Ustawa o KSC: Twoja firma jest za mała, ale Twój klient nie. Co podpisać w ankiecie dostawcy, a czego nie obiecywać

Kto podlega, a kto nie: liczy się sektor i wielkość

Ustawa z 23 stycznia 2026 r. zastąpiła dawnych „operatorów usług kluczowych” dwiema grupami: podmiotami kluczowymi i podmiotami ważnymi. O tym, do której grupy trafia firma, decydują dwie rzeczy: branża z załącznika do ustawy i wielkość według unijnej definicji przedsiębiorstwa.

Załącznik nr 1 to sektory takie jak energia, transport, bankowość, ochrona zdrowia, woda i ścieki, infrastruktura cyfrowa i zarządzanie usługami IT. Załącznik nr 2 obejmuje usługi pocztowe, gospodarkę odpadami, chemikalia, produkcję żywności, produkcję wyrobów medycznych, elektroniki, maszyn i pojazdów, platformy handlowe i wyszukiwarki oraz organizacje badawcze. Jeśli Twojej branży nie ma na tych listach, ustawa Cię nie dotyczy, niezależnie od wielkości.

Jeśli branża jest na liście, decyduje wielkość. Progiem jest „średni przedsiębiorca” z unijnego zalecenia: od 50 pracowników albo powyżej 10 mln euro obrotu lub sumy bilansowej. Firma z załącznika nr 1, która przekracza progi średniego przedsiębiorstwa (250 osób, 50 mln euro obrotu), jest podmiotem kluczowym. Średnia firma z pierwszego załącznika i średnia lub duża z drugiego to podmiot ważny. Wielkość liczy się na dzień sporządzenia sprawozdania finansowego, razem z firmami powiązanymi i partnerskimi. Ustawa daje tu jedną furtkę: jeśli progi przekraczasz tylko przez grupę, a Twój system informatyczny jest od niej niezależny i nie świadczycie usług wspólnie, nie podlegasz.

Wyjątki od progu wielkości są nieliczne. Niezależnie od rozmiaru podlegają między innymi dostawcy usług DNS, firmy rejestrujące nazwy domen, kwalifikowani dostawcy usług zaufania i spółki komunalne, które realizują zadania publiczne z użyciem systemów informatycznych. Mały operator telekomunikacyjny jest podmiotem ważnym, a firma świadcząca zarządzane usługi cyberbezpieczeństwa wchodzi do pierwszej grupy już od wielkości małego przedsiębiorcy. Jeśli prowadzisz dwuosobowy software house, hurtownię albo agencję reklamową, nie ma Cię na tej liście.

Co musi zrobić Twój klient do 3 kwietnia 2027 r.

Firmy, które spełniały kryteria w dniu wejścia ustawy w życie, miały pół roku na wniosek o wpis do Wykazu KSC, prowadzonego przez Ministerstwo Cyfryzacji w systemie S46. Samorejestracja trwała od 7 maja do 3 października. Urząd nikogo nie wzywał: każda firma sama sprawdzała sektor, kod PKD i wielkość, a wniosek podpisywał jej szef albo pełnomocnik. Kto podlega, a wniosku nie złożył, już łamie ustawę, choć kary za to dopiero od 2028 r.

Właściwa praca zaczyna się teraz. Do 3 kwietnia 2027 r. podmiot objęty wdraża system zarządzania bezpieczeństwem informacji. Artykuł 8 ustawy wylicza, co ma w nim być: szacowanie ryzyka, polityki bezpieczeństwa, bezpieczeństwo fizyczne i kadrowe, plany ciągłości działania i odtwarzania po awarii, ciągłe monitorowanie systemów, szkolenia personelu, kryptografia, uwierzytelnianie wieloskładnikowe tam, gdzie to zasadne, kontrola dostępu, zarządzanie aktywami i regularne aktualizacje oprogramowania. Do tego zgłaszanie incydentów: wczesne ostrzeżenie w ciągu 24 godzin od wykrycia, pełne zgłoszenie w ciągu 72 godzin i sprawozdanie końcowe w miesiąc. Podmioty z pierwszej grupy muszą jeszcze przejść audyt do 3 kwietnia 2028 r., a potem co trzy lata.

Za zaniedbania grożą kary: do 10 mln euro albo 2 proc. rocznych przychodów dla podmiotu z pierwszej grupy, do 7 mln euro lub 1,4 proc. dla drugiej, a przy zagrożeniu życia, bezpieczeństwa państwa lub poważnej szkody do 100 mln zł. Osobną karę może dostać szef firmy. Pierwsze kary wolno nałożyć od 3 kwietnia 2028 r. To ważne dla Ciebie z jednego powodu: Twój klient ma teraz listę wymagań, termin i osobistą odpowiedzialność kierownika. Nie będzie łagodny wobec dostawców.

Dlaczego ankieta trafi do Ciebie

W tym samym artykule 8, w punkcie o środkach bezpieczeństwa, jest litera e: bezpieczeństwo i ciągłość łańcucha dostaw produktów, usług i procesów IT, od których zależy usługa klienta, z uwzględnieniem relacji z bezpośrednim dostawcą sprzętu lub oprogramowania. Ustęp 2 dodaje, że podmiot ma brać pod uwagę podatności związane z dostawcą i ogólną jakość jego produktów i usług.

