NIS2/KSC2: Jak sprawdzić, czy twoja firma podlega nowym przepisom i uniknąć kar

Wielu przedsiębiorców i administratorów IT zastanawia się, czy ich organizacja podlega pod unijną dyrektywę NIS2 oraz polską ustawę o Krajowym Systemie Cyberbezpieczeństwa (KSC2). To nie tylko teoretyczne rozważania – błędna klasyfikacja może skutkować karami finansowymi sięgającymi nawet 10 milionów euro. W odpowiedzi na te wątpliwości portal Sekurak organizuje bezpłatny webinar, który pomoże rozwiać najczęstsze niejasności.

Kogo dotyczą przepisy NIS2 i KSC2?

Nowe regulacje obejmują szeroki krąg podmiotów – od dużych przedsiębiorstw po lokalne spółki komunalne. Jak wskazuje Sekurak w swoim artykule, wątpliwości budzi już samo określenie statusu: „Czy nasza gminna spółka (wod-kan, ciepłownia, MPK) to podmiot publiczny, czy przedsiębiorca względem NIS2/UKSC?”. Odpowiedź nie jest oczywista, ponieważ przepisy nie opierają się wyłącznie na kodzie PKD czy wpisie w KRS, ale na rzeczywistym zakresie działalności.

Kluczowe znaczenie ma także sposób liczenia pracowników i przychodów. Czy „pracownik” to tylko osoba na etacie, czy każdy, kto świadczy pracę na rzecz firmy? Które przychody wliczać do progu – tylko własne, czy również spółek z grupy kapitałowej? To tylko niektóre z pytań pojawiających się w praktyce.

Najczęstsze pułapki i nieoczywiste sytuacje

Eksperci zwracają uwagę na kilka szczególnie mylących obszarów. Po pierwsze, bycie w łańcuchu dostaw dla podmiotu kluczowego (np. banku) nie oznacza automatycznie objęcia przepisami – ale może, jeśli świadczone usługi mają krytyczne znaczenie. Po drugie, w przypadku grup kapitałowych konieczne jest uwzględnienie spółek powiązanych i partnerskich. Po trzecie, usługi zarządzane i chmurowe wymagają osobnej analizy.

Jak zaznacza Marcin Serafin, partner w kancelarii prawnej Sterberg, który poprowadzi webinar: „Pamiętajcie, że błędna klasyfikacja może pociągać za sobą poważne skutki w postaci wysokich kar finansowych i poważnych sankcji operacyjnych oraz administracyjnych”. Dlatego tak ważne jest, aby nie popełnić błędu na samym początku procesu.

Praktyczne kroki do samoklasyfikacji

Webinar zaplanowany na 16 czerwca 2026 roku o godzinie 10:00 ma pomóc uczestnikom w samodzielnym określeniu, czy ich organizacja podlega pod NIS2/KSC2. W ramach agendy przewidziano m.in.:

• Liczenie pracowników i przychodów – wyjaśnienie, kogo uznać za pracownika i które przychody brać pod uwagę.
• Analiza sektorowa – jak sprawdzić, czy działalność mieści się w zakresie regulacji, z uwzględnieniem pułapek w załącznikach.
• Nieoczywiste przypadki – łańcuch dostaw, grupy kapitałowe, usługi zarządzane i chmurowe.
• Wypełnianie formularza zgłoszeniowego – co wpisać i jak udokumentować, że organizacja nie podlega pod KSC2.

Gospodarzem spotkania będzie Michał Sajdak, założyciel Sekuraka, który zadba o to, aby kluczowe pytania uczestników nie pozostały bez odpowiedzi. Udział w webinarze jest bezpłatny, ale wymaga rejestracji.

Konsekwencje błędnej klasyfikacji

Ryzyko związane z nieprawidłowym określeniem statusu jest realne. Jak czytamy w artykule Sekuraka: „błędna klasyfikacja może pociągać za sobą poważne skutki w postaci wysokich kar finansowych i poważnych sankcji operacyjnych oraz administracyjnych”. Maksymalna kara to 10 milionów euro – kwota, która dla wielu średnich firm może oznaczać poważne problemy finansowe.

Warto pamiętać, że przepisy nakładają obowiązki nie tylko na podmioty kluczowe, ale także na dostawców usług cyfrowych i niektóre firmy z sektora energetycznego, transportowego czy wodno-kanalizacyjnego. Dlatego lepiej zawczasu sprawdzić swoją pozycję, niż czekać na kontrolę.

Co dalej?

Dla firm, które chcą uniknąć ryzyka, kluczowe jest podjęcie działań jeszcze przed wejściem w życie pełnych wymogów. Udział w webinarze to pierwszy krok. Kolejnym powinno być dokładne przeanalizowanie struktury organizacyjnej, przychodów i zakresu usług. W razie wątpliwości warto skonsultować się z prawnikiem specjalizującym się w cyberbezpieczeństwie. Nie warto ryzykować – lepiej sprawdzić i być pewnym.