NIS2 przestało być regulacją, na którą przedsiębiorcy „dopiero powinni się przygotowywać”. W Polsce znowelizowana ustawa o krajowym systemie cyberbezpieczeństwa (KSC), wdrażająca dyrektywę NIS2, obowiązuje od 3 kwietnia 2026 r.
Dla wielu firm pierwszym praktycznym terminem jest 3 października 2026 r. Do tego dnia podmioty, które już w dniu wejścia w życie nowych przepisów spełniały kryteria podmiotu kluczowego lub podmiotu ważnego i nie są wpisywane z urzędu, powinny dokonać wpisu do Wykazu podmiotów kluczowych i podmiotów ważnych – Wykazu KSC.
I tutaj pojawia się najważniejszy problem.
Przedsiębiorca nie zawsze dostanie pismo z urzędu informujące: „od dziś podlegasz NIS2”. W wielu przypadkach to sama organizacja musi przeprowadzić samoidentyfikację i ustalić, czy jej rzeczywista działalność, wielkość oraz struktura spełniają kryteria przewidziane w ustawie.
Nie wystarczy więc wpisać nazwy firmy do wyszukiwarki albo spojrzeć na jeden kod PKD.
Trzeba odpowiedzieć na kilka pytań jednocześnie: co firma faktycznie robi, w jakim sektorze działa, jakiej jest wielkości, jakie ma podmioty powiązane i czy zachodzą szczególne przesłanki z art. 5 ustawy o KSC.
W tym artykule wyjaśniamy, jak przeprowadzić taką ocenę, kto powinien wpisać się do Wykazu KSC, jakie terminy obowiązują w 2026 i 2027 r. oraz dlaczego NIS2 nie powinno być traktowane wyłącznie jako projekt działu IT.
1. Najkrótsza odpowiedź: czy NIS2 dotyczy mojej firmy?
NIS2 może dotyczyć Twojej firmy, jeżeli prowadzi ona działalność należącą do sektorów objętych ustawą o KSC i jednocześnie spełnia kryteria określone w przepisach, w szczególności dotyczące wielkości przedsiębiorstwa i art. 5 ustawy.
Nie można jednak prawidłowo ustalić podlegania NIS2 wyłącznie na podstawie branży.
W praktyce analiza wygląda tak:
działalność firmy → sektor KSC → wielkość przedsiębiorstwa → podmioty powiązane i partnerskie → art. 5 KSC → status podmiotu kluczowego lub ważnego → obowiązek wpisu do Wykazu KSC.
Ministerstwo Cyfryzacji wprost wskazuje, że proces samoidentyfikacji powinien uwzględniać przede wszystkim faktyczny profil działalności, pomocniczo właściwe kody PKD, wielkość przedsiębiorstwa oraz szczególne zasady wynikające z art. 5 ustawy.
Co ważne, rzeczywisty charakter działalności ma większe znaczenie niż sama nazwa firmy czy formalnie wskazany kod PKD.
Przykład?
Spółka może określać się marketingowo jako „software house”, ale zakres jej usług może obejmować także zarządzanie systemami klientów, infrastrukturą, usługami chmurowymi albo innymi usługami ICT. Wtedy analiza jej statusu pod KSC może wyglądać zupełnie inaczej niż w przypadku podmiotu, który wyłącznie tworzy oprogramowanie na zamówienie.
Podobnie firma produkcyjna nie powinna kończyć analizy na stwierdzeniu: „nie jesteśmy firmą technologiczną”. Nowa KSC obejmuje również określone rodzaje produkcji, m.in. komputerów, elektroniki, urządzeń elektrycznych, maszyn, pojazdów czy sprzętu transportowego.
