Kwalifikacja pod NIS 2, czyli jak ustalić, czy firma podlega uKSC?

Ustawa o krajowym systemie cyberbezpieczeństwa („uKSC”) w brzmieniu wdrażającym NIS 2 wprowadza obowiązek samoidentyfikacji – podmioty podlegające jej przepisom muszą dokonać samodzielnej kwalifikacji. Kwalifikacja wymaga zestawienia rzeczywiście wykonywanych usług, wielkości przedsiębiorstwa, relacji w grupie kapitałowej oraz szczególnych kategorii ustawowych.

Po co przeprowadzać kwalifikację?

Celem kwalifikacji jest ustalenie, czy podmiot jest:

1. poza zakresem uKSC;
2. podmiotem ważnym; albo
3. podmiotem kluczowym.

To rozstrzygnięcie uruchamia obowiązki dotyczące m.in. zarządzania ryzykiem cyberbezpieczeństwa, obsługi i zgłaszania incydentów, ciągłości działania, bezpieczeństwa łańcucha dostaw, zarządzania podatnościami, szkoleń oraz dokumentacji. Nie należy utożsamiać kwalifikacji z samym wpisem do wykazu. Wpisu należy dokonać po ustaleniu, że przesłanki ustawowe są spełnione.

Punktem wyjścia są art. 2 i art. 5 uKSC, załączniki nr 1 i 2 do uKSC oraz – dla kryterium wielkości – załącznik I do rozporządzenia Komisji (UE) nr 651/2014. Status podmiotu kluczowego lub ważnego zależy zasadniczo od połączenia dwóch elementów: rodzaju faktycznie wykonywanej działalności oraz wielkości przedsiębiorstwa.

Mapa procesu: siedem kroków do kwalifikacji

Zanim rozpoczniemy właściwą kwalifikację, trzeba zidentyfikować konkretny podmiot prawny, który podlega sprawdzeniu. Analizy nie można prowadzić automatycznie na poziomie całej marki, pionu biznesowego czy grupy kapitałowej.

Następnie ustalamy datę referencyjną. Wielkość przedsiębiorstwa ocenia się na dzień sporządzenia sprawozdania finansowego. W praktyce analiza powinna opierać się co najmniej na dwóch ostatnich zatwierdzonych danych finansowych i kadrowych, a po zamknięciu kolejnego roku – zostać odświeżona.

Kolejne kroki kwalifikacji to:

1. Co firma faktycznie robi? Katalog usług i aktywności do zbadania – uwaga: weryfikujemy faktycznie prowadzoną działalność, a nie jedynie ofertę lub kody PKD.
2. Mapowanie działalności na załączniki uKSC. Sprawdzamy, czy prowadzona działalność odpowiada pozycji z załącznika nr 1 lub 2? W efekcie otrzymujemy potencjalne tytuły objęcia uKSC.
3. Czy kategoria „niezależna od wielkości” ma zastosowanie? Niektóre rodzaje działalności podlegają uKSC bez względu na wielkość podmiotu. Musimy ustalić ewentualny status kluczow bez testu MŚP. 
4. Jaka jest wielkość przedsiębiorstwa? Sprawdzamy dane finansowe i kadrowe badanego podmiotu, aby ustalić status MŚP.
5. Czy powinniśmy uwzględnić dane grupy i czy działa wyłączenie? Jest to niezbędne do ustalenia końcowego wyniku testu MŚP.
6. Podmiot kluczowy czy ważny – i z ilu podstaw? Sprawdzamy, czy podmiot o ustalonym statusie MŚP i prowadzonej działalności podlega ustawie. Otrzymujemy końcowy wynik kwalifikacji.
7. Co zrobić po kwalifikacji? Przygotowujemy niezbędne dane wpisu do wykazu KSC i opracowujemy plan wdrożenia pozostałych obowiązków. 

