Ogólna zasada: duży lub średni przedsiębiorca
Ustawa o krajowym systemie cyberbezpieczeństwa (Dz.U. 2026 poz. 20) obejmuje dwie kategorie regulowanych podmiotów: podmioty kluczowe (PK) oraz podmioty ważne (PW). Podstawową zasadą jest to, że KSC stosuje się wyłącznie do dużych i średnich przedsiębiorców w rozumieniu prawa unijnego. Mikroprzedsiębiorcy i mali przedsiębiorcy są co do zasady wyłączeni z zakresu ustawy — jednak prawo przewiduje od tej reguły ważne wyjątki, które mogą objąć nawet jednoosobową działalność gospodarczą.
Organ właściwy ds. cyberbezpieczeństwa może wskazać podmiot jako kluczowy lub ważny niezależnie od jego wielkości, jeśli uzna, że jego działalność ma istotne znaczenie dla bezpieczeństwa sieci lub usług cyfrowych. Ponadto wszystkie organy administracji publicznej podlegają KSC bez względu na liczbę zatrudnionych. Kluczowe znaczenie ma więc nie tylko rozmiar firmy, ale też sektor działalności i struktura właścicielska.
Kategorie MŚP i definicje prawne
Polskie przepisy KSC odsyłają do unijnych definicji wielkości przedsiębiorcy zawartych w Załączniku I do rozporządzenia Komisji (UE) nr 651/2014. Progi dotyczą zarówno liczby pracowników, jak i wskaźników finansowych — obrotu rocznego oraz sumy bilansowej.
| Kategoria | Pracownicy | Roczny obrót | Suma bilansowa | Czy podlega KSC (co do zasady)? |
|---|---|---|---|---|
| Mikroprzedsiębiorca | mniej niż 10 | do 2 mln EUR | do 2 mln EUR (LUB) | NIE — wyłączony (z wyjątkami art. 5 ust. 1 pkt 4 KSC) |
| Mały przedsiębiorca | 10–49 | do 10 mln EUR | do 10 mln EUR (LUB) | NIE — wyłączony (z wyjątkami art. 5 ust. 1 pkt 4 KSC) |
| Średni przedsiębiorca | 50–249 | do 50 mln EUR | do 43 mln EUR (LUB) | TAK — co do zasady podmiot ważny; podmiot kluczowy dla kategorii z art. 5 ust. 1 pkt 2–3 KSC |
| Duży przedsiębiorca (przewyższa progi MŚP) | 250 lub więcej | powyżej 50 mln EUR | powyżej 43 mln EUR (ORAZ) | TAK — podmiot kluczowy (zał. 1) lub ważny (zał. 2) |
Definicja MŚP z art. 2 ust. 1 załącznika I do rozp. 651/2014/UE ma strukturę „pracownicy ORAZ (obrót LUB suma bilansowa)". Aby pozostać w kategorii MŚP, podmiot musi: (1) zatrudniać MNIEJ NIŻ 250 osób ORAZ (2) jego obrót NIE PRZEKRACZA 50 mln EUR LUB suma bilansowa NIE PRZEKRACZA 43 mln EUR (wystarczy jedno z dwóch). Aby zostać dużym przedsiębiorcą (przewyższającym progi MŚP) na podstawie kryterium finansowego konieczne jest jednoczesne przekroczenie progu obrotu (powyżej 50 mln EUR) ORAZ progu sumy bilansowej (powyżej 43 mln EUR). Samo zatrudnienie 250 lub więcej pracowników jest natomiast wystarczające, nawet jeśli obrót i bilans pozostają poniżej progów.
Wyjątek: sektor ICT bez progu
| Typ usługi cyfrowej | Przykłady | Próg wielkości | Podstawa prawna |
|---|---|---|---|
| Dostawca usług DNS (poza operatorem TLD) | Resolwery rekurencyjne, autorytywne serwery DNS | Brak progu — każda wielkość; PK | art. 5 ust. 1 pkt 4 lit. a |
| Kwalifikowany dostawca usług zaufania | QTSP wg eIDAS / rozp. 910/2014 (kwalifikowany podpis, pieczęć, znacznik czasu) | Brak progu — każda wielkość; PK | art. 5 ust. 1 pkt 4 lit. b |
| Rejestr nazw domeny najwyższego poziomu (TLD) | Operatorzy .pl, .com, .eu | Brak progu — każda wielkość; PK | art. 5 ust. 1 pkt 4 lit. i |
| Podmiot świadczący usługi rejestracji nazw domen | Akredytowani rejestratorzy domen | Brak progu — każda wielkość; PK | art. 5 ust. 1 pkt 4 lit. j |
| Dostawca usług zarządzanych w zakresie cyberbezpieczeństwa (MSSP) | SOC-as-a-Service, IRT, MDR, threat intel | Od małego przedsiębiorcy (mikroprzedsiębiorca wyłączony); PK | art. 5 ust. 1 pkt 3 |
| Usługa chmury obliczeniowej (IaaS/PaaS/SaaS) | AWS, Azure, GCP, lokalni dostawcy chmury | Standardowy próg zał. 1 (sektor Infrastruktura cyfrowa): średni → PW, duży → PK | art. 5 ust. 1 pkt 1–2; zał. 1 |
| Sieć dostarczania treści (CDN) | Cachowanie i dystrybucja treści | Standardowy próg zał. 1 (Infrastruktura cyfrowa): średni → PW, duży → PK | art. 5 ust. 1 pkt 1–2; zał. 1 |
| Centrum danych (data center) | Kolokacja serwerów dla klientów zewnętrznych | Standardowy próg zał. 1 (Infrastruktura cyfrowa): średni → PW, duży → PK | art. 5 ust. 1 pkt 1–2; zał. 1 |
| Zarządzanie usługami ICT (MSP) | Outsourcing IT, managed services bez „cyber" | Standardowy próg zał. 1 (Zarządzanie usługami ICT): średni → PW, duży → PK | art. 5 ust. 1 pkt 1–2; zał. 1 |
| Internetowy portal marketplace | Platformy sprzedażowe, aukcyjne | Standardowy próg zał. 2 (sektor cyfrowy): średni i duży → PW | art. 5 ust. 2 pkt 7; zał. 2 |
| Wyszukiwarka internetowa | Silniki indeksujące sieć | Standardowy próg zał. 2: średni i duży → PW | art. 5 ust. 2 pkt 7; zał. 2 |
| Platforma sieci społecznościowej | Portale społecznościowe z treściami użytkowników | Standardowy próg zał. 2: średni i duży → PW | art. 5 ust. 2 pkt 7; zał. 2 |
Zasada jedynego przedsiębiorstwa — pułapka dla grup kapitałowych
Zasada jedynego przedsiębiorstwa (ang. single enterprise principle) wynika z Załącznika I do rozporządzenia 651/2014/UE i ma kluczowe znaczenie dla firm powiązanych kapitałowo. Przy ustalaniu kategorii wielkości przedsiębiorcy nie bierze się pod uwagę wyłącznie danych samej spółki — uwzględnia się również dane podmiotów powiązanych i partnerskich. W efekcie firma, która samodzielnie spełnia kryteria małego przedsiębiorcy, może po zsumowaniu danych z całą grupą okazać się dużym przedsiębiorcą podlegającym KSC.
| Typ powiązania | Definicja | Sposób liczenia danych | Przykład |
|---|---|---|---|
| Samodzielne | Brak podmiotów posiadających powyżej 25% udziałów lub głosów | Tylko własne dane | Startup bez zewnętrznych inwestorów instytucjonalnych lub z inwestorami poniżej 25% |
| Partnerskie | Podmiot posiada 25–50% udziałów lub głosów innego przedsiębiorcy | Proporcjonalne sumowanie — procent udziałów razy dane partnera | Fundusz VC z 30% w firmie: doliczamy 30% pracowników i obrotu funduszu |
| Zależne (dominacja) | Podmiot posiada powyżej 50% udziałów lub głosów albo sprawuje kontrolę faktyczną | Pełne sumowanie — 100% danych podmiotu dominującego i wszystkich zależnych | Spółka-córka w grupie kapitałowej: liczymy razem z matką i siostrami |
Kiedy MŚP musi stosować KSC — realne scenariusze
W praktyce wyodrębniamy cztery główne scenariusze, w których firma formalnie mieszcząca się w kategorii MŚP może jednak podlegać obowiązkom ustawy o KSC. Każdy z tych scenariuszy wymaga odrębnej analizy i nie można ich wykluczyć bez dokładnego sprawdzenia struktury firmy, jej działalności oraz powiązań kapitałowych.
| Scenariusz | Dlaczego MŚP podlega KSC | Status KSC | Sankcja za brak rejestracji |
|---|---|---|---|
| Mała firma IT świadcząca usługi zarządzane w cyberbezpieczeństwie (MSSP) | MSSP od małego przedsiębiorcy jest podmiotem kluczowym z mocy art. 5 ust. 1 pkt 3 KSC (mikro wyłączony). Klasyczny MSP bez komponentu „cyber" podlega standardowemu progowi z zał. 1 (sektor Zarządzanie usługami ICT) — mikro/mały MSP nie podlega. | MSSP: PK od małego (≥10 prac.); MSP: PW od średniego | PK: do 10 mln EUR lub 2% rocznych przychodów z działalności gospodarczej; PW: do 7 mln EUR lub 1,4% (art. 73 ust. 3–4) |
| Startup SaaS świadczący usługę chmurową dla enterprise | Dostawca usług chmury obliczeniowej — sektor zał. 1, status zależny od wielkości; jako średni → PW; jako duży → PK | Podmiot ważny lub kluczowy | PW: do 7 mln EUR lub 1,4% rocznych przychodów; PK: do 10 mln EUR lub 2% (art. 73 ust. 3–4) |
| Spółka-córka dużej korporacji (zasada jednego przedsiębiorstwa) | Powiązania kapitałowe powodują przekroczenie progów po zsumowaniu z grupą (art. 3 ust. 3 zał. I rozp. 651/2014/UE) | Podmiot kluczowy lub ważny — zależy od sektora i sumy danych grupy | Do 10 mln EUR lub 2% rocznych przychodów z działalności gospodarczej (PK) albo 7 mln EUR / 1,4% (PW) |
| Podmiot wskazany przez organ jako krytyczny | Decyzja administracyjna organu właściwego — niezależnie od wielkości | Podmiot kluczowy lub ważny — zależnie od decyzji | Jak powyżej, zależnie od przyznanego statusu |
Checklist i pierwsze kroki
Poniższy checklist pomoże Ci szybko ustalić, czy Twoja firma może podlegać ustawie o KSC. Jeśli choć jedno pytanie ma odpowiedź twierdzącą, powinieneś przeprowadzić pogłębioną analizę lub skonsultować się z doradcą KSC.
- Ustal liczbę pracowników firmy (przelicznik pełnoetatowy, FTE) — czy wynosi 50 lub więcej?
- Sprawdź roczny obrót za ostatni zamknięty rok obrotowy — czy przekracza 10 mln EUR?
- Sprawdź sumę bilansową — czy przekracza 10 mln EUR?
- Zidentyfikuj sektor działalności: czy firma świadczy usługi DNS, TLD, chmury, CDN, centrum danych, marketplace, wyszukiwarki, sieci społecznościowej, zarządzanych usług IT lub cyberbezpieczeństwa?
- Zbadaj strukturę właścicielską: czy jakikolwiek podmiot posiada powyżej 25% udziałów w Twojej firmie? Jeśli tak — ustal kategorię wielkości po zsumowaniu danych z grupą.
- Sprawdź, czy firma nie jest organem administracji publicznej lub podmiotem wskazanym przez organ właściwy jako podmiot kluczowy lub ważny.
- Jeśli co najmniej jeden z powyższych punktów sugeruje objęcie KSC — skonsultuj się z doradcą i zarejestruj podmiot do 3 października 2026 r.
Dowiedz się więcej: kto podlega pod KSC — 3 kroki samoidentyfikacji, Podmiot kluczowy vs. ważny, Rejestracja w wykazie S46, KSC a firma prywatna.