Najważniejsze terminy dla podmiotów spełniających kryteria już 3 kwietnia 2026 r.:
| Termin | Co się dzieje? |
|---|---|
| 3 kwietnia 2026 r. | wejście w życie nowelizacji KSC |
| 7 maja 2026 r. | uruchomienie samorejestracji w Wykazie KSC |
| 3 października 2026 r. | termin na samorejestrację dla podmiotów objętych tym obowiązkiem |
| 3 kwietnia 2027 r. | koniec okresu na wdrożenie wskazanych obowiązków i rozpoczęcie korzystania z S46 |
| 3 kwietnia 2028 r. | termin pierwszego audytu dla określonych podmiotów kluczowych oraz początek stosowania przepisów o karach pieniężnych zgodnie z harmonogramem Ministerstwa Cyfryzacji |
Jest też istotne zastrzeżenie: 3 października 2026 r. nie jest uniwersalnym terminem dla każdego przedsiębiorcy, który kiedykolwiek w przyszłości zacznie podlegać KSC. Jeżeli podmiot spełni przesłanki później, co do zasady termin na złożenie wniosku o wpis liczy się od momentu spełnienia ustawowych przesłanek.
Dlatego samo pytanie „czy termin mija 3 października?” jest niewystarczające. Najpierw trzeba ustalić od kiedy konkretny podmiot spełnia kryteria KSC.
Oficjalne informacje dotyczące samoidentyfikacji publikuje Ministerstwo Cyfryzacji.
2. Kogo obejmuje NIS2 i KSC? Podmiot kluczowy a podmiot ważny
Nowelizacja KSC znacząco rozszerzyła zakres podmiotów objętych krajowym systemem cyberbezpieczeństwa.
Ustawa posługuje się obecnie przede wszystkim kategoriami podmiotu kluczowego oraz podmiotu ważnego.
Wśród sektorów wskazanych w załącznikach do ustawy znajdują się m.in.:
- energia,
- transport,
- bankowość i infrastruktura rynków finansowych,
- ochrona zdrowia,
- woda i ścieki,
- infrastruktura cyfrowa,
- komunikacja elektroniczna,
- zarządzanie usługami ICT,
- przestrzeń kosmiczna,
- usługi pocztowe,
- gospodarowanie odpadami,
- produkcja i dystrybucja chemikaliów,
- produkcja i dystrybucja żywności,
- określone rodzaje produkcji przemysłowej,
- dostawcy usług cyfrowych,
- badania naukowe,
- określone podmioty publiczne.
Sama obecność danej branży na tej liście nie powinna jednak kończyć analizy.
Wielkość firmy ma znaczenie
W procesie samoidentyfikacji należy ustalić również wielkość przedsiębiorstwa.
Ministerstwo Cyfryzacji wskazuje następujące progi:
| Wielkość | Zatrudnienie | Dane finansowe |
| Mikro | poniżej 10 osób | obrót lub suma bilansowa do 2 mln EUR |
| Małe | poniżej 50 osób | obrót lub suma bilansowa do 10 mln EUR |
| Średnie | poniżej 250 osób | obrót do 50 mln EUR lub suma bilansowa do 43 mln EUR |
| Duże | przekroczenie progów | analiza według właściwych kryteriów |
I właśnie tutaj pojawia się pułapka, o której łatwo zapomnieć.
Nie zawsze wystarczy spojrzeć wyłącznie na zatrudnienie i obrót jednej spółki. Przy ustalaniu wielkości przedsiębiorstwa trzeba uwzględniać również przedsiębiorstwa partnerskie i powiązane.
Spółka zatrudniająca kilkadziesiąt osób może więc na pierwszy rzut oka wyglądać jak niewielka organizacja, ale jej kwalifikacja może zmienić się po uwzględnieniu struktury całej grupy.
Nie każda mała firma jest automatycznie poza NIS2
To kolejny częsty skrót myślowy.
W KSC występują sytuacje, w których regulacja może mieć zastosowanie niezależnie od standardowych kryteriów wielkościowych.
