Samoidentyfikacja podmiotu zgodnie z NIS2 – jak sprawdzić, czy Twoja firma podlega pod nowe obowiązki ustawy o krajowym systemie cyberbezpieczeństwa (ustawy KSC)?

Czym jest samoidentyfikacja NIS2/KSC i dlaczego każda firma musi ją przeprowadzić?

Samoidentyfikacja NIS2/KSC to obowiązek samodzielnej weryfikacji przez firmę i instytucję, czy podlega ona przepisom ustawy o krajowym systemie cyberbezpieczeństwa (KSC) wdrażającej dyrektywę NIS2. Wynik takiej samoidentyfikacji pozwala ustalić, czy dana organizacja jest tzw. podmiotem kluczowym lub ważnym, a co za tym idzie – czy powinna przejść do samorejestracji oraz wdrożyć konkretne obowiązki w zakresie cyberbezpieczeństwa. 

Nowelizacja KSC, wdrażająca dyrektywę NIS2 do polskiego porządku prawnego, weszła w życie 3 kwietnia 2026 r. Zmieniona ustawa KSC, czyli ustawa z dnia 5 lipca 2018 r. o krajowym systemie cyberbezpieczeństwa, rozszerza zakres podmiotów objętych regulacją i uruchamia terminy na wykonanie nowych obowiązków.

Samoidentyfikacja a samorejestracja – dwa różne etapy tej samej procedury

Kilka pojęć związanych z dyrektywą NIS2 i KSC czasem jest ze sobą mylonych. Tymczasem każde z nich oznacza inny etap działania:

1. Samoidentyfikacja – to analiza, czy dana firma spełnia przesłanki objęcia ustawą o KSC. Pozwala więc znaleźć odpowiedź na pytanie „czy moja organizacja podlega pod KSC/NIS2?". 
2. Kwalifikacja – to kolejny etap obejmujący ustalenie statusu organizacji: podmiot kluczowy, podmiot ważny albo podmiot pozostający poza zakresem ustawy.
3. Samorejestracja – jest wynikiem pozytywnej samoidentyfikacji i kwalifikacji jako podmiot kluczowy lub ważny. W razie ustalenia, że firma czy organizacja musi znaleźć się w wykazie, a dany podmiot nie jest objęty wpisem z urzędu (dokonywanym przez ministra automatycznie, bez wniosku firmy dla wybranych kategorii podmiotów), konieczne jest złożenie wniosku o wpis do wykazu KSC. Wniosek należy złożyć w terminie 6 miesięcy od dnia spełnienia przesłanek uznania za podmiot kluczowy lub ważny. Dla organizacji, które spełniały te przesłanki już w dniu wejścia w życie nowelizacji, termin upływa 3 października 2026 r.

Dlaczego brak wezwania od organu nie oznacza, że dyrektywa NIS2 nie dotyczy Twojej firmy?

Brak pisma od organu, decyzji administracyjnej albo indywidualnego wezwania nie oznacza, że organizacja pozostaje poza zakresem ustawy KSC. W wielu przypadkach to sam podmiot powinien sprawdzić, czy spełnia kryteria uznania za podmiot kluczowy lub ważny – zgodnie z obowiązkiem samoidentyfikacji.

Bierne oczekiwanie na kontakt ze strony organu może być ryzykowne. Jeżeli firma spełnia ustawowe przesłanki, brak wcześniejszej samoidentyfikacji może prowadzić nie tylko do niezłożenia wniosku o wpis do wykazu KSC, ale także do opóźnienia we wdrożeniu wymaganych rozwiązań organizacyjnych i technicznych.

Ustawa przewiduje przy tym mechanizm, o którym warto pamiętać: organ właściwy do spraw cyberbezpieczeństwa może w drodze decyzji uznać podmiot za kluczowy lub ważny, a wpis do wykazu może nastąpić także z urzędu. Innymi słowy – to, że firma sama się nie zidentyfikowała, nie chroni jej przed objęciem regulacją. 

