Czy moja prywatna firma podlega KSC?
Ustawa o krajowym systemie cyberbezpieczeństwa (t.j. Dz.U. 2026 poz. 20, ze zm. Dz.U. 2026 poz. 252), w znowelizowanym brzmieniu obowiązująca od 3 kwietnia 2026 r., implementuje unijną dyrektywę NIS2 i obejmuje zarówno podmioty publiczne, jak i prywatne. Kluczowe pytanie dla każdego przedsiębiorcy brzmi: czy moja firma spełnia oba warunki objęcia ustawą jednocześnie? Pierwszym warunkiem jest działanie w sektorze wymienionym w Załączniku 1 (podmioty kluczowe) lub Załączniku 2 (podmioty ważne) do ustawy. Drugim warunkiem jest zaliczenie się do kategorii dużego lub średniego przedsiębiorcy. Wyjątek bez progu wielkości (art. 5 ust. 1 pkt 4 KSC) jest zamknięty i obejmuje tylko: dostawców usług DNS, kwalifikowanych dostawców usług zaufania, rejestry TLD oraz podmioty świadczące rejestrację nazw domen. MSSP (dostawca usług zarządzanych w cyberbezpieczeństwie) jest PK od małego przedsiębiorcy (art. 5 ust. 1 pkt 3). Pozostali dostawcy usług cyfrowych (chmura, CDN, centrum danych, marketplace, wyszukiwarka, social media) podlegają standardowemu progowi z zał. 1 lub zał. 2.
| Pytanie kontrolne | Odpowiedź TAK | Odpowiedź NIE |
|---|---|---|
| Czy Twoja firma działa w sektorze z Załącznika 1 lub 2 do ustawy o KSC? | Przejdź do pytania 2 | Ustawa nie dotyczy Twojej firmy — na razie monitoruj zmiany |
| Czy Twoja firma jest dużym przedsiębiorcą — przewyższa progi MŚP z art. 2 ust. 1 zał. I rozp. 651/2014/UE (≥ 250 pracowników, LUB jednocześnie obrót > 50 mln EUR ORAZ suma bilansowa > 43 mln EUR)? | Firma podlega KSC: zał. 1 → podmiot kluczowy (art. 5 ust. 1 pkt 1); zał. 2 → podmiot ważny (art. 5 ust. 2 pkt 2) | Przejdź do pytania 3 |
| Czy Twoja firma jest średnim przedsiębiorcą (50–249 pracowników ORAZ obrót do 50 mln EUR LUB suma bilansowa do 43 mln EUR)? | Firma podlega KSC: zał. 1 → podmiot ważny (art. 5 ust. 2 pkt 1); zał. 2 → podmiot ważny (art. 5 ust. 2 pkt 2). Wyjątek dla MSSP — art. 5 ust. 1 pkt 3 (status PK także dla MŚP) | Firma nie spełnia progu — sprawdź powiązania kapitałowe oraz wyjątki podmiotowe z art. 5 ust. 1 pkt 4 KSC (DNS, kwalifikowani dostawcy usług zaufania, rejestry TLD, rejestratorzy domen, podmioty krytyczne, podmioty publiczne z zał. 1) oraz art. 5 ust. 1 pkt 3 i ust. 2 pkt 3–4 (MSSP od małego, telekom, niekwalifikowany dostawca usług zaufania) |
| Czy Twoja firma należy do grupy kapitałowej? (zasada jednego przedsiębiorstwa — art. 3 ust. 3 zał. I rozp. 651/2014/UE) | Progi liczy się łącznie z przedsiębiorstwami powiązanymi i partnerskimi — może dojść do objęcia ustawą | Oceń firmę samodzielnie według poprzednich pytań |
| Czy Twoja firma jest jednym z podmiotów bez progu wielkości — dostawca usług DNS (a), kwalifikowany dostawca usług zaufania (b), rejestr TLD (i) lub rejestrator nazw domen (j) — zgodnie z art. 5 ust. 1 pkt 4 KSC? | Firma jest podmiotem kluczowym niezależnie od wielkości | Jeżeli świadczysz inne usługi cyfrowe (chmura, CDN, marketplace, social media itp.) — stosuj standardowe progi z pytań 1–3 i zał. 1 lub 2 |
| Czy Twoja firma świadczy usługi zarządzane w zakresie cyberbezpieczeństwa (MSSP) — np. SOC, MDR, IRT (art. 5 ust. 1 pkt 3 KSC)? | Firma jest podmiotem kluczowym od poziomu małego przedsiębiorcy (mikroprzedsiębiorca wyłączony) | Klasyczny dostawca usług zarządzanych IT (MSP, bez funkcji bezpieczeństwa) podlega standardowemu progowi z zał. 1 |
Wynik oceny determinuje nie tylko fakt podlegania ustawie, ale i kategorię podmiotu. Podmioty kluczowe (PK) to co do zasady duzi przedsiębiorcy z Załącznika 1 — podlegają nadzorowi ex ante, obowiązkowemu audytowi co 3 lata i wyższym karom. Podmioty ważne (PW) to średni przedsiębiorcy z Załącznika 1 oraz średni i duzi z Załącznika 2 — nadzór ex post, audyt tylko na żądanie organu. Merytoryczne obowiązki obu kategorii są takie same (Q&A 1.11). Jeśli nie masz pewności co do klasyfikacji swojej firmy, skonsultuj się z prawnikiem specjalizującym się w prawie cyberbezpieczeństwa.
