Rozdział 1. Identyfikacja podmiotów kluczowych i podmiotów ważnych

Przede wszystkim taki przedsiębiorca musi zorientować się jaka jest jego wielkość oraz jakie działalności prowadzi. Dane finansowe przedsiębiorstwa są wskazane w sprawozdaniu finansowym (przesłanki uznania za podmiot kluczowy lub podmiot ważny bada się według stanu na dzień sporządzenia sprawozdania finansowego). Konieczne będzie również ustalenie liczby zatrudnionego personelu. Działalność należy określić w oparciu o prawidłowo zadeklarowane kody Polskiej Klasyfikacji Działalności (PKD) oraz dokumenty urzędowe takie jak koncesje, zezwolenia, wpisy z rejestrów działalności regulowanej. Następnie należy przeanalizować art. 5 ustawy - gdzie wskazano jakie podmioty są podmiotami kluczowymi albo podmiotami ważnymi oraz przeanalizować rodzaje działalności wskazane w załączniku nr 1 i nr 2 do ustawy o KSC.

Podmiotem kluczowym jest:

• 1)
  osoba fizyczna, osoba prawna albo jednostka organizacyjna nieposiadająca osobowości prawnej wskazana w załączniku nr 1 do ustawy o KSC, która jest dużym przedsiębiorstwem;
• 2)
  przedsiębiorca komunikacji elektronicznej, który jest średnim lub dużym przedsiębiorstwem;
• 3)
  dostawca usług zarządzanych w zakresie cyberbezpieczeństwa, który jest małym, średnim lub dużym przedsiębiorstwem;
• 4)

  niezależnie od wielkości podmiotu:

  • a)
    dostawca usług DNS,
  • b)
    kwalifikowany dostawca usług zaufania,
  • c)
    podmiot krytyczny – w rozumieniu dyrektywy CER,
  • d)
    podmiot publiczny wskazany w załączniku nr 1 do ustawy o KSC w sektorze podmioty publiczne,
  • e)
    podmiot zidentyfikowany jako podmiot kluczowy przez organ właściwy do spraw cyberbezpieczeństwa,
  • f)
    państwowa osoba prawna zidentyfikowana jako podmiot kluczowy w sektorze podmiotów publicznych,
  • g)
    podmiot, który nie jest przedsiębiorcą, a jest wskazany w załączniku nr 1 do ustawy o KSC z nazwy albo poprzez określenie jego rodzaju,
  • h)
    operator obiektu energetyki jądrowej,
  • i)
    rejestr nazw domen najwyższego poziomu (TLD),
  • j)
    podmiot świadczący usługi rejestracji nazw domen.

Podmiotem ważnym jest:

• 1)
  osoba fizyczna, osoba prawna albo jednostka organizacyjna nieposiadająca osobowości prawnej wskazana w załączniku nr 1 do ustawy o KSC, która jest średnim przedsiębiorstwem;
• 2)
  osoba fizyczna, osoba prawna albo jednostka organizacyjna nieposiadająca osobowości prawnej wskazana w załączniku nr 2 do ustawy o KSC, która jest średnim lub dużym przedsiębiorstwem;
• 3)
  niekwalifikowany dostawca usług zaufania będący mikro-, małym lub średnim przedsiębiorstwem;
• 4)
  przedsiębiorca komunikacji elektronicznej będący mikro-, lub małym przedsiębiorstwem;
• 5)
  inwestor obiektu energetyki jądrowej – niezależnie od jego wielkości;
• 6)
  podmiot zidentyfikowany jako podmiot ważny przez organ właściwy do spraw cyberbezpieczeństwa;
• 7)
  podmiot określony w załączniku nr 2 do ustawy o KSC nazwą rodzajową, a który nie jest przedsiębiorcą;
• 8)
  podmiot publiczny, który nie jest podmiotem kluczowym oraz jest samorządową jednostką budżetową, samorządowym zakładem budżetowym, samorządową instytucją kultury albo spółką prawa handlowego wykonującą zadania o charakterze użyteczności publicznej jeżeli realizuje zadanie publiczne z wykorzystaniem systemów informacyjnych.