Jak przeprowadzić samoidentyfikację NIS2/KSC zgodnie z ustawą o KSC w świetle nowelizacji?

Ministerstwo Cyfryzacji wskazuje, że podmioty powinny analizować swoją działalność w szczególności pod kątem sektorów wskazanych w ustawie, kryteriów wielkościowych oraz przypadków szczególnych, w tym art. 5 ustawy. Problem w tym, że KSC wprowadza obowiązek samoidentyfikacji, ale nie ułatwia przedsiębiorcom jej rzetelnego przeprowadzenia. 

Wskazane kroki stanowią dobry punkt wyjścia, ale nie powinny zastępować pełnej analizy. Zarówno na stronie Ministerstwa, jak i w niektórych pobieżnie opracowanych artykułach proces samoidentyfikacji przedstawiony jest jako prosty i zero-jedynkowy.

Tymczasem samoidentyfikacja NIS2/KSC wymaga szerszego spojrzenia na organizację: jej rzeczywistą działalność, model świadczenia usług, wielkość przedsiębiorstwa, powiązania w grupie oraz szczególne przesłanki przewidziane w przepisach. Istnieje wiele wyjątków, których takie internetowe przewodniki mogą nie uwzględniać. Tak samo jak zwykle nie uwzględni ich prosty formularz do samoidentyfikacji. Jak w takim razie powinna wyglądać rzetelna analiza?

Krok 1. Ustal, jaką działalność rzeczywiście prowadzi przedsiębiorstwo

Pierwszym krokiem jest dokładne opisanie faktycznej działalności firmy. Nie wystarczy sprawdzić kodów PKD ujawnionych w KRS albo CEIDG. Kody te mogą być zbyt ogólne, nieaktualne albo szersze niż działalność rzeczywiście wykonywana przez przedsiębiorstwo. Decydujące znaczenie będzie mieć to, jakie usługi lub produkty firma faktycznie oferuje, komu je dostarcza, jakie procesy obsługuje i czy działa jako dostawca dla innych podmiotów. Opierając tę ocenę wyłącznie na kodach PKD, możesz dojść do błędnych wniosków. 

Krok 2. Przyporządkuj działalność do sektorów z ustawy o krajowym systemie cyberbezpieczeństwa

Na tym etapie analizuje się m.in. załącznik nr 1 i 2 do ustawy (katalog podmiotów kluczowych i podmiotów ważnych), definicje ustawowe oraz katalog podmiotów prowadzących działalność w sektorach objętych regulacją.

Inaczej będzie oceniana firma, która jedynie korzysta z narzędzi cyfrowych, a inaczej dostawca usług cyfrowych albo przedsiębiorstwo, którego usługi mają znaczenie dla ciągłości działania innych organizacji. 

W praktyce oznacza to, że dwie firmy działające pod podobnym szyldem branżowym mogą zostać ocenione zupełnie inaczej – o objęciu ustawą decyduje nie nazwa branży, lecz to, jaką rolę usługi danego podmiotu pełnią dla innych uczestników rynku i dla ciągłości ważnych procesów gospodarczych. To kolejny krok, który trudno Ci będzie rzetelnie wykonać na własną rękę. 

Krok 3. Sprawdź wielkość przedsiębiorstwa i strukturę grupy

Dalszy etap to ocena wielkości przedsiębiorstwa. W wielu przypadkach kryterium wielkości ma znaczenie dla ustalenia, czy dany podmiot znajduje się w zakresie ustawy. Analizie mogą podlegać m.in. liczba pracowników, roczny obrót oraz suma bilansowa.

I tutaj sytuacja wcale nie jest zero-jedynkowa. Nie zawsze możesz ograniczyć się do danych dotyczących jednej spółki. Jeśli np. Twoja firma działa w grupie kapitałowej, ma przedsiębiorstwo powiązane lub partnerskie – te relacje nie pozostaną bez wpływu na końcową kwalifikację. 

