Które podmioty ICT podlegają KSC
Sektor ICT (technologie informacyjne i komunikacyjne) jest objęty ustawą o KSC w dwóch kategoriach: infrastruktura cyfrowa i zarządzanie usługami ICT (zał. 1) oraz dostawcy usług cyfrowych (zał. 2). Dodatkowo art. 5 ust. 1 pkt 3 i 4 KSC wymienia kategorie podmiotów podlegających KSC niezależnie od wielkości przedsiębiorstwa — to wyjątek istotny przede wszystkim dla branży ICT.
Wyjątki bez progu wielkości
| Typ usługi ICT | Próg wielkości | Status | Podstawa prawna |
|---|---|---|---|
| Dostawca usług DNS (poza operatorem TLD) | Brak — każda wielkość | PK | art. 5 ust. 1 pkt 4 lit. a |
| Kwalifikowany dostawca usług zaufania (QTSP wg eIDAS) | Brak — każda wielkość | PK | art. 5 ust. 1 pkt 4 lit. b |
| Rejestr nazw domeny najwyższego poziomu (TLD, np. .pl, .com) | Brak — każda wielkość | PK | art. 5 ust. 1 pkt 4 lit. i |
| Podmiot świadczący usługi rejestracji nazw domen (akredytowany rejestrator) | Brak — każda wielkość | PK | art. 5 ust. 1 pkt 4 lit. j |
| Dostawca usług zarządzanych ds. cyberbezpieczeństwa (MSSP) | Od małego przedsiębiorcy (mikro wyłączony) | PK | art. 5 ust. 1 pkt 3 |
| Niekwalifikowany dostawca usług zaufania (mikro/mały/średni) | Mikro, mały, średni | PW | art. 5 ust. 2 pkt 3 |
| Przedsiębiorca telekomunikacyjny — średni/duży | Średni i duży | PK | art. 5 ust. 1 pkt 2 |
| Przedsiębiorca telekomunikacyjny — mikro/mały | Mikro i mały | PW | art. 5 ust. 2 pkt 4 |
Klasyfikacja typów usług ICT
| Typ usługi ICT (standardowy próg) | Sektor | Status (średni) | Status (duży) |
|---|---|---|---|
| Dostawca chmury obliczeniowej (IaaS / PaaS / SaaS) | Zał. 1 — Infrastruktura cyfrowa | PW | PK |
| Dostawca usług centrum przetwarzania danych | Zał. 1 — Infrastruktura cyfrowa | PW | PK |
| Dostawca sieci dostarczania treści (CDN) | Zał. 1 — Infrastruktura cyfrowa | PW | PK |
| Dostawca usług zarządzanych (MSP, bez "cyber") | Zał. 1 — Zarządzanie usługami ICT | PW | PK |
| Internetowy portal marketplace, wyszukiwarka, sieć społ. | Zał. 2 — Dostawcy usług cyfrowych | PW | PW |
Zakres usługi
- Klasyfikacja podmiotu wg art. 5 KSC + zał. 1 i 2 — szczególna uwaga na wyjątki bez progu z pkt 3 i 4
- Rejestracja w wykazie S46 (art. 7c)
- Wdrożenie SZBI z 14 obszarów art. 8 ust. 1 pkt 2 lit. a–n — dostosowane do typu usługi cyfrowej
- Procedury reagowania na incydenty (art. 11–12b) z integracją z CSIRT NASK
- Dla MSSP — wdrożenie obowiązków informacyjnych z art. 8g (publikacja informacji na stronie internetowej)
- Coroczne szkolenie kierownika (art. 8e ust. 1)
- Audyt bezpieczeństwa (PK) — pierwszy do 3.04.2028 r.
- Klauzule umowne dla klientów PK (zarządzanie ryzykiem łańcucha dostaw — art. 8 ust. 1 pkt 2 lit. e)
Terminy wdrożenia
| Etap | Termin | Podstawa prawna |
|---|---|---|
| Rejestracja w S46 | 6 miesięcy od spełnienia przesłanek (nowe podmioty) lub harmonogram MC (istniejące) | art. 7c ust. 1 + art. 33 ust. 3 ust. nowel. |
| Wdrożenie SZBI | do 3 kwietnia 2027 r. (istniejący) lub 12 mies. od kwalifikacji (nowy) | art. 33 ust. 1 + art. 16 pkt 1 |
| Pierwszy audyt (PK) | do 3 kwietnia 2028 r. lub 24 mies. od kwalifikacji | art. 33 ust. 2 + art. 16 pkt 2 |
| Coroczne szkolenie kierownika | Raz w roku kalendarzowym | art. 8e ust. 1 |
MSSP — szczególne obowiązki
Dostawcy usług zarządzanych w zakresie cyberbezpieczeństwa (MSSP) — czyli podmioty świadczące usługi typu SOC-as-a-Service, MDR (Managed Detection & Response), Incident Response, threat intelligence — to podmioty kluczowe od poziomu małego przedsiębiorcy (art. 5 ust. 1 pkt 3 KSC, mikroprzedsiębiorca wyłączony). To bardzo niski próg w porównaniu do innych sektorów. Dodatkowo MSSP świadczący usługę obsługi incydentów ma szczególne obowiązki informacyjne z art. 8g KSC.
- Status PK od 10 osób / obrotu 2 mln EUR (próg małego przedsiębiorcy) — art. 5 ust. 1 pkt 3
- Pełne 14 obszarów SZBI (art. 8 ust. 1 pkt 2 lit. a–n) — bez uproszczeń
- Audyt co 3 lata (art. 15 ust. 1)
- Obowiązek publikacji informacji na stronie WWW (art. 8g KSC) — nazwa, adres, dane kontaktowe, opis usług, model 24/7 lub harmonogram dostępności
- Klauzule umowne z klientami obejmujące zakres usług, SLA, poufność, raportowanie incydentów
- Klasyfikacja jako MSSP (a nie zwykły MSP) wymaga jasnej oferty cyberbezpieczeństwa — Q&A 1.7
Cena i konsultacja
Bezpłatna konsultacja obejmuje klasyfikację (PK/PW + ewentualne wyjątki bez progu), mapę usług cyfrowych i identyfikację specyficznych wymogów dla danego typu działalności (MSSP, chmura, DNS, telekom). Wycena indywidualna w zależności od typu usługi, skali infrastruktury i lokalizacji. Lokalna obecność na Pomorzu — dla pomorskich firm IT i klastrów (Pomorski Klaster ICT „Interizon") dostępność on-site bez kosztów delegacji. Patrz: Dostawca chmury w KSC.