Znowelizowana ustawa o krajowym systemie cyberbezpieczeństwa dzieli firmy i instytucje na dwie grupy: podmioty kluczowe i podmioty ważne. To nie jest urzędnicza etykietka bez znaczenia — od tego, do której grupy trafi Twoja organizacja, zależy zakres obowiązków, częstotliwość audytów i wysokość ewentualnych kar. A mimo to w praktyce to właśnie ta klasyfikacja budzi najwięcej wątpliwości — bo o ile nazwa sektora brzmi jasno, o tyle diabeł tkwi w szczegółach: wielkości firmy, rodzaju świadczonych usług i wyjątkach, o których mało kto pamięta.
Ustawa o krajowym systemie cyberbezpieczeństwa (ustawa z 5 lipca 2018 r., t.j. Dz.U. 2026 poz. 20, po nowelizacji z 23 stycznia 2026 r., Dz.U. 2026 poz. 252) wdraża do polskiego prawa unijną dyrektywę NIS2 (dyrektywa Parlamentu Europejskiego i Rady (UE) 2022/2555). Nowelizacja weszła w życie 3 kwietnia 2026 r. i zastąpiła dotychczasowe pojęcia „operatora usługi kluczowej” i „dostawcy usługi cyfrowej” nowym podziałem: podmiot kluczowy i podmiot ważny.
To ważne zwłaszcza dla firm, które miały do czynienia ze „starą” ustawą o KSC — stare decyzje administracyjne wyznaczające status OUK nie przechodzą automatycznie na nowy system. Obowiązuje zasada samoidentyfikacji: to firma sama ocenia swój status i sama się zgłasza.
Ustawa wskazuje sektory objęte przepisami w dwóch załącznikach:
- Załącznik nr 1 — sektory wysokiej krytyczności: energetyka, transport, bankowość, infrastruktura rynków finansowych, ochrona zdrowia, woda pitna, ścieki, infrastruktura cyfrowa, zarządzanie usługami ICT B2B, administracja publiczna, przestrzeń kosmiczna.
- Załącznik nr 2 — pozostałe sektory krytyczne: usługi pocztowe i kurierskie, gospodarka odpadami, produkcja i dystrybucja chemikaliów, produkcja i dystrybucja żywności, produkcja wyrobów medycznych, elektronika, maszyny, pojazdy, dostawcy usług cyfrowych (sklepy internetowe, platformy społecznościowe i inne).
To znacznie szerszy katalog niż w starej ustawie — z 7 sektorów zrobiło się 18. Jeśli Twoja firma działa w produkcji, logistyce, handlu internetowym czy chemii i dotąd zakładała, że „cyberbezpieczeństwo to temat dla informatyków”, to dobry moment, żeby zweryfikować to założenie.
W większości przypadków o statusie decyduje wielkość przedsiębiorstwa, liczona według unijnej definicji z rozporządzenia Komisji (UE) nr 651/2014:
- Podmiot kluczowy — duży przedsiębiorca w sektorze z załącznika nr 1: powyżej 250 zatrudnionych lub roczny obrót powyżej 50 mln euro (albo suma bilansowa powyżej 43 mln euro).
- Podmiot ważny — średni przedsiębiorca (50–249 zatrudnionych lub obrót 10–50 mln euro) w sektorze z załącznika nr 1 lub 2.
Brzmi prosto. Ale ustawa przewiduje kilka istotnych wyjątków, przez które firmy najczęściej się mylą:
Wielkość nie zawsze ma znaczenie. Dostawcy usług DNS, rejestratorzy nazw domen, kwalifikowani dostawcy usług zaufania i niektórzy przedsiębiorcy komunikacji elektronicznej są podmiotem kluczowym niezależnie od rozmiaru firmy — nawet jednoosobowa działalność może się tu zaliczyć.
Niższy próg dla dostawców cyberbezpieczeństwa. Firmy świadczące usługi zarządzane w zakresie cyberbezpieczeństwa (tzw. MSSP) podlegają ustawie już od statusu małego przedsiębiorcy — czyli od około 10 zatrudnionych i 2 mln euro obrotu. To istotnie niższy próg niż ogólna zasada dla reszty rynku.
Podmioty lecznicze niebędące przedsiębiorcami mają odrębną zasadę: podmiot ważny przy zatrudnieniu 50–249 osób, podmiot kluczowy przy 250 i więcej — niezależnie od obrotu.
Nawet firma z sektora niewymienionego wprost w załącznikach może podlegać ustawie, jeśli świadczy usługi IT lub cyberbezpieczeństwa na rzecz spółek z własnej grupy kapitałowej. Taka działalność bywa samodzielną podstawą objęcia obowiązkami — niezależnie od tego, czym zajmuje się reszta grupy. To szczególnie częsta pułapka w grupach kapitałowych, gdzie jedna spółka pełni rolę „wewnętrznego IT" dla pozostałych.
Druga częsta pomyłka: posiadanie kilku kodów PKD nie zwalnia z obowiązku, a wręcz może go zwielokrotnić — jeśli firma działa w kilku sektorach jednocześnie, obowiązki mogą dotyczyć jej z kilku stron naraz.
Umów bezpłatną konsultację
To pierwszy i najczęściej błędnie robiony krok — bo firmy patrzą tylko na PKD z wpisu do KRS lub CEIDG, a nie na to, czym faktycznie się zajmują. Ustawa patrzy na rzeczywisty charakter działalności, nie na kod statystyczny. Warto więc:
- – wypisać wszystkie kody PKD firmy — również te „poboczne”, które często zostają z historii spółki i nikt o nich nie pamięta,
- – zestawić je z pełną treścią załącznika nr 1 (sektory wysokiej krytyczności) i nr 2 (pozostałe sektory kluczowe) — teksty dostępne są na ISAP.gov.pl,
- – sprawdzić nie tylko główny przedmiot działalności, ale też usługi „przy okazji” — np. firma produkcyjna, która dodatkowo administruje własną infrastrukturą IT dla klientów lub partnerów, może wpaść w zupełnie inny sektor niż się spodziewa.
Jeśli firma ma kilka linii biznesowych, ten krok trzeba powtórzyć dla każdej z nich osobno — bo jak pisaliśmy wyżej, wielość PKD może zwielokrotnić obowiązki, a nie je wykluczyć.
Tu nie chodzi o „ile osób jest na liście płac dzisiaj”, tylko o metodykę z rozporządzenia Komisji (UE) nr 651/2014 — tego samego, którym posługują się programy pomocowe. W praktyce oznacza to policzenie trzech rzeczy:
- – liczby zatrudnionych (w przeliczeniu na pełne etaty, nie liczbę osób fizycznie zatrudnionych),
- – rocznego obrotu netto albo sumy bilansowej — wystarczy spełnić jedno z tych kryteriów, żeby przekroczyć próg,
- – powiązań kapitałowych i osobowych — a to jest właśnie ten element, o którym firmy najczęściej zapominają. Jeśli Twoja spółka należy do grupy kapitałowej albo ma powiązania z innymi podmiotami (udziały, wspólne zarządy, umowy dominacji), dane finansowe i kadrowe trzeba zsumować z podmiotami powiązanymi, a czasem częściowo z partnerskimi. To realnie zmienia klasyfikację — firma, która samodzielnie wygląda jak „mały gracz”, w grupie kapitałowej może okazać się dużym przedsiębiorcą w rozumieniu ustawy.
To ten etap, na którym warto usiąść z księgowością albo działem finansowym — bo liczby trzeba policzyć poprawnie, a nie „na oko”.
Niezależnie od tego, jak wyjdzie rachunek z punktu 2, sprawdź, czy Twoja firma nie mieści się w jednej z kategorii, dla których wielkość przedsiębiorstwa nie ma żadnego znaczenia — nawet jednoosobowa działalność gospodarcza automatycznie staje się podmiotem kluczowym, jeśli świadczy jedną z tych usług:
- – dostawca usług DNS,
- – rejestrator nazw domen,
- – kwalifikowany dostawca usług zaufania,
- – niektórzy przedsiębiorcy komunikacji elektronicznej,
- – dostawca usług zarządzanych w zakresie cyberbezpieczeństwa (MSSP) — tu wielkość ma znaczenie, ale próg jest dużo niższy niż standardowy: wystarczy status małego przedsiębiorcy, czyli ok. 10 zatrudnionych i 2 mln euro obrotu, żeby podlegać ustawie.
Jeśli prowadzisz agencję hostingową, firmę rejestrującą domeny albo świadczysz usługi SOC/monitoringu bezpieczeństwa dla klientów — to jest punkt, który dotyczy Ciebie niezależnie od tego, ilu masz pracowników.
To osobny, łatwy do przeoczenia scenariusz. Nawet jeśli Twoja firma formalnie działa w branży, która nigdzie w załącznikach się nie pojawia — np. w nieruchomościach, handlu czy usługach niepowiązanych z IT — to samo świadczenie usług informatycznych lub z zakresu cyberbezpieczeństwa na rzecz spółek z własnej grupy kapitałowej może być samodzielną podstawą objęcia ustawą. Dotyczy to często:
- – wewnętrznych działów IT wydzielonych do osobnej spółki (tzw. shared services),
- – spółek-córek pełniących funkcję „centrum kompetencji IT” dla całej grupy,
- – podmiotów, które formalnie są odrębnym bytem prawnym, ale technicznie obsługują infrastrukturę innych spółek z grupy.
Jeśli Twoja struktura wygląda w ten sposób, warto przeanalizować to jako odrębny wątek — niezależnie od wyniku analizy sektorowej całej grupy.
Ministerstwo Rozwoju i Technologii udostępniło narzędzie do samodzielnej, wstępnej oceny statusu — prowadzi ono przedsiębiorcę przez pytania o sektor działalności, kody PKD, wielkość podmiotu i tryb wpisu. To dobry punkt startowy, bo:
- – pozwala szybko zawęzić pole — czy w ogóle warto drążyć temat głębiej,
- – pokazuje, jakich danych będziesz potrzebować do właściwego wniosku, jeśli okaże się, że obowiązek Cię dotyczy,
- – jest bezpłatne i nie wymaga żadnych zobowiązań.
Warto jednak pamiętać, że to narzędzie orientacyjne, a nie wiążąca interpretacja — nie zastąpi analizy sytuacji nietypowej, powiązań kapitałowych czy wyjątków sektorowych opisanych wyżej.
W praktyce właśnie tak najczęściej bywa: wynik nie jest jasnym „tak” ani jasnym „nie”. Firma ma kilka linii biznesowych, powiązania kapitałowe, świadczy usługi na styku kilku sektorów albo trafia akurat na któryś z wyjątków. W takiej sytuacji błąd kosztuje w obie strony:
- – zgłoszenie się niepotrzebnie oznacza wdrażanie pełnego reżimu zgodności (audyty, dokumentacja, procedury raportowania) tam, gdzie formalnie nie było to jeszcze konieczne — a to realny koszt czasu i budżetu,
- – niezgłoszenie się, gdy obowiązek istniał, oznacza ryzyko kar administracyjnych opisanych w naszym kolejnym artykule — i to niezależnie od tego, czy pomyłka była świadoma, czy wynikała z niewiedzy.
Dlatego przy jakiejkolwiek wątpliwości — a przy powiązaniach kapitałowych, kilku PKD czy usługach na styku sektorów wątpliwość pojawia się niemal zawsze — lepiej zweryfikować status z kimś, kto robi to zawodowo, zanim podejmie się decyzję w jedną albo drugą stronę.
Artykuł ma charakter informacyjny i edukacyjny, oparty na tekście ustawy o krajowym systemie cyberbezpieczeństwa (t.j. Dz.U. 2026 poz. 20, ze zm.) oraz komunikatach Ministerstwa Cyfryzacji. Nie stanowi opinii prawnej.