Kto naprawdę podlega NIS2? Kwalifikacja, którą firmy wciąż mylą

Całkiem sporo firm, które myślą, że NIS2 ich nie dotyczy, myli się w tej ocenie. Nowelizacja ustawy o Krajowym Systemie Cyberbezpieczeństwa, wdrażająca unijną dyrektywę NIS2, weszła w życie 3 kwietnia 2026 roku i objęła nawet kilkadziesiąt tysięcy polskich podmiotów, znacznie więcej niż poprzednia wersja przepisów, która dotyczyła kilkuset operatorów usług kluczowych. Problem w tym, że wiele firm ocenia swój status wyłącznie po liczbie pracowników, bez sprawdzenia, czy w ogóle mieści się w sektorze objętym ustawą i bez formalnego udokumentowania tej oceny.

Termin na złożenie wniosku o wpis do wykazu podmiotów kluczowych i ważnych upływa 3 października 2026 roku. Żadnego powiadomienia z urzędu nie ma. To firma sama musi ocenić, czy podlega nowym przepisom, i sama zgłosić się do rejestru. W tym artykule pokazuję, jak wygląda ta kwalifikacja krok po kroku.

Sektory kluczowe i ważne – różnice w obowiązkach

Ustawa o KSC po nowelizacji rozróżnia podmioty kluczowe i podmioty ważne. To rozróżnienie zastąpiło dawną, węższą kategorię operatorów usług kluczowych i objęło znacznie szerszy katalog branż. Do sektorów obecnych już wcześniej, takich jak energetyka, transport, bankowość, ochrona zdrowia czy infrastruktura cyfrowa, dołączyły nowe: zarządzanie usługami ICT, komunikacja elektroniczna, przestrzeń kosmiczna, usługi pocztowe, produkcja, w tym produkcja chemikaliów, maszyn, urządzeń elektronicznych i transportowych, produkcja i dystrybucja żywności, gospodarka ściekowa oraz gospodarowanie odpadami.

To, czy firma zostanie zakwalifikowana jako podmiot kluczowy czy ważny, zależy od kombinacji sektora działalności i wielkości organizacji. Rozróżnienie to ma bezpośrednie przełożenie na wysokość sankcji. Dla podmiotów kluczowych kary finansowe mogą sięgać 10 milionów euro lub 2 procent całkowitego rocznego światowego obrotu. Dla podmiotów ważnych limit jest niższy i wynosi 7 milionów euro lub 1,4 procent obrotu. W obu przypadkach za rażące naruszenie obowiązków kadra kierownicza może dodatkowo otrzymać czasowy, nawet dwuletni zakaz pełnienia funkcji zarządczych, niezależnie od kary nałożonej na samą organizację.

Warto podkreślić, że odpowiedzialność zarządu w tym systemie ma także wymiar osobisty. To nie jest wyłącznie sankcja wobec spółki jako podmiotu prawnego, tylko konsekwencja, która może dotknąć konkretną osobę zarządzającą, jeśli wykaże się, że naruszenie obowiązków wynikało z zaniedbania po jej stronie.

Progi wielkości firmy a kwalifikacja

Ogólna zasada kwalifikacji opiera się na kryteriach wielkości przedsiębiorstwa określonych w unijnym rozporządzeniu 651/2014. Podmiotem ważnym może zostać średni przedsiębiorca, czyli firma zatrudniająca od 50 do 249 osób, z obrotem rocznym do 50 milionów euro lub sumą bilansową do 43 milionów euro. Podmiotem kluczowym staje się zwykle duży przedsiębiorca, czyli organizacja powyżej 250 pracowników lub z obrotem przekraczającym 50 milionów euro.

