Czym się różni podmiot kluczowy od podmiotu ważnego?

Upraszczając, co do zasady podmiotem kluczowym jest duży przedsiębiorca wskazany w załączniku nr 1 do ustawy. Podmiotem ważnym jest średni przedsiębiorca wskazany w załączniku nr 1 do ustawy o KSC oraz duży i średni przedsiębiorca prowadzący działalność określoną w załączniku nr 2 do ustawy. Jednakże istnieje od tego szereg wyjątków.

Merytoryczne obowiązki podmiotu kluczowego i podmiotu ważnego są takie same. Różnica sprowadza się do zakresu czynności nadzorczych, które mogą prowadzić organy właściwe do spraw cyberbezpieczeństwa. Nadzór nad podmiotami kluczowymi ma charakter ex ante, a nadzór nad podmiotami ważnymi ex post. Podmioty kluczowe mają obowiązek przeprowadzić audyt co 3 lata oraz na żądanie organu właściwego do spraw cyberbezpieczeństwa. Podmioty ważne

przeprowadzają audyt wyłącznie na żądanie organu właściwego do spraw cyberbezpieczeństwa.