Krok 1. Zmapuj działalność faktycznie wykonywaną 

Sprawdź, jakie usługi i czynności firma rzeczywiście wykonuje na rzecz klientów lub wewnątrz grupy. Kody PKD, wpis w KRS, statut, strona internetowa i prezentacje handlowe są istotnymi dowodami pomocniczymi, ale nie są rozstrzygające. PKD może być nieaktualne, zbyt ogólne albo obejmować aktywność, której podmiot nigdy nie rozpoczął. Z drugiej strony brak kodu PKD nie neutralizuje ryzyka kwalifikacji, jeżeli dana usługa jest realnie oferowana i wykonywana.

Pamiętaj, że rozstrzygająca jest działalność faktycznie wykonywana; analizę należy oprzeć przede wszystkim na treści umów z klientami i rzeczywistym sposobie świadczenia usług.

Trzeba badać nie tylko usługę podstawową, ale też usługi dodatkowe. Przykładowo samo wytwarzanie lub licencjonowanie oprogramowania nie przesądza o statusie dostawcy usług zarządzanych. Inny wynik może jednak powstać, gdy dostawca równolegle zdalnie administruje środowiskiem klienta, instaluje aktualizacje, usuwa awarie i utrzymuje wdrożone oprogramowanie.

Krok 2. Przypisz każdą aktywność do załącznika nr 1 lub nr 2 uKSC

Po zmapowaniu faktycznie wykonywanej działalności należy zestawić każdą aktywność z katalogami ustawowymi.

Załącznik nr 1 – sektory kluczowe

Załącznik nr 1 obejmuje sektory wysokiej krytyczności, w tym w szczególności: energetykę, transport, bankowość, infrastrukturę rynków finansowych, ochronę zdrowia, wodę pitną, ścieki, infrastrukturę cyfrową, zarządzanie usługami ICT, administrację publiczną i przestrzeń kosmiczną.

Dla przedsiębiorstw technologicznych szczególnego sprawdzenia wymagają zwłaszcza następujące kategorie:

• dostawca chmury obliczeniowej;
• dostawca usługi centrum przetwarzania danych;
• dostawca usług DNS;
• dostawca usług zarządzanych;
• dostawca usług zarządzanych w zakresie cyberbezpieczeństwa.

Przykładowo, dostawcą usług zarządzanych jest podmiot, który świadczy usługi związane z instalacją, eksploatacją lub konserwacją produktów, usług lub procesów ICT albo systemów informacyjnych – przez wsparcie lub aktywną administrację u klienta, lokalnie lub zdalnie. Instalowanie i konfigurowanie oprogramowania, usuwanie awarii, wdrażanie aktualizacji, strojenie wydajności czy zdalne administrowanie serwerem to okoliczności silnie przemawiające za taką kwalifikacją.

Dostawca chmury obliczeniowej wymaga natomiast odrębnego testu. Bada się, czy usługa zapewnia zdalny dostęp do skalowalnego i elastycznego zbioru zasobów obliczeniowych, przeznaczonego do wspólnego wykorzystywania przez wielu użytkowników. Nie należy automatycznie utożsamiać dostawcy oprogramowania z dostawcą chmury: znaczenie ma to, kto faktycznie utrzymuje warstwę infrastrukturalną i udostępnia usługę.

Załącznik nr 2 – sektory ważne

Załącznik nr 2 obejmuje pozostałe sektory krytyczne, m.in. usługi pocztowe i kurierskie, gospodarkę odpadami, chemikalia, żywność oraz określone rodzaje produkcji – w tym produkcję komputerów, wyrobów elektronicznych i optycznych, urządzeń elektrycznych, maszyn, pojazdów i innego sprzętu transportowego.

W działalności produkcyjnej należy szczególnie ostrożnie podchodzić do definicji produkcji, która jest szersza, niż potoczne rozumienie tego terminu. Przy kwalifikacji decyduje rzeczywisty proces: zakres montażu, użycie komponentów, testowanie, powtarzalność działalności, samodzielność organizacyjna oraz klasyfikacja efektu końcowego.

Krok 3. Sprawdź najpierw „ścieżki szybkiej kwalifikacji” do statusu podmiotu kluczowego

Zanim analiza skoncentruje się na wielkości przedsiębiorstwa, trzeba wykluczyć sytuacje, w których ustawa przypisuje status podmiotu kluczowego niezależnie od typowego progu dużego przedsiębiorstwa.

