Wielu przedsiębiorców nie ma świadomości, że ciążą na nich obowiązki nałożone przez nowelizację ustawy o krajowym systemie cyberbezpieczeństwa (KSC). Muszą oni m.in. złożyć wniosek o wpis do stosownego wykazu. W ciągu dwóch miesięcy wpisało się do niego ok. 200 firm, tymczasem nowym przepisom podlega ok. 11 tys. jednostek niepublicznych. Jakie firmy podlegają ustawie i do kiedy mają czas na spełnienie obowiązków?
Wejście tej ustawy wielu przedsiębiorcom umknęło – i nie wiedzą, że mogą jej podlegać. Chodzi o ustawę o krajowym systemie cyberbezpieczeństwa (KSC), która wprowadziła do polskiego porządku prawnego unijną dyrektywę NIS 2 dotyczącą cyberochrony oraz Toolbox 5G - unijny dokument dotyczący bezpieczeństwa sieci 5G.
Jakimi obowiązkami będą obarczone firmy?
Ustawa znacznie rozszerza listę podmiotów objętych obowiązkami w zakresie cyberbezpieczeństwa. Będą one m.in. musiały wprowadzić w życie system zarządzania bezpieczeństwem informacji, regularną ocenę ryzyka wystąpienia incydentów i zarządzanie incydentami. Mają też obowiązek zbierania informacji o cyberzagrożeniach i podatnościach na incydenty oraz stosowania środków ograniczających ich wpływ na działalność gospodarczą.
ReklamaZobacz także
Tymi obowiązkami obarczone zostały firmy z różnych branż. Ministerstwo Cyfryzacji szacuje, że KSC obejmie około 38 tys. podmiotów, w tym około 27 tys. podmiotów publicznych oraz 11 tys. niepublicznych, czyli m.in. przedsiębiorstw.
Tylko 200 firm wpisało się do wykazu
7 maja uruchomiony został Wykaz Krajowego Systemu Cyberbezpieczeństwa, do którego muszą się wpisać firmy podlegające ustawie. Jak przekazał resort cyfryzacji, w ciągu dwóch miesięcy od jego startu wykazu wpisało się do niego jedynie 200 firm. Jak podkreślają w wypowiedzi dla PAP eksperci od cyberbezpieczeństwa, wielu przedsiębiorców może nie zdawać sobie sprawy z nowych obowiązków.
– Brak wiedzy na temat tego, że jest coś takiego jak nowelizacja UKSC, która może obowiązywać daną firmę, dotyczy branż, które do tej pory nie były objęte tą ustawą – powiedział dla PAP radca prawny Tomasz Zalewski.
O jakie sektory chodzi? Tomasz Zalewski wymienia m.in. producentów żywności oraz części samochodowych. Przedsiębiorcy z tych sektorów w rozmowie z nim byli zaskoczeni, że przepisy krajowego systemu cyberbezpieczeństwa ich obejmują.
– Z moich obserwacji wynika, że przekonanie, że skoro podmiot jest mały, to regulacja go nie dotyczy, jest dość powszechne – stwierdziła w rozmowie z PAP Joanna Wziątek, ekspertka od cyberbezpieczeństwa.
Co powinni zrobić właściciele firm?
Przedsiębiorcy z określonych sektorów powinni upewnić się, czy ich działalność faktycznie spełnia kryteria ustawy dla podmiotu kluczowego lub podmiotu ważnego i czy obejmuje ją obowiązek wpisu do wykazu KSC. Zależy to od profilu działalności, wielkości firmy i zakresu świadczonych usług. Analizy należy dokonać samodzielnie. Pomoże w niej usługa Pre-weryfikacja zgodności z zaleceniami NIS2 dostępna na portalu Biznes.gov.pl.
