Konkrety NIS2/KSC bez prawniczego wykładu.
Raport porządkuje trzy decyzje: czy firma podlega KSC, co trzeba uruchomić i jak wykazać, że program działa. To materiał do konkretnej rozmowy zarządu z biznesem, IT, ryzykiem i prawem.
Najważniejsze w 90 sekund.
Jeżeli zarząd ma przeczytać tylko jedną część raportu, niech będzie to ta. Cztery wnioski pokazują, co zmieniło się dla firmy i jakie pytania trzeba postawić na najbliższym posiedzeniu.
To już obowiązuje
Nowelizacja KSC weszła w życie 3 kwietnia 2026 r. Status firmy wynika z kryteriów ustawy, a nie z otrzymania pisma.
Zakres jest szerszy niż IT
Liczy się faktyczna działalność, rodzaj podmiotu, wielkość, powiązania i wyjątki - nie sam kod PKD.
Zarząd zachowuje odpowiedzialność
Pracę można powierzyć zespołowi lub dostawcy. Nadzoru, decyzji i budżetu nie da się przenieść poza organizację.
Liczy się wykonanie i dowód
Sama spisana procedura nie pokazuje, czy proces działa. Potrzebne są wykonanie, właściciel, terminy, testy i aktualne dowody.
Czy KSC dotyczy firmy? Zacznij od czterech pytań.
O statusie firmy decydują faktyczna działalność, rodzaj podmiotu, wielkość, powiązania i wyjątki. Kod PKD jest tylko wskazówką, dlatego wniosek trzeba udokumentować i okresowo przeglądać.
Co faktycznie robicie?
Liczy się świadczona usługa, rodzaj podmiotu i jej znaczenie - nie wyłącznie etykieta branży.
Jaka jest rzeczywista wielkość?
Sprawdź zatrudnienie, obrót lub sumę bilansową oraz przedsiębiorstwa partnerskie i powiązane.
Czy działa wyjątek?
Niektóre podmioty, np. przedsiębiorcy komunikacji elektronicznej, mogą podlegać niezależnie od wielkości.
Czy wynik jest udokumentowany?
Zapisz fakty, podstawę, niepewności, właściciela decyzji i datę następnego przeglądu.
Najpierw rozpoznaj usługę, potem etykietę branży.
Lista daje szybką orientację. O wyniku nadal decyduje konkretna usługa lub rodzaj podmiotu opisany w ustawie.
Energetyka · transport · bankowość i infrastruktura rynku finansowego · zdrowie · woda i ścieki · infrastruktura cyfrowa i telekomunikacja · zarządzanie usługami ICT B2B · podmioty publiczne · przestrzeń kosmiczna.
Poczta i kurierzy · odpady · chemikalia · żywność · wybrane gałęzie produkcji · internetowe platformy handlowe · wyszukiwarki · sieci społecznościowe · organizacje badawcze.
To skrót orientacyjny. Pełne usługi, rodzaje podmiotów i wyjątki znajdują się w załącznikach 1 i 2 do ustawy.
Wymagania mogą dotrzeć przez klienta.
Firma może nie podlegać KSC bezpośrednio, a mimo to otrzymać wymagania bezpieczeństwa. Dowody coraz częściej stają się częścią kwalifikacji dostawcy.
Najpierw ustal, który termin dotyczy Waszej firmy.
Daty nie są uniwersalne dla każdej organizacji. Dwa pierwsze kroki dotyczą firm należących do kohorty przejściowej. Jeżeli status nie jest jasny, zacznij od krótkiego Pre-checku.
Ustawa działa
Nowelizacja KSC weszła w życie. Spełnienie kryteriów, a nie wpis lub pismo, tworzy status podmiotu.
Pierwsza kohorta samorejestracji
Termin dla podmiotów spełniających przesłanki 3.04.2026 i niewpisywanych z urzędu. Później zasadniczo działa termin 6 miesięcy.
Nie wiesz, który termin dotyczy Waszej firmy?
Odpowiedz na siedem krótkich pytań. Bez logowania, bez przygotowywania dokumentów i bez automatycznego werdyktu prawnego.
- około 3 minuty
- wynik od razu
- 0 zł
Delegowanie pracy nie usuwa odpowiedzialności.
Zarząd nie musi sam wykonywać zabezpieczeń. Musi jednak wiedzieć, które ryzyka zaakceptowano, co jest zaległe oraz czy program ma właściciela i finansowanie.
Zatwierdź i nadzoruj
Kierownik podmiotu zatwierdza środki zarządzania ryzykiem i nadzoruje ich wykonanie.
Żądaj dowodów
Zaległości, wyjątki, ryzyka i aktualność potwierdzeń powinny być widoczne bez składania raportu od zera.
Szkolenie raz w roku
Kierownik oraz osoba, której powierzono obowiązki cyberbezpieczeństwa, przechodzą udokumentowane szkolenie.
Koszt odtworzenia, ręczna obsługa, opóźnienia i utrata zaufania.
