Nowelizacja ustawy o KSC! Czy Twoja firma podlega nowym obowiązkom?

3 kwietnia 2026 r. weszła w życie nowelizacja ustawy o krajowym systemie cyberbezpieczeństwa (KSC), wdrażająca do polskiego prawa wymagania dyrektywy NIS2. Nowe przepisy rozszerzyły krąg przedsiębiorców i podmiotów publicznych objętych obowiązkami z zakresu cyberbezpieczeństwa.

Dla wielu organizacji pierwszym zadaniem nie będzie samo wdrożenie zabezpieczeń technicznych, lecz prawidłowe ustalenie, czy posiadają status podmiotu kluczowego albo podmiotu ważnego.

Kogo obejmują nowe przepisy?

Ustawa obejmuje podmioty działające w sektorach uznanych za szczególnie istotne dla funkcjonowania państwa i gospodarki.

Do sektorów kluczowych należą między innymi:

• energetyka
• transport,
• bankowość i infrastruktura rynków finansowych,
• ochrona zdrowia,
• zaopatrzenie w wodę i odprowadzanie ścieków,
• infrastruktura cyfrowa,
• zarządzanie usługami ICT,
• przestrzeń kosmiczna,
• określone podmioty publiczne.

Sektory ważne obejmują natomiast między innymi:

• usługi pocztowe,
• gospodarowanie odpadami,
• produkcję i dystrybucję chemikaliów oraz żywności,
• produkcję, wytwarzanie i dystrybucję chemikaliów,
• produkcję, przetwarzanie i dystrybucję żywności,
• produkcję urządzeń elektrycznych, maszyn, pojazdów oraz wyrobów elektronicznych,
• dostawców usług cyfrowych,
• jednostki prowadzące badania naukowe,
• określone podmioty publiczne.

Pełny katalog działalności znajduje się w załącznikach nr 1 i 2 do ustawy. Sam fakt prowadzenia działalności w wymienionym sektorze nie zawsze oznacza jednak automatyczne objęcie regulacją. W wielu przypadkach znaczenie ma również wielkość przedsiębiorstwa.

Przy ustalaniu, czy przedsiębiorca prowadzi działalność należącą do jednego z sektorów wymienionych w załącznikach do ustawy, pomocne mogą być kody PKD. Nie mają one jednak charakteru rozstrzygającego. O objęciu przepisami ustawy o KSC decyduje przede wszystkim faktycznie wykonywana działalność, a nie wyłącznie działalność formalnie ujawniona w rejestrze.

Wielkość przedsiębiorstwa i powiązania kapitałowe

W kolejnym kroku podmiot musi ustalić swoją wielkość w oparciu o treść załącznika I do rozporządzenia 651/2014/UE oraz wielkości podane w sprawozdaniu finansowym. Przy ustalaniu statusu podmiotu należy uwzględnić liczbę pracowników, roczny obrót oraz sumę bilansową. Co do zasady przepisy ustawy o KSC obejmują co najmniej średnich przedsiębiorców, chociaż dla niektórych rodzajów działalności przewidziano odmienne kryteria wielkościowe.

Istotne jest również to, że przy ustalaniu wielkości przedsiębiorstwa, co do zasady konieczne jest uwzględnienie danych przedsiębiorstw powiązanych i partnerskich. Ustawa o KSC przewiduje jednak wyjątek dotyczący podmiotów, których systemy informacyjne są rzeczywiście niezależne od systemów przedsiębiorstw powiązanych lub partnerskich i które nie świadczą z nimi wspólnie usług. Zastosowanie tego wyjątku wymaga jednak wykazania realnej niezależności operacyjnej i technologicznej.

Najważniejsze terminy

Podmioty, które spełniały kryteria objęcia ustawą już 3 kwietnia 2026 r., powinny pamiętać o następujących terminach:

3 października 2026 r. – termin na złożenie wniosku o wpis do wykazu podmiotów kluczowych i podmiotów ważnych;

3 kwietnia 2027 r. – termin na wdrożenie obowiązków wynikających z ustawy;

3 kwietnia 2028 r. – termin na przeprowadzenie pierwszego obowiązkowego audytu cyberbezpieczeństwa przez podmioty kluczowe, które wcześniej nie posiadały statusu operatora usługi kluczowej.

Kolejne audyty podmiotów kluczowych powinny być przeprowadzane co najmniej raz na trzy lata.

Jeżeli organizacja zacznie spełniać ustawowe kryteria w późniejszym terminie, zasadniczo będzie miała sześć miesięcy od spełnienia przesłanek na złożenie wniosku o wpis do wykazu KSC.

Jakie obowiązki należy  wdrożyć?

Podmioty kluczowe i ważne muszą prowadzić systematyczne szacowanie ryzyka wystąpienia incydentów oraz zarządzać tym ryzykiem. Na tej podstawie powinny wdrożyć odpowiednie i proporcjonalne środki techniczne i organizacyjne, dostosowane między innymi do wielkości podmiotu, skali zagrożeń, prawdopodobieństwa incydentów oraz ich potencjalnych skutków społecznych i gospodarczych.

