KSC w praktyce – zmiany w 2026 r. Kogo dotyczą nowe obowiązki i co trzeba sprawdzić już teraz?

• Nowe obowiązki nie tylko dla branży IT
• Kogo mogą objąć nowe przepisy?
• Wielkość firmy to nie jedyne kryterium
• Sprawdź swój status
• Pre-weryfikacja na Biznes.gov.pl
• Jak przebiega rejestracja?
• Nie warto czekać na ostatni tydzień

Nowe obowiązki nie tylko dla branży IT

Nowelizacja z 23 stycznia 2026 r. ustawy o KSC wdraża do polskiego prawa dyrektywę NIS2 i rozszerza grupę organizacji objętych wymaganiami dotyczącymi cyberbezpieczeństwa. Przepisy wprowadzają podział na podmioty kluczowe i ważne. Organizacje należące do tych kategorii są objęte obowiązkami związanymi m.in. z zarządzaniem ryzykiem, ochroną systemów informatycznych, przygotowaniem procedur bezpieczeństwa, reagowaniem na incydenty i prowadzeniem wymaganej dokumentacji – mówi Michał Jaros, wiceminister w Ministerstwie Rozwoju i Technologii.

Jednym z pierwszych kroków jest ustalenie czy firmę obejmuje obowiązek wpisu do wykazu podmiotów kluczowych i podmiotów ważnych, nazywanego wykazem KSC. Przedsiębiorca powinien najpierw ocenić status swojej firmy, a następnie, jeżeli obejmuje ją samodzielna rejestracja, złożyć elektroniczny wniosek o wpis.

Kogo mogą objąć nowe przepisy?

Katalog sektorów objętych ustawą jest znacznie szerszy niż sama branża informatyczna. Swoją sytuację powinny sprawdzić m.in. firmy działające w produkcji, transporcie i logistyce, usługach pocztowych i kurierskich, infrastrukturze cyfrowej, produkcji i dystrybucji chemikaliów, produkcji oraz dystrybucji żywności, a także w sektorze kosmicznym.

Nie oznacza to jednak, że każda firma produkcyjna, logistyczna czy chemiczna automatycznie zostanie objęta nowymi obowiązkami. Konieczna jest analiza konkretnej działalności.

Przykładowo firma chemiczna produkująca popularne środki czystości niekoniecznie zostanie objęta ustawą wyłącznie dlatego, że działa w szeroko rozumianej branży chemicznej. Z kolei przedsiębiorstwo zatrudniające kilkadziesiąt osób może wymagać dokładnego sprawdzenia, jeżeli wytwarza specjalistyczne urządzenia albo świadczy usługi istotne dla klienta z sektora podlegającego przepisom.

Sama branża lub kod PKD są więc punktem wyjścia, ale nie dają ostatecznej odpowiedzi. Przy ocenie trzeba uwzględnić rzeczywisty charakter działalności, zakres wykonywanych zadań oraz oferowane produkty i usługi.

Wielkość firmy to nie jedyne kryterium

Jednym z ważnych elementów samodzielnej identyfikacji jest ustalenie wielkości przedsiębiorstwa. Bierze się przy tym pod uwagę liczbę pracowników oraz dane finansowe.

● Mikroprzedsiębiorstwo zatrudnia mniej niż 10 pracowników, a jego roczny obrót lub roczna suma bilansowa nie przekracza 2 mln euro.
● Małe przedsiębiorstwo zatrudnia mniej niż 50 pracowników, a jego roczny obrót lub roczna suma bilansowa nie przekracza 10 mln euro.
● Średnie przedsiębiorstwo zatrudnia mniej niż 250 pracowników, a jego roczny obrót nie przekracza 50 mln euro lub roczna suma bilansowa nie przekracza 43 mln euro.

Zakwalifikowanie firmy do jednej z tych grup nie kończy jednak analizy. Trzeba również sprawdzić, czy przedsiębiorstwo jest samodzielne, partnerskie czy powiązane z innymi podmiotami. Jeżeli należy do grupy kapitałowej albo pozostaje w określonych relacjach właścicielskich z innymi firmami, do ustalenia jego wielkości mogą być potrzebne także dane tych organizacji.

Nie oznacza to również, że mikro- czy mała firma automatycznie może uznać, że obowiązki jej nie dotyczą. Znaczenie ma sektor działalności, rodzaj świadczonych usług, powiązania z innymi przedsiębiorstwami oraz szczególne przypadki wskazane w przepisach.

Sprawdź swój status

Samodzielna identyfikacja polega na ocenie, czy firma spełnia kryteria podmiotu kluczowego lub ważnego i czy obejmuje ją obowiązek wpisu do Wykazu KSC. Wymaga to spojrzenia na przedsiębiorstwo z kilku perspektyw, a nie tylko sprawdzenia jego wielkości.

Najpierw należy przeanalizować rzeczywisty profil działalności. Znaczenie może mieć zarówno główna działalność, jak i dodatkowe usługi lub produkty oferowane klientom. Firma powinna porównać je z sektorami i podsektorami wskazanymi w przepisach.