Nietrudno więc o błędy przy samodzielnej lub pobieżnej analizie. Nawet jeśli z takiej wstępnej oceny wynika, że Twoje przedsiębiorstwo znajduje się poza zakresem regulacji, w praktyce może być zupełnie inaczej. A jeśli firma podlega ustawie i nie znajdzie się w wykazie KSC – ryzykujesz m.in. osobistą odpowiedzialność członków zarządu.

Krok 4. Zweryfikuj wyjątki, dostawców i przypadki szczególne przewidziane w ustawie KSC

Standardowe kryterium wielkości nie zawsze jest rozstrzygające. Właśnie dlatego przedsiębiorca musi przeanalizować także wyjątki oraz przypadki szczególne. Na tym etapie znaczenie mogą mieć m.in. koncesje, zezwolenia, wpisy do rejestrów sektorowych, charakter świadczonych usług, status dostawcy albo rola firmy w łańcuchu dostaw.

KSC przewiduje szczególne przesłanki uznania za podmiot kluczowy lub ważny. Sprawdzenie, czy któraś z nich dotyczy Twojego przedsiębiorstwa, znów nie należy do najprostszych zadań. Uproszczone testy mogą dawać błędne wyniki. Dopiero pogłębiona analiza (uwzględniająca posiadane koncesje i zezwolenia, faktyczną rolę firmy w łańcuchu dostaw oraz kategorie podmiotów objętych ustawą niezależnie od wielkości) pozwala rzetelnie ustalić, czy któraś ze szczególnych przesłanek znajduje zastosowanie w Twoim przypadku.

Krok 5. Ustal status: podmioty kluczowe, podmioty ważne czy podmioty poza zakresem ustawy

Wynik samoidentyfikacji może prowadzić do jednej z trzech odpowiedzi:

• organizacja jest podmiotem kluczowym,
• jest podmiotem ważnym,
• pozostaje poza zakresem ustawy. 

W dużym uproszczeniu: podmioty kluczowe to organizacje, których usługi mają największe znaczenie dla gospodarki i społeczeństwa. Z tego powodu podlegają surowszemu nadzorowi i częstszym kontrolom. Podmioty ważne mają podobne obowiązki, ale reżim nadzoru jest wobec nich łagodniejszy. 

Rozstrzygnięcie ma więc bezpośrednie konsekwencje praktyczne. Jeżeli firma kwalifikuje się do którejś z tych dwóch grup, powinna przygotować się do wpisu do wykazu KSC dla podmiotów kluczowych lub podmiotów ważnych oraz do dalszego wdrożenia obowiązków w zakresie cyberbezpieczeństwa. 

Krok 6. Udokumentuj wynik analizy i zaplanuj dalsze wdrożenie NIS2/KSC 

Nie wystarczy ogólne stwierdzenie, że firma „raczej podlega” albo „raczej nie podlega” ustawie. W razie kontroli będzie to zdecydowanie za mało.  Musisz być w stanie wykazać:

• jakie dane zbadano,
• jakie przepisy wzięto pod uwagę,
• dlaczego przyjęto właśnie taką kwalifikację.

Taka dokumentacja okaże się bezcenna w przypadku zmian w działalności, pytań ze strony kontrahentów, którzy coraz częściej weryfikują status swoich dostawców pod kątem NIS2, albo w razie kontaktu ze strony organu właściwego do spraw cyberbezpieczeństwa. Bo tu pojawia się kolejne wyzwanie, z którego nie każda firma zdaje sobie sprawę – nawet jeśli przeprowadzisz rzetelną samoidentyfikację, musisz jeszcze być w stanie to wykazać podczas kontroli. 

Jeżeli wynik analizy jest pozytywny, kolejne działania obejmują nie tylko wpis do wykazu, ale także zaplanowanie wdrożenia wymagań NIS2/KSC. Organizacja powinna ocenić, jakie obowiązki w zakresie cyberbezpieczeństwa ją dotyczą, kto będzie realizował zadania z zakresu cyberbezpieczeństwa oraz jak wdrożyć system zarządzania bezpieczeństwem informacji.

