Kto podlega NIS2 w Polsce? Podmiot kluczowy i ważny

Dwie kategorie zamiast operatorów usług kluczowych

Ustawa z 23 stycznia 2026 r. o zmianie ustawy o krajowym systemie cyberbezpieczeństwa (Dz.U. 2026 poz. 252) wdraża dyrektywę NIS2. Nie ma już wyznaczania operatorów usług kluczowych w drodze decyzji. Każda organizacja sama sprawdza, czy spełnia przesłanki z art. 5 ustawy o KSC. Dotychczasowi operatorzy usług kluczowych stali się z mocy prawa podmiotami kluczowymi (art. 22 ustawy nowelizującej).

Obie kategorie mają w dużej mierze te same obowiązki: wpis do wykazu, system zarządzania bezpieczeństwem informacji, zgłaszanie incydentów poważnych. Różnice dotyczą nadzoru, audytu i wysokości kar. Podmioty kluczowe podlegają nadzorowi prewencyjnemu i następczemu, podmioty ważne tylko następczemu (art. 53 ust. 3). Tylko podmioty kluczowe muszą co najmniej raz na trzy lata przeprowadzić audyt bezpieczeństwa (art. 15 ust. 1).

Sektory z załączników nr 1 i 2

Ustawa przypisuje sektory do dwóch załączników. Załącznik nr 1 nosi tytuł „Sektory kluczowe”, załącznik nr 2 „Sektory ważne”. Nazwa załącznika nie przesądza jednak o kategorii podmiotu, bo liczy się też wielkość.

Załącznik	Przykładowe sektory
Nr 1	Energia (m.in. energia elektryczna, ciepło, ropa i paliwa, gaz, wodór), transport, bankowość i infrastruktura rynków finansowych, ochrona zdrowia, woda pitna, zbiorowe odprowadzanie ścieków, infrastruktura cyfrowa, zarządzanie usługami ICT, przestrzeń kosmiczna, podmioty publiczne
Nr 2	Usługi pocztowe, gospodarowanie odpadami, chemikalia, żywność, produkcja (m.in. wyroby medyczne, elektronika, urządzenia elektryczne, maszyny, pojazdy), dostawcy usług cyfrowych, badania naukowe, inwestycje energetyki jądrowej

Załączniki wymieniają w trzeciej kolumnie konkretne rodzaje podmiotów, często z odesłaniem do ustaw sektorowych, na przykład Prawa energetycznego albo ustawy o odpadach. Według Ministerstwa Cyfryzacji decyduje faktyczny zakres usług, a kody PKD są tylko pomocą. Ustawa obejmuje także działalność poboczną, z wyjątkiem wody, ścieków i odpadów, gdzie liczy się działalność podstawowa.

Wielkość przedsiębiorstwa

Progi wielkości wynikają z art. 2 załącznika I do rozporządzenia Komisji (UE) nr 651/2014, do którego odsyła art. 5 ustawy o KSC:

Średnie przedsiębiorstwo: mniej niż 250 pracowników oraz roczny obrót do 50 mln euro lub suma bilansowa do 43 mln euro, a przy tym co najmniej 50 pracowników albo obrót i suma bilansowa powyżej 10 mln euro.
Duże przedsiębiorstwo: przekracza progi dla średniego.
Małe i mikro: poniżej 50 pracowników i obrót lub suma bilansowa do 10 mln euro.

Przesłanki bada się według stanu na dzień sporządzenia sprawozdania finansowego (art. 5 ust. 5). Do wielkości wlicza się przedsiębiorstwa powiązane i partnerskie. Wyjątek przewidują art. 5 ust. 6 i 7: jeśli system informacyjny firmy jest niezależny od systemów grupy i firma nie świadczy usług wspólnie z nią, wielkość grupy nie podnosi jej kategorii.

Kiedy podmiot kluczowy, kiedy ważny

Według art. 5 ust. 1 podmiotem kluczowym jest przede wszystkim duże przedsiębiorstwo z sektora z załącznika nr 1. Podmiotem ważnym jest według art. 5 ust. 2 średnie przedsiębiorstwo z załącznika nr 1 oraz średnie i duże przedsiębiorstwo z załącznika nr 2. Jeśli podmiot spełnia przesłanki obu kategorii, jest podmiotem kluczowym (art. 5 ust. 4).

Kilka grup ustawa traktuje szczególnie:

Przedsiębiorcy komunikacji elektronicznej: od średniej wielkości są podmiotami kluczowymi, mikro i mali są podmiotami ważnymi.
Dostawcy usług zarządzanych w zakresie cyberbezpieczeństwa: są podmiotami kluczowymi już jako małe przedsiębiorstwa (art. 5 ust. 1 pkt 3).
Niezależnie od wielkości kluczowe: dostawcy usług DNS, kwalifikowani dostawcy usług zaufania, podmioty krytyczne, rejestry nazw domen najwyższego poziomu, podmioty świadczące usługi rejestracji nazw domen i niektóre podmioty publiczne.
Podmioty lecznicze, które nie są przedsiębiorcami: od 50 do 249 osób są podmiotami ważnymi, od 250 osób kluczowymi (art. 5 ust. 8).

Organ właściwy do spraw cyberbezpieczeństwa może też w drodze decyzji uznać podmiot za kluczowy lub ważny niezależnie od wielkości (art. 7l).

Samoidentyfikacja w trzech krokach

Sektor i rodzaj podmiotu

Proszę porównać rzeczywiście świadczone usługi z trzecią kolumną załączników nr 1 i 2. Pomocne są koncesje, zezwolenia i wpisy do rejestrów działalności regulowanej.

Wielkość

Liczbę pracowników, obrót i sumę bilansową warto ustalić według ostatniego sprawozdania finansowego, razem z przedsiębiorstwami powiązanymi i partnerskimi.

Analiza art. 5

Na końcu należy sprawdzić przypadki szczególne z art. 5, a potem zapisać wynik. Ta notatka przyda się przy kontroli, także gdy ustawa firmy nie obejmuje.

Ustawa obejmuje podmioty mające siedzibę lub prowadzące działalność w Polsce (art. 5a ust. 1). Dla dostawców usług cyfrowych, chmury i centrów danych decyduje główne miejsce prowadzenia działalności w UE (art. 5a ust. 3).

Co dalej po ustaleniu statusu

Podmiot kluczowy lub ważny składa wniosek o wpis do wykazu, wdraża system zarządzania bezpieczeństwem informacji i przygotowuje zgłaszanie incydentów. Firmy objęte ustawą od 3 kwietnia 2026 r. mają na wdrożenie obowiązków czas do 3 kwietnia 2027 r. (art. 33 ust. 1 ustawy nowelizującej). Wstępną klasyfikację i ocenę przygotowań daje NIS2-Scoring.

Najczęstsze pytania

Czy mała firma może podlegać ustawie o KSC?

Tak, w kilku przypadkach. Dostawcy usług DNS, kwalifikowani dostawcy usług zaufania i rejestry TLD podlegają jej niezależnie od wielkości, a dostawcy usług zarządzanych w zakresie cyberbezpieczeństwa są podmiotami kluczowymi już jako małe przedsiębiorstwa (art. 5 ust. 1 ustawy o KSC).

Czy liczy się kod PKD?

Nie rozstrzyga. Według Ministerstwa Cyfryzacji decyduje faktyczny zakres usług lub zadań, a kody PKD są tylko pomocniczą wskazówką.

Co z firmą, której działalność objęta ustawą jest tylko poboczna?

Ustawa obejmuje także działalność poboczną. Wyjątkiem są sektory wody pitnej, ścieków i odpadów, gdzie liczy się działalność podstawowa.

Czy spółka zależna rejestruje się osobno?

Tak. Każda spółka, która spełnia przesłanki podmiotu kluczowego lub ważnego, składa własny wniosek o wpis do wykazu.