Niezależność systemów informacyjnych — kiedy nie podlegasz KSC mimo przekroczenia progów

Zasada niezależności systemów

Art. 5 ust. 6 i 7 ustawy o KSC wprowadza istotny wyjątek od zasady klasyfikacji na podstawie progów wielkościowych. Jeżeli podmiot spełnia wymogi do uznania za podmiot kluczowy lub ważny wyłącznie dlatego, że przekracza kryteria wielkościowe po uwzględnieniu przedsiębiorstw powiązanych lub partnerskich, ale jego system informacyjny jest niezależny od systemów tych przedsiębiorstw lub nie świadczy on usług wspólnie z nimi — nie jest podmiotem kluczowym ani ważnym.

Warunki wyłączenia

Aby wyłączenie miało zastosowanie, musi być spełniony co najmniej jeden z dwóch warunków:

1. System informacyjny podmiotu jest niezależny od systemów informacyjnych jego przedsiębiorstw powiązanych lub partnerskich — tj. do świadczenia usług przez podmiot nie jest konieczne działanie podmiotu powiązanego czy partnerskiego, a systemy mogą być zastąpione w akceptowalnym czasie i kosztach.
2. Podmiot nie świadczy usług wspólnie z przedsiębiorstwami powiązanymi lub partnerskimi — tj. podmioty nie dzielą między sobą zakresu obowiązków związanych z tą samą usługą podlegającą KSC.

Jak udokumentować niezależność

Jeżeli podmiot powołuje się na wyjątek niezależności systemów, powinien należycie udokumentować tę okoliczność. W przypadku kontroli organu właściwego trzeba będzie wykazać, że systemy informacyjne są faktycznie niezależne.

1. Przygotuj dokumentację techniczną potwierdzającą odrębność infrastruktury IT.
2. Opisz brak zależności operacyjnych od systemów przedsiębiorstw powiązanych.
3. Udokumentuj, że usługi objęte KSC nie są świadczone wspólnie z grupą kapitałową.
4. Zachowaj dokumentację na wypadek czynności sprawdzających organu właściwego (art. 7k).

Pomagamy we wdrożeniu KSC od identyfikacji statusu po pełny audyt.