Czy NIS2 mnie dotyczy? Test: podmiot kluczowy, ważny czy poza zakresem
W Polsce dyrektywę NIS2 wdraża nowelizacja ustawy o krajowym systemie cyberbezpieczeństwa (Dz.U. 2026 poz. 252), obowiązująca od 3.04.2026. Obejmuje co do zasady średnie i duże firmy (od 50 osób albo powyżej 10 mln EUR obrotu i sumy bilansowej) z sektorów wymienionych w załącznikach nr 1 i nr 2 do ustawy, a wybrane usługi, np. DNS czy kwalifikowane usługi zaufania, niezależnie od wielkości. Test w dziewięciu pytaniach wskazuje prawdopodobny status firmy i obowiązki, które z niego wynikają.
Firma podlega NIS2 bezpośrednio, gdy działa w sektorze z załącznika nr 1 lub nr 2 do ustawy o KSC i jest co najmniej średnim przedsiębiorstwem albo gdy świadczy jedną z usług objętych niezależnie od wielkości lub już od małego przedsiębiorstwa. Test odpowiada na pytanie „czy NIS2 mnie dotyczy?" w dziewięciu krokach: sektor, zatrudnienie, obrót, suma bilansowa, powiązania kapitałowe, usługi szczególne, klienci, ISO 27001 i wpis do wykazu.
Podmiot kluczowy to co do zasady duże przedsiębiorstwo z sektora z załącznika nr 1. Podmiot ważny to średnie przedsiębiorstwo z załącznika nr 1 albo średnie lub duże z załącznika nr 2 (art. 5 ust. 1 i 2 ustawy o KSC). Gdy firma spełnia kryteria obu kategorii, jest podmiotem kluczowym (art. 5 ust. 4). Mała firma spoza usług szczególnych nie jest objęta wprost, ale może dostawać wymagania bezpieczeństwa od klientów, którzy sami podlegają NIS2.
Poniżej wszystkie cztery warianty wyniku. Test daje kwalifikację wstępną: przy wyniku na granicy progów sprawdź dane z ostatniego sprawozdania finansowego i powiązania kapitałowe firmy, bo według nich ustawa każe badać wielkość.
Prawdopodobnie podmiot kluczowy
Odpowiedzi wskazują na podmiot kluczowy: duże przedsiębiorstwo z sektora z załącznika nr 1 do ustawy o KSC albo firmę świadczącą usługę, która daje ten status niezależnie od wielkości lub już od małego przedsiębiorstwa (art. 5 ust. 1).
Nad podmiotami kluczowymi organy sprawują nadzór o charakterze prewencyjnym i następczym, a nad podmiotami ważnymi tylko następczym (art. 53 ust. 3 ustawy o KSC).
wniosek o wpis do wykazu podmiotów kluczowych i podmiotów ważnych (art. 7c)
system zarządzania bezpieczeństwem informacji z systematycznym szacowaniem ryzyka i proporcjonalnymi środkami bezpieczeństwa (art. 8)
zgłaszanie incydentów poważnych do właściwego CSIRT: wczesne ostrzeżenie w 24 godziny i zgłoszenie w 72 godziny od wykrycia, sprawozdanie końcowe w miesiąc od zgłoszenia (art. 11)
wewnętrzne struktury odpowiedzialne za cyberbezpieczeństwo albo umowa z dostawcą usług zarządzanych w zakresie cyberbezpieczeństwa (art. 14)
szkolenie kierownika podmiotu raz w roku kalendarzowym (art. 8e)
audyt bezpieczeństwa systemu informacyjnego co najmniej raz na 3 lata (art. 15)
Co
Kiedy
Podstawa
Wniosek o wpis do wykazu (kryteria spełnione 3.04.2026)
do 3.10.2026
gov.pl; art. 34 ust. 3 ustawy nowelizującej
Wniosek o wpis do wykazu (kryteria spełnione później)
6 miesięcy od dnia spełnienia przesłanek
art. 7c ust. 1 ustawy o KSC
Wdrożenie obowiązków z rozdziału 3 ustawy (kryteria spełnione 3.04.2026)
do 3.04.2027
art. 33 ust. 1 ustawy nowelizującej
Pierwszy audyt bezpieczeństwa (kryteria spełnione 3.04.2026)
do 3.04.2028, potem co najmniej raz na 3 lata
art. 33 ust. 2 ustawy nowelizującej, art. 15 ust. 1 ustawy o KSC
Prawdopodobnie podmiot ważny
Odpowiedzi wskazują na podmiot ważny: co najmniej średnie przedsiębiorstwo z sektora z załącznika nr 2, średnie z załącznika nr 1 albo mniejszą firmę świadczącą usługę, która daje ten status niezależnie od wielkości (art. 5 ust. 2 ustawy o KSC).