Sektory gospodarki objęte ustawą zostały ujęte w załączniku nr 1 i nr 2 do ustawy o KSC.

Sektory kluczowe

• 1)

  Energia

  • ✓
    Wydobywanie kopalin
  • ✓
    Energia elektryczna
  • ✓
    Ciepło
  • ✓
    Ropa i paliwa
  • ✓
    Gaz
  • ✓
    Energetyka jądrowa
  • ✓
    Wodór
• 2)

  Transport

  • ✓
    Transport lotniczy
  • ✓
    Transport kolejowy
  • ✓
    Transport wodny
  • ✓
    Transport drogowy
• 3)
  Bankowość i infrastruktura rynków finansowych
• 4)

  Ochrona zdrowia

  • ✓
    Udzielanie świadczeń zdrowotnych i zdrowie publiczne
  • ✓
    Produkcja i dystrybucja substancji czynnych, produktów leczniczych i wyrobów medycznych
• 5)
  Zaopatrzenie w wodę pitną i jej dystrybucja
• 6)
  Zbiorowe odprowadzanie ścieków
• 7)

  Infrastruktura cyfrowa

  • ✓
    Infrastruktura cyfrowa z wyłączeniem komunikacji elektronicznej
  • ✓
    Komunikacja elektroniczna
• 8)
  Zarządzanie usługami ICT
• 9)
  Przestrzeń kosmiczna
• 10)
  Podmioty publiczne

Sektory ważne

• 1)
  Usługi pocztowe
• 2)
  Inwestycje energetyki jądrowej
• 3)

  Gospodarowanie odpadami

  • ✓
    Zbieranie odpadów
  • ✓
    Transport odpadów
  • ✓
    Przetwarzanie odpadów, w tym sortowanie, wraz z nadzorem nad wymienionymi działaniami, a także późniejsze postępowanie z miejscami unieszkodliwiania odpadów
  • ✓
    Działania wykonywane w charakterze sprzedawcy odpadów lub pośrednika w obrocie odpadami
• 4)
  Produkcja, wytwarzanie i dystrybucja chemikaliów
• 5)
  Produkcja, przetwarzanie i dystrybucja żywności
• 6)

  Produkcja

  • ✓
    Produkcja wyrobów medycznych i wyrobów medycznych do diagnostyki in vitro
  • ✓
    Produkcja komputerów, wyrobów elektronicznych i optycznych
  • ✓
    Produkcja urządzeń elektrycznych
  • ✓
    Produkcja maszyn i urządzeń, gdzie indziej niesklasyfikowana
  • ✓
    Produkcja pojazdów samochodowych, przyczep i naczep
  • ✓
    Produkcja pozostałego sprzętu transportowego
• 7)
  Dostawcy usług cyfrowych
• 8)
  Badania naukowe
• 9)
  Podmioty publiczne

Należy wziąć pod uwagę progi mikro, małych i średnich przedsiębiorstw. Przy obliczaniu wielkości przedsiębiorstwa uwzględnia się również przedsiębiorstwa powiązane oraz przedsiębiorstwa partnerskie.

Do personelu zatrudnionego w podmiocie wlicza się:

• •
  pracowników,
• •

  osoby pracujące dla przedsiębiorstwa, podlegające mu i uważane za pracowników na mocy prawa krajowego,

  • o
    osobę wykonującą pracę na podstawie umowy agencyjnej, umowy zlecenia lub innej umowy o świadczenie usług, do której zgodnie z Kodeksem cywilnym stosuje się przepisy dotyczące zlecenia, albo umowy o dzieło,
• •
  właścicieli-kierowników,
• •
  partnerów prowadzących regularną działalność w przedsiębiorstwie i czerpiący z niego korzyści finansowe.

