Dwa załączniki: sektory kluczowe i ważne
Ustawa o krajowym systemie cyberbezpieczeństwa (transponująca dyrektywę NIS 2) dzieli objęte branże na dwie grupy, opisane w dwóch załącznikach do ustawy: załącznik nr 1 — sektory kluczowe oraz załącznik nr 2 — sektory ważne. Przynależność do danego załącznika, w połączeniu z wielkością podmiotu (wg rozporządzenia 651/2014/UE), decyduje o tym, czy organizacja jest podmiotem kluczowym czy ważnym — a w konsekwencji o zakresie obowiązków.
W skrócie: 18 obszarów gospodarki. Sektory kluczowe (zał. 1) to branże o najwyższej krytyczności — energia, transport, finanse, zdrowie, woda, infrastruktura cyfrowa. Sektory ważne (zał. 2) to m.in. produkcja przemysłowa, gospodarka odpadami, żywność, chemikalia, dostawcy usług cyfrowych, badania naukowe i usługi pocztowe.
Załącznik nr 1 — sektory kluczowe
Załącznik nr 1 do ustawy o KSC wymienia następujące sektory kluczowe. Podmiot z tego załącznika, który przekracza próg średniego przedsiębiorstwa, jest co do zasady podmiotem kluczowym (art. 5 ust. 1 KSC):
| Sektor kluczowy (zał. 1) | Podsektory / przykłady podmiotów |
|---|---|
| Energia | Wydobywanie kopalin, energia elektryczna, ciepło, ropa i paliwa, gaz, energetyka jądrowa, wodór |
| Transport | Lotniczy (przewoźnicy, lotniska), kolejowy (zarządcy infrastruktury, przewoźnicy), wodny (porty, armatorzy, VTS), drogowy (zarządcy dróg, ITS) |
| Bankowość i infrastruktura rynków finansowych | Instytucje kredytowe, banki, SKOK-i, rynki regulowane, KDPW, administratorzy wskaźników referencyjnych |
| Ochrona zdrowia | Podmioty lecznicze, laboratoria referencyjne UE, publiczna służba krwi, podwykonawcy podmiotów kluczowych, SOR / centra urazowe |
| Produkcja, dystrybucja substancji czynnych, leków i wyrobów medycznych krytycznych | URPL, wytwórcy i importerzy leków, hurtownie farmaceutyczne, apteki, producenci wyrobów medycznych krytycznych |
| Zaopatrzenie w wodę pitną i jej dystrybucja | Przedsiębiorstwa wodociągowo-kanalizacyjne (gdy woda jest istotną częścią działalności) |
| Zbiorowe odprowadzanie ścieków | Podmioty odprowadzające lub oczyszczające ścieki |
| Infrastruktura cyfrowa | Punkty wymiany ruchu (IXP), dostawcy DNS, rejestry TLD, dostawcy chmury, centra przetwarzania danych, CDN, dostawcy usług zaufania |
| Komunikacja elektroniczna | Przedsiębiorcy komunikacji elektronicznej (operatorzy telekomunikacyjni) |
| Zarządzanie usługami ICT | Dostawcy usług zarządzanych (MSP), dostawcy usług zarządzanych w zakresie cyberbezpieczeństwa (MSSP) |
| Przestrzeń kosmiczna | Operatorzy infrastruktury naziemnej wspierającej usługi kosmiczne, Polska Agencja Kosmiczna |
| Podmioty publiczne | Jednostki sektora finansów publicznych, NBP, BGK, UKNF, instytuty badawcze, urzędy gmin ≥50 osób, starostwa, jednostki samorządu województwa |
Niektóre podmioty są kluczowe NIEZALEŻNIE od wielkości (art. 5 ust. 1 pkt 4 KSC): dostawcy usług DNS, rejestry nazw domen TLD, kwalifikowani dostawcy usług zaufania, podmioty krytyczne, operatorzy obiektów energetyki jądrowej oraz podmioty publiczne z zał. 1.