Szczególnej weryfikacji wymagają m. in. poniższe kategorie: 

• przedsiębiorca komunikacji elektronicznej – w zakresie określonym ustawą;
• dostawca usług zarządzanych w zakresie cyberbezpieczeństwa;
• określone podmioty związane z publicznie dostępnymi usługami DNS;
• kwalifikowany dostawca usług zaufania.

Dostawca usług zarządzanych w zakresie cyberbezpieczeństwa jest podmiotem kluczowym już od poziomu małego przedsiębiorstwa. Definicja obejmuje świadczenie lub wsparcie działań związanych z zarządzaniem ryzykiem w cyberbezpieczeństwie, w tym w szczególności obsługę incydentów, testy bezpieczeństwa, audyty systemów informacyjnych i doradztwo.

Nie każda czynność techniczna będzie automatycznie taką usługą, a ocena musi opierać się na pełnym materiale umownym i faktycznym, a nie tylko na nazwie stanowiska lub usługi.

Krok 4. Oblicz wielkość przedsiębiorstwa według załącznika I do rozporządzenia 651/2014

Jeżeli nie występuje kwalifikacja niezależna od wielkości, należy zastosować test MŚP z załącznika I do rozporządzenia 651/2014.

Progi

Kryterium zatrudnienia musi być spełnione zawsze. W odniesieniu do finansów wystarczy, aby zachowany był co najmniej jeden z limitów: obrotu albo sumy bilansowej. Zatem przedsiębiorca zatrudniający mniej niż 250 RJP nie traci statusu średniego tylko dlatego, że przekroczył jeden próg finansowy; utrata tego statusu następuje po przekroczeniu obu progów finansowych albo progu zatrudnienia – z uwzględnieniem reguły dwóch kolejnych okresów.

Zatrudnienie oblicza się w rocznych jednostkach pracy (RJP). Należy uwzględniać wymiar i okres faktycznej pracy w roku, a nie tylko stan zatrudnienia na konkretny dzień. Analizy wymagają również osoby współpracujące na podstawie umów cywilnoprawnych lub kontraktów B2B, jeżeli spełniają kryteria właściwe dla personelu w rozumieniu załącznika I; w praktyce warto przyjąć podejście ostrożnościowe i udokumentować przyjętą metodę.

Reguła dwóch kolejnych okresów obrachunkowych

Jednorazowe przekroczenie progu nie przesądza automatycznie o zmianie kategorii przedsiębiorstwa. Zgodnie z art. 4 ust. 2 załącznika I do rozporządzenia 651/2014 zmiana statusu następuje dopiero wtedy, gdy przekroczenie albo spadek poniżej właściwych progów powtórzy się w dwóch kolejnych okresach obrachunkowych. W praktyce oznacza to konieczność porównania co najmniej dwóch zamkniętych lat.

Krok 5. Ustal relacje partnerskie i powiązane – ale nie kończ analizy na strukturze kapitałowej

Wielkości przedsiębiorstwa nie powinno ustalać się wyłącznie na podstawie jego własnych danych (choć są wyjątki od tej sytuacji). Załącznik I do rozporządzenia 651/2014 nakazuje badać przedsiębiorstwa partnerskie i powiązane.

Co do zasady:

• dane przedsiębiorstw powiązanych dolicza się w 100%;
• dane przedsiębiorstw partnerskich uwzględnia się proporcjonalnie do udziału kapitałowego lub praw głosu;
• powiązanie może wynikać nie tylko z udziałów, lecz w pewnych przypadkach także z kontroli sprawowanej przez osobę fizyczną lub grupę osób fizycznych działających wspólnie, jeżeli przedsiębiorstwa działają na tym samym lub rynku pokrewnym.

Niezależne systemy i brak wspólnego świadczenia usług

Sama przynależność do grupy kapitałowej nie powinna automatycznie przesądzać o kwalifikacji jako podmiot kluczowy lub ważny. Art. 5 ust. 6 i 7 uKSC przewiduje korektę: gdy próg wielkości wynika wyłącznie z agregacji danych przedsiębiorstw partnerskich lub powiązanych, a system informacyjny badanego podmiotu jest niezależny od ich systemów lub podmiot nie świadczy z nimi usług wspólnie, podmiot nie uzyskuje odpowiednio statusu kluczowego albo ważnego.

