Podmiot kluczowy a podmiot ważny Kto jest kim w ustawie o KSC.
Nowelizacja ustawy o KSC dzieli objęte nią organizacje na podmioty kluczowe i podmioty ważne. Oba rodzaje mają te same podstawowe obowiązki, ale różnią się nadzorem, obowiązkiem audytu i wysokością kar. O statusie decyduje sektor i wielkość firmy, a w kilku przypadkach sam rodzaj działalności.
Damian Waszczak, CBO, Senior Security AnalystZaktualizowano
Podstawowa reguła: sektor i wielkość
| Wielkość firmy | Sektor z załącznika 1 | Sektor z załącznika 2 |
|---|---|---|
| Mikro i mała | Co do zasady poza ustawą | Co do zasady poza ustawą |
| Średnia | Podmiot ważny | Podmiot ważny |
| Duża | Podmiot kluczowy | Podmiot ważny |
Wielkość według unijnej definicji MŚP. Średnia firma zatrudnia mniej niż 250 osób i ma obrót do 50 mln euro albo sumę bilansową do 43 mln euro. Mała: mniej niż 50 osób i obrót albo suma bilansowa do 10 mln euro. Dolicza się przedsiębiorstwa partnerskie i powiązane.
Sektory z załącznika 1
Sektory o wysokim znaczeniu krytycznym. Duża firma z tych sektorów jest podmiotem kluczowym, średnia podmiotem ważnym.
Energia
Energia elektryczna, ciepło, gaz, ropa i paliwa, wodór, wydobywanie kopalin, energetyka jądrowa.
Transport
Lotniczy, kolejowy, wodny i drogowy.
Bankowość i rynki finansowe
Banki oraz infrastruktura rynków finansowych.
Ochrona zdrowia
Udzielanie świadczeń zdrowotnych, zdrowie publiczne, produkcja i dystrybucja substancji czynnych, leków i wyrobów medycznych.
Woda i ścieki
Zaopatrzenie w wodę pitną i jej dystrybucja oraz zbiorowe odprowadzanie ścieków.
Infrastruktura cyfrowa
Między innymi centra danych, chmura obliczeniowa, CDN i komunikacja elektroniczna.
Zarządzanie usługami ICT
Dostawcy usług zarządzanych dla firm, w tym usług z zakresu cyberbezpieczeństwa.
Przestrzeń kosmiczna
Operatorzy naziemnej infrastruktury wspierającej usługi kosmiczne.
Podmioty publiczne
Wskazane w ustawie jednostki sektora publicznego.
Sektory z załącznika 2
Inne sektory krytyczne. Firma średnia lub duża z tych sektorów jest podmiotem ważnym.
Usługi pocztowe
Operatorzy pocztowi i firmy kurierskie.
Gospodarowanie odpadami
Zbieranie, transport i przetwarzanie odpadów oraz pośrednictwo w obrocie nimi.
Chemikalia
Produkcja, wytwarzanie i dystrybucja.
Żywność
Produkcja, przetwarzanie i dystrybucja.
Produkcja
Wyroby medyczne i do diagnostyki in vitro, komputery i elektronika, urządzenia elektryczne, maszyny, pojazdy, pozostały sprzęt transportowy.
Dostawcy usług cyfrowych
Platformy handlowe online, wyszukiwarki i serwisy społecznościowe.
Badania naukowe
Organizacje badawcze.
Inwestycje w energetykę jądrową
Polski dodatek do listy z dyrektywy NIS2.
Wyjątki od progów wielkości
Te podmioty podlegają ustawie niezależnie od tego, jak są duże, albo według osobnych reguł.
DNS, rejestry TLD, rejestracja domen
Podmioty kluczowe niezależnie od wielkości.
Kwalifikowani dostawcy usług zaufania
Podmioty kluczowe niezależnie od wielkości. Niekwalifikowani dostawcy wielkości mikro, małej i średniej są podmiotami ważnymi.
Komunikacja elektroniczna
Od średniej wielkości podmioty kluczowe. Mikro i małe firmy telekomunikacyjne są podmiotami ważnymi.