Przy określaniu wielkości podmiotu przydatny będzie Kwalifikator MŚP przygotowany przez Polską Agencję Rozwoju Przedsiębiorczości dostępny pod adresem https://kwalifikator.parp.gov.pl/.

Przy badaniu statusu mikro-, małych i średnich przedsiębiorstw bierze się pod uwagę przedsiębiorstwa powiązane i przedsiębiorstwa partnerskie – ich przychody, sumę bilansową i liczbę pracowników dolicza się przy ustalaniu wielkości podmiotu. To mogłoby oznaczać, że dany podmiot staje się średnim przedsiębiorcą, wliczając jego przedsiębiorstwa powiązane i partnerskie – i jest wtedy podmiotem ważnym. Ale jego systemy informacyjne, służące świadczeniu usług, mogą mieć charakter niezależny od systemów podmiotów partnerskich i powiązanych. Nie ma więc powodów, aby uznawać ten podmiot za podmiot ważny.

Niezależność systemu informacyjnego zachodzi m.in. wtedy, gdy do świadczenia usług przez podmiot nie jest konieczne działanie podmiotu powiązanego czy partnerskiego. Niezależność może przejawiać się również pod względem zastępowalności sieci i systemów informatycznych, tj. jeżeli w akceptowalnym przez podmiot czasie oraz po akceptowalnych kosztach można zastąpić posiadane rozwiązanie jednego podmiotu rozwiązaniami innych, o nie gorszych właściwościach funkcjonalno-technicznych.

Ponadto, jeżeli podmiot wraz ze swoim przedsiębiorstwem partnerskim lub przedsiębiorstwem powiązanym nie świadczy tej samej usługi (nominalnie podlegającej pod krajowy system cyberbezpieczeństwa) to danych przedsiębiorstwa partnerskiego lub powiązanego nie powinno się ujmować przy ustalaniu wielkości przedsiębiorstwa. Świadczenie tej samej usługi może polegać na tym, że podmioty podzielą między sobą zakres obowiązków związanych z tą usługą. Powinno to być należycie udokumentowane.

Podmiotami kluczowymi niezależnie od ich wielkości są:

• •
  dostawca usług DNS,
• •
  kwalifikowany dostawca usług zaufania,
• •
  podmiot krytyczny,
• •
  podmiot publiczny wskazany w załączniku nr 1 do ustawy o KSC w sektorze podmioty publiczne,
• •
  podmiot zidentyfikowany jako podmiot kluczowy w drodze decyzji administracyjnej organu właściwego do spraw cyberbezpieczeństwa,
• •
  państwowa osoba prawna zidentyfikowana jako podmiot kluczowy w drodze decyzji administracyjnej Ministra Cyfryzacji,
• •
  podmiot, który nie jest przedsiębiorcą, a jest wskazany w załączniku nr 1 do ustawy o KSC z nazwy albo przez określenie jego rodzaju,
• •
  podmiot będący operatorem obiektu energetyki jądrowej,
• •
  rejestr nazw domen najwyższego poziomu (TLD),
• •
  podmiot świadczący usługi rejestracji nazw domen.

Ustawę stosuje się do podmiotów publicznych wskazanych w załączniku nr 1 i 2 do ustawy o KSC.

Podmioty wskazane w załączniku nr 1 do ustawy o KSC w sektorze „podmioty publiczne” są podmiotami kluczowymi niezależnie od wielkości podmiotu.

Podmioty wskazane w załączniku nr 2 do ustawy o KSC w sektorze „podmioty publiczne” są podmiotami ważnymi niezależnie od wielkości podmiotu.

Oznacza to, że podlegają obowiązkowi wpisu do wykazu. Nie robią tego jednak samodzielnie. Wpisanie podmiotów publicznych do wykazu następuje z urzędu, a podmiot zostaje o tym zawiadomiony. Takiego wpisu dokonuje minister właściwy do spraw informatyzacji na podstawie:

• •
  Danych zawartych w rejestrach publicznych
• •
  Danych zawartych w bazie adresów elektronicznych
• •
  Danych przekazanych przez właściwe organy nadzorcze

Jeżeli minister właściwy do spraw informatyzacji stwierdzi brak danych, które wymagane są do dokonania wpisu do wykazu, zwróci się do takiego podmiotu z wezwaniem do uzupełnienia danych, w terminie 6 w miesięcy od dnia doręczenia wezwania.