Załącznik nr 2 — sektory ważne
Załącznik nr 2 do ustawy o KSC wymienia sektory ważne. Podmiot z tego załącznika, który jest co najmniej średnim przedsiębiorcą, jest podmiotem ważnym (art. 5 ust. 2 KSC) — niezależnie od tego, czy jest średni czy duży:
| Sektor ważny (zał. 2) | Podsektory / przykłady podmiotów |
|---|---|
| Usługi pocztowe | Operatorzy pocztowi |
| Inwestycje energetyki jądrowej | Inwestorzy obiektów energetyki jądrowej z decyzją zasadniczą |
| Gospodarowanie odpadami | Zbieranie, transport, przetwarzanie odpadów oraz handel odpadami (gdy to podstawowa działalność) |
| Produkcja, wytwarzanie i dystrybucja chemikaliów | Producenci i dystrybutorzy substancji, mieszanin i wyrobów wg REACH |
| Produkcja, przetwarzanie i dystrybucja żywności | Przedsiębiorstwa spożywcze — dystrybucja hurtowa oraz produkcja przemysłowa |
| Produkcja | Wyroby medyczne i do diagnostyki in vitro; komputery i elektronika (NACE C26); urządzenia elektryczne (NACE C27 — w tym kable i przewody); maszyny (C28); pojazdy (C29); pozostały sprzęt transportowy (C30) |
| Dostawcy usług cyfrowych | Internetowe platformy handlowe, wyszukiwarki internetowe, platformy sieci społecznościowych |
| Badania naukowe | Organizacje badawcze, uczelnie |
| Podmioty publiczne (samorządowe) | Samorządowe jednostki i zakłady budżetowe, instytucje kultury, spółki komunalne realizujące zadania publiczne |
Uwaga na pułapkę interpretacyjną: liczy się Twoja własna działalność (kod PKD/NACE), a nie branża odbiorców. Przykładowo producent kabli elektrycznych (NACE dział 27) jest podmiotem ważnym z sektora „Produkcja", nawet jeśli sprzedaje wyłącznie do hurtowni i „nie ma nic wspólnego z energetyką". Zob. jak sprawdzić, czy podlegasz pod KSC.
Sektor a status: kluczowy czy ważny?
Sama przynależność do sektora nie wystarcza — o statusie decyduje kombinacja sektora i wielkości podmiotu. Reguła ogólna:
| Wielkość podmiotu | Sektor z zał. 1 | Sektor z zał. 2 |
|---|---|---|
| Mikro / mały (do 49 osób, < 10 mln EUR) | Co do zasady wyłączony (poza wyjątkami art. 5 ust. 1 pkt 4) | Co do zasady wyłączony |
| Średni (50–249 osób, < 50 mln EUR) | Podmiot ważny | Podmiot ważny |
| Duży (≥250 osób lub ≥50 mln EUR) | Podmiot kluczowy | Podmiot ważny |
Wyjątki dla telekomunikacji (art. 5 ust. 1 pkt 2 i ust. 2 pkt 4): przedsiębiorcy komunikacji elektronicznej średni i duzi są kluczowi, mikro i mali — ważni. Podmioty publiczne z zał. 1 oraz dostawcy DNS / rejestry TLD są kluczowi niezależnie od wielkości. Mikro/mały podmiot może też zostać uznany za PK/PW decyzją organu (art. 7l KSC).
Jak sprawdzić, czy Twój sektor podlega
Procedura samoidentyfikacji w 3 krokach:
- Krok 1 — sektor: sprawdź, czy Twoja faktyczna działalność (kod PKD/NACE) mieści się w którymś z sektorów załącznika nr 1 lub nr 2. Liczy się faktyczna działalność, nie tylko formalny wpis PKD.
- Krok 2 — wielkość: ustal status przedsiębiorcy wg rozporządzenia 651/2014/UE (mikro / mały / średni / duży), uwzględniając zasadę jedynego przedsiębiorstwa (sumowanie z podmiotami powiązanymi i partnerskimi).
- Krok 3 — status: skrzyżuj sektor z wielkością. Zał. 1 + duży = podmiot kluczowy. Zał. 1 + średni = ważny. Zał. 2 + średni/duży = ważny. Sprawdź wyjątki (telekomunikacja, DNS/TLD, podmioty publiczne, decyzja organu z art. 7l).
Po ustaleniu statusu podmiot kluczowy lub ważny musi zarejestrować się w wykazie prowadzonym w systemie S46 (art. 7c KSC) — w terminie 6 miesięcy od spełnienia przesłanek; dla podmiotów istniejących w dniu wejścia w życie ustawy termin upływa 3 października 2026 r. Zob. rejestrację w wykazie KSC / NIS 2 oraz pełny harmonogram terminów.