Czy Twoja firma podlega KSC? Sprawdź w minutę.
Dwa pytania: w jakim sektorze działasz i jak duża jest Twoja firma. Na tej podstawie wskażemy, czy najpewniej jesteś podmiotem kluczowym, podmiotem ważnym, czy pozostajesz poza ustawą o krajowym systemie cyberbezpieczeństwa. To wstępna ocena, a nie opinia prawna.
Damian Waszczak, CBO, Senior Security AnalystZaktualizowano
Zaznacz sektor i wielkość firmy, a wynik pojawi się tutaj.
Wstępna ocena według ustawy o KSC w brzmieniu z października 2026. Nie uwzględnia podmiotów krytycznych, podmiotów wskazanych decyzją organu ani wielkości liczonej z grupą kapitałową. Nie jest poradą prawną.
Jak czytać wynik
Test odwzorowuje podstawową regułę ustawy: sektor z załącznika 1 albo 2 zestawiony z wielkością firmy według unijnej definicji MŚP, oraz rodzaje działalności objęte ustawą niezależnie od wielkości. Nie uwzględnia wszystkich wyjątków.
Status wynika wprost z ustawy, a nie z decyzji urzędu. Firma sama ocenia, czy spełnia kryteria, i sama składa wniosek o wpis do wykazu podmiotów kluczowych i ważnych.
Co dalej, jeśli podlegasz ustawie
- 1
Wpis do wykazu
Wniosek składa się elektronicznie przez wykaz-ksc.gov.pl, z podpisem kierownika podmiotu. Dla firm objętych ustawą od jej wejścia w życie termin minął 3 października 2026, więc nie warto zwlekać.
- 2
Szacowanie ryzyka i SZBI
System zarządzania bezpieczeństwem informacji ze środkami wymienionymi w ustawie, w tym ciągłym monitorowaniem, uwierzytelnianiem wieloskładnikowym i zarządzaniem incydentami. Termin: 3 kwietnia 2027.
- 3
Obsługa i zgłaszanie incydentów
Wczesne ostrzeżenie w 24 godziny od wykrycia poważnego incydentu, zgłoszenie w 72 godziny, sprawozdanie końcowe w miesiąc. Wszystko przez system S46.
- 4
Szkolenie kierownictwa
Kierownik podmiotu przechodzi szkolenie z cyberbezpieczeństwa co najmniej raz w roku kalendarzowym i je dokumentuje.
- 5
Audyt, jeśli jesteś podmiotem kluczowym
Pierwszy audyt do 3 kwietnia 2028, kolejne co najmniej raz na trzy lata.
Najczęstsze pytania
Mojego sektora nie ma na liście. Czy to znaczy, że jestem poza ustawą?
Najpewniej tak. Sprawdź jednak, czy nie dostarczasz usług podmiotom kluczowym lub ważnym. Muszą one zarządzać ryzykiem w łańcuchu dostaw i przenoszą wymagania na dostawców.
Jak policzyć wielkość firmy?
Według unijnej definicji MŚP: liczba pracowników oraz roczny obrót albo suma bilansowa, z doliczeniem przedsiębiorstw partnerskich i powiązanych. Wielkość ocenia się na dzień sporządzenia sprawozdania finansowego.
Należymy do dużej grupy, ale sami jesteśmy mali. Co wtedy?
Co do zasady liczy się wielkość z grupą. Wyjątek: jeśli Twój system informacyjny jest niezależny od systemów grupy i nie świadczysz usług wspólnie z grupą, wielkość grupy nie przesądza o Twoim statusie.
Czy wynik testu jest wiążący?
Nie. To wstępna ocena na podstawie dwóch pytań. Przy wątpliwościach skonsultuj status z prawnikiem albo z organem właściwym dla Twojego sektora.
Przewodnik po ustawie o KSC
SOC a ustawa o KSC
Obowiązki z nowelizacji, terminy i rola zewnętrznego SOC.
Podmiot kluczowy a ważny
Progi, sektory, wyjątki i różnice w nadzorze.
Zgłoszenie incydentu
Terminy 24 godziny, 72 godziny i miesiąc, S46 i CSIRT.
Audyt KSC
Kto musi go przeprowadzić, kiedy i kto może być audytorem.
Kary KSC
Wysokość kar, odpowiedzialność kierownika i okres przejściowy.
Omów wynik z nami
Opisz swoją firmę i sektor. Powiemy, jakie obowiązki z ustawy o KSC Cię dotyczą i od czego zacząć po stronie technicznej.
Zadzwoń do nas+48 455 575 753Porozmawiaj bezpośrednio z inżynierem bezpieczeństwa. contact@fluencesecurity.com