🎁 Darmowa lekcja próbna. Tak wygląda kurs „Cyberbezpieczeństwo dla kierownictwa — NIS2 i ustawa o KSC (coroczne szkolenie z art. 8e)” od środka — przejdź lekcję 1, odpowiadaj na pytania, posłuchaj lektora. Pełny kurs ↓

Lekcja próbna kursu „Cyberbezpieczeństwo dla kierownictwa — NIS2 i ustawa o KSC (coroczne szkolenie z art. 8e)” — bez logowania, bez licznika czasu i bez egzaminu. © Pruszyński.IT Patryk Pruszyński. Materiały są chronione prawem autorskim; kopiowanie i rozpowszechnianie bez zgody autora jest zabronione.

LEKCJA 1 Z 8 · LEKCJA PRÓBNA

Czy Twoja organizacja podlega ustawie? Samoidentyfikacja i wykaz

Krótkie wprowadzenie do kursu (bez dźwięku)

Lekcja jest podzielona na 6 części. Po każdej odpowiedz na jedno pytanie — wtedy odsłoni się następna. Przy każdej części możesz włączyć 🔊 lektora.

🎧 Lektor:

Wskazówka: najbardziej naturalny głos lektora (Zofia lub Marek) ma przeglądarka Microsoft Edge; w Chrome wybierz głos „Google polski”. Na telefonie lektor korzysta z głosu systemu.

1/6 Trzy pytania o status: sektor, wielkość, wyjątki

W kursie Cyberbezpieczeństwo w pracy pokazaliśmy ogólnie, kto podlega ustawie. Jako kierownik potrzebujesz więcej: udokumentowanej decyzji, na której oprzesz dalsze działania. Analiza statusu odpowiada na trzy pytania:

Sektor — czy podmiot prowadzi działalność wymienioną w załączniku nr 1 (sektory o wysokiej krytyczności, np. energetyka, transport, bankowość, ochrona zdrowia, woda pitna i ścieki, infrastruktura cyfrowa, zarządzanie usługami ICT, administracja publiczna) albo w załączniku nr 2 (inne sektory krytyczne, np. usługi pocztowe i kurierskie, gospodarka odpadami, chemikalia, żywność, wybrana produkcja, dostawcy usług cyfrowych, badania naukowe)?
Wielkość — czy podmiot jest co najmniej średnim przedsiębiorstwem, a może dużym?
Wyjątki — czy podmiot nie jest objęty ustawą niezależnie od wielkości (np. podmiot publiczny, przedsiębiorca telekomunikacyjny, dostawca usług zaufania, rejestr nazw domen, dostawca DNS) albo czy nie został lub nie może zostać uznany za podmiot kluczowy lub ważny decyzją organu?

Wynik w uproszczeniu: duży podmiot z załącznika nr 1 — zwykle kluczowy; średni z załącznika nr 1 albo średni lub duży z załącznika nr 2 — zwykle ważny; mikro i mały bez wyjątku — poza ustawą. Ostateczne przypisanie zależy od szczegółowych przepisów.

Przykład: spółka „Wod-Kan Lipowo” (95 pracowników) dostarcza wodę pitną dla trzech gmin. Sektor z załącznika nr 1, wielkość średnia — zarząd ustala, że spółka jest podmiotem ważnym, chyba że inne przepisy przesądzają inaczej, i zapisuje to w notatce statusowej.

Pamiętaj: status to decyzja zarządu oparta na faktach, a nie opinia działu IT. Zapisz ją i podpisz.

Schemat samoidentyfikacji — sektor z załącznika nr 1 lub 2, wielkość z przedsiębiorstwami powiązanymi i partnerskimi, wyjątki niezależne od wielkości, wynik: podmiot kluczowy, ważny albo poza ustawą, a na końcu notatka statusowa i wniosek o wpis · ilustracja poglądowa

❓ Które trzy pytania składają się na analizę statusu podmiotu?

Spróbuj jeszcze raz. Podpowiedź: Lista w pierwszej części bloku.

2/6 Jak liczyć wielkość: pracownicy, obrót, bilans i grupa kapitałowa

Wielkość ustala się według unijnych zasad dla mikro, małych i średnich przedsiębiorstw. W uproszczeniu:

średnie przedsiębiorstwo — od 50 do 249 pracowników albo obrót i suma bilansowa powyżej progów małego przedsiębiorstwa (10 mln euro), ale nie więcej niż 50 mln euro obrotu lub 43 mln euro sumy bilansowej,
duże przedsiębiorstwo — 250 pracowników i więcej albo obrót powyżej 50 mln euro i suma bilansowa powyżej 43 mln euro.