Sektory z firmami prywatnymi w KSC
Ustawa obejmuje szerokie spektrum sektorów, w których dominują lub aktywnie działają podmioty prywatne. Wbrew powszechnemu przekonaniu, KSC to nie tylko regulacja dla spółek Skarbu Państwa czy administracji publicznej — prywatne przedsiębiorstwa stanowią znaczącą część podmiotów objętych obowiązkami.
| Sektor | Załącznik | Przykłady firm prywatnych | Status |
|---|---|---|---|
| Energia elektryczna i gaz | Załącznik 1 | Prywatni producenci energii, operatorzy sieci dystrybucyjnych, dostawcy gazu | Duży → PK; średni → PW |
| Telekomunikacja | Załącznik 1 | Operatorzy sieci komórkowych i stacjonarnych, dostawcy Internetu (ISP) | Średni i duży → PK; mikro i mały → PW (Q&A 1.9) |
| Bankowość i infrastruktura finansowa | Załącznik 1 | Prywatne banki komercyjne, domy maklerskie, izby rozliczeniowe (oddziały instytucji kredytowych nie są wskazane — Q&A 1.35) | Duży → PK; średni → PW (DORA jako lex specialis) |
| Ochrona zdrowia | Załącznik 1 | Prywatne szpitale, sieci klinik, laboratoria diagnostyczne, producenci wyrobów medycznych | Duży → PK; średni → PW |
| Przestrzeń kosmiczna | Załącznik 1 | Prywatni operatorzy satelitarni, dostawcy usług nawigacyjnych | Duży → PK; średni → PW |
| Infrastruktura cyfrowa (chmura, CDN, centrum danych, DNS, TLD, rejestr domen) | Załącznik 1 (PK) | Operatorzy chmury (IaaS/PaaS/SaaS), hostingodawcy, dostawcy DNS, rejestratorzy domen, operatorzy TLD .pl/.com/.eu | Podmiot kluczowy — duży zał. 1; średni → PW (art. 5 ust. 2 pkt 1). DNS, kwalifikowany dostawca zaufania, TLD i rejestrator domen — PK bez progu wielkości (art. 5 ust. 1 pkt 4 lit. a, b, i, j) |
| Dostawcy usług cyfrowych (marketplace, wyszukiwarka, social media) | Załącznik 2 (PW) | Platformy e-commerce, aukcyjne, wyszukiwarki, media społecznościowe | Podmiot ważny — średni i duży (art. 5 ust. 2 pkt 2). Mikro/mały — wyłączony, chyba że objęty wyjątkiem podmiotowym |
| Produkcja (wyroby medyczne, elektronika, urządzenia elektryczne, maszyny, pojazdy, chemikalia, żywność) | Załącznik 2 (PW) | Fabryki z działów NACE C26–C30, producenci chemikaliów, przemysłowi producenci żywności i napojów (wyroby metalowe — NACE C25 — nie są objęte) | Podmiot ważny |
| Usługi pocztowe i kurierskie | Załącznik 2 (PW) | Prywatne firmy kurierskie, operatorzy pocztowi | Podmiot ważny |
| Gospodarka odpadami | Załącznik 2 (PW) | Zakłady utylizacji i recyklingu odpadów, firmy gospodarcze komunalne | Podmiot ważny |
Obowiązki — krok po kroku
Objęcie ustawą o KSC nakłada na prywatne firmy szereg konkretnych obowiązków rozłożonych w czasie. Ustawa przewiduje etapowe wdrożenie: najpierw rejestracja, potem wdrożenie systemu zarządzania bezpieczeństwem informacji (SZBI), a dla podmiotów kluczowych — audyt zewnętrzny. Kluczowe jest dotrzymanie terminów, ponieważ ich przekroczenie może skutkować sankcjami finansowymi.
| Krok | Podstawa prawna | Termin | Co zrobić |
|---|---|---|---|
| 1. Samoocena i klasyfikacja | Art. 4–6 ustawy o KSC | Niezwłocznie po 3.04.2026 | Ustal, czy firma spełnia kryteria wielkości i sektora; określ kategorię (PK lub PW); udokumentuj analizę |
| 2. Rejestracja w wykazie S46 | Art. 7c ustawy o KSC | Do 3.10.2026 | Złóż wniosek o wpis do wykazu podmiotów kluczowych i ważnych przez system S46 (art. 7c); podaj dane z art. 7 ust. 2, w tym dane kontaktowe i zakres działalności |
| 3. Wyznaczenie osób kontaktowych | Art. 9 ustawy o KSC | Do 3.10.2026 | Wyznacz min. 2 osoby do kontaktów z podmiotami krajowego systemu cyberbezpieczeństwa, w tym z CSIRT (mikro- i mały przedsiębiorca — min. 1 osobę, art. 9 ust. 2); zapewnij ich dostępność w przypadku incydentu |
| 4. Wdrożenie SZBI (14 obszarów) | Art. 8 ustawy o KSC | Do 3.04.2027 | Zbuduj system zarządzania bezpieczeństwem obejmujący: analizę ryzyka, bezpieczeństwo fizyczne, zarządzanie incydentami, ciągłość działania, bezpieczeństwo sieci, kryptografię, zarządzanie dostawcami, szkolenia, polityki |
| 5. Szkolenie kierownictwa | Art. 8e ustawy o KSC | Corocznie, pierwsze do 3.04.2027 | Przeprowadź i udokumentuj roczne szkolenie z zakresu cyberbezpieczeństwa dla kierownika jednostki |
| 6. Procedura raportowania incydentów | Art. 11 ustawy o KSC | Do 3.04.2027 | Ustanów procedurę: 24h — wczesne ostrzeżenie do CSIRT, 72h — zgłoszenie incydentu poważnego, 1 miesiąc — raport końcowy |
| 7. Audyt bezpieczeństwa (tylko PK) | Art. 15 ustawy o KSC | Do 3.04.2028 (następnie co 3 lata) | Zapewnij audyt przez akredytowaną jednostkę, co najmniej dwóch uprawnionych audytorów lub CSIRT sektorowy (audyt może być wewnętrzny lub zewnętrzny — Q&A 9.1); przekaż kopię raportu organowi właściwemu |
Koszty i zasoby — czego się spodziewać?
Koszty wdrożenia KSC zależą od wielkości organizacji, poziomu dojrzałości cyberbezpieczeństwa, złożoności infrastruktury IT oraz przyjętego modelu realizacji (in-house, outsourcing, hybrydowy). Poniższe widełki są orientacyjne i oparte na rynkowych danych z pierwszego kwartału 2026 r.
| Typ organizacji | Koszty wdrożenia SZBI | Koszt audytu zewnętrznego | Orientacyjnie łącznie |
|---|---|---|---|
| Mały podmiot ważny (PW), 50–100 pracowników, prosty profil IT | 30 000–50 000 zł | Nie wymagany (PW) | 30 000–50 000 zł |
| Średni podmiot ważny (PW), 100–249 pracowników | 50 000–80 000 zł | Nie wymagany (PW) | 50 000–80 000 zł |
| Duży podmiot ważny (PW), powyżej 250 pracowników | 80 000–150 000 zł | Nie wymagany (PW) | 80 000–150 000 zł |
| Podmiot kluczowy (PK), średniej wielkości | 100 000–200 000 zł | 30 000–80 000 zł | 130 000–280 000 zł |
| Duży podmiot kluczowy (PK), złożona infrastruktura | 200 000–500 000 zł | 80 000–150 000 zł | 280 000–650 000 zł |
Do kosztów wdrożenia należy doliczyć koszty stałe utrzymania systemu: licencje na narzędzia bezpieczeństwa (SIEM, EDR, zarządzanie podatnościami), koszty osobowe specjalistów ds. cyberbezpieczeństwa lub zewnętrznego SOC/vCISO, a także regularne szkolenia pracowników. Wiele firm decyduje się na outsourcing funkcji CISO (model vCISO), co pozwala ograniczyć koszty stałe do 2 000–8 000 zł miesięcznie.
Kary i ryzyko dla przedsiębiorcy
Ustawa o KSC wprowadza system sankcji finansowych wzorowany na RODO — kary są uzależnione od kategorii podmiotu i mogą być bardzo dotkliwe dla prywatnych firm. Organ nadzoru może nałożyć karę administracyjną zarówno na podmiot (firmę), jak i — co jest nowością — na kierownika jednostki osobiście.