W praktyce oznacza to, że dział bezpieczeństwa albo zewnętrzny audytor klienta musi udokumentować, kto ma dostęp do jego systemów i na jakich zasadach. Jeśli utrzymujesz klientowi sklep internetowy, hostujesz jego stronę, serwisujesz drukarki sieciowe, dostarczasz system do magazynu, obsługujesz monitoring albo wdrażasz oprogramowanie księgowe, jesteś częścią jego łańcucha dostaw IT. Dostawca palet, kawy czy odzieży roboczej nie jest, chyba że ma login do systemu klienta.

Ankieta wygląda podobnie u większości firm: kilkadziesiąt pytań o politykę haseł, uwierzytelnianie wieloskładnikowe, kopie zapasowe, aktualizacje, szyfrowanie, dostęp pracowników, podwykonawców i procedurę na wypadek incydentu. Często towarzyszy jej aneks do umowy z obowiązkiem powiadomienia klienta o incydencie w określonym czasie i prawem do audytu. Skąd krótki termin powiadomienia? Klient ma 24 godziny na wczesne ostrzeżenie do CSIRT, więc chce usłyszeć o problemie u Ciebie wcześniej niż po tygodniu.

Co podpisać, a czego nie obiecywać

Pierwsza zasada: nie deklaruj zgodności z ustawą, której nie podlegasz. Zdanie „jesteśmy zgodni z NIS2” w ankiecie małej firmy brzmi dobrze, ale przy audycie klient zapyta o wpis do wykazu i dokumentację z art. 8. Uczciwa odpowiedź brzmi inaczej: nie jesteśmy podmiotem objętym ustawą, a oto, co faktycznie stosujemy.

Druga zasada: odpowiadaj tak, jak jest. Ankieta to oświadczenie, a nieprawdziwe oświadczenie w razie incydentu obróci się przeciwko Tobie. Jeśli kopie zapasowe robisz raz w tygodniu, wpisz raz w tygodniu, nie codziennie. Jeśli dwóch pracowników ma wspólne hasło do panelu klienta, to najpierw zmień praktykę, a potem wypełnij ankietę.

Trzecia zasada: negocjuj terminy i zakres, nie samą ideę. Dwadzieścia cztery godziny na powiadomienie klienta o incydencie w jego środowisku to rozsądny standard. Powiadomienie w godzinę, przez całą dobę, w weekend, dla firmy bez dyżurów to obietnica, której nie dotrzymasz. Zaproponuj, co realnie zapewnisz: jedną osobę do kontaktu, telefon i adres do zgłoszeń, czas reakcji w dni robocze i osobny tryb dla incydentów, które zatrzymują usługę klienta. Prawo do audytu ogranicz do zakresu, który dotyczy jego systemów, z uprzedzeniem i w godzinach pracy.

Czwarta zasada: policz koszt. Jeśli klient wymaga szyfrowanego laptopa dla każdego serwisanta, kopii zapasowych w drugiej lokalizacji i corocznego szkolenia, to są wydatki. Część z nich i tak warto ponieść, bo chronią Twoją firmę, nie tylko klienta. Resztę wpisz do cennika przy odnowieniu umowy, zamiast finansować ją z marży.

Co z tego dla Ciebie

1. Sprawdź, czy Twoja branża jest w załączniku nr 1 lub nr 2 do ustawy. Jeśli nie, nie podlegasz. Jeśli tak, policz pracowników i obrót razem z firmami powiązanymi i porównaj z progiem 50 osób lub 10 mln euro.
2. Zrób listę klientów, którzy podlegają ustawie: zakłady produkcyjne od 50 osób, firmy transportowe, szpitale, przedsiębiorstwa wodociągowe, spółki komunalne, operatorzy odpadów. Przy każdym zapisz, do jakich jego systemów masz dostęp. To będą Twoje ankiety na 2027 r.
3. Przygotuj jedną stronę o bezpieczeństwie Twojej firmy: kto ma dostęp do danych klientów, jak logujecie się do ich systemów, jak często robicie kopie, kiedy aktualizujecie oprogramowanie, kto odbiera zgłoszenia o incydentach. Z taką kartką odpowiesz na większość ankiet w godzinę.
4. Wyznacz osobę do kontaktu w sprawach bezpieczeństwa i podaj ją klientom. Ustawa wymaga tego od mikro i małych podmiotów objętych, a duży klient i tak o to zapyta.
5. Zanim podpiszesz aneks, przeczytaj trzy punkty: termin powiadomienia o incydencie, prawo do audytu i odpowiedzialność za szkody. Jeśli którykolwiek jest nie do spełnienia, zaproponuj własną wersję. Klient potrzebuje dokumentu, który przejdzie audyt, a nie obietnic, których nie sprawdzi.

Stan na: 29.10.2026. Tekst nie jest poradą prawną.