Dobrym przykładem są przedsiębiorcy telekomunikacyjni. Ministerstwo Cyfryzacji wskazuje, że podlegają oni ustawie niezależnie od wielkości, przy czym ich klasyfikacja jako podmiotu kluczowego lub ważnego zależy następnie od właściwych kryteriów.
Dlatego praktyczna analiza powinna mieć trzy etapy:
Krok 1 – ustal, co firma rzeczywiście robi.
Nie opieraj się wyłącznie na opisie działalności w KRS, PKD czy na stronie internetowej.
Krok 2 – ustal wielkość przedsiębiorstwa.
Uwzględnij nie tylko badaną spółkę, ale – tam gdzie jest to wymagane – również podmioty partnerskie i powiązane.
Krok 3 – zweryfikuj art. 5 ustawy o KSC.
To właśnie ten przepis zawiera szczegółowe zasady kwalifikacji oraz wyjątki od prostego schematu „branża + wielkość”.
Pełny wykaz sektorów i rodzajów podmiotów znajduje się w aktualnej ustawie o krajowym systemie cyberbezpieczeństwa.
3. Wykaz KSC – kto musi wpisać się do 3 października 2026 r. i jak wygląda rejestracja?
Wykaz KSC jest prowadzony w ramach Systemu S46 i zawiera informacje dotyczące podmiotów kluczowych i ważnych.
Dla przedsiębiorcy pierwsze pytanie powinno jednak brzmieć nie „jak wypełnić formularz?”, ale:
czy mój podmiot podlega samorejestracji, czy wpisowi z urzędu?
Samorejestracja
Samodzielne złożenie wniosku dotyczy przede wszystkim podmiotów, które:
- prowadzą działalność objętą ustawą,
- spełniają przesłanki uznania za podmiot kluczowy lub ważny,
- nie należą do kategorii wpisywanych do Wykazu KSC z urzędu.
Dla podmiotów, które spełniały kryteria już w dniu wejścia w życie nowelizacji, samorejestracja została uruchomiona 7 maja 2026 r., a termin wskazany przez Ministerstwo Cyfryzacji upływa 3 października 2026 r.
Wniosek można złożyć elektronicznie poprzez oficjalny Wykaz KSC.
Wniosek składa i podpisuje kierownik podmiotu albo upoważniona przez niego osoba. W formularzu trzeba prawidłowo określić m.in. dane podmiotu oraz jego klasyfikację sektorową.
I właśnie dlatego wpis do Wykazu KSC nie powinien być traktowany jak zwykłe zadanie administracyjne dla księgowości lub sekretariatu.
Najpierw trzeba prawidłowo ustalić status prawny organizacji.
Wpis z urzędu
Część organizacji jest wpisywana bez składania standardowego wniosku o samorejestrację.
Dotyczy to m.in. określonych podmiotów publicznych, przedsiębiorców telekomunikacyjnych, dostawców usług zaufania oraz podmiotów, które wcześniej miały status operatorów usług kluczowych.
W takim przypadku podmiot może być zobowiązany do późniejszego uzupełnienia danych po otrzymaniu odpowiedniego wezwania.
Brak wpisu nie powinien być traktowany jako dowód, że KSC nie obowiązuje
To szczególnie istotne z perspektywy zarządu.
Ustalenie statusu zaczyna się od analizy przesłanek ustawowych. Dlatego organizacja nie powinna przyjmować założenia:
„nie ma nas w wykazie, więc NIS2 nas nie dotyczy”.
W pierwszej kolejności należy ustalić, czy podmiot spełnia kryteria KSC, a następnie – jaki tryb wpisu jest dla niego właściwy.
W praktyce przed rejestracją warto przygotować krótkie memorandum kwalifikacyjne obejmujące:
- rzeczywisty model działalności,
- właściwy sektor i rodzaj podmiotu,
- wielkość przedsiębiorstwa,
- strukturę grupy i podmioty powiązane,
- analizę art. 5 KSC,
- wynik kwalifikacji: podmiot kluczowy, ważny albo podmiot pozostający poza zakresem regulacji,
- właściwy tryb i termin wpisu.