Obowiązki w zakresie bezpieczeństwa i zgłaszania incydentów są takie same jak dla podmiotów kluczowych, ale nadzór organu ma charakter następczy, w szczególności przy uzasadnionym podejrzeniu naruszenia przepisów (art. 53 ust. 3). Obowiązkowy audyt co 3 lata dotyczy podmiotów kluczowych.
wniosek o wpis do wykazu podmiotów kluczowych i podmiotów ważnych (art. 7c)
system zarządzania bezpieczeństwem informacji z systematycznym szacowaniem ryzyka i proporcjonalnymi środkami bezpieczeństwa (art. 8)
zgłaszanie incydentów poważnych do właściwego CSIRT w terminach 24 godzin, 72 godzin i miesiąca (art. 11)
wewnętrzne struktury odpowiedzialne za cyberbezpieczeństwo albo umowa z dostawcą usług zarządzanych w zakresie cyberbezpieczeństwa (art. 14)
szkolenie kierownika podmiotu raz w roku kalendarzowym (art. 8e)
Co
Kiedy
Podstawa
Wniosek o wpis do wykazu (kryteria spełnione 3.04.2026)
do 3.10.2026
gov.pl; art. 34 ust. 3 ustawy nowelizującej
Wniosek o wpis do wykazu (kryteria spełnione później)
6 miesięcy od dnia spełnienia przesłanek
art. 7c ust. 1 ustawy o KSC
Wdrożenie obowiązków z rozdziału 3 ustawy (kryteria spełnione 3.04.2026)
do 3.04.2027
art. 33 ust. 1 ustawy nowelizującej
Poza bezpośrednim zakresem, ale objęta przez łańcuch dostaw
Firma nie spełnia kryteriów podmiotu kluczowego ani ważnego, ale obsługuje klientów objętych NIS2. Muszą oni zarządzać bezpieczeństwem łańcucha dostaw (art. 21 ust. 2 lit. d dyrektywy), więc wymagania trafiają do dostawców przez ankiety i umowy.
To nie są obowiązki ustawowe firmy, tylko warunki współpracy, od których klient może uzależnić zamówienia.
odpowiedź na ankietę bezpieczeństwa klienta z dowodami
zapisy umowne, np. zgłaszanie incydentów klientowi, kontrola dostępu, kopie zapasowe, zasady dla podwykonawców
dokumenty potwierdzające: polityki i procedury, a gdy klient tego wymaga, certyfikat ISO 27001
Poza zakresem NIS2
Na podstawie odpowiedzi firma nie podlega ustawie o KSC ani bezpośrednio, ani przez wymagania klientów.
Warto wrócić do testu przy wzroście zatrudnienia lub obrotu, nowym kliencie z sektora objętego NIS2 albo nowej działalności. Podmiot, który zacznie spełniać kryteria, ma 6 miesięcy na wniosek o wpis do wykazu (art. 7c ust. 1 ustawy o KSC).
