Nowelizacja ustawy o krajowym systemie cyberbezpieczeństwa, wdrażająca dyrektywę NIS2, istotnie rozszerzyła katalog podmiotów objętych obowiązkami w zakresie cyberbezpieczeństwa. Dotychczasowy podział na operatorów usług kluczowych i dostawców usług cyfrowych został zastąpiony kategoriami podmiotów kluczowych i podmiotów ważnych. W praktyce oznacza to, że wiele organizacji, które dotąd nie były objęte reżimem KSC, powinno ponownie zweryfikować swój status.
Pierwszym krokiem nie jest jednak wdrożenie procedur, zakup narzędzi ani przeprowadzenie audytu technicznego. Punktem wyjścia jest prawidłowa kwalifikacja, czyli ustalenie, czy dany podmiot w ogóle podlega nowym obowiązkom, a jeśli tak — w jakim zakresie.
To etap, który bywa bagatelizowany. Część organizacji ogranicza się do sprawdzenia kodów PKD, skorzystania z prostego kalkulatora online albo przyjęcia założenia, że skoro dotychczas nie podlegała ustawie, to sytuacja się nie zmieniła. Tymczasem kwalifikacja pod NIS2 i uKSC wymaga znacznie szerszej analizy.
Brak kwalifikacji to największe ryzyko
Kwalifikacja podlegania pod NIS2 bywa wyzwaniem i łatwo w niej o pomyłkę. Nie każda błędna ocena musi jednak oznaczać ten sam poziom ryzyka. Najpoważniejszym błędem jest zaniechanie kwalifikacji w ogóle.
Udokumentowana samoidentyfikacja ma znaczenie praktyczne. Pokazuje, że organizacja podjęła realne działania w celu ustalenia swojego statusu i nie pozostawiła tej kwestii przypadkowi. Jeżeli analiza wykaże błędy lub obszary wymagające pogłębienia, zwykle istnieje jeszcze przestrzeń, aby je skorygować. Trudniej natomiast bronić sytuacji, w której podmiot nie przeprowadził żadnej weryfikacji.
Warto pamiętać, że nowe przepisy nakładają na podmioty kluczowe i ważne m.in. obowiązki związane z wpisem do wykazu KSC oraz wdrożeniem systemu zarządzania bezpieczeństwem informacji. Dlatego ustalenie, czy organizacja należy do jednej z tych kategorii, ma bezpośrednie znaczenie dla dalszych działań compliance.
Kwalifikacja to analiza prawna, nie formularz
Jednym z częstych błędów jest traktowanie kwalifikacji jako prostego ćwiczenia administracyjnego. W praktyce rzetelne ustalenie statusu wymaga zbadania wielu informacji, w tym m.in.:
- sprawozdania finansowego i zatrudnienia ustalanego w rocznych jednostkach pracy,
- struktury właścicielskiej,
- przedsiębiorstw partnerskich i powiązanych,
- umów MSA, SLA oraz innych umów operacyjnych,
- wspólnych polityk, systemów IT i usług ICT,
- koncesji, zezwoleń i decyzji administracyjnych,
- działalności faktycznie wykonywanej, a nie wyłącznie deklarowanej formalnie.
Dlatego kalkulatory online mogą być pomocnym punktem startu, ale nie powinny zastępować pełnej, udokumentowanej analizy. Kilku pytań w formularzu nie da się utożsamić z badaniem struktury grupy, modelu świadczenia usług, rzeczywistego zakresu działalności i powiązań operacyjnych.
Błąd 1: poleganie wyłącznie na kodach PKD
Kody PKD są ważną informacją, ale nie przesądzają samodzielnie o statusie podmiotu. Wymogom ustawy podlega się ze względu na działalność faktycznie wykonywaną.
To szczególnie istotne w sektorze nowych technologii i usług ICT. Podmiot, który w KRS ma wpisany „typowy” kod PKD właściwy dla producenta oprogramowania, może w praktyce świadczyć usługi z obszaru infrastruktury cyfrowej albo zarządzania usługami ICT. Może to dotyczyć np. hostingu, kolokacji, usług SOC, obsługi incydentów, usług związanych z bezpieczeństwem systemów informacyjnych czy usług sieci dostarczania treści (CDN).