Dlaczego uproszczona samoidentyfikacja NIS2/KSC może prowadzić do błędnej kwalifikacji podmiotu?

Szybkie testy i checklisty mogą być dobrym punktem wyjścia. Pomagają zauważyć, że temat KSC może dotyczyć danej organizacji. Problem zaczyna się wtedy, gdy firma traktuje taki test jako ostateczne rozstrzygnięcie. Jak wiesz już z poprzednich akapitów, prawidłowa ocena często zależy od szczegółów: faktycznie wykonywanych usług, modelu biznesowego, odbiorców, miejsca w łańcuchu dostaw, koncesji, zezwoleń, wpisów do rejestrów oraz definicji ustawowych. A konsekwencje błędnych ustaleń są w tym przypadku poważne: 

• Kary pieniężne – znowelizowana ustawa KSC przewiduje sankcje finansowe na poziomie znanym dotąd głównie z RODO. Kara dla podmiotu kluczowego może wynieść do 10 mln euro lub do 2% rocznego obrotu (zastosowanie ma kwota wyższa), a dla podmiotu ważnego – do 7 mln euro lub do 1,4% obrotu.
• Osobista odpowiedzialność kierownictwa – kara pieniężna może zostać nałożona bezpośrednio na kierownika podmiotu – niezależnie od kary wymierzonej samej organizacji. Jej wysokość ustala się jako wielokrotność wynagrodzenia kierownika. Co ważne, delegowanie zadań na dział IT czy zewnętrznego dostawcę nie zwalnia zarządu z odpowiedzialności za nadzór nad obszarem cyberbezpieczeństwa.
• Środki nadzorcze – od wezwań i nakazów usunięcia naruszeń, przez kary za każdy dzień zwłoki w wykonaniu nakazu, aż po (w skrajnych przypadkach) tymczasowy zakaz pełnienia funkcji kierowniczych. 
• Konsekwencje biznesowe – coraz więcej podmiotów objętych KSC weryfikuje swoich dostawców pod kątem bezpieczeństwa łańcucha dostaw. Firma, która nie potrafi jasno wykazać swojego statusu wobec NIS2/KSC, może przegrywać w przetargach i tracić kontrakty
• Zbędne wydatki – błędne uznanie, że firma podlega ustawie, oznacza rozpoczęcie kosztownego i angażującego wdrożenia.

Jak powinna wyglądać rzetelna samoidentyfikacja podmiotu pod dyrektywę NIS2 i znowelizowaną ustawę o krajowym systemie cyberbezpieczeństwa? 

Rzetelna samoidentyfikacja pod NIS2 nie powinna kończyć się prostą odpowiedzią „tak” albo „nie”. Jej wynikiem powinno być uzasadnienie, dlaczego dana organizacja została uznana za podmiot kluczowy, podmiot ważny albo podmiot pozostający poza zakresem ustawy. Taka ocena musi łączyć analizę przepisów, definicji ustawowych i przesłanek szczególnych z realnym modelem działalności firmy: zakresem usług, odbiorcami, dostawcami, strukturą grupy i rolą w łańcuchu dostaw.

Profesjonalny proces samoidentyfikacji powinien mieć formę udokumentowanej analizy, najlepiej opinii prawnej. Taki dokument wskazuje podstawę oceny, analizowane dane, przyjętą interpretację przepisów oraz końcowy wniosek co do statusu organizacji. Ma to znaczenie zwłaszcza dla zarządu, ponieważ znowelizowana ustawa nakłada na kierownictwo odpowiedzialność nie tylko za samą kwalifikację, ale także za dalsze podejście do cyberbezpieczeństwa.

Jeżeli analiza potwierdzi, że organizacja podlega ustawie KSC, kolejnym etapem będzie zaplanowanie wdrożenia wymagań. Może obejmować m.in. wyznaczenie osób odpowiedzialnych za realizację zadań z zakresu cyberbezpieczeństwa, wdrożenie systemu zarządzania bezpieczeństwem informacji, przygotowanie procedur zgłaszania incydentów oraz cykliczne audyty bezpieczeństwa (w przypadku podmiotów kluczowych przeprowadzane co najmniej raz na 3 lata).