Dopiski dołączane do wyniku
Zależnie od odpowiedzi wynik testu uzupełniają poniższe uwagi.
Firma zatrudnia mniej niż 50 osób, ale obrót i suma bilansowa przekraczają po 10 mln EUR - według progów z rozporządzenia 651/2014 nie jest małym przedsiębiorstwem.
Firma ma przedsiębiorstwa powiązane lub partnerskie. Ich dane dolicza się w całości (powiązane) albo proporcjonalnie do udziału w kapitale lub prawach głosu (partnerskie), więc rzeczywista wielkość może być większa niż w odpowiedziach. Ustawa o KSC przewiduje wyjątek: jeśli próg przekracza się tylko przez doliczenie tych danych, a system informacyjny firmy jest niezależny od systemów spółek powiązanych lub partnerskich albo firma nie świadczy z nimi usług wspólnie, nie jest podmiotem kluczowym ani ważnym (art. 5 ust. 6 i 7).
Status takiej firmy nadaje decyzją organ właściwy do spraw cyberbezpieczeństwa (art. 7l ustawy o KSC): podmiot kluczowy przy działalności z załącznika nr 1, podmiot ważny przy działalności z załącznika nr 2. Po doręczeniu decyzji firma ma 12 miesięcy na wdrożenie obowiązków.
Usługi cyberbezpieczeństwa dla innych firm: ustawa o KSC uznaje ich dostawcę za podmiot kluczowy już od małego przedsiębiorstwa (art. 5 ust. 1 pkt 3), czyli szerzej niż dyrektywa NIS2.
Certyfikat ISO 27001 ułatwia wdrożenie systemu zarządzania bezpieczeństwem informacji z art. 8 ustawy, ale nie zastępuje obowiązków ustawowych, np. wpisu do wykazu i zgłaszania incydentów.
Wdrażany system ISO 27001 warto od razu uzupełnić o wymagania ustawy o KSC, żeby nie robić analizy ryzyka i polityk dwa razy.
Wniosku o wpis do wykazu jeszcze nie złożono. Dla firm, które spełniały kryteria 3.04.2026, termin minął 3.10.2026 (gov.pl). Firma, która spełniła kryteria później, ma na wniosek 6 miesięcy od dnia ich spełnienia (art. 7c ust. 1 ustawy o KSC).
Jeśli nie wiesz, czy klienci podlegają NIS2, przejrzyj umowy i ankiety od największych odbiorców - wymagania bezpieczeństwa mogą przychodzić właśnie tą drogą.
Podmiot kluczowy a ważny: kryteria wielkości
Ustawa o KSC odsyła do progów z art. 2 załącznika I do rozporządzenia Komisji (UE) nr 651/2014. Mikroprzedsiębiorstwo zatrudnia mniej niż 10 osób i ma obrót lub sumę bilansową do 2 mln EUR. Małe przedsiębiorstwo zatrudnia mniej niż 50 osób i ma obrót lub sumę bilansową do 10 mln EUR. Średnie zatrudnia mniej niż 250 osób i ma obrót do 50 mln EUR lub sumę bilansową do 43 mln EUR. Większe przedsiębiorstwo jest duże.
Dlatego test pyta o obrót i bilans osobno. Firma z 40 pracownikami, obrotem 12 mln EUR i bilansem 8 mln EUR nadal jest mała, a ta sama firma z bilansem 11 mln EUR jest już średnia. Wielkość bada się według stanu na dzień sporządzenia sprawozdania finansowego (art. 5 ust. 5 ustawy o KSC). Pełną macierz decyzji pokazuje tabela.