Przykładowe podmioty publiczne będące podmiotami kluczowymi to: starostwa powiatowe, instytuty badawcze, państwowe instytucje kultury, wojewódzkie fundusze ochrony środowiska i gospodarki wodnej.

Urząd gminy jest podmiotem kluczowym i podlega wpisowi do wykazu jako ten podmiot tylko jeżeli zatrudnia na dzień 1 stycznia danego roku w przeliczeniu na pełny etat czasu pracy na podstawie umowy o pracę co najmniej 50 osób. Pozostałe urzędy gminy będące samorządowymi jednostkami budżetowymi są podmiotami ważnymi.

Wszyscy przedsiębiorcy telekomunikacyjni niezależnie od ich wielkości podlegają pod ustawę. Status podmiotu będzie się jednak różnił od wielkości.

Podmiot spełniający kryteria dla podmiotu kluczowego oraz podmiotu ważnego jest podmiotem kluczowym i tak go należy traktować.

Upraszczając, co do zasady podmiotem kluczowym jest duży przedsiębiorca wskazany w załączniku nr 1 do ustawy. Podmiotem ważnym jest średni przedsiębiorca wskazany w załączniku nr 1 do ustawy o KSC oraz duży i średni przedsiębiorca prowadzący działalność określoną w załączniku nr 2 do ustawy. Jednakże istnieje od tego szereg wyjątków.

Merytoryczne obowiązki podmiotu kluczowego i podmiotu ważnego są takie same. Różnica sprowadza się do zakresu czynności nadzorczych, które mogą prowadzić organy właściwe do spraw cyberbezpieczeństwa. Nadzór nad podmiotami kluczowymi ma charakter ex ante, a nadzór nad podmiotami ważnymi ex post. Podmioty kluczowe mają obowiązek przeprowadzić audyt co 3 lata oraz na żądanie organu właściwego do spraw cyberbezpieczeństwa. Podmioty ważne

przeprowadzają audyt wyłącznie na żądanie organu właściwego do spraw cyberbezpieczeństwa.

Nie – każdy podmiot prowadzący działalność wskazaną w załącznikach nr 1 i 2 do ustawy o KSC musi przeanalizować czy jest podmiotem kluczowym lub podmiotem ważnym.

Istnieje od tego wyjątek – organy właściwe do spraw cyberbezpieczeństwa mogą uznać za podmiot kluczowy lub ważny podmiot, który co do zasady nie spełnia wymogów ustawowych, ale spełnia jedną z następujących przesłanek:

• 1)
  jako jedyny świadczy usługę, która ma kluczowe znaczenie dla krytycznej działalności społecznej lub gospodarczej,
• 2)
  zakłócenie świadczenia usługi przez niego spowoduje poważne zagrożenie dla bezpieczeństwa państwa, bezpieczeństwa i porządku publicznego lub obronności,
• 3)
  zakłócenie świadczenia usługi przez niego spowoduje ryzyko systemowe zaprzestania świadczenia usług przez podmioty kluczowe lub podmioty ważne lub
• 4)
  świadczenie przez niego usług ma istotne znaczenie na poziomie krajowym lub województwa lub ma znaczenie dla dwóch lub więcej sektorów określonych w załączniku nr 1 lub 2 do ustawy.

Przepis ten ma zagwarantować, że w krajowym systemie cyberbezpieczeństwa znajdą się wszystkie podmioty prowadzące szczególnie istotną dla państwa i społeczeństwa działalność. Jak wykazały doświadczenia pandemii w wielu przypadkach zaprzestanie działalności przez stosunkowo mały podmiot może mieć bardzo szerokie skutki dla innej działalności, np. w sektorze energetyