Nowe obowiązki w zakresie cyberbezpieczeństwa obejmą tysiące organizacji, w tym operatorów telekomunikacyjnych. NASK i Ministerstwo Cyfryzacji przygotowały praktyczny poradnik, który ma pomóc firmom i instytucjom sprawdzić, czy podlegają przepisom KSC 2.0, oraz zaplanować ich wdrożenie.
Nowelizacja ustawy o krajowym systemie cyberbezpieczeństwa oznacza nowe wymagania dla wielu sektorów gospodarki. Według NASK zmianami może zostać objętych blisko 40 tys. organizacji, m.in. firm z branży IT, operatorów telekomunikacyjnych, szpitali, przewoźników oraz przedsiębiorstw energetycznych i komunalnych.
Od przepisów do konkretnych działań
Poradnik „Od wymagań do działania. Praktyczny przewodnik po nowelizacji ustawy o krajowym systemie cyberbezpieczeństwa (KSC 2.0)” powstał we współpracy NASK i Ministerstwa Cyfryzacji. Publikacja ma ułatwić organizacjom ocenę, czy nowe regulacje ich dotyczą, oraz przygotowanie się do wynikających z nich obowiązków.
Materiał podzielono na trzy części. Pierwsza pomaga ustalić, czy dana organizacja podlega ustawie i powinna znaleźć się w Wykazie KSC. Druga przedstawia obowiązki związane z zarządzaniem, procedurami, zabezpieczeniami technicznymi i codziennym funkcjonowaniem organizacji. Zawiera również przykłady dobrych praktyk, dokumentów oraz najczęściej popełnianych błędów. Ostatnia część dotyczy odpowiedzialności, kontroli i sankcji.
Kto podlega KSC 2.0?
Nowelizacja ustawy o krajowym systemie cyberbezpieczeństwa obejmuje nie tylko największe podmioty i operatorów infrastruktury krytycznej. W określonych przypadkach nowe obowiązki mogą dotyczyć również mniejszych przedsiębiorców komunikacji elektronicznej. Kluczowe znaczenie mają rodzaj prowadzonej działalności, wielkość firmy oraz szczególne kryteria wskazane w ustawie.
Znowelizowana ustawa o krajowym systemie cyberbezpieczeństwa (KSC 2.0) obejmuje podmioty działające w 10 sektorach kluczowych i 9 sektorach ważnych. Na liście znajdują się m.in. energetyka, transport, ochrona zdrowia, infrastruktura cyfrowa oraz zarządzanie usługami ICT.
Podmioty objęte przepisami dzielą się na kluczowe i ważne. Od tej klasyfikacji zależy przede wszystkim zakres nadzoru i obowiązków audytowych. Podmioty kluczowe podlegają szerszym czynnościom nadzorczym i muszą przeprowadzać audyt co najmniej raz na trzy lata oraz na żądanie właściwego organu. W przypadku podmiotów ważnych audyt jest wymagany na żądanie organu.
Ważne jest to, że sama przynależność do określonego sektora nie zawsze przesądza o kwalifikacji. Należy uwzględnić także pozostałe przesłanki ustawowe.
Wielkość firmy ma znaczenie, ale nie zawsze decyduje
Jednym z podstawowych kryteriów jest wielkość przedsiębiorstwa. Przy jej ustalaniu bierze się pod uwagę liczbę pracowników, roczny obrót oraz sumę bilansową. Znaczenie mogą mieć również powiązania kapitałowe i gospodarcze z innymi firmami.
Co do zasady mikroprzedsiębiorstwo zatrudnia mniej niż 10 osób, a jego roczny obrót lub suma bilansowa nie przekracza 2 mln euro. W przypadku małych przedsiębiorstw limity wynoszą odpowiednio mniej niż 50 pracowników i 10 mln euro, natomiast dla średnich – mniej niż 250 pracowników, 50 mln euro obrotu lub 43 mln euro sumy bilansowej.
