Polish
English
Od 3 kwietnia 2026 r. ustawa o krajowym systemie cyberbezpieczeństwa obejmuje tysiące średnich i dużych firm, także takich, które nigdy nie uważały się za „infrastrukturę krytyczną”. Do 3 października same muszą zgłosić się do wykazu. Wyjaśniamy, jak w godzinę sprawdzić, czy ten obowiązek dotyczy Państwa firmy.
W firmie, która nie buduje etatu, tę rolę pełni wirtualny CISO.
Najczęstsze zdanie, jakie słyszę od prezesów przy pierwszej rozmowie o KSC, brzmi: „To nas nie dotyczy, my nie jesteśmy elektrownią”. Potem otwieramy załącznik do ustawy i okazuje się, że producent opakowań, dystrybutor żywności albo firma kurierska z 80 pracownikami są w nim wymienieni czarno na białym.
Nowelizacja ustawy o krajowym systemie cyberbezpieczeństwa (Dz.U. 2026 poz. 252) weszła w życie 3 kwietnia 2026 r. i przeniosła do polskiego prawa unijną dyrektywę NIS2. Zmieniła jedną zasadę, która ma większe skutki niż wszystkie pozostałe razem wzięte. Państwo nie wskazuje już firm decyzją administracyjną. Firma sama ocenia, czy podlega ustawie. I sama odpowiada za błąd w tej ocenie.
Dwa pytania zamiast stu stron
Kwalifikacja sprowadza się do dwóch kryteriów, które muszą być spełnione jednocześnie.
Pierwsze to sektor. Załączniki do ustawy obejmują nie tylko energetykę, transport, banki i szpitale. Są tam również gospodarka odpadami, produkcja i dystrybucja żywności, chemia, usługi pocztowe i kurierskie, produkcja wyrobów medycznych, elektroniki, maszyn i pojazdów, dostawcy usług cyfrowych, a także zarządzanie usługami ICT, czyli firmy takie jak nasza, które administrują infrastrukturą klientów.
Drugie to wielkość. Co do zasady ustawa obejmuje przedsiębiorstwa średnie i duże: od 50 pracowników albo powyżej 10 mln euro obrotu i sumy bilansowej. Wielkość liczy się z uwzględnieniem powiązań kapitałowych. Spółka zatrudniająca 30 osób, ale należąca do grupy z kilkuset pracownikami, może być „średnia” w rozumieniu przepisów. W tym miejscu pomyłek jest najwięcej.
Jeśli oba warunki są spełnione, firma staje się podmiotem kluczowym albo ważnym. Duże firmy z sektorów o najwyższym znaczeniu są zwykle kluczowe, średnie – ważne. Różnica nie jest kosmetyczna. Podmiot kluczowy może zostać skontrolowany bez żadnego incydentu, musi przechodzić regularny audyt i grozi mu kara do 10 mln euro lub 2% przychodów. Dla podmiotu ważnego górna granica to 7 mln euro lub 1,4% przychodów.
Jak to wygląda w praktyce
Przykład ilustracyjny, zbudowany na typowym scenariuszu. Firma i liczby nie dotyczą konkretnego klienta.
Weźmy producenta opakowań kartonowych spod Łodzi. Zatrudnia 42 osoby, ma 38 mln zł obrotu. Zarząd uznał, że KSC go nie dotyczy, bo „jesteśmy za mali, a opakowania to nie energetyka”. Oba założenia okazały się błędne.
Spółka należy do grupy z zakładem w Czechach i centralą w Niemczech, więc razem z powiązaniami przekracza progi średniego przedsiębiorstwa. Do tego produkuje opakowania z kontaktem z żywnością, a część przychodów pochodzi z dystrybucji wyrobów papierniczych. Obie te działalności mieszczą się w sektorach z załącznika do ustawy.
Sprawa wyszła przypadkiem. Największy klient, sieć handlowa, przysłał ankietę bezpieczeństwa dostawcy z pytaniem o numer wpisu do wykazu. Sama kwalifikacja z prawnikiem zajęła dwa tygodnie. Wniosek w S46 zajął jedno popołudnie. Najdłużej trwało ustalenie, kto ma być osobą kontaktową, bo firma nie miała własnego informatyka, tylko zewnętrznego serwisanta na godziny.
Stały nadzór daje CISO as a Service, nie jednorazowy projekt.
Co dokładnie trzeba zrobić do 3 października
Wniosek o wpis do wykazu podmiotów kluczowych i ważnych składa się elektronicznie w systemie S46, prowadzonym przez Ministra Cyfryzacji. Sam formularz nie jest skomplikowany: dane firmy, sektor, rodzaj działalności, dane kontaktowe. Najwięcej uwagi wymaga jedna rubryka, czyli osoby wyznaczone do kontaktów w sprawach cyberbezpieczeństwa.