Kolejnym krokiem jest sprawdzenie kodów PKD. Pomagają one określić profil firmy, ale powinny być zestawione z tym, czym przedsiębiorstwo faktycznie się zajmuje. Sam kod nie przesądza o objęciu obowiązkami ani nie daje pewności, że firma znajduje się poza zakresem ustawy.

Następnie trzeba ustalić wielkość podmiotu na podstawie zatrudnienia, obrotu lub sumy bilansowej oraz sprawdzić powiązania z innymi przedsiębiorstwami. Należy także zweryfikować szczególne podstawy kwalifikacji, ponieważ w niektórych sytuacjach organizacja może zostać uznana za podmiot kluczowy niezależnie od wielkości.

Ostatnim etapem jest określenie trybu wpisu. Część podmiotów składa wniosek samodzielnie, natomiast inne są wpisywane do Wykazu KSC z urzędu i po otrzymaniu wezwania uzupełniają wymagane informacje.

Pre-weryfikacja na Biznes.gov.pl

W uporządkowaniu analizy pomaga bezpłatna usługa Pre-weryfikacja zgodności z zaleceniami NIS2, dostępna na stronie Biznes.gov.

Formularz prowadzi przedsiębiorcę przez pytania dotyczące miejsca prowadzenia działalności, sektora, kodów PKD, wielkości firmy, powiązań z innymi podmiotami oraz szczególnych podstaw kwalifikacji. Na końcu użytkownik otrzymuje podsumowanie, które pomaga uporządkować najważniejsze informacje i określić dalsze kroki. Nie powinien być jednak traktowany jako formalna decyzja administracyjna ani jako jedyne źródło oceny sytuacji firmy.

Pre-weryfikację warto potraktować jako pierwszy krok do świadomej oceny, czy nowe przepisy dotyczą danej organizacji. Usługa dostępna na Biznes.gov.pl prowadzi przedsiębiorcę przez najważniejsze elementy, takie jak sektor działalności, kody PKD, wielkość podmiotu i tryb wpisu. Im wcześniej firma to sprawdzi, tym więcej czasu zyska na przygotowanie danych i spokojne złożenie wniosku, jeśli okaże się to konieczne. Nawet jeśli przedsiębiorstwo nie jest bezpośrednio zobowiązane do wpisu do Wykazu KSC, nowe wymagania mogą wpłynąć na jego relacje z klientami i partnerami, którzy coraz częściej zwracają uwagę na bezpieczeństwo dostawców. Cyberbezpieczeństwo staje się więc także elementem wiarygodności firmy w relacjach B2B.

Jak przebiega rejestracja?

Jeżeli z przeprowadzonej analizy wynika, że przedsiębiorstwo powinno złożyć wniosek samodzielnie, przechodzi do elektronicznego formularza Wykazu KSC.

We wniosku należy uzupełnić podstawowe dane podmiotu, takie jak REGON, NIP i nazwa firmy. Kolejne sekcje dotyczą m.in. klasyfikacji i wielkości przedsiębiorstwa, miejsca prowadzenia działalności oraz danych adresowych.

Firma wskazuje również osoby kontaktowe i administratorów konta podmiotu w Systemie S46. Konieczne jest także podanie wymaganych danych technicznych dotyczących sieci, takich jak publiczne adresy IP, domeny internetowe czy, jeżeli dotyczy, numery systemów autonomicznych.

W zależności od sytuacji formularz może wymagać także informacji o przedstawicielu, pełnomocnictwie, dostawcach usług zarządzanych w zakresie cyberbezpieczeństwa, załącznikach i oświadczeniach prawnych. Wniosek składa kierownik podmiotu albo osoba przez niego upoważniona.

Nie warto czekać na ostatni tydzień

Samo przejście formularza może zająć stosunkowo niewiele czasu, ale prawidłowa identyfikacja wymaga zebrania informacji z kilku obszarów przedsiębiorstwa. Potrzebne mogą być dane z księgowości, działu prawnego czy IT. Konieczne może być także przeanalizowanie powiązań kapitałowych, umów z klientami i rzeczywistego zakresu świadczonych usług.

Wcześniejsze rozpoczęcie analizy daje czas na uporządkowanie danych i przygotowanie wniosku, jeśli okaże się konieczny.

Podstawa prawna: Ustawa z 23 stycznia 2026 r. o zmianie ustawy o krajowym systemie cyberbezpieczeństwa oraz niektórych innych ustaw - Dz.U. 2026 poz. 252.

Artykuł został przygotowany w ramach kampanii edukacyjno-informacyjnej dla przedsiębiorców „Cyfrowy Biznes”, upowszechniającej korzyści płynące z technologii cyfrowych i cyberbezpieczeństwa. Projekt jest dofinansowany z Funduszy Europejskich w ramach programu Fundusze Europejskie na Rozwój Cyfrowy.