Najczęstszy błąd to liczenie tylko własnej spółki. Tymczasem:

dane przedsiębiorstw powiązanych (kontrola, np. ponad 50% głosów) dolicza się w całości,
dane przedsiębiorstw partnerskich (udział od 25% do 50%) dolicza się proporcjonalnie do udziału,
liczy się dane z ostatniego zamkniętego okresu obrachunkowego, a status zmienia się zwykle dopiero po przekroczeniu progów przez dwa kolejne lata.

W praktyce analizę wielkości robi główna księgowa razem z prawnikiem, a zarząd ją zatwierdza. Dane warto dołączyć do notatki statusowej — to pierwszy dokument, o który zapyta organ.

Przykład: spółka logistyczna zatrudnia 42 osoby, ale jest w 100% zależna od firmy kurierskiej zatrudniającej 600 osób. Po zsumowaniu danych grupy jest dużym przedsiębiorstwem z sektora usług pocztowych i kurierskich — prawdopodobnie podmiotem ważnym.

Pamiętaj: „mamy mniej niż 50 osób” to dopiero początek analizy, a nie jej wynik.

❓ Jak dolicza się dane przedsiębiorstwa powiązanego (kontrolowanego lub kontrolującego)?

Spróbuj jeszcze raz. Podpowiedź: Pierwszy punkt drugiej listy.

3/6 Wniosek o wpis do wykazu: termin, system, podpis

Podmiot, który ustalił, że jest kluczowy lub ważny, sam składa wniosek o wpis do wykazu podmiotów kluczowych i ważnych (art. 7c). Zasady:

termin — 6 miesięcy od dnia spełnienia przesłanek; dla podmiotów, które spełniały je 3 kwietnia 2026 r., termin minął 3 października 2026 r.,
gdzie — w systemie Wykaz KSC (wykaz-ksc.gov.pl), część systemu teleinformatycznego S46, z logowaniem przez login.gov.pl,
kto podpisuje — kierownik podmiotu albo pełnomocnik (warto mieć gotowe pełnomocnictwo i ustalić, kto technicznie wypełnia wniosek),
co we wniosku — m.in. dane identyfikacyjne, rodzaj działalności (sektor, podsektor), dane kontaktowe, w tym osób do kontaktu z krajowym systemem cyberbezpieczeństwa.

Po wpisie podmiot korzysta z systemu S46 — tam m.in. zgłasza incydenty (lekcja 5). Wpis jest więc nie tylko formalnością, ale też otwarciem kanału łączności z CSIRT.

Co jeśli termin minął? Wniosek składa się niezwłocznie. Spóźnienie nie zwalnia z obowiązku, a obowiązki z rozdziału o SZBI i tak trzeba wdrożyć do 3 kwietnia 2027 r.

Przykład: zarząd firmy kurierskiej ustala status w listopadzie 2026 r. Prezes podpisuje wniosek w Wykazie KSC jeszcze w tym samym tygodniu, a w protokole zarządu zapisuje datę analizy, datę wniosku i osobę odpowiedzialną za dalsze wdrożenie.

Pamiętaj: przedsiębiorcy (poza wyjątkami) nie są wpisywani z urzędu. Jeśli nie złożysz wniosku, nikt tego za Ciebie nie zrobi.

❓ Gdzie składa się wniosek o wpis do wykazu podmiotów kluczowych i ważnych?

Spróbuj jeszcze raz. Podpowiedź: Druga pozycja listy.

4/6 Wpis z urzędu i uzupełnienie danych (art. 7b ust. 4)

Część podmiotów minister właściwy do spraw informatyzacji wpisał do wykazu z urzędu — przed uruchomieniem samorejestracji. Według komunikatu z 24 kwietnia 2026 r. dotyczyło to m.in.:

podmiotów publicznych (np. urzędów gmin, starostw),
przedsiębiorców telekomunikacyjnych,
dostawców usług zaufania,
dotychczasowych operatorów usług kluczowych,
w kolejnym etapie — samorządowych instytucji kultury.

Taki podmiot dostaje zawiadomienie o wpisie z wezwaniem do uzupełnienia danych (wysyłane przez NASK). Na uzupełnienie ma 6 miesięcy od doręczenia wezwania. Robi to, składając wniosek o zmianę wpisu — także wtedy, gdy prowadzi działalność, której wpis z urzędu nie objął (art. 7b ust. 4). Później dane trzeba aktualizować przy każdej zmianie (komentatorzy wskazują termin 14 dni).

Zadanie kierownika: sprawdzić, czy zawiadomienie dotarło (sekretariat, ePUAP, skrzynka do doręczeń elektronicznych), kto je obsługuje i do kiedy.