Taki dokument jest znacznie bardziej użyteczny niż samo „odhaczenie formularza”, bo pozwala wykazać, dlaczego organizacja przyjęła określoną kwalifikację.
4. Co trzeba zrobić po wpisie do Wykazu KSC?
Rejestracja nie kończy procesu. Ona go w praktyce rozpoczyna.
Dla podmiotów spełniających kryteria już w dniu wejścia w życie nowych przepisów kluczową kolejną datą jest 3 kwietnia 2027 r.
Do tego czasu organizacje objęte przepisami powinny przygotować się do realizacji nowych obowiązków, w tym rozpoczęcia korzystania z Systemu S46 i wdrożenia wymaganych rozwiązań z zakresu cyberbezpieczeństwa.
Jednym z centralnych elementów jest System Zarządzania Bezpieczeństwem Informacji – SZBI.
Nie chodzi przy tym o stworzenie kolejnego segregatora z politykami, których nikt później nie stosuje.
Dobrze wdrożone wymagania NIS2/KSC powinny odpowiadać na bardzo praktyczne pytania:
- jakie systemy i procesy są krytyczne dla działalności firmy,
- jakie zagrożenia mogą przerwać świadczenie usług,
- kto odpowiada za reakcję na incydent,
- w jaki sposób incydenty są wykrywane, klasyfikowane i zgłaszane,
- jak firma zarządza dostępami i uprawnieniami,
- czy posiada aktualne kopie zapasowe i realny plan odtworzenia działalności,
- jak ocenia bezpieczeństwo dostawców ICT,
- co dzieje się w razie awarii usług cloud, SaaS albo kluczowego systemu,
- jak kontrolowane są podatności i aktualizacje,
- czy pracownicy wiedzą, jak reagować na phishing, utratę danych albo naruszenie bezpieczeństwa.
Ministerstwo Cyfryzacji wskazuje wśród obowiązków m.in. wdrożenie SZBI, zarządzanie i zgłaszanie incydentów, wyznaczenie osób odpowiedzialnych za kontakty w ramach KSC oraz określone obowiązki dotyczące personelu.
Dla części podmiotów kluczowych dochodzi również obowiązek okresowego audytu cyberbezpieczeństwa.
W praktyce wdrożenie warto podzielić na cztery warstwy:
1. Warstwa prawna
kwalifikacja podmiotu, odpowiedzialności, procedury, dokumentacja i relacje z regulatorem;
2. Warstwa organizacyjna
role, odpowiedzialność, obieg informacji, zarządzanie incydentem i ciągłość działania;
3. Warstwa techniczna
systemy, dostępy, backup, monitoring, podatności, segmentacja, zabezpieczenia i testowanie;
4. Warstwa kontraktowa
cloud, SaaS, hosting, software house, outsourcing, podwykonawcy i inni dostawcy technologiczni.
Ta ostatnia warstwa bywa niedoceniana.
Organizacja może mieć świetne wewnętrzne procedury bezpieczeństwa, a jednocześnie umowę z kluczowym dostawcą, która nie przewiduje odpowiedniego czasu reakcji na incydent, obowiązku współpracy, dostępu do informacji, zasad ciągłości działania czy odpowiedzialności za podwykonawców.
Dlatego przy wdrażaniu KSC warto równolegle przeanalizować umowy IT i umowy z dostawcami technologii.
5. NIS2 to nie tylko problem działu IT – co powinien zrobić zarząd?
Jednym z największych błędów przy NIS2 jest potraktowanie projektu w taki sposób:
„przekazaliśmy temat informatykowi, więc sprawa jest załatwiona”.
Cyberbezpieczeństwo rzeczywiście wymaga kompetencji technicznych. Ale NIS2 i KSC dotyczą również zarządzania ryzykiem, odpowiedzialności organizacyjnej, dostawców, procedur, ciągłości działalności i decyzji osób zarządzających organizacją.