Od tej ogólnej zasady istnieją jednak wyjątki, i to one najczęściej prowadzą do błędnej samooceny. Niektóre kategorie podmiotów podlegają ustawie niezależnie od swojej wielkości, na przykład dostawcy usług zaufania, rejestry nazw domen internetowych czy niektóre podmioty administracji publicznej. Szczególnie istotny jest przypadek dostawców usług zarządzanych w zakresie cyberbezpieczeństwa, którzy podlegają ustawie już od progu małego przedsiębiorcy, czyli od około dziesięciu zatrudnionych osób i dwóch milionów euro obrotu. To próg istotnie niższy niż ogólna zasada dla reszty sektorów, więc mała firma świadcząca tego typu usługi, przekonana że nie dotyczą jej duże regulacje, może się mylić.

Dodatkowym elementem, o którym firmy często zapominają, jest automatyczne przejście statusu. Podmioty, które przed nowelizacją pełniły rolę operatorów usług kluczowych, z dniem wejścia ustawy w życie automatycznie zyskały status podmiotów kluczowych, bez potrzeby ponownej, samodzielnej kwalifikacji od zera. Dla tych organizacji punktem wyjścia nie jest pytanie, czy podlegają ustawie, tylko jakie konkretnie obowiązki mają teraz spełnić w nowych terminach.

Jak sprawdzić swój status krok po kroku

Pierwszy krok to porównanie profilu działalności firmy z pełną listą sektorów wymienionych w załącznikach do ustawy o KSC. Warto zrobić to na poziomie konkretnych kodów PKD i rzeczywiście świadczonych usług, nie tylko ogólnej nazwy branży, bo niektóre sektory zostały zdefiniowane bardzo szczegółowo.

Drugi krok to sprawdzenie wielkości firmy według kryteriów unijnych: liczby zatrudnionych osób oraz obrotu rocznego lub sumy bilansowej, z uwzględnieniem wyjątków obniżających próg dla wybranych kategorii usług, takich jak wspomniani dostawcy usług zarządzanych w zakresie cyberbezpieczeństwa.

Trzeci krok to weryfikacja, czy firma nie została już automatycznie objęta ustawą jako dotychczasowy operator usługi kluczowej.

Czwarty krok to formalne zgłoszenie się do właściwego organu i dokonanie wpisu do wykazu podmiotów kluczowych i ważnych przed upływem terminu 3 października 2026 roku.

Piąty, często pomijany krok, to udokumentowanie samego procesu oceny, niezależnie od jej wyniku. Jeśli firma dochodzi do wniosku, że nie podlega ustawie, warto zapisać, na jakiej podstawie sektorowej i jakich danych o wielkości firmy oparta była ta decyzja. Brak takiej dokumentacji jest tym, co najczęściej prowadzi do błędnej, niesformalizowanej oceny, którą trudno później obronić przed organem nadzorczym.

Co zrobić, jeśli wciąż nie masz pewności

Jeśli po przejściu przez powyższe kroki status firmy nadal budzi wątpliwości, na przykład dlatego że działalność częściowo mieści się w kilku sektorach jednocześnie, albo firma jest podwykonawcą podmiotu kluczowego i zastanawia się, czy obowiązki łańcucha dostaw jej dotyczą, warto skonsultować to z kimś, kto na co dzień pracuje z pełną listą załączników do ustawy i rozumie, jak interpretować graniczne przypadki. Samodzielna analiza oparta wyłącznie na artykułach prasowych bywa niewystarczająca, bo kwalifikacja zależy od precyzyjnego dopasowania kodu działalności i progów wielkości, a nie od ogólnego wrażenia, że temat dotyczy głównie dużych firm energetycznych czy bankowych.

Termin na rejestrację, 3 października 2026 roku, zbliża się szybciej, niż wielu przedsiębiorców zdaje sobie sprawę. Lepiej sprawdzić status firmy teraz, mając czas na spokojną analizę i ewentualne przygotowanie do rejestracji, niż odkryć obowiązek dopiero po terminie, kiedy tłumaczenie się brakiem wiedzy nie będzie już żadnym argumentem wobec organu nadzorczego.