy o KSC | Niezwłocznie po 3.04.2026 | Ustal, czy firma spełnia kryteria wielkości i sektora; określ kategorię (PK lub PW); udokumentuj analizę |
| 2. Rejestracja w wykazie S46 | Art. 7c ustawy o KSC | Do 3.10.2026 | Złóż zgłoszenie do właściwego organu nadzoru lub CSIRT sektorowego; podaj dane kontaktowe i zakres działalności |
| 3. Wyznaczenie osób kontaktowych | Art. 9 ustawy o KSC | Do 3.10.2026 | Wyznacz min. 2 osoby do kontaktów z CSIRT sektorowym; zapewnij ich dostępność w przypadku incydentu |
| 4. Wdrożenie SZBI (14 obszarów) | Art. 8 ustawy o KSC | Do 3.04.2027 | Zbuduj system zarządzania bezpieczeństwem obejmujący: analizę ryzyka, bezpieczeństwo fizyczne, zarządzanie incydentami, ciągłość działania, bezpieczeństwo sieci, kryptografię, zarządzanie dostawcami, szkolenia, polityki |
| 5. Szkolenie kierownictwa | Art. 8e ustawy o KSC | Corocznie, pierwsze do 3.04.2027 | Przeprowadź i udokumentuj roczne szkolenie z zakresu cyberbezpieczeństwa dla kierownika jednostki |
| 6. Procedura raportowania incydentów | Art. 11 ustawy o KSC | Do 3.04.2027 | Ustanów procedurę: 24h — wczesne ostrzeżenie do CSIRT, 72h — zgłoszenie incydentu poważnego, 1 miesiąc — raport końcowy |
| 7. Audyt bezpieczeństwa (tylko PK) | Art. 15 ustawy o KSC | Do 3.04.2028 (następnie co 3 lata) | Zlec audyt akredytowanemu podmiotowi zewnętrznemu; dostarcz raport organowi nadzoru |
Koszty i zasoby — czego się spodziewać?
Koszty wdrożenia KSC zależą od wielkości organizacji, poziomu dojrzałości cyberbezpieczeństwa, złożoności infrastruktury IT oraz przyjętego modelu realizacji (in-house, outsourcing, hybrydowy). Poniższe widełki są orientacyjne i oparte na rynkowych danych z pierwszego kwartału 2026 r.
| Typ organizacji | Koszty wdrożenia SZBI | Koszt audytu zewnętrznego | Orientacyjnie łącznie |
|---|---|---|---|
| Mały podmiot ważny (PW), 50–100 pracowników, prosty profil IT | 30 000–50 000 zł | Nie wymagany (PW) | 30 000–50 000 zł |
| Średni podmiot ważny (PW), 100–249 pracowników | 50 000–80 000 zł | Nie wymagany (PW) | 50 000–80 000 zł |
| Duży podmiot ważny (PW), powyżej 250 pracowników | 80 000–150 000 zł | Nie wymagany (PW) | 80 000–150 000 zł |
| Podmiot kluczowy (PK), średniej wielkości | 100 000–200 000 zł | 30 000–80 000 zł | 130 000–280 000 zł |
| Duży podmiot kluczowy (PK), złożona infrastruktura | 200 000–500 000 zł | 80 000–150 000 zł | 280 000–650 000 zł |
Do kosztów wdrożenia należy doliczyć koszty stałe utrzymania systemu: licencje na narzędzia bezpieczeństwa (SIEM, EDR, zarządzanie podatnościami), koszty osobowe specjalistów ds. cyberbezpieczeństwa lub zewnętrznego SOC/vCISO, a także regularne szkolenia pracowników. Wiele firm decyduje się na outsourcing funkcji CISO (model vCISO), co pozwala ograniczyć koszty stałe do 2 000–8 000 zł miesięcznie.
Kary i ryzyko dla przedsiębiorcy
Ustawa o KSC wprowadza system sankcji finansowych wzorowany na RODO — kary są uzależnione od kategorii podmiotu i mogą być bardzo dotkliwe dla prywatnych firm. Organ nadzoru może nałożyć karę administracyjną zarówno na podmiot (firmę), jak i — co jest nowością — na kierownika jednostki osobiście.