Dlatego analizę należy prowadzić od rzeczywistości biznesowej: umów, ofert, modeli rozliczeń, sposobu świadczenia usług i faktycznej roli podmiotu w łańcuchu dostaw. Dopiero tak ustaloną działalność należy mapować na załączniki do ustawy.
Błąd 2: pominięcie przedsiębiorstw partnerskich i powiązanych
Kolejnym problemem jest zbyt wąskie spojrzenie na wielkość organizacji. Przy ustalaniu statusu nie zawsze wystarczy analiza danych samej spółki. W określonych przypadkach należy doliczyć również dane przedsiębiorstw partnerskich i powiązanych.
W uproszczeniu:
- przedsiębiorstwa partnerskie to co do zasady podmioty, w których udział w kapitale lub prawach głosu mieści się w przedziale od 25% do 50%; ich dane dolicza się proporcjonalnie,
- przedsiębiorstwa powiązane to m.in. podmioty, w których występuje ponad 50% praw głosu lub inna forma kontroli; ich dane dolicza się w całości.
Pominięcie takich relacji może prowadzić do zaniżenia wielkości przedsiębiorstwa, a w konsekwencji — do błędnej kwalifikacji. Dotyczy to zwłaszcza grup kapitałowych, struktur inwestycyjnych oraz spółek, w których występują powiązania przez osoby fizyczne działające wspólnie na tych samych lub pokrewnych rynkach.
W praktyce konieczne jest więc przeanalizowanie pełnej struktury właścicielskiej, praw głosu, udziałów pośrednich i bezpośrednich, a następnie ocena, czy możliwe jest zastosowanie odpowiednich wyłączeń przewidzianych w uKSC – w tym wyłączenia opartego na niezależności systemów informacyjnych podmiotu od systemów przedsiębiorstw partnerskich i powiązanych. .
Błąd 3: niezbadanie umów i powiązań operacyjnych
Sama struktura właścicielska nie daje pełnego obrazu. Duże znaczenie mogą mieć również powiązania operacyjne.
W grupach kapitałowych często funkcjonują wspólne umowy MSA lub SLA, centralne polityki bezpieczeństwa, współdzielone systemy IT, wspólne centra usług, jeden SOC albo wspólna infrastruktura techniczna. Takie elementy mogą mieć wpływ zarówno na kwalifikację, jak i na ocenę niezależności systemów informacyjnych.
Dlatego przed przyjęciem, że dana spółka działa samodzielnie i powinna być oceniana w oderwaniu od grupy, należy sprawdzić, jak faktycznie funkcjonuje jej zaplecze technologiczne i organizacyjne. W szczególności warto zbadać:
- kto utrzymuje systemy IT,
- kto odpowiada za bezpieczeństwo,
- czy występują wspólne polityki i procedury,
- czy incydenty są obsługiwane centralnie,
- czy dane i systemy są współdzielone,
- jakie usługi ICT są świadczone wewnątrz grupy.
To właśnie te elementy mogą przesądzać o wyniku kwalifikacji.
Błąd 4: nieprawidłowe ustalenie zatrudnienia
Kwalifikacja wymaga również prawidłowego ustalenia zatrudnienia. Nie chodzi wyłącznie o prostą liczbę osób zatrudnionych na umowie o pracę w dniu przeprowadzania analizy.
Zatrudnienie ustala się w rocznych jednostkach pracy (RJP) , według stanu na dzień sporządzenia ostatniego sprawozdania finansowego. W analizie należy uwzględnić nie tylko pracowników etatowych, ale również określone kategorie osób współpracujących na podstawie umów cywilnoprawnych, właścicieli-kierowników, a także partnerów prowadzących regularną działalność w przedsiębiorstwie .Trzeba przy tym pamiętać, że okresów urlopu macierzyńskiego i wychowawczego nie wlicza się do rocznych jednostek pracy – liczy się więc rzeczywisty czas pracy w danym roku, a nie sama liczba osób figurujących w systemie kadrowym
Błędem jest więc ocenianie wielkości podmiotu wyłącznie na podstawie aktualnego zatrudnienia albo danych z systemu kadrowego bez weryfikacji, kogo należy uwzględnić w rozumieniu przepisów.