Status podmiotu według sektora, usługi i wielkości (gwiazdka: możliwe objęcie pośrednie przez łańcuch dostaw)
Listy sektorów w teście pochodzą z załączników nr 1 i nr 2 do ustawy o KSC, które odpowiadają załącznikom I i II dyrektywy NIS2. Na górze listy są sektory przemysłowe, w których działają firmy wdrażające systemy zarządzania: produkcja żywności, wyrobów medycznych, pojazdów, maszyn i elektroniki oraz gospodarowanie odpadami. Załączniki określają też rodzaj podmiotu w każdym podsektorze, np. przez odesłanie do działu klasyfikacji NACE albo do koncesji, więc przy wątpliwości trzeba porównać działalność firmy z kolumną „rodzaj podmiotu".
Sektory z załącznika nr 1 (sektory kluczowe)
Energia (m.in. energia elektryczna, ciepło, ropa i paliwa, gaz, wodór i wydobywanie kopalin), transport (lotniczy, kolejowy, wodny i drogowy), bankowość i infrastruktura rynków finansowych, ochrona zdrowia, zaopatrzenie w wodę pitną, zbiorowe odprowadzanie ścieków, infrastruktura cyfrowa i komunikacja elektroniczna, zarządzanie usługami ICT, przestrzeń kosmiczna oraz podmioty publiczne.
Sektory z załącznika nr 2 (sektory ważne)
Usługi pocztowe, inwestycje energetyki jądrowej, gospodarowanie odpadami, produkcja, wytwarzanie i dystrybucja chemikaliów, produkcja, przetwarzanie i dystrybucja żywności (przedsiębiorstwa spożywcze zajmujące się dystrybucją hurtową oraz przemysłową produkcją i przetwarzaniem), produkcja (wyroby medyczne, komputery, elektronika i wyroby optyczne, urządzenia elektryczne, maszyny, pojazdy samochodowe i pozostały sprzęt transportowy), dostawcy usług cyfrowych, badania naukowe oraz wybrane samorządowe podmioty publiczne.
Podmioty objęte niezależnie od wielkości
Część firm podlega ustawie o KSC nawet jako mikroprzedsiębiorstwa. Podmiotem kluczowym niezależnie od wielkości jest dostawca usług DNS, rejestr nazw domen najwyższego poziomu, podmiot świadczący usługi rejestracji nazw domen, kwalifikowany dostawca usług zaufania i podmiot krytyczny (art. 5 ust. 1 pkt 4). Przedsiębiorca komunikacji elektronicznej i niekwalifikowany dostawca usług zaufania są podmiotami ważnymi także jako mikro- i mali przedsiębiorcy (art. 5 ust. 2 pkt 3 i 4).
Polska ustawa idzie tu dalej niż dyrektywa: dostawca usług zarządzanych w zakresie cyberbezpieczeństwa jest podmiotem kluczowym już od małego przedsiębiorstwa (art. 5 ust. 1 pkt 3). Ustawowa definicja takiego dostawcy obejmuje m.in. obsługę incydentów, testy bezpieczeństwa, audyty systemów informacyjnych i doradztwo w zarządzaniu ryzykiem.
Organ może też uznać decyzją za podmiot kluczowy lub ważny firmę z sektora z załączników, która nie spełnia progów, np. gdy jako jedyna świadczy usługę o kluczowym znaczeniu dla działalności społecznej lub gospodarczej albo jej usługa ma istotne znaczenie na poziomie wojewódzkim lub krajowym (art. 7l). Podmioty publiczne mają osobne reguły kwalifikacji i test ich nie obejmuje.
NIS2 pośrednio: wymagania od klientów w łańcuchu dostaw
Art. 21 ust. 2 lit. d dyrektywy NIS2 wymaga od podmiotów kluczowych i ważnych zarządzania bezpieczeństwem łańcucha dostaw, w tym relacji z bezpośrednimi dostawcami i usługodawcami. Wymagania trafiają przez to do dostawców w ankietach bezpieczeństwa i w umowach, także do małych firm, które same ustawie nie podlegają.