Nie oznacza to jednak, że mniejsze firmy są automatycznie wyłączone spod przepisów. Ustawa przewiduje szczególne zasady kwalifikacji, m.in. dla przedsiębiorców komunikacji elektronicznej. Średni i więksi przedsiębiorcy z tego sektora mogą zostać uznani za podmioty kluczowe, a mniejsze podmioty – za ważne, jeśli spełniają odpowiednie kryteria.
Dlatego analiza nie powinna ograniczać się do liczby pracowników czy danych finansowych. Istotny jest faktyczny zakres świadczonych usług oraz wszystkie obszary działalności firmy.
Samoidentyfikacja – od czego zacząć?
Organizacje powinny samodzielnie sprawdzić, czy spełniają kryteria objęcia KSC 2.0. Proces ten określa się jako samoidentyfikację. W praktyce oznacza on konieczność przeanalizowania kilku elementów:
- rodzaju prowadzonej działalności i jej zgodności z sektorami wymienionymi w załącznikach do ustawy;
- liczby pracowników, rocznego obrotu i sumy bilansowej;
- powiązań z innymi przedsiębiorstwami;
- wszystkich istotnych obszarów działalności, w tym usług ICT i usług cyfrowych;
- szczególnych przesłanek kwalifikacyjnych, które mogą obowiązywać niezależnie od wielkości organizacji.
Kod PKD może pomóc w przeprowadzeniu wstępnej analizy, ale nie zastępuje oceny faktycznie wykonywanej działalności. Szczególnej uwagi wymagają firmy działające w kilku sektorach lub należące do większych grup kapitałowych.
Wykaz KSC i System S46 – o czym trzeba pamiętać?
Podmioty zakwalifikowane jako kluczowe lub ważne muszą zadbać o wpis do Wykazu KSC. Wpis umożliwia identyfikację organizacji objętych ustawą i wspiera nadzór nad realizacją obowiązków w zakresie cyberbezpieczeństwa.
W zależności od kategorii podmiotu wpis odbywa się na zasadzie samorejestracji albo z urzędu, po którym organizacja może zostać wezwana do uzupełnienia danych. Proces realizowany jest za pośrednictwem portalu wykaz-ksc.gov.pl.
Warto wcześniej przygotować dane identyfikacyjne i kontaktowe, informacje o sektorze oraz rodzaju działalności, a także dane osób odpowiedzialnych za kontakt w sprawach cyberbezpieczeństwa. W określonych przypadkach potrzebne będą również informacje o publicznych adresach IP, domenach internetowych i dostawcach usług zarządzanych w zakresie cyberbezpieczeństwa.
Z wpisem wiąże się również System S46, który służy m.in. do zgłaszania i obsługi incydentów, wymiany informacji o zagrożeniach oraz komunikacji między podmiotami, zespołami reagowania na incydenty i właściwymi organami.
Termin wpisu już minął. Co dalej?
Ustawa weszła w życie 3 kwietnia 2026 r. Podmioty, które już w tym dniu spełniały określone w niej kryteria, powinny złożyć wniosek o wpis do Wykazu KSC do 3 października 2026 r. Pozostałe podmioty mają co do zasady sześć miesięcy od momentu spełnienia przesłanek kwalifikacyjnych.
W przypadku zmiany danych zamieszczonych w wykazie należy złożyć wniosek o ich aktualizację w terminie 14 dni od zmiany.
Samoidentyfikacja nie powinna być traktowana jako jednorazowe działanie. Zmiana zakresu usług, wielkości przedsiębiorstwa lub powiązań z innymi podmiotami może wpłynąć na jego status. Warto więc regularnie weryfikować, czy firma nadal spełnia kryteria określone w ustawie.
Materiał źródłowy przygotowany przez NASK-PIB zawiera również checklistę ułatwiającą przeprowadzenie samoidentyfikacji oraz zestawienie najważniejszych zasad dotyczących Wykazu KSC i Systemu S46.