Kiedy warto ponownie zweryfikować kwalifikację?
Ponowna analiza jest szczególnie wskazana, jeżeli organizacja:
- skorzystała dotychczas wyłącznie z kalkulatora online,
- opierała się jedynie na kodach PKD,
- nie analizowała struktury grupy kapitałowej,
- nie badała przedsiębiorstw partnerskich i powiązanych,
- nie zweryfikowała umów MSA, SLA i powiązań operacyjnych,
- przyjęła, że nie podlega ustawie, ponieważ jej branża nie figuruje wprost w załącznikach,
- nie dokumentowała procesu samoidentyfikacji,
- działa w sektorze ICT, produkcyjnym, energetycznym, transportowym, zdrowotnym, wodnym, finansowym, cyfrowym lub w innym sektorze istotnym dla gospodarki.
Warto też pamiętać, że w określonych przypadkach status podmiotu może wynikać z decyzji administracyjnej organu. To dodatkowy powód, aby nie ograniczać kwalifikacji do szybkiego sprawdzenia branży lub kodu PKD.
Co powinna obejmować dobra analiza?
Rzetelna kwalifikacja powinna zakończyć się pisemnym, udokumentowanym stanowiskiem. W praktyce warto, aby obejmowała co najmniej:
- opis działalności faktycznie wykonywanej przez podmiot,
- mapowanie działalności na właściwe załączniki do uKSC,
- analizę wielkości przedsiębiorstwa,
- ocenę przedsiębiorstw partnerskich i powiązanych,
- analizę struktury właścicielskiej,
- przegląd kluczowych umów IT/ICT oraz powiązań operacyjnych,
- ocenę możliwości zastosowania wyłączeń,
- wniosek co do statusu podmiotu,
- rekomendację dalszych działań.
Taka analiza nie tylko pozwala ustalić, czy organizacja podlega obowiązkom wynikającym z uKSC, ale także porządkuje punkt wyjścia do dalszego wdrożenia: wpisu do wykazu, przygotowania systemu zarządzania bezpieczeństwem informacji, procedur incydentowych, dokumentacji i odpowiedzialności kierownictwa.
Podsumowanie
NIS2 i nowelizacja uKSC zmieniają podejście do cyberbezpieczeństwa. Dla wielu organizacji nie będzie to już wyłącznie kwestia dobrej praktyki, lecz obowiązek prawny i zarządczy.
Dlatego pierwszym pytaniem nie powinno być: „jakie narzędzie kupić?”, ale: „czy i w jakim zakresie podlegamy ustawie?”.
Prawidłowa kwalifikacja wymaga analizy prawnej, organizacyjnej i operacyjnej. Nie można jej zastąpić samym kodem PKD, prostym formularzem ani ogólnym przekonaniem, że dana branża „raczej nie jest objęta” nowymi przepisami.
Im wcześniej organizacja przeprowadzi samoidentyfikację, tym więcej czasu pozostanie na uporządkowanie dokumentacji, wdrożenie wymaganych środków i przygotowanie zespołów do nowych obowiązków.
DSK Kancelaria przeprowadza pełne badanie statusu podmiotu w rozumieniu uKSC wraz z pisemną opinią prawną. Wspieramy organizacje w prawidłowej kwalifikacji, analizie obowiązków oraz przygotowaniu do wdrożenia wymogów wynikających z NIS2 i ustawy o krajowym systemie cyberbezpieczeństwa.
Jeśli masz pytania w tym zakresie, skontaktuj się z Adrianą Zalewską-Werrą – radczynią prawną, menedżerką lub Magdaleną Kościelską – prawniczką, audytorką wiodącą ISO/IEC 27001:2022 oraz AI Management System Internal Auditor ISO/IEC 42001:2023.
Kontakt:
Adriana Zalewska-Werra: a.werra@dsk-kancelaria.pl
Magdalena Kościelska: m.koscielska@dsk-kancelaria.pl
Zajrzyj też do NIS2 Insights #1