Klient objęty NIS2 może pytać dostawcę o te same obszary, które art. 21 ust. 2 dyrektywy wymienia wśród środków zarządzania ryzykiem: politykę bezpieczeństwa systemów, obsługę incydentów, kopie zapasowe i ciągłość działania, politykę kontroli dostępu, szkolenia oraz bezpieczeństwo własnych dostawców. Odpowiedź warto oprzeć na dokumentach i zapisach, które firma faktycznie prowadzi, bo klient może poprosić o dowody.
Czy ISO 27001 pomaga spełnić NIS2
Ustawa o KSC wymaga od podmiotu kluczowego i ważnego wdrożenia systemu zarządzania bezpieczeństwem informacji z systematycznym szacowaniem ryzyka i środkami technicznymi oraz organizacyjnymi proporcjonalnymi do ryzyka (art. 8 ust. 1). Na tej samej logice opiera się norma ISO/IEC 27001, więc wdrożony system ISO 27001 jest dobrym punktem wyjścia. Nie zastępuje jednak obowiązków ustawowych, takich jak wniosek o wpis do wykazu, zgłaszanie incydentów poważnych w ustawowych terminach czy coroczne szkolenie kierownika podmiotu.
Co zrobić po wyniku
Wynik testu to punkt wyjścia. Kolejny krok zależy od tego, czy firma jest objęta bezpośrednio, pośrednio czy wcale.
Podmiot kluczowy lub ważny
Sprawdź, czy firma złożyła wniosek o wpis do wykazu, i porównaj obecne zabezpieczenia z wymaganiami art. 8 ustawy w audycie luk. Z jego wyniku powstaje plan wdrożenia z odpowiedzialnymi i terminami, a kierownictwo dostaje listę decyzji, które musi podjąć samo.
Objęta pośrednio przez łańcuch dostaw
Zbierz ankiety i wymagania umowne od klientów i przygotuj jeden zestaw dowodów: polityki, procedury, zapisy z kopii zapasowych i szkoleń. Ten sam zestaw posłuży przy kolejnych ankietach.
Poza zakresem
Wróć do testu przy wzroście zatrudnienia lub obrotu, nowym kliencie z sektora objętego NIS2 albo nowej działalności. Podmiot, który zacznie spełniać kryteria, składa wniosek o wpis do wykazu w ciągu 6 miesięcy (art. 7c ust. 1 ustawy o KSC).
Najczęstsze pytania
Czy NIS2 dotyczy jednoosobowej działalności gospodarczej?
Co do zasady nie, bo jednoosobowa działalność jest z reguły mikroprzedsiębiorstwem. Wyjątki wynikają z art. 5 ustawy o KSC: usługi DNS, rejestr TLD, rejestracja nazw domen i kwalifikowane usługi zaufania dają status podmiotu kluczowego niezależnie od wielkości, a komunikacja elektroniczna i niekwalifikowane usługi zaufania status podmiotu ważnego. Taka firma może też dostać wymagania od klienta objętego NIS2.
Czy certyfikat ISO 27001 wystarczy, żeby spełnić NIS2?
Nie w całości. System ISO 27001 pomaga spełnić wymaganie systemu zarządzania bezpieczeństwem informacji z art. 8 ustawy o KSC, ale obowiązki ustawowe, takie jak wpis do wykazu, zgłaszanie incydentów poważnych w terminach z art. 11 i coroczne szkolenie kierownika podmiotu, trzeba spełnić osobno.
Jak liczyć wielkość firmy z podmiotami powiązanymi?
Według załącznika I do rozporządzenia 651/2014 dane przedsiębiorstw powiązanych dolicza się w całości, a przedsiębiorstw partnerskich (udział od 25%) proporcjonalnie do udziału w kapitale lub prawach głosu. Ustawa o KSC zwalnia jednak firmę, która przekracza próg tylko przez takie doliczenie, a jej system informacyjny jest niezależny od systemów spółek powiązanych lub partnerskich (art. 5 ust. 6 i 7).
