NIS2 i KSC2: jak sprawdzić, czy twoja firma podlega nowym przepisom?
Od czerwca 2026 roku polskie firmy muszą samodzielnie ocenić, czy podlegają pod NIS2 i KSC2. Błędna klasyfikacja grozi karą do 10 milionów euro. Przedstawiamy, na co zwrócić uwagę.
Nowe przepisy o bezpieczeństwie cybernetycznym – dyrektywa NIS2 i polska ustawa o krajowym systemie cyberbezpieczeństwa (KSC2) – wchodzą w życie w pełnym wymiarze. Od czerwca 2026 roku wiele organizacji w Polsce stoi przed wyzwaniem samodzielnego określenia, czy podlega pod te regulacje. Błędna klasyfikacja może oznaczać poważne sankcje finansowe i operacyjne. Jak ostrzega ekipa sekurak.pl, „błędna klasyfikacja może pociągać za sobą poważne skutki w postaci wysokich kar finansowych i poważnych sankcji operacyjnych oraz administracyjnych”.
Jak liczyć pracowników i przychody w kontekście NIS2?
Jednym z pierwszych pytań, które musi zadać sobie każda firma, jest sposób liczenia pracowników i przychodów. Przepisy NIS2 i KSC2 nie operują prostymi kategoriami. Ważne jest, czy „pracownik” oznacza wyłącznie osobę zatrudnioną na umowę o pracę, pełny etat, czy każdą osobę świadczącą pracę na rzecz organizacji. Marcin Serafin, partner w kancelarii prawnej Sterberg – który poprowadzi bezpłatny webinar na ten temat – zwraca uwagę, że sposób liczenia ma kluczowe znaczenie dla progów uprawniających do uznania za podmiot kluczowy lub ważny.
Podobnie rzecz się ma z przychodami: należy brać pod uwagę wyłącznie własne przychody organizacji, czy także spółek z grupy kapitałowej? To rozróżnienie może decydować o tym, czy firma przekroczy próg i znajdzie się w zakresie regulacji.
Sektor po sektorze: gdzie czyhają pułapki?
Kwalifikacja przedmiotu działalności to kolejny etap wymagający szczególnej uwagi. Sektory objęte NIS2 są określone w załącznikach do dyrektywy, ale ich interpretacja w polskich realiach bywa nieoczywista. Organizacje często mylnie zakładają, że decyduje wyłącznie kod PKD lub wpis w KRS. Eksperci podkreślają jednak, że znaczenie ma rzeczywisty zakres działania. Firma może świadczyć usługi, które formalnie mieszczą się w sektorze krytycznym, nawet jeśli jej kod PKD wskazuje co innego.
Wątpliwości budzi także sytuacja, gdy organizacja działa w dwóch sektorach jednocześnie. Czy wtedy podlega pod KSC2 w całości? Odpowiedź nie jest jednoznaczna i wymaga indywidualnej analizy. Michał Sajdak, założyciel sekuraka, zapowiada, że podczas warsztatów omówione zostaną konkretne przykłady z polskiego rynku.
„Pamiętajcie, że błędna klasyfikacja może pociągać za sobą poważne skutki w postaci wysokich kar finansowych i poważnych sankcji operacyjnych oraz administracyjnych. Warto więc zadbać o to, aby nie popełnić błędu na samym początku procesu…” – ostrzega ekipa sekurak.pl.
Łańcuch dostaw, grupy kapitałowe i usługi zarządzane
Przepisy NIS2 i KSC2 szczególną uwagę poświęcają podmiotom z łańcucha dostaw. Nawet jeśli firma nie jest bankiem ani operatorem energetycznym, ale świadczy usługi IT dla takiego podmiotu, może zostać uznana za podmiot kluczowy. Podobnie w przypadku grup kapitałowych: czy podlega centrala, każda spółka z osobna, czy tylko te, które spełniają kryteria wielkości?
Dodatkową komplikację stanowią usługi zarządzane i chmurowe. Kiedy serwerownia staje się data center w rozumieniu ustawy? Jak traktować outsourcing infrastruktury IT? To pytania, na które polskie firmy wciąż szukają jednoznacznych odpowiedzi.
Formularz zgłoszeniowy – co wpisać i jak uniknąć błędu?
Wypełnienie formularza zgłoszeniowego do Wykazu KSC2 to ostatni, ale nie mniej ważny krok. Trzeba w nim wskazać nie tylko dane identyfikacyjne, ale także uzasadnić kwalifikację. Co jednak zrobić, jeśli po analizie okaże się, że organizacja jednak nie podlega pod KSC2? Należy to odpowiednio udokumentować, aby w przypadku kontroli móc wykazać, że decyzja była przemyślana.
Bezpłatny webinar organizowany przez sekuraka 16 czerwca 2026 roku ma pomóc w rozwianiu tych wątpliwości. Uczestnicy dowiedzą się, jak krok po kroku przeprowadzić samoklasyfikację i jakie kryteria stosować. Warto skorzystać z tej okazji – zwłaszcza że stawka jest wysoka: kara finansowa za błędną klasyfikację może sięgnąć 10 milionów euro.
Niezależnie od tego, czy twoja organizacja dopiero zaczyna analizę, czy jest już na etapie wypełniania formularzy, kluczowe jest działanie oparte na faktach, a nie domysłach. W razie wątpliwości warto skonsultować się z prawnikiem specjalizującym się w cyberbezpieczeństwie.