– Warto potraktować pre-weryfikację jako pierwszy krok do uporządkowania obszaru cyberbezpieczeństwa w firmie. Chodzi o świadomą ocenę, czy nowe przepisy dotyczą danej organizacji. Usługa dostępna na Biznes.gov.pl prowadzi przedsiębiorcę przez najważniejsze elementy: sektor działalności, kody PKD, wielkość podmiotu i tryb wpisu. Im wcześniej firma to sprawdzi, tym więcej czasu zyska na przygotowanie danych, podjęcie właściwych decyzji i spokojne złożenie wniosku, jeśli okaże się to konieczne – komentuje Maria Magdoń, zastępca dyrektora departamentu gospodarki cyfrowej w Ministerstwie Rozwoju i Technologii.
Wykaz KSC jest prowadzony w Systemie S46 – to za jego pośrednictwem obsługiwane są elektroniczne wnioski związane z wpisem, zmianą wpisu albo wykreśleniem z wykazu. Przedsiębiorca w pierwszej kolejności powinien sprawdzić na stronie Biznes.gov.pl, czy obowiązek wpisu go dotyczy, a następnie – jeśli podlega samorejestracji – złożyć właściwy wniosek online.
Dwie drogi: samodzielna rejestracja lub wpis z urzędu
Przepisy przewidują dwa tryby wpisu do Wykazu KSC. Pierwszym jest samodzielna rejestracja. Obejmuje ona podmioty, które prowadzą działalność w sektorze objętym ustawą, spełniają kryteria uznania za podmiot kluczowy lub ważny i nie są wpisywane do wykazu z urzędu. Ten tryb dotyczy przede wszystkim podmiotów prywatnych. W takim przypadku firma sama składa wniosek o wpis, a termin złożenia wniosku upływa 3 października 2026 r.
Druga opcja to wpis z urzędu. Obejmuje ona część podmiotów kluczowych lub ważnych, które są wpisywane do wykazu przez Ministra Cyfryzacji bez składania wniosku. W tej grupie znajdują się m.in. podmioty publiczne, przedsiębiorcy telekomunikacyjni, dostawcy usług zaufania oraz podmioty, które wcześniej miały status operatora usługi kluczowej. Takie organizacje czekają na wezwanie, po którym uzupełniają wpis. Dlatego firma – zanim podejmie dalsze działania – powinna ustalić, która ścieżka jej dotyczy.
Sprawdzamy obowiązek wpisu: krok po kroku
Ministerstwo Rozwoju i Technologii zaleca następująca ścieżkę działania dla przedsiębiorców, którzy chcą sprawdzić obowiązek wpisu:
1. Wejdź na stronę usługi.
Skorzystaj z usługi dotyczącej sprawdzenia obowiązku wpisu do wykazu KSC.
2. Sprawdź, czy Twoja działalność mieści się w sektorach objętych ustawą.
Zweryfikuj, czy branża i zakres działalności Twojej firmy znajdują się w katalogu sektorów wskazanych w przepisach, np. produkcja, chemia, ICT, logistyka, usługi cyfrowe lub sektor kosmiczny.
3. Zweryfikuj kody PKD.
Kody PKD pomagają określić, czy działalność firmy może mieścić się w zakresie objętym nowymi obowiązkami.
4. Sprawdź wielkość podmiotu.
Znaczenie może mieć m.in. liczba pracowników, skala działalności oraz powiązania z innymi podmiotami.
5. Ustal, czy firma powinna złożyć wniosek samodzielnie, czy czekać na wezwanie.
Jeżeli organizacja jest wpisywana z urzędu, nie składa wniosku o wpis samodzielnie. Jeżeli podlega samorejestracji, powinna złożyć wniosek w terminie.
6. Jeśli obowiązek dotyczy firmy – przejdź do wniosku.
W takim przypadku wniosek składa kierownik podmiotu albo osoba przez niego upoważniona. Wniosek jest składany elektronicznie.
Nie czekaj na ostatnią chwilę
Jak napisaliśmy wcześniej, termin złożenia wniosku o wpis do wykazu KSC upływa 3 października. Nie czekaj jednak z formalnościami do ostatniego tygodnia. Wprawdzie samo sprawdzenie obowiązku może zająć niewiele czasu, jednak kilka innych działań (m.in. zebranie danych, ustalenie ścieżki wpisu) będzie wymagało przygotowania.
Więcej informacji na temat obowiązków firm w KSC można znaleźć na stronie Biznes.gov.pl.