Sama dyrektywa NIS2 wymaga, aby organy zarządzające podmiotów objętych regulacją zatwierdzały odpowiednie środki zarządzania ryzykiem cyberbezpieczeństwa i nadzorowały ich wdrożenie.
Z perspektywy zarządu najważniejsze jest więc uzyskanie odpowiedzi przynajmniej na sześć pytań:
- Czy wiemy, czy spółka jest podmiotem kluczowym lub ważnym?
- Czy potrafimy udokumentować, w jaki sposób doszliśmy do tej kwalifikacji?
- Które systemy, procesy i usługi są krytyczne dla działalności?
- Kto podejmuje decyzję w pierwszej godzinie po wykryciu poważnego incydentu?
- Czy umowy z kluczowymi dostawcami ICT dają nam informacje i współpracę potrzebną do wykonania własnych obowiązków?
- Czy mamy plan dojścia do zgodności przed upływem ustawowych terminów?
W większej organizacji projekt NIS2/KSC powinien zatem łączyć co najmniej zarząd, IT/security, compliance, prawników, osoby odpowiedzialne za ciągłość działalności oraz zespoły zarządzające dostawcami.
NIS2 a DORA
W przypadku instytucji finansowych, fintechów i innych podmiotów regulowanych trzeba dodatkowo sprawdzić relację KSC/NIS2 z rozporządzeniem DORA.
Nie należy automatycznie zakładać, że wdrożenie jednego reżimu oznacza pełną zgodność z drugim. Regulacje częściowo dotyczą podobnych obszarów – np. ryzyka ICT, incydentów, odporności czy dostawców – ale ich zakres podmiotowy i wymagania nie są identyczne.
Jeżeli firma działa w sektorze finansowym lub dostarcza technologie instytucjom regulowanym, warto równolegle przeanalizować wymagania dotyczące DORA i compliance ICT.
Dla firm technologicznych znaczenie ma również szersza analiza modelu regulacyjnego, outsourcingu i dostawców. Więcej o naszym wsparciu w tym zakresie znajdziesz w obszarze Technologia, FinTech i regulacje.
6. NIS2 i Wykaz KSC – najczęstsze pytania przedsiębiorców
Czy NIS2 obowiązuje już w Polsce?
Tak. Nowelizacja ustawy o krajowym systemie cyberbezpieczeństwa wdrażająca NIS2 weszła w życie 3 kwietnia 2026 r. Część obowiązków została objęta okresami dostosowawczymi.
Czy każda firma zatrudniająca ponad 50 osób podlega NIS2?
Nie. Sama liczba pracowników nie przesądza o objęciu KSC. Trzeba analizować przede wszystkim rzeczywistą działalność, sektor, wielkość przedsiębiorstwa – również z uwzględnieniem odpowiednich podmiotów powiązanych i partnerskich – oraz szczególne przesłanki z art. 5 ustawy.
Czy mała firma może podlegać KSC?
Tak. W określonych sytuacjach przepisy obejmują podmioty niezależnie od standardowych progów wielkościowych. Przykładowo Ministerstwo Cyfryzacji wskazuje szczególne zasady dotyczące przedsiębiorców telekomunikacyjnych.
Czy software house podlega NIS2?
Nie da się odpowiedzieć wyłącznie na podstawie określenia „software house”. Trzeba ustalić, jakie usługi rzeczywiście świadczy firma. Inaczej może wyglądać sytuacja podmiotu zajmującego się wyłącznie developmentem, a inaczej organizacji świadczącej określone usługi zarządzane, cloud, infrastrukturalne lub inne usługi ICT objęte KSC.
Do kiedy trzeba wpisać firmę do Wykazu KSC?