Dłuższa kwalifikacja dostawcy, plan naprawczy albo przegrany przetarg.
Aktualne dowody, osoby odpowiedzialne i plan zamknięcia braków ułatwiają rzetelną reakcję na pytania organu.
Przygotowanie programu zaczyna się od ciągłości działania, odpowiedzialności i aktualnych dowodów. To one porządkują codzienną pracę, rozmowę z klientem i reakcję na pytania organu.
Co działa, czego brakuje, czego jeszcze nie wiecie?
To nie jest test wiedzy ani ocena zgodności. Dziesięć pytań pomaga odróżnić działający system od deklaracji i wskazuje najbardziej logiczny następny krok.
Tak - potrafisz wskazać aktualny dowód. Nie - znasz lukę. Nie wiem - brakuje wspólnej widoczności.
0 z 10 odpowiedzi
Wynik orientacyjny. Autodiagnoza nie rozstrzyga, czy firma podlega KSC, nie jest audytem ani oceną zgodności.
Zamknij jeden pełny cykl, nie całą ustawę.
W 90 dni nie trzeba rozwiązać wszystkiego. Trzeba zamknąć jeden wiarygodny cykl: od decyzji i zadania, przez wykonanie, po dowód i przegląd zarządczy.
Ustal punkt wyjścia
Zakres, sponsor, właściciel programu, priorytetowa usługa i pierwszy plan pracy.
Zarząd · biznes · IT · prawo/ryzykoUruchom wykonanie
Ryzyka, kontrole, dostawcy, incydenty i ciągłość przełożone na zadania z terminami.
Właściciele usług · IT · zakupy · HRZamknij pierwszy cykl
Pierwszy pakiet dowodowy, test, działania naprawcze i przegląd zarządczy.
Wykonawcy · sponsor · zarządKoordynuje, ale nie wykonuje wszystkiego sam. Każde działanie ma właściciela.
Co najmniej raz w miesiącu: braki, wyjątki, terminy, decyzje i ryzyka.
Zadanie kończy się uzgodnionym rezultatem i aktualnym potwierdzeniem.
Najpierw najważniejsza usługa. Dopiero potem skalowanie standardu.
Granica obietnicy: plan 90 dni uruchamia podstawowy program dla uzgodnionych, priorytetowych procesów. Nie oznacza automatycznie pełnej zgodności całej organizacji.
Połącz odpowiedzialność, działanie i dowody w jednym programie.
W wielu firmach odpowiedzialność, zadania i dowody są rozproszone między pocztą, arkuszami i folderami. UP² łączy je w jeden czytelny obieg, pozostawiając decyzje i wykonanie po stronie organizacji.
UP² nie zastępuje kancelarii, niezależnego audytora, SIEM, SOC ani narzędzi wykrywających zagrożenia. Nie wydaje opinii prawnej, nie gwarantuje zgodności i nie składa za klienta zgłoszeń do S46.
Zamień ustalenia w pracę zespołu.
Obejrzyj przykład procesu albo omów zakres programu dla swojej firmy.
Sprawdź podstawę. Potem przełóż ją na własną organizację.
Zakres i terminy zależą od aktualnych przepisów oraz faktycznego sposobu działania firmy. Każdą ważną decyzję oprzyj na źródle urzędowym, dacie weryfikacji i udokumentowanym stanie organizacji.
Nie stanowi opinii prawnej, audytu ani wiążącej kwalifikacji KSC. Wynik dla organizacji zależy od faktycznej działalności, rodzaju podmiotu, wielkości, powiązań i wyjątków. Przed wpisem, zgłoszeniem albo decyzją sprawdź aktualne źródła oraz własny stan faktyczny.
Pytania, które pojawiają się najczęściej.
Poniższe odpowiedzi wyjaśniają skróty myślowe, które najczęściej prowadzą do błędnych decyzji. Jeżeli odpowiedź może zmienić status, termin lub zakres obowiązków, potraktuj ją jako punkt wyjścia do indywidualnej kwalifikacji.
Czy zasada „50 osób lub 10 mln euro” rozstrzyga zakres?+
Nie. To użyteczny filtr wielkości, ale trzeba sprawdzić faktyczną działalność, rodzaj podmiotu, przedsiębiorstwa partnerskie i powiązane oraz wyjątki.
Czy firma spoza KSC może dostać wymagania bezpieczeństwa?+
Tak. Klient objęty KSC może wymagać od dostawcy zabezpieczeń, ciągłości, informacji o incydentach i dowodów. Nie oznacza to automatycznie, że dostawca sam stał się podmiotem KSC.
Czy wynik autodiagnozy potwierdza zgodność?+
Nie. Narzędzie porządkuje odpowiedzi i wskazuje prawdopodobny następny krok. Nie sprawdza całego stanu faktycznego ani jakości każdego dowodu.
Czy platforma UP² może złożyć zgłoszenie do S46?+
Nie. UP² pomaga prowadzić role, działania, oś czasu, dowody i decyzje, ale nie składa za klienta zgłoszeń do organu.