Przykład: w urzędzie gminy Lipowo zawiadomienie trafiło do sekretariatu i zostało zadekretowane „do informatyka”, który jest zatrudniony na umowę zlecenie dwa dni w tygodniu. Wójt dowiaduje się o nim po czterech miesiącach. Od tej pory pisma z NASK i od organów nadzoru trafiają do sekretarza gminy z obowiązkiem informowania wójta w ciągu dnia.

Pamiętaj: wpis z urzędu nie oznacza, że wszystko jest załatwione. Brakujące dane uzupełnia podmiot — w terminie.

❓ Jak podmiot wpisany z urzędu uzupełnia brakujące dane w wykazie?

Spróbuj jeszcze raz. Podpowiedź: Akapit pod listą.

5/6 Zmiana statusu i wykreślenie z wykazu (art. 7f ust. 3)

Status nie jest dany raz na zawsze. Podmiot może:

wejść pod ustawę — gdy urośnie (przekroczy progi), kupi spółkę, rozpocznie nową działalność z załącznika; wtedy liczy się 6 miesięcy na wniosek o wpis,
zmienić kategorię — z ważnego na kluczowy (lub odwrotnie), np. po przekroczeniu progów dużego przedsiębiorstwa; to zmiana wpisu i zakresu obowiązków (np. audyt),
wyjść spod ustawy — gdy sprzeda działalność, zmniejszy się poniżej progów, zakończy usługę; wtedy składa wniosek o wykreślenie, który musi zawierać uzasadnienie (art. 7f ust. 3).

Uzasadnienie wniosku o wykreślenie to w praktyce zaktualizowana notatka statusowa: co się zmieniło, od kiedy, jakie dane to potwierdzają (sprawozdanie finansowe, umowa sprzedaży, uchwała). Nie warto wykreślać się pochopnie — jeśli organ uzna, że przesłanki nadal są spełnione, podmiot będzie musiał nadrabiać obowiązki.

Dobra praktyka: przegląd statusu raz w roku — po zamknięciu roku obrotowego — oraz przy każdej istotnej zmianie (przejęcie, nowa usługa, restrukturyzacja). Przegląd może być punktem corocznego szkolenia kierownictwa.

Przykład: firma „Chem-Bud” sprzedała dział produkcji chemikaliów i zostaje jej tylko handel materiałami budowlanymi. Zarząd przygotowuje wniosek o wykreślenie z uzasadnieniem: umowa sprzedaży zorganizowanej części przedsiębiorstwa, nowy opis działalności, dane o zatrudnieniu.

Pamiętaj: wykreślenie wymaga uzasadnienia. Bez dokumentów to tylko deklaracja.

❓ Co musi zawierać wniosek o wykreślenie z wykazu?

Spróbuj jeszcze raz. Podpowiedź: Trzeci punkt listy.

6/6 Notatka statusowa i mała firma jako dostawca

Wynik analizy zapisz w notatce statusowej (1–2 strony) podpisanej przez kierownika. Proponowana treść:

data analizy i kto ją wykonał (z doradcą lub bez),
opis faktycznej działalności i dopasowanie do sektora i podsektora z załącznika,
dane o wielkości — pracownicy, obrót, suma bilansowa, przedsiębiorstwa powiązane i partnerskie,
sprawdzone wyjątki niezależne od wielkości,
wynik: kluczowy / ważny / poza ustawą,
dalsze kroki: wniosek o wpis (data), osoba odpowiedzialna, termin następnego przeglądu.

Mała firma poza ustawą też powinna mieć taką notatkę — choćby po to, żeby odpowiedzieć klientom. Podmioty kluczowe i ważne muszą dbać o bezpieczeństwo łańcucha dostaw, więc wysyłają dostawcom ankiety, dopisują klauzule do umów, a czasem chcą audytu. Biuro rachunkowe gminy, firma serwisująca system szpitala czy dostawca oprogramowania do wodociągów odczują nowe przepisy, choć nie są w wykazie (więcej w lekcjach 4 i 8).

Przykład: firma informatyczna „NetSerwis” (14 osób) obsługuje sześć gmin. Zapisuje w notatce: „poza ustawą (mała firma, brak wyjątku), ale dostawca dla podmiotów publicznych — przygotować pakiet informacji o zabezpieczeniach dla klientów do końca roku”.

Pamiętaj: podpisana notatka statusowa to pierwszy dowód należytej staranności kierownika.

❓ Dlaczego mała firma poza ustawą może odczuć skutki NIS2?

Spróbuj jeszcze raz. Podpowiedź: Akapit pod listą.