| Rodzaj kary | Podmiot kluczowy (PK) | Podmiot ważny (PW) |
|---|---|---|
| Maksymalna kara dla firmy | Do 10 mln EUR lub 2% rocznych przychodów z działalności gospodarczej z roku poprzedniego (wyższa kwota — art. 73 ust. 3) | Do 7 mln EUR lub 1,4% rocznych przychodów z działalności gospodarczej (wyższa kwota — art. 73 ust. 4) |
| Kara dla kierownika jednostki (art. 73a ust. 4) | Do 300% wynagrodzenia kierownika (obliczanego wg zasad ekwiwalentu pieniężnego za urlop) | Do 300% wynagrodzenia kierownika — 100% tylko dla podmiotów publicznych (art. 73a ust. 5) |
| Możliwość delegowania odpowiedzialności kierownika | Brak — odpowiedzialność jest niezbywalna (art. 8c) | Brak — odpowiedzialność jest niezbywalna (art. 8c) |
| Kara za brak rejestracji (termin 3.10.2026) | Może stanowić podstawę do wszczęcia postępowania i nałożenia kary | Może stanowić podstawę do wszczęcia postępowania i nałożenia kary |
| Kara za brak audytu (tylko PK, termin 3.04.2028) | Stanowi naruszenie obowiązku ustawowego — podstawa do kary | Nie dotyczy |
Poza karami finansowymi ustawa przewiduje możliwość wydania decyzji nakazujących, w tym nakazu zaprzestania działalności lub świadczenia określonej usługi w przypadku poważnych i powtarzających się naruszeń. Ryzyko reputacyjne — związane z publicznym ujawnieniem naruszenia i wysoką karą — może być równie dotkliwe jak sama sankcja finansowa.
Jak zacząć — plan działania na 90 dni
Termin rejestracji w wykazie podmiotów KSC dla istniejących PK/PW wynika z harmonogramu Ministra Cyfryzacji ogłaszanego w komunikacie (art. 34 ust. 3 ustawy nowelizującej) — termin upłynął 3 października 2026 r.; samorejestracja jest jednak nadal dostępna i spóźniony podmiot powinien złożyć wniosek niezwłocznie (Q&A 2.32). Termin wdrożenia SZBI (3.04.2027 dla podmiotów istniejących 3.04.2026) biegnie niezależnie od daty wpisu (Q&A 2.31). Poniższy plan 90 dni pozwala uporządkować wpis do wykazu i dobrze przygotować się do budowy pełnego SZBI w kolejnym etapie.
- Tygodnie 1–2 — Klasyfikacja: przeprowadź wewnętrzną analizę prawną, określ kategorię podmiotu (PK lub PW), udokumentuj wyniki i przedstaw je zarządowi do akceptacji.
- Tygodnie 3–4 — Zaangażowanie zarządu: zorganizuj spotkanie z kierownikiem jednostki poświęcone osobistej odpowiedzialności z art. 8c; uzyskaj formalne zatwierdzenie projektu KSC i budżetu.
- Tygodnie 5–6 — Wyznaczenie właściciela projektu: powołaj wewnętrznego koordynatora (lub wybierz zewnętrznego konsultanta / vCISO) odpowiedzialnego za wdrożenie KSC.
- Tygodnie 7–8 — Gap analysis: zamów lub przeprowadź analizę luk między obecnym stanem bezpieczeństwa a wymaganiami art. 8 ustawy o KSC; zidentyfikuj obszary krytyczne.
- Tygodnie 9–10 — Rejestracja: złóż zgłoszenie do wykazu S46; wyznacz min. 2 osoby do kontaktów z CSIRT sektorowym i upewnij się, że znają swoje role.
- Tygodnie 11–12 — Harmonogram wdrożenia SZBI: opracuj szczegółowy plan wdrożenia 14 obszarów SZBI z terminami, odpowiedzialnymi osobami i budżetem; uwzględnij termin 3.04.2027.
- Tydzień 13 — Priorytetowe szybkie wygrane: wdróż natychmiast działania o niskim koszcie i wysokim wpływie: politykę haseł, zarządzanie dostępami uprzywilejowanymi, kopie zapasowe i plan reagowania na incydenty.
- Przez cały okres — Dokumentowanie: każde działanie, decyzję i przegląd dokumentuj — w przypadku postępowania administracyjnego dowody proceduralne są kluczowe.
Po zarejestrowaniu firmy i uruchomieniu projektu wdrożenia SZBI kolejnym kamieniem milowym jest termin 3 kwietnia 2027 r. — wówczas wszystkie obowiązki z rozdziału 3 ustawy muszą być już operacyjne. Podmioty kluczowe mają jeszcze rok więcej na przeprowadzenie pierwszego audytu — do 3 kwietnia 2028 r. (dotychczasowi operatorzy usług kluczowych, którzy wykonali audyt: 3 lata od raportu z ostatniego audytu — Q&A 9.5–9.6).
Przeczytaj też: test samoidentyfikacji KSC w 5 minut, Podmiot ważny KSC, Rejestracja w wykazie S46, Wdrożenie SZBI, Odpowiedzialność zarządu KSC.