Znowelizowana ustawa o krajowym systemie cyberbezpieczeństwa objęła tysiące firm, które nigdy wcześniej nie miały do czynienia z regulacją cyfrową - producentów żywności, zakłady chemiczne, firmy kurierskie, wytwórców maszyn. Nie dostaną decyzji administracyjnej. Muszą rozpoznać się same.
Nowelizacja przeniosła ciężar rozpoznania obowiązku na samą firmę i po raz pierwszy przypisała odpowiedzialność za cyberbezpieczeństwo imiennie kierownikowi podmiotu.
Ustawa nie przewiduje decyzji administracyjnej stwierdzającej, że firma jej podlega. Obowiązek samoidentyfikacji spoczywa na organizacji, a brak działania nie zwalnia z odpowiedzialności. Argument „nikt nas nie zawiadomił” nie jest obroną.
Kierownik podmiotu odpowiada za wykonanie obowiązków także wtedy, gdy powierzył je innym osobom. Karę pieniężną - liczoną jako wielokrotność jego miesięcznego wynagrodzenia - organ może nałożyć niezależnie od kary wymierzonej spółce.
Wczesne ostrzeżenie w 24 godziny od wykrycia incydentu poważnego, pełne zgłoszenie w 72 godziny, sprawozdanie końcowe w miesiąc. Bez procedury przygotowanej wcześniej pierwszy termin jest nie do dotrzymania.
Odpowiadasz na sześć pytań o branżę, wielkość i strukturę firmy. Wynik pojawia się od razu na ekranie - bez podawania danych kontaktowych.
-
Przeanalizujemy KRS, sprawozdanie finansowe i strukturę grupy. Wynik ankiety zostanie automatycznie dołączony do zgłoszenia.
Test pokazuje prawdopodobieństwo. Statusu nie da się ustalić bez spojrzenia na KRS, sprawozdanie finansowe i strukturę grupy. Robimy to dla Ciebie - bez opłaty i bez zobowiązania.
Analizę przygotowuje radca prawny będący jednocześnie brokerem ubezpieczeniowym. Jedna osoba patrzy więc naraz na obowiązek prawny i na to, czy Wasze polisy w ogóle obejmują nowe ryzyko.
Nie. Ustawa opiera się na samoidentyfikacji - nie przewiduje decyzji administracyjnej informującej firmę, że podlega przepisom. Z urzędu wpisano jedynie wybrane kategorie: dotychczasowych operatorów usług kluczowych, dostawców usług zaufania, przedsiębiorców telekomunikacyjnych i podmioty publiczne. Wszyscy pozostali muszą zgłosić się sami.
Granica przebiega przy 50 pracownikach, nie przy formie własności. Firma zatrudniająca 60 osób w produkcji żywności albo w przetwórstwie chemicznym jest podmiotem ważnym na tych samych zasadach co spółka giełdowa.
Uwaga na grupy kapitałowe: przy ustalaniu wielkości dolicza się dane spółek powiązanych i partnerskich. Spółka z 30 pracownikami potrafi przekroczyć próg wyłącznie przez powiązania.
Odroczenie dotyczy kar pieniężnych, a nie samych obowiązków. Termin złożenia wniosku o wpis mija 3 października 2026 i nie został przesunięty. Wdrożenie systemu zarządzania bezpieczeństwem informacji ma termin 3 kwietnia 2027.
Poza tym niezłożenie wniosku w terminie jest naruszeniem, które zostaje w aktach. Odroczenie kar nie wymazuje okresu, w którym firma działała niezgodnie z ustawą.
Rzadko. Definicja „roszczenia” w wielu ogólnych warunkach obejmuje wyłącznie roszczenia cywilne oraz postępowania karne i karnoskarbowe - postępowanie przed organem właściwym do spraw cyberbezpieczeństwa bywa poza zakresem ochrony.
Odrębna kwestia to sam kwestionariusz. Jeśli firma zadeklarowała zgodność z przepisami, a nigdy nie przeprowadziła samoidentyfikacji, przy szkodzie może to zostać podniesione jako podstawa odmowy wypłaty.
Oboje, i to niezależnie od siebie. Spółce grozi kara sięgająca 10 mln EUR albo 2% rocznego przychodu przy statusie podmiotu kluczowego (7 mln EUR albo 1,4% przy podmiocie ważnym). Kierownikowi podmiotu - odrębna kara pieniężna liczona jako wielokrotność jego miesięcznego wynagrodzenia. Ten sam czyn może więc skutkować dwiema sankcjami.
Dochodzi do tego ryzyko roszczenia samej spółki wobec członka zarządu na podstawie Kodeksu spółek handlowych, jeżeli zaniechanie doprowadziło do szkody.
Ryzyko jest asymetryczne. Organ może wykreślić podmiot z wykazu, jeżeli ten przestał spełniać przesłanki. Skutki niedopełnienia obowiązku przy faktycznym statusie podmiotu kluczowego albo ważnego są nieporównanie poważniejsze.
To nie znaczy jednak, że warto rejestrować się „na wszelki wypadek”. Sam wpis uruchamia pełny zakres obowiązków, w tym audytowych. Decyzję trzeba poprzedzić pisemną analizą - i dokładnie po to robimy audyt.
Test stanowi wyłącznie wstępny screening. Nie jest opinią prawną, audytem cyberbezpieczeństwa ani formalną samoidentyfikacją w rozumieniu ustawy o KSC.
Wynik nie zwalnia organizacji z samodzielnej oceny statusu ani z obowiązku złożenia wniosku o wpis do Wykazu podmiotów kluczowych i podmiotów ważnych.
Pełna ocena wymaga analizy dokumentacji korporacyjnej, finansowej, technicznej oraz struktury powiązań i grupy kapitałowej.
Materiał odzwierciedla stan prawny na 28 lipca 2026 r. Wybrane wymogi mogą podlegać dalszemu doprecyzowaniu w aktach wykonawczych i praktyce organów.
Ustawa z 5.07.2018 r. o krajowym systemie cyberbezpieczeństwa (t.j. Dz.U. 2026 poz. 20) · ustawa z 23.01.2026 r. o zmianie ustawy o KSC (Dz.U. 2026 poz. 252) · dyrektywa (UE) 2022/2555 (NIS 2) · rozporządzenie Komisji (UE) nr 651/2014, zał. I · komunikaty i Q&A Ministerstwa Cyfryzacji.