Opinia prawna dotycząca podlegania pod NIS2/KSC daje więc zarządowi konkretną podstawę do decyzji i ogranicza ryzyko, że firma zignoruje obowiązki wynikające z ustawy albo rozpocznie wdrożenie bez rzeczywistej podstawy. Pozwala też wykazać, że zarząd dopełnił swoich obowiązków w razie ewentualnej kontroli. 

Jakie dokumenty i dane przygotować do samoidentyfikacji NIS2/KSC?

Dobra samoidentyfikacja wymaga informacji, które pokazują zarówno formalny, jak i rzeczywisty profil działalności firmy. Sama nazwa przedsiębiorstwa, ogólna branża albo główny kod PKD zwykle nie wystarczą.

Przed rozpoczęciem analizy warto przygotować:

• aktualny odpis KRS albo dane z CEIDG,
• listę kodów PKD,
• opis faktycznie świadczonych usług lub dostarczanych produktów,
• informacje o modelu biznesowym i sposobie świadczenia usług,
• kluczowe umowy z klientami, dostawcami lub partnerami,
• wzorce umowne, regulaminy lub warunki świadczenia usług,
• dane o zatrudnieniu,
• dane finansowe potrzebne do oceny wielkości przedsiębiorstwa,
• strukturę właścicielską,
• listę podmiotów powiązanych i partnerskich,
• informacje o grupie kapitałowej, jeżeli firma do niej należy,
• koncesje, zezwolenia i wpisy do rejestrów sektorowych,
• opis kluczowych klientów i odbiorców usług,
• informację, czy firma działa jako dostawca dla podmiotów z sektorów regulowanych (np. podmiotów publicznych, podmiotów kluczowych lub ważnych albo dostawców usług cyfrowych),
• opis roli organizacji w łańcuchu dostaw.

Jeżeli organizacja okaże się podmiotem kluczowym lub ważnym, część tych informacji będzie potrzebna przy wpisie do wykazu KSC i planowaniu dalszych działań. Jeżeli analiza wykaże, że firma pozostaje poza zakresem ustawy, zebrane dokumenty pomogą uzasadnić taki wniosek i wrócić do oceny wtedy, gdy zmieni się profil działalności, struktura grupy albo przepisy.

Jeśli zamierzasz zweryfikować obowiązek wpisu do wykazu KSC z profesjonalnym wsparciem, zgromadzenie właściwych dokumentów będzie prostsze – to podmiot pomagający Ci dokonać samoweryfikacji poinformuje, jakie informacje są mu potrzebne, by mógł dokładnie przeanalizować, czy Twoja firma podlega pod NIS2. 

Termin samorejestracji do 3 października 2026 r. dotyczy podmiotów, które spełniają kryteria i nie zostały wpisane z urzędu. Skoro termin na złożenie wniosku upływa 3 października 2026 r., samoidentyfikacji nie warto odkładać na ostatni moment.

Przeprowadź rzetelną samoidentyfikację NIS2/KSC w Twojej firmie z pomocą JDS Consulting

Samoidentyfikacja NIS2/KSC jest wymagającym procesem, ale nie musisz przeprowadzać jej samodzielnie. W JDS Consulting przeprowadzimy dokładną analizę profilu działalności, struktury organizacja i sektora, w którym działa Twoja firma. Nie ograniczymy się do ogólników, ustalając, czy należy wpisać Twoją organizację do wykazu podmiotów kluczowych i ważnych. A przede wszystkim – przedstawimy wnioski w formie opinii prawnej. Taki dokument może mieć realne znaczenie w przypadku postępowania lub kontroli. Pozwoli też udowodnić, że zarząd podjął kroki wymagane przez nowe przepisy.

WIĘCEJ>>>