Dla podmiotów, które spełniały odpowiednie przesłanki już w dniu wejścia w życie nowelizacji i podlegają samorejestracji, wskazanym terminem jest 3 października 2026 r. Jeżeli podmiot zacznie spełniać przesłanki w późniejszym terminie, należy odrębnie ustalić termin wynikający z ustawy.
Czy wpis do Wykazu KSC wystarczy, aby być zgodnym z NIS2?
Nie. Wpis jest tylko jednym z obowiązków. Kolejne dotyczą m.in. zarządzania ryzykiem cyberbezpieczeństwa, SZBI, incydentów, organizacji odpowiedzialności, Systemu S46 i – w przypadku określonych podmiotów – audytów.
Czy NIS2 dotyczy zarządu, czy tylko działu IT?
NIS2 nie jest wyłącznie regulacją techniczną. Na poziomie unijnym przewiduje również rolę organów zarządzających w zatwierdzaniu i nadzorowaniu środków zarządzania ryzykiem cyberbezpieczeństwa. Dlatego projekt powinien być traktowany jako zagadnienie zarządcze i compliance, a nie wyłącznie zadanie administratora IT.
Od czego zacząć wdrożenie NIS2/KSC w firmie?
Od kwalifikacji. Najpierw trzeba ustalić, czy firma jest objęta KSC i w jakim charakterze. Dopiero później sensowne jest przygotowanie rejestracji, gap analysis, planu wdrożenia SZBI, procedur, przeglądu umów ICT oraz technicznych i organizacyjnych środków bezpieczeństwa.
Co warto zrobić teraz?
Jeżeli firma może działać w sektorze objętym KSC, nie zaczynałbym od kupowania kolejnego narzędzia cybersecurity.
Najpierw warto zrobić krótką analizę kwalifikacyjną:
1. Czy podlegamy KSC?
2. Jesteśmy podmiotem kluczowym czy ważnym?
3. Czy wpisujemy się sami, czy z urzędu?
4. Jaki jest nasz właściwy termin?
5. Jakich elementów brakuje nam do zgodności?
6. Kto odpowiada za wdrożenie po stronie organizacji?
Dopiero na tej podstawie powstaje sensowna mapa wdrożenia.
W Pasternak Business Law wspieramy przedsiębiorców i zarządy w projektach regulacyjnych, technologicznych i compliance. Analizujemy model działalności, status regulacyjny, strukturę organizacji, umowy z dostawcami technologii oraz obowiązki, które należy przełożyć na konkretne dokumenty i procesy.
Jeżeli nie masz pewności, czy Twoja firma podlega NIS2/KSC albo czy powinna dokonać wpisu do Wykazu KSC, możemy zacząć od analizy kwalifikacyjnej i mapy obowiązków – bez rozpoczynania od tworzenia dokumentów, których firma może w ogóle nie potrzebować.
Porozmawiaj z Pasternak Business Law o projekcie.
Podstawy prawne i źródła zewnętrzne:
- Ustawa z 23 stycznia 2026 r. o zmianie ustawy o krajowym systemie cyberbezpieczeństwa oraz niektórych innych ustaw – Dz.U. 2026 poz. 252
- Ministerstwo Cyfryzacji – jak dokonać samoidentyfikacji podmiotu
- Ministerstwo Cyfryzacji – obowiązki podmiotów kluczowych i ważnych
- Ministerstwo Cyfryzacji – najważniejsze terminy KSC
- Wykaz podmiotów kluczowych i ważnych – Wykaz KSC
- Dyrektywa NIS2 – EUR-Lex
Autor: Bartosz Pasternak
Pasternak Business Law
Stan prawny: 19 sierpnia 2026 r.
Materiał ma charakter informacyjny i edukacyjny. Nie stanowi porady prawnej ani opinii prawnej w konkretnej sprawie. Ustalenie, czy dany podmiot podlega przepisom KSC, wymaga indywidualnej analizy jego rzeczywistej działalności, wielkości, struktury grupy oraz przesłanek wynikających z obowiązujących przepisów.