Czy podmiot kluczowy lub podmiot ważny otrzymują decyzję administracyjną o ich kwalifikacji?

Nie – każdy podmiot prowadzący działalność wskazaną w załącznikach nr 1 i 2 do ustawy o KSC musi przeanalizować czy jest podmiotem kluczowym lub podmiotem ważnym.

Istnieje od tego wyjątek – organy właściwe do spraw cyberbezpieczeństwa mogą uznać za podmiot kluczowy lub ważny podmiot, który co do zasady nie spełnia wymogów ustawowych, ale spełnia jedną z następujących przesłanek:

• 1)
  jako jedyny świadczy usługę, która ma kluczowe znaczenie dla krytycznej działalności społecznej lub gospodarczej,
• 2)
  zakłócenie świadczenia usługi przez niego spowoduje poważne zagrożenie dla bezpieczeństwa państwa, bezpieczeństwa i porządku publicznego lub obronności,
• 3)
  zakłócenie świadczenia usługi przez niego spowoduje ryzyko systemowe zaprzestania świadczenia usług przez podmioty kluczowe lub podmioty ważne lub
• 4)
  świadczenie przez niego usług ma istotne znaczenie na poziomie krajowym lub województwa lub ma znaczenie dla dwóch lub więcej sektorów określonych w załączniku nr 1 lub 2 do ustawy.

Przepis ten ma zagwarantować, że w krajowym systemie cyberbezpieczeństwa znajdą się wszystkie podmioty prowadzące szczególnie istotną dla państwa i społeczeństwa działalność. Jak wykazały doświadczenia pandemii w wielu przypadkach zaprzestanie działalności przez stosunkowo mały podmiot może mieć bardzo szerokie skutki dla innej działalności, np. w sektorze energetyki czy przemyśle. Tego rodzaju podmioty muszą znaleźć się w krajowym systemie cyberbezpieczeństwa.