Obowiązki obejmują w szczególności:

• przyjęcie polityk zarządzania ryzykiem i bezpieczeństwa systemów informacyjnych;
• zapewnienie bezpieczeństwa systemów na etapie ich nabywania, rozwoju, utrzymania i eksploatacji;
• wdrożenie zabezpieczeń fizycznych, kontroli dostępu oraz zasad bezpieczeństwa personelu;
• zapewnienie bezpieczeństwa i ciągłości łańcucha dostaw produktów, usług i procesów ICT;
• opracowanie, dokumentowanie i testowanie planów ciągłości działania, planów awaryjnych i planów odtworzenia działalności;
• ciągłe monitorowanie systemów informacyjnych oraz ocenę skuteczności stosowanych zabezpieczeń;
• prowadzenie edukacji personelu, stosowanie zasad cyberhigieny oraz odpowiednich mechanizmów kryptograficznych i uwierzytelniania;
• zarządzanie aktywami, cyberzagrożeniami, podatnościami oraz incydentami;
• stosowanie środków zapobiegających incydentom i ograniczających ich skutki, w tym aktualizowanie oprogramowania, ochronę przed nieuprawnionymi zmianami oraz niezwłoczne reagowanie na wykryte podatności i zagrożenia.

Osobista odpowiedzialność członków zarządu

Jednym z najważniejszych elementów nowelizacji ustawy o KSC jest wyraźne przypisanie odpowiedzialności za przestrzeganie przepisów ustawy o KSC kierownikowi podmiotu kluczowego lub podmiotu ważnego.  W przypadku spółek kapitałowych funkcję tę pełni co do zasady zarząd.

Jeżeli zarząd jest wieloosobowy i nie została wskazana konkretna osoba odpowiedzialna za wykonywanie obowiązków w zakresie cyberbezpieczeństwa, odpowiedzialność ponoszą wszyscy członkowie zarządu.

Co szczególnie ważne, powierzenie niektórych lub nawet wszystkich obowiązków innej osobie nie zwalnia kierownika podmiotu z odpowiedzialności. Dotyczy to zarówno przekazania zadań pracownikowi lub osobie odpowiedzialnej za bezpieczeństwo informacji, jak i korzystania z pomocy zewnętrznych podmiotów.

Ustawa określa przy tym konkretne zadania kierownika podmiotu. Należą do nich:

• podejmowanie decyzji dotyczących przygotowania, wdrażania, stosowania, przeglądu i nadzorowania systemu zarządzania bezpieczeństwem informacji;
• planowanie odpowiednich środków finansowych na realizację obowiązków z zakresu cyberbezpieczeństwa;
• przydzielanie zadań dotyczących cyberbezpieczeństwa oraz nadzorowanie ich wykonania;
• zapewnienie, aby personel znał swoje obowiązki oraz wewnętrzne regulacje dotyczące cyberbezpieczeństwa;
• zapewnienie zgodności działalności podmiotu z przepisami prawa oraz jego regulacjami wewnętrznymi.

Dodatkowo kierownik podmiotu oraz osoba, której powierzono wykonywanie obowiązków kierownika w zakresie cyberbezpieczeństwa, mają obowiązek raz w roku kalendarzowym odbyć szkolenie obejmujące obowiązki wynikające z ustawy.

Znaczenie tych obowiązków wzmacnia możliwość nałożenia osobistej kary pieniężnej bezpośrednio na kierownika podmiotu kluczowego lub podmiotu ważnego w przypadkach określonych w art. 73a ustawy.

Co należy zrobić już teraz?

Pierwszym krokiem powinno być przeprowadzenie analizy pozwalającej ustalić, czy organizacja spełnia przesłanki uznania jej za podmiot kluczowy albo podmiot ważny.

Jeżeli analiza potwierdzi podleganie ustawie, podmiot powinien następnie złożyć wniosek o wpis do wykazu KSC oraz podjąć działania konieczne do wdrożenia wymaganych środków i procedur z zakresu cyberbezpieczeństwa.

Jak przeprowadzić identyfikację podmiotu? – podsumowanie

Ustalenie, czy dany podmiot podlega przepisom ustawy o KSC, wymaga przeprowadzenia analizy w kilku obszarach:

1. Rodzaj działalności – należy ustalić, czy faktycznie wykonywana działalność odpowiada działalności wskazanej w ustawie lub jej załącznikach.
2. Wielkość przedsiębiorstwa – należy zweryfikować zatrudnienie, obrót i sumę bilansową, z uwzględnieniem przedsiębiorstw partnerskich i powiązanych.
3. Aspekt terytorialny – należy sprawdzić, czy podmiot podlega polskiej ustawie ze względu na siedzibę, oddział lub prowadzenie działalności na terytorium Polski.
4. Reguły szczególne i kolizyjne – na końcu należy zweryfikować, czy przepisy szczególne nie przesądzają o zakwalifikowaniu podmiotu jako kluczowego albo ważnego; Ponadto, jeżeli podmiot spełnia jednocześnie przesłanki obu kategorii, uznaje się go za podmiot kluczowy.