Wszystkie części przeczytane ✓ Teraz ćwiczenia.

📖 Historia z wyborami: „jesteśmy za mali”

Dwie osoby z zarządu średniej spółki produkcyjnej przy stole z rozłożonymi wydrukami schematu grupy kapitałowej bez czytelnych napisów, za szybą hala z liniami pakującymi · ilustracja poglądowa

📖 Historia z wyborami: zawiadomienie o wpisie z urzędu

Wójt gminy w średnim wieku w gabinecie urzędu czyta pismo z teczki, obok stoi sekretarz gminy z segregatorem, na ścianie mapa gminy bez czytelnych napisów · ilustracja poglądowa

📖 Historia z wyborami: sprzedaliśmy dział

Prezes i radca prawny przeglądają dokumenty w sali konferencyjnej, na stole umowa w teczce i laptop z rozmytym ekranem, za oknem pochmurny dzień · ilustracja poglądowa

📖 Historia z wyborami: ankieta od szpitala

Właściciel małej firmy informatycznej przy biurku w niewielkim biurze czyta kilkustronicowy wydruk ankiety bez czytelnego tekstu, obok laptop i telefon · ilustracja poglądowa

🔗 Dopasuj przepis lub pojęcie do opisu

Art. 7c

Art. 7b ust. 4

Art. 7f ust. 3

Przedsiębiorstwo powiązane

Przedsiębiorstwo partnerskie

⚖️ Prawda czy fałsz?

Kody PKD same rozstrzygają, czy firma jest podmiotem kluczowym lub ważnym.

Fałsz — liczy się faktyczna działalność; PKD to tylko wskazówka.

Spółka z 40 pracownikami może być dużym przedsiębiorstwem, jeśli należy do dużej grupy.

Prawda — dane przedsiębiorstw powiązanych dolicza się w całości.

Podmiot wpisany z urzędu nie musi nic robić.

Fałsz — uzupełnia dane wnioskiem o zmianę wpisu (art. 7b ust. 4).

Wniosek o wykreślenie z wykazu musi zawierać uzasadnienie.

Prawda — art. 7f ust. 3.

Po minięciu terminu 3 października 2026 r. wniosku o wpis nie da się już złożyć.

Fałsz — trzeba go złożyć niezwłocznie; spóźnienie nie znosi obowiązku.

Status podmiotu warto przeglądać co najmniej raz w roku.

Prawda — po zamknięciu roku obrotowego i przy każdej istotnej zmianie.

🔢 Ułóż w kolejności: samoidentyfikacja krok po kroku

Ustaw kroki od pierwszego do ostatniego. Użyj strzałek.

Opis faktycznej działalności i porównanie z załącznikami nr 1 i 2
Notatka statusowa podpisana przez kierownika
Sprawdzenie wyjątków niezależnych od wielkości
Zebranie danych o wielkości z przedsiębiorstwami powiązanymi i partnerskimi
Wniosek o wpis w Wykazie KSC i plan wdrożenia obowiązków

⚖️ Co mówią przepisy

art. 5 i załączniki nr 1 i 2 do ustawy z 5 lipca 2018 r. o krajowym systemie cyberbezpieczeństwa (po nowelizacji ustawą z 23 stycznia 2026 r., Dz.U. 2026 poz. 252)W skrócie: podmiotem kluczowym lub ważnym jest podmiot prowadzący działalność w sektorach i podsektorach wymienionych w załącznikach nr 1 i 2. Co do zasady podmiot kluczowy przewyższa progi średniego przedsiębiorstwa (jest duży), a podmiot ważny jest co najmniej średni. Część podmiotów jest objęta ustawą niezależnie od wielkości (m.in. podmioty publiczne, przedsiębiorcy telekomunikacyjni, dostawcy usług zaufania, niektóre usługi infrastruktury cyfrowej) albo może zostać uznana decyzją organu.

art. 7c ust. 1 ustawy z 5 lipca 2018 r. o krajowym systemie cyberbezpieczeństwa (po nowelizacji ustawą z 23 stycznia 2026 r., Dz.U. 2026 poz. 252)W skrócie: podmiot kluczowy lub ważny składa wniosek o wpis do wykazu w terminie 6 miesięcy od dnia spełnienia przesłanek. Podmioty, które spełniały przesłanki w dniu wejścia w życie nowelizacji (3 kwietnia 2026 r.), miały czas do 3 października 2026 r. Wniosek składa się w systemie Wykaz KSC (wykaz-ksc.gov.pl) i podpisuje go kierownik podmiotu lub pełnomocnik.

art. 7b ust. 4 i art. 7f ust. 3 ustawy z 5 lipca 2018 r. o krajowym systemie cyberbezpieczeństwa (po nowelizacji ustawą z 23 stycznia 2026 r., Dz.U. 2026 poz. 252)W skrócie: podmiot wpisany do wykazu z urzędu uzupełnia dane, składając wniosek o zmianę wpisu — także w zakresie działalności nieobjętej wpisem z urzędu. Podmiot, który przestał spełniać przesłanki, składa wniosek o wykreślenie z wykazu, a wniosek ten musi zawierać uzasadnienie.

🧭 Studium przypadku — co zrobisz?

Jesteś prezesem spółki „Agro-Pak” (produkcja opakowań do żywności, 38 pracowników, obrót 6 mln euro). Spółka należy w 60% do grupy, której spółka-matka zatrudnia 400 osób i ma obrót 90 mln euro. Księgowa mówi: „Mamy mniej niż 50 osób, więc NIS2 nas nie dotyczy”. Co robisz?

Wielkość przedsiębiorstwa ustala się według zasad unijnych dla MŚP — z uwzględnieniem przedsiębiorstw powiązanych (sumowanych w całości) i partnerskich (proporcjonalnie do udziałów). Spółka zależna dużej grupy zwykle nie jest „małą firmą” w rozumieniu tych przepisów. Do tego trzeba sprawdzić, czy działalność mieści się w sektorach z załączników (np. produkcja wybranych wyrobów, żywność, chemikalia). Przedsiębiorcy nie są wpisywani z urzędu — wniosek należy do nich.

✅ Sprawdź się — mini-test

Nie wlicza się do egzaminu. Kliknij odpowiedź — od razu zobaczysz, czy jest dobra.

1. Co jest pierwszym krokiem samoidentyfikacji?

Poprawna odpowiedź: Porównanie faktycznej działalności z sektorami z załączników nr 1 i 2

2. W jakim terminie składa się wniosek o wpis do wykazu po spełnieniu przesłanek?

Poprawna odpowiedź: 6 miesięcy

3. Co musi zawierać wniosek o wykreślenie z wykazu?

Poprawna odpowiedź: Uzasadnienie

4. Jak liczy się wielkość spółki należącej do grupy kapitałowej?

Poprawna odpowiedź: Z uwzględnieniem przedsiębiorstw powiązanych i partnerskich

💬 Najczęstsze pytania kursantów

Termin 3 października 2026 r. minął, a my nie złożyliśmy wniosku. Co teraz?

Złóż wniosek niezwłocznie i zachowaj dokumentację, kiedy i na jakiej podstawie ustalono status. Spóźnienie nie znosi obowiązku, a im dłużej podmiot działa poza wykazem, tym trudniej wytłumaczyć to organowi. Równolegle zacznij wdrażanie obowiązków — termin 3 kwietnia 2027 r. dotyczy także podmiotów, które spóźniły się z wnioskiem.

Nasza gmina dostała zawiadomienie o wpisie z urzędu. Czy musimy coś robić?

Tak. Wpis z urzędu nie zamyka sprawy: w terminie 6 miesięcy od doręczenia wezwania trzeba uzupełnić dane, składając wniosek o zmianę wpisu (art. 7b ust. 4), a później aktualizować dane przy zmianach. Warto od razu wyznaczyć osoby kontaktowe i sprawdzić, czy jednostki podległe (szkoły, instytucje kultury, spółki komunalne) mają własny status.

Czy kody PKD rozstrzygają o statusie?

Nie. Kody PKD pomagają, ale liczy się faktycznie prowadzona działalność — także poboczna, jeśli mieści się w sektorze z załącznika. Firma z kodem „handel” może np. prowadzić centrum danych dla klientów. Analizę warto oprzeć na opisie usług, przychodach z poszczególnych działalności i umowach z klientami, a przy wątpliwościach skonsultować z prawnikiem.

Dla chętnych — oficjalne źródła:

To była lekcja 1 z 8

W pełnym kursie: wszystkie 8 lekcje (5 godz. lekcyjne), ćwiczenia zapisywane na Twoim koncie, pytania do asystenta przy każdej lekcji, test na końcu i zaświadczenie z kodem weryfikacji — przychodzi mailem około pół godziny po zdanym teście. Uczysz się, kiedy chcesz — dostęp jest ważny 60 dni.

Kup dla firmy — 349 zł netto / os.Kup prywatnie Wszystkie kursy

−10% na pierwszy kurs

Zapisz się do newslettera „BHP i IT w pigułce” (co dwa tygodnie: zmiany w przepisach BHP i IT oraz informacje o usługach) — jednorazowy kod rabatowy przyjdzie mailem.