Wystarcza wykazanie jednej z przesłanek: niezależności systemu albo braku wspólnego świadczenia usługi. Materiał dowodowy powinien obejmować m.in. architekturę systemów, dostępy administracyjne, umowy wewnątrzgrupowe, podział obowiązków np. w konsorcjum. 

Krok 6. Zastosuj właściwą regułę kwalifikacyjną

Po zakończeniu testu działalności i wielkości należy ustalić wynik dla każdego tytułu kwalifikacji.

A. Podmiot kluczowy

Co do zasady będzie nim:

• przedsiębiorstwo duże, prowadzące działalność wskazaną w załączniku nr 1;
• przedsiębiorca komunikacji elektronicznej objęty art. 5 ust. 1 pkt 2 uKSC;
• co najmniej mały przedsiębiorca będący dostawcą usług zarządzanych w zakresie cyberbezpieczeństwa;
• podmiot należący do kategorii wyraźnie wymienionej w art. 5 ust. 1 pkt 4 uKSC, dla której ustawodawca nie uzależnia statusu od standardowego testu wielkości.

B. Podmiot ważny

Co do zasady będzie nim:

• średni przedsiębiorca prowadzący działalność z załącznika nr 1;
• średni lub duży przedsiębiorca prowadzący działalność z załącznika nr 2, o ile nie uzyskał statusu podmiotu kluczowego na innej podstawie;
• podmiot wskazany w art. 5 ust. 2 uKSC, który spełnia właściwe dla niego przesłanki.

C. Zbieg podstaw

Należy zachować wszystkie zidentyfikowane podstawy kwalifikacji. Jeżeli jedna działalność prowadzi do statusu ważnego, a inna do statusu kluczowego, stosuje się art. 5 ust. 4 uKSC: podmiot uznaje się za podmiot kluczowy.

Nie należy zatem wybierać „wygodniejszego” sektora ani pomijać dodatkowej usługi, tylko dlatego że jeden tytuł kwalifikacji już został zidentyfikowany.

Krok 7. Udokumentuj samoocenę i dokonaj wpisu do wykazu

Kwalifikacja powinna kończyć się krótkim, zatwierdzonym dokumentem wewnętrznym – najlepiej notą kwalifikacyjną lub opinią – zawierającym:

1. identyfikację badanego podmiotu i datę oceny;
2. opis faktycznych usług i działalności;
3. przypisanie działalności do załącznika nr 1 albo nr 2;
4. analizę kategorii szczególnych z art. 5 ust. 1 pkt 2–4 uKSC;
5. kalkulację RJP, obrotu i sumy bilansowej;
6. analizę przedsiębiorstw partnerskich i powiązanych;
7. ocenę niezależności systemów lub wspólnego świadczenia usług;
8. wskazanie wszystkich podstaw kwalifikacji;
9. jednoznaczny wniosek: brak podlegania / podmiot ważny / podmiot kluczowy.

Jeżeli wynik brzmi „podmiot ważny” albo „podmiot kluczowy”, należy przygotować dane do wpisu do wykazu. Wpis obejmuje w szczególności sektor, podsektor oraz rodzaj albo rodzaje podmiotu, a także dane kontaktowe oraz informacje identyfikujące infrastrukturę wskazane w formularzu.

Dla podmiotów objętych ustawą termin pierwszego wpisu przypada na 3 października 2026 r. 

Nie czekaj z wdrożeniem na zakończenie kwalifikacji

Granica między podmiotem ważnym a kluczowym może być istotna dla intensywności nadzoru i obowiązku audytowego, lecz nie powinna wstrzymywać prac wdrożeniowych. Obowiązki merytoryczne obu kategorii są w znacznej części wspólne, a najważniejszym z nich jest wdrożenie systemu zarządzania bezpieczeństwem informacji.