Kiedy firma potrzebuje analizy prawnej dotyczącej NIS2 i KSC?
Analiza prawna jest potrzebna, gdy działalność może mieścić się w sektorach wskazanych w ustawie, kryteria wielkości zależą od przedsiębiorstw powiązanych, firma pełni kilka ról, świadczy usługi transgranicznie, wykonuje zadania publiczne albo może podlegać szczególnym przesłankom z art. 5. Audyt techniczny pokaże stan zabezpieczeń, ale nie powinien samodzielnie rozstrzygać statusu prawnego podmiotu.
Aktualny stan prawny w Polsce
Ustawa z 23 stycznia 2026 r. o zmianie ustawy o krajowym systemie cyberbezpieczeństwa oraz niektórych innych ustaw została ogłoszona w Dz.U. 2026 poz. 252 i weszła w życie 3 kwietnia 2026 r. Ministerstwo Cyfryzacji wskazuje, że wdraża ona NIS2 i wprowadza podział na podmioty kluczowe oraz ważne.
Podmioty, które spełniały kryteria w dniu wejścia w życie, powinny — według informacji Ministerstwa — dokonać wpisu do Wykazu KSC do 3 października 2026 r., rozpocząć korzystanie z S46 i wdrożyć obowiązki do 3 kwietnia 2027 r. Dla podmiotów kluczowych wskazano również terminy audytu. Jeżeli firma spełniła przesłanki później, terminy trzeba ustalić z tekstu ustawy dla jej konkretnej sytuacji.
Dlaczego lista branż z internetu nie wystarcza
Ministerstwo Cyfryzacji zaleca analizę sektorów z załączników, kryteriów wielkościowych oraz art. 5 ustawy. Nie powinno się opierać wyłącznie na kodzie PKD albo nazwie marketingowej usługi. Znaczenie ma rzeczywiście prowadzona działalność, rola w łańcuchu dostaw, skala, powiązania kapitałowe i organizacyjne oraz możliwe wyjątki.
Prosty quiz może wskazać ryzyko objęcia regulacją, lecz nie daje pewności prawnej. Szczególnie ostrożnie należy podchodzić do podmiotów świadczących kilka rodzajów usług, należących do grupy przedsiębiorstw lub obsługujących sektor publiczny i infrastrukturę krytyczną.
Co można przygotować technicznie bez czekania na kwalifikację
Niezależnie od statusu firma może uporządkować elementy, które są potrzebne również do zwykłego zarządzania ryzykiem:
- inwentaryzację usług, systemów, dostawców i przepływów danych;
- role kierownictwa i odpowiedzialność za cyberbezpieczeństwo;
- zarządzanie ryzykiem dostawców oraz zapisy w umowach;
- kontrolę dostępów, MFA i kont uprzywilejowanych;
- zarządzanie podatnościami, aktualizacjami i konfiguracją;
- backup, testy odtwarzania i ciągłość działania;
- monitoring, rejestrowanie i plan reagowania na incydenty;
- szkolenia pracowników i dokumentowanie wykonanych działań.
Te prace nie przesądzają zgodności z ustawą, ale tworzą dowody i ograniczają ryzyko operacyjne.
Sytuacje, w których potrzebny jest prawnik
- niejasne przypisanie rzeczywistej usługi do sektora lub podsektora;
- ustalanie wielkości przedsiębiorstwa z podmiotami partnerskimi i powiązanymi;
- możliwe objęcie niezależnie od wielkości na podstawie szczególnych przesłanek;
- działalność w kilku państwach albo kilka właściwych organów;
- nakładanie się KSC z DORA, prawem sektorowym, RODO lub wymaganiami kontraktowymi;
- ustalanie terminów po zmianie profilu działalności, podziale lub przejęciu spółki;
- incydent, który może uruchamiać obowiązki zgłoszeniowe;
- odpowiedzialność kierownictwa, pełnomocnictwa i oświadczenia składane w wykazie.
W tych obszarach rekomendacja techniczna nie zastępuje opinii prawnej opartej na aktualnym tekście ustawy.
Jak połączyć analizę prawną z audytem technicznym
Prawnik powinien otrzymać fakty: katalog usług, klientów, lokalizacji, strukturę grupy, umowy, zależności i opis systemów. Z kolei audyt techniczny powinien otrzymać wynik kwalifikacji, zakres obowiązków, wymagane terminy i definicje incydentów. Wspólnym rezultatem jest mapa obowiązków z właścicielami, terminami oraz dowodami wykonania.
Artykuł ma charakter informacyjny i nie jest opinią prawną. Stan prawny należy sprawdzać na dzień konkretnej decyzji.
Dane do wstępnej analizy KSC
- Opis rzeczywistych usług, klientów i obszaru geograficznego.
- Sektory i podsektory potencjalnie odpowiadające załącznikom ustawy.
- Wielkość przedsiębiorstwa wraz z podmiotami partnerskimi i powiązanymi.
- Struktura grupy, właściciele i podmioty świadczące wspólne usługi IT.
- Umowy z sektorem publicznym i podmiotami regulowanymi.
- Inne regulacje sektorowe, w tym możliwe zastosowanie DORA lub RODO.
- Data rozpoczęcia lub zmiany działalności spełniającej przesłanki.
- Obecny stan rejestracji w Wykazie KSC i dostępu do S46.
- Mapa systemów wspierających usługi objęte analizą.
- Lista pytań wymagających pisemnej opinii prawnej.
Powiązane usługi Partnerhosted
- Usługa główna: Cyberbezpieczeństwo
- Usługa uzupełniająca: Outsourcing IT
- Usługa uzupełniająca: Szkolenia IT
Najczęstsze pytania
Czy każda średnia firma podlega KSC po wdrożeniu NIS2?
Nie automatycznie. Wielkość jest jednym z elementów, ale znaczenie mają również sektor, rzeczywiście świadczone usługi oraz szczególne przesłanki ustawowe.
Czy kod PKD rozstrzyga objęcie ustawą?
Nie powinien być jedyną podstawą. Potrzebna jest analiza rzeczywistej działalności, definicji ustawowych, załączników, skali i wyjątków.
Czy audyt cyberbezpieczeństwa potwierdzi, że firma podlega KSC?
Audyt techniczny opisze systemy i poziom zabezpieczeń, ale kwalifikacja podmiotu oraz interpretacja przepisów wymagają analizy prawnej.
Czy mała firma nieobjęta KSC może zignorować NIS2?
Brak bezpośredniego statusu nie usuwa ryzyka. Wymagania mogą pojawić się w umowach z klientami lub dostawcami, a podstawowe zabezpieczenia są potrzebne niezależnie od regulacji.
Źródła
- ISAP — Dz.U. 2026 poz. 252: obowiązująca nowelizacja ustawy o KSC, ogłoszenie i data wejścia w życie.
- Ministerstwo Cyfryzacji — obowiązki podmiotów kluczowych i ważnych: terminy wpisu, S46, SZBI, incydenty i audyty.
- Ministerstwo Cyfryzacji — kogo obejmuje nowelizacja KSC: sektory, kryteria i potrzeba samooceny.
- EUR-Lex — Dyrektywa (UE) 2022/2555: unijne źródło dyrektywy NIS2.
Materiał ma charakter ogólny. Konfigurację techniczną, retencję danych i obowiązki prawne należy ocenić w kontekście konkretnej organizacji.
Potrzebujesz technicznego obrazu środowiska do analizy KSC?
Możemy przygotować inwentaryzację, mapę ryzyk i dowody techniczne do dalszej oceny przez prawnika lub osobę odpowiedzialną za zgodność.