Z mojego doświadczenia wynika, że firmy wpisują tu kogokolwiek z działu IT. To błąd. Osoba kontaktowa jest adresatem komunikatów od CSIRT i organu nadzoru. Ma być osiągalna również w sobotę o 23:00, znać infrastrukturę i móc podjąć decyzję bez zwoływania zarządu. Jeżeli firma korzysta z zewnętrznego dostawcy IT, trzeba jasno ustalić w umowie, kto pełni tę rolę i kto go zastępuje.
Rejestracja to dopiero pierwszy krok
Po wpisie zaczynają biec kolejne terminy. Do 3 kwietnia 2027 r. firma musi mieć wdrożony system zarządzania bezpieczeństwem informacji: analizę ryzyka, środki techniczne, procedury, szkolenia. Podmioty kluczowe do 3 kwietnia 2028 r. przechodzą pierwszy audyt, a potem co najmniej co trzy lata. Według Ministerstwa Cyfryzacji właśnie od tej daty organy mogą nakładać administracyjne kary pieniężne.
Jeden obowiązek działa jednak od kwietnia tego roku, bez okresu przejściowego. Poważny incydent trzeba zgłosić do CSIRT w ciągu 24 godzin od wykrycia.
W praktyce ustawa przekłada się na osiem obszarów pracy działu IT: inwentaryzację i analizę ryzyka, kontrolę dostępu, bezpieczną konfigurację, zarządzanie podatnościami, monitoring, obsługę incydentów, kopie zapasowe i ciągłość działania oraz kontrolę dostawców. Każdemu z nich poświęcimy osobny tekst w tym cyklu.
„Mamy półtora roku, zdążymy”
To najczęstsza obiekcja. I rozumiem ją, bo kalendarz rzeczywiście wygląda łaskawie. Tyle że wdrożenie systemu zarządzania bezpieczeństwem w firmie średniej wielkości trwa realnie od 9 do 12 miesięcy. Zamówienie sprzętu, zmiana licencji, przepisanie umów z dostawcami i przeszkolenie ludzi nie dzieją się w kwartał. Firma, która zacznie latem 2027 r., nie zdąży. Co ważniejsze, przestępcy nie czekają na kwiecień 2028 r. Według raportu CERT Polska w 2025 r. zespół zarejestrował ponad 260 tys. incydentów, o 152% więcej niż rok wcześniej.
Odpowiedzialność ma teraz nazwisko
Nowelizacja wprost wskazuje kierownika podmiotu jako odpowiedzialnego za cyberbezpieczeństwo. Członkowie zarządu muszą co najmniej raz w roku przejść szkolenie. Kara może zostać nałożona nie tylko na spółkę, ale też na osobę kierującą: w firmie prywatnej do 300% wynagrodzenia. Cyberbezpieczeństwo przestało być sprawą, którą zarząd może w całości oddelegować.
Jedna rzecz na dziś
Proszę zarezerwować godzinę z dyrektorem finansowym i osobą odpowiedzialną za IT. Otworzyć załączniki do ustawy, sprawdzić sektor każdej linii biznesowej i policzyć wielkość firmy razem z grupą. Wynik zapisać na jednej stronie, z datą i podpisem. Jeżeli firma podlega ustawie, do 3 października trzeba złożyć wniosek w S46. Jeżeli nie podlega, ta strona będzie pierwszym dokumentem, o który zapyta klient, bank albo audytor.
W NG Solutions taką kwalifikację przeprowadzamy w ramach krótkiej konsultacji. Większość firm poradzi sobie jednak sama, jeśli po prostu usiądzie do tego w tym tygodniu.
To jest outsourcing CISO: ktoś odpowiada za program bezpieczeństwa od dnia umowy.
Źródła: Ustawa z 23.01.2026 r. o zmianie ustawy o KSC (Dz.U. 2026 poz. 252); komunikat Ministerstwa Cyfryzacji „Nowelizacja ustawy o krajowym systemie cyberbezpieczeństwa zaczyna obowiązywać”; NASK, „Prawie 2 tys. zgłoszeń każdego dnia. Raport CERT Polska za 2025 rok”.
O autorze: Nikodem Zdzieborski – prezes zarządu NG Solutions Sp. z o.o., firmy z Warszawy świadczącej usługi infrastruktury IT, cyberbezpieczeństwa i ochrony danych. Na co dzień łączy pracę administratora systemów z doradztwem dla zarządów.