| Rodzaj kary | Podmiot kluczowy (PK) | Podmiot ważny (PW) |
|---|---|---|
| Maksymalna kara dla firmy | Do 10 mln EUR lub 2% rocznych przychodów z działalności gospodarczej z roku poprzedniego (wyższa kwota — art. 73 ust. 3) | Do 7 mln EUR lub 1,4% rocznych przychodów z działalności gospodarczej (wyższa kwota — art. 73 ust. 4) |
| Kara dla kierownika jednostki (art. 73a ust. 4) | Do 300% rocznego wynagrodzenia kierownika | Do 300% wynagrodzenia kierownika — 100% tylko dla podmiotów publicznych (art. 73a ust. 5) |
| Możliwość delegowania odpowiedzialności kierownika | Brak — odpowiedzialność jest niezbywalna (art. 8c) | Brak — odpowiedzialność jest niezbywalna (art. 8c) |
| Kara za brak rejestracji (termin 3.10.2026) | Może stanowić podstawę do wszczęcia postępowania i nałożenia kary | Może stanowić podstawę do wszczęcia postępowania i nałożenia kary |
| Kara za brak audytu (tylko PK, termin 3.04.2028) | Stanowi naruszenie obowiązku ustawowego — podstawa do kary | Nie dotyczy |
Poza karami finansowymi ustawa przewiduje możliwość wydania decyzji nakazujących, w tym nakazu zaprzestania działalności lub świadczenia określonej usługi w przypadku poważnych i powtarzających się naruszeń. Ryzyko reputacyjne — związane z publicznym ujawnieniem naruszenia i wysoką karą — może być równie dotkliwe jak sama sankcja finansowa.
Jak zacząć — plan działania na 90 dni
Termin rejestracji w wykazie podmiotów KSC dla istniejących PK/PW wynika z harmonogramu Ministra Cyfryzacji ogłaszanego w komunikacie (art. 34 ust. 3 ustawy nowelizującej) — wg dotychczasowych zapowiedzi do 3 października 2026 r., ale ostateczne daty wynikają z komunikatu, nie wprost z ustawy. Dla firmy, która nigdy wcześniej nie zajmowała się compliance cyberbezpieczeństwa, to krótki czas. Poniższy plan 90 dni pozwala zrealizować najważniejsze kroki przed upływem terminu rejestracji i dobrze przygotować się do budowy pełnego SZBI w kolejnym etapie.
- Tygodnie 1–2 — Klasyfikacja: przeprowadź wewnętrzną analizę prawną, określ kategorię podmiotu (PK lub PW), udokumentuj wyniki i przedstaw je zarządowi do akceptacji.
- Tygodnie 3–4 — Zaangażowanie zarządu: zorganizuj spotkanie z kierownikiem jednostki poświęcone osobistej odpowiedzialności z art. 8c; uzyskaj formalne zatwierdzenie projektu KSC i budżetu.
- Tygodnie 5–6 — Wyznaczenie właściciela projektu: powołaj wewnętrznego koordynatora (lub wybierz zewnętrznego konsultanta / vCISO) odpowiedzialnego za wdrożenie KSC.
- Tygodnie 7–8 — Gap analysis: zamów lub przeprowadź analizę luk między obecnym stanem bezpieczeństwa a wymaganiami art. 8 ustawy o KSC; zidentyfikuj obszary krytyczne.
- Tygodnie 9–10 — Rejestracja: złóż zgłoszenie do wykazu S46; wyznacz min. 2 osoby do kontaktów z CSIRT sektorowym i upewnij się, że znają swoje role.
- Tygodnie 11–12 — Harmonogram wdrożenia SZBI: opracuj szczegółowy plan wdrożenia 14 obszarów SZBI z terminami, odpowiedzialnymi osobami i budżetem; uwzględnij termin 3.04.2027.
- Tydzień 13 — Priorytetowe szybkie wygrane: wdróż natychmiast działania o niskim koszcie i wysokim wpływie: politykę haseł, zarządzanie dostępami uprzywilejowanymi, kopie zapasowe i plan reagowania na incydenty.
- Przez cały okres — Dokumentowanie: każde działanie, decyzję i przegląd dokumentuj — w przypadku postępowania administracyjnego dowody proceduralne są kluczowe.
Po zarejestrowaniu firmy i uruchomieniu projektu wdrożenia SZBI kolejnym kamieniem milowym jest termin 3 kwietnia 2027 r. — wówczas wszystkie obowiązki z rozdziału 3 ustawy muszą być już operacyjne. Podmioty kluczowe mają jeszcze rok więcej na przeprowadzenie pierwszego audytu zewnętrznego — do 3 kwietnia 2028 r.
Przeczytaj też: test samoidentyfikacji KSC w 5 minut, Podmiot ważny KSC, Rejestracja w wykazie S46, Wdrożenie SZBI, Odpowiedzialność zarządu KSC.