Usługi zarządzane w zakresie cyberbezpieczeństwa
Podmioty kluczowe już od małego przedsiębiorstwa. Polska ustawa jest tu surowsza niż dyrektywa NIS2.
Podmioty krytyczne i wskazane decyzją
Podmioty krytyczne są kluczowe z mocy ustawy. Organ może też uznać firmę za podmiot kluczowy albo ważny decyzją.
Sektor publiczny
Podmioty publiczne z załącznika 1 są kluczowe. Jednostki budżetowe samorządu, samorządowe instytucje kultury i spółki komunalne realizujące zadania publiczne z użyciem systemów IT są podmiotami ważnymi.
Co różni podmiot kluczowy od ważnego
| Obszar | Podmiot kluczowy | Podmiot ważny |
|---|---|---|
| Obowiązki | SZBI, obsługa i zgłaszanie incydentów, S46, szkolenia kierownictwa | Ten sam zakres, uproszczony dla podmiotów publicznych |
| Nadzór | Uprzedni i następczy: kontrola możliwa także bez sygnału o naruszeniu | Następczy: kontrola po incydencie albo sygnale o naruszeniu |
| Audyt | Co najmniej raz na trzy lata, pierwszy do 3 kwietnia 2028 | Tylko na polecenie organu |
| Kara maksymalna | 10 mln euro albo 2% przychodu, wyższa z kwot | 7 mln euro albo 1,4% przychodu, wyższa z kwot |
| Kara minimalna | 20 000 zł | 15 000 zł |
Samoidentyfikacja i wpis do wykazu
Status wynika z ustawy, a nie z decyzji urzędu. Firma sama ocenia, czy spełnia kryteria, i w ciągu sześciu miesięcy od ich spełnienia składa wniosek o wpis do wykazu podmiotów kluczowych i ważnych przez wykaz-ksc.gov.pl. Wniosek podpisuje kierownik podmiotu, z oświadczeniem składanym pod rygorem odpowiedzialności karnej.
Wpis ma charakter deklaratoryjny: obowiązki istnieją także wtedy, gdy wniosku nie złożono. Dla firm objętych ustawą od jej wejścia w życie wnioski przyjmowano do 3 października 2026. Kto nie zdążył, powinien złożyć wniosek jak najszybciej. Zmiany danych zgłasza się w ciągu 14 dni.
Najczęstsze pytania
Moja firma jest mała, ale działa w energetyce. Czy podlegam ustawie?
Co do zasady nie, chyba że Twoja grupa kapitałowa przekracza progi, jesteś podmiotem krytycznym albo organ uzna Cię za podmiot kluczowy lub ważny decyzją.
Jak liczy się wielkość firmy w grupie kapitałowej?
Dolicza się dane przedsiębiorstw partnerskich i powiązanych. Wyjątek: jeśli system informacyjny firmy jest niezależny od grupy i nie świadczy ona usług wspólnie z grupą, wielkość grupy nie przesądza o jej statusie.
Czy dostawca podmiotu kluczowego też podlega ustawie?
Nie automatycznie. Podmioty objęte ustawą muszą jednak zarządzać ryzykiem w łańcuchu dostaw, więc coraz częściej wymagają od dostawców konkretnych zabezpieczeń w umowach.
Od kiedy grożą kary?
Kary pieniężne można nakładać dopiero po dwóch latach od wejścia nowelizacji w życie, czyli od kwietnia 2028. Obowiązki obowiązują jednak już teraz, a okres przejściowy nie zwalnia z ich wykonania.
Nie masz pewności, kim jesteś w KSC?
Opisz swoją firmę, sektor i grupę kapitałową. Pomożemy uporządkować wymagania po stronie technicznej, a w kwestiach czysto prawnych podpowiemy, o co zapytać prawnika.
Zadzwoń do nas+48 455 575 753Porozmawiaj bezpośrednio z inżynierem bezpieczeństwa. contact@fluencesecurity.com