Krótka odpowiedź
Twoja firma prawdopodobnie podlega NIS2/KSC, jeśli jest średnim przedsiębiorcą (zasadniczo od ~50 zatrudnionych lub ~10 mln EUR obrotu) i działa w sektorze z załączników ustawy o Krajowym Systemie Cyberbezpieczeństwa. W Polsce dyrektywa NIS2 obowiązuje od 3 kwietnia 2026 (ustawa KSC, t.j. Dz.U. 2026 poz. 20), a wpis do wykazu podmiotów kluczowych i ważnych trzeba złożyć do 3 października 2026. Jeśli nie wiesz, czy podlegasz — poniższa lista pomoże to ustalić w kilka minut.
Najważniejsze fakty
- Dyrektywa 2022/2555 (NIS2) w Polsce działa przez ustawę KSC (t.j. Dz.U. 2026 poz. 20), która weszła w życie 3.04.2026.
- Podmiot kluczowy (essential): energia, transport, zdrowie, woda pitna, infrastruktura cyfrowa, administracja publiczna, bankowość i infrastruktury rynków finansowych, przestrzeń kosmiczna.
- Podmiot ważny (important): m.in. produkcja wyrobów medycznych, chemikalia, żywność, gospodarka odpadami, poczta i kurierzy, dostawcy usług ICT B2B, produkcja, handel hurtowy i detaliczny (w zakresie z załącznika II).
- Próg ogólny: średni przedsiębiorca (zasadniczo ~50 zatrudnionych / 10 mln EUR obrotu). Część sektorów ma niższy próg — np. MSSP (dostawcy ICT B2B) już od małego przedsiębiorcy (~10 zatrudnionych / 2 mln EUR).
- Samorejestracja w wykazie podmiotów kluczowych i ważnych ruszyła 7.05.2026; termin wpisu 3.10.2026 (art. 7c ust. 1).
- Obowiązki operacyjne (system zarządzania bezpieczeństwem, polityki, raportowanie) do wdrożenia do 3.04.2027.
Kwalifikacja w 5 krokach
| Krok | Co sprawdzasz | Wskazówka |
|---|---|---|
| 1. Sektor | Czy Twoja główna działalność mieści się w załączniku I (kluczowy) lub II (ważny) ustawy KSC | Dla produkcji: sprawdź, czy branża jest w załączniku II (np. produkcja wyrobów medycznych, chemikalia, żywność, motoryzacja) |
| 2. Wielkość | Czy jesteś co najmniej średnim przedsiębiorcą | Próg ogólny ~50 osób / 10 mln EUR; MSSP od ~10 osób / 2 mln EUR |
| 3. Krytyczność | Czy usługi mają znaczenie dla gospodarki/społeczeństwa (essential/important) | Nie każda firma w sektorze jest objęta — liczy się wielkość i rodzaj usługi |
| 4. Dostawcy | Czy świadczysz usługi ICT B2B (MSSP, chmura, integrator) | Tu próg jest najniższy — nawet mała firma może podlegać |
| 5. Potwierdzenie | Dokonaj samorejestracji w wykazie KSC | Portal czynny od 7.05.2026; brak wpisu do 3.10.2026 = naruszenie obowiązku |
Najczęstsze błędy przy kwalifikacji
- Przyjmowanie, że mała firma nie podlega. Próg zależy od sektora — MSSP i część dostawców ICT podlegają od ~10 osób.
- Mylenie NIS2 z certyfikacją. „Certyfikat NIS2” nie istnieje. Zgodność wykazuje się wpisem do wykazu + wdrożonym systemem + raportowaniem + audytem.
- Opieranie się tylko na PKD. Formalne PKD nie zawsze oddaje faktyczną działalność i rodzaj usługi — liczy się realny profil.
- Zakładanie, że obowiązek dotyczy wyłącznie dużych korporacji. Ustawa KSC obejmuje też podmioty ważne w sektorach z załącznika II.
Co zrobić, jeśli nie jesteś pewien
Najtańsze i bezpieczne działanie to samorejestracja w wykazie podmiotów kluczowych i ważnych — nawet jeśli nie masz pewności, czy podlegasz. Brak wpisu w terminie to naruszenie ustawowe; wpis jest potwierdzeniem podjęcia działań. W razie wątpliwości co do kwalifikacji warto skonsultować się z kancelarią — to kwestia interpretacji prawa, nie wyłącznie techniki.
Perspektywa inż. Marcina Białczyka
W firmach produkcyjnych widzę dwa skrajne podejścia: firmy, które „na wszelki wypadek” nie sprawdzają kwalifikacji, i takie, które panikują, że „NIS2 to koniec”. Prawda jest po środku: kwalifikacja to konkretny, mierzalny proces — sektor + wielkość + krytyczność. Nie warto zgadywać, bo koszt błędu (brak wpisu do 3.10.2026, kary) jest realny. W CHORS.NET najpierw robimy pasywną ocenę ekspozycji i mapę ryzyka — liczby pokazują, co naprawdę trzeba zabezpieczyć, zanim firma zainwestuje w formalności.
Granice i założenia
- Ten artykuł ma charakter informacyjny i techniczny; nie stanowi porady prawnej.
- Ostateczna kwalifikacja podmiotu jako „kluczowy/ważny” należy do kancelarii i organu nadzoru.
- CHORS.NET nie certyfikuje zgodności z NIS2/KSC i nie wydaje samodzielnej opinii prawnej.
- Fakty dotyczą stanu prawnego na 19.08.2026.
Źródła
- Ustawa o KSC, t.j. Dz.U. 2026 poz. 20 (stan na 19.08.2026)
- Dyrektywa UE 2022/2555 (NIS2)
- Informacje o samorejestracji: portal wykazu KSC (MC/CSIRT)
- Konsultacje: legalgeek.pl, cgolegal.pl, infor.pl (pobrano 08.08.2026)