Czy przy ustalaniu wielkości przedsiębiorstwa podmiot musi uwzględnić przedsiębiorstwa partnerskie i powiązane, jeżeli nie świadczy z nimi wspólnie usług?

Przy badaniu statusu mikro-, małych i średnich przedsiębiorstw bierze się pod uwagę przedsiębiorstwa powiązane i przedsiębiorstwa partnerskie – ich przychody, sumę bilansową i liczbę pracowników dolicza się przy ustalaniu wielkości podmiotu. To mogłoby oznaczać, że dany podmiot staje się średnim przedsiębiorcą, wliczając jego przedsiębiorstwa powiązane i partnerskie – i jest wtedy podmiotem ważnym. Ale jego systemy informacyjne, służące świadczeniu usług, mogą mieć charakter niezależny od systemów podmiotów partnerskich i powiązanych. Nie ma więc powodów, aby uznawać ten podmiot za podmiot ważny.

Niezależność systemu informacyjnego zachodzi m.in. wtedy, gdy do świadczenia usług przez podmiot nie jest konieczne działanie podmiotu powiązanego czy partnerskiego. Niezależność może przejawiać się również pod względem zastępowalności sieci i systemów informatycznych, tj. jeżeli w akceptowalnym przez podmiot czasie oraz po akceptowalnych kosztach można zastąpić posiadane rozwiązanie jednego podmiotu rozwiązaniami innych, o nie gorszych właściwościach funkcjonalno-technicznych.

Ponadto, jeżeli podmiot wraz ze swoim przedsiębiorstwem partnerskim lub przedsiębiorstwem powiązanym nie świadczy tej samej usługi (nominalnie podlegającej pod krajowy system cyberbezpieczeństwa) to danych przedsiębiorstwa partnerskiego lub powiązanego nie powinno się ujmować przy ustalaniu wielkości przedsiębiorstwa. Świadczenie tej samej usługi może polegać na tym, że podmioty podzielą między sobą zakres obowiązków związanych z tą usługą. Powinno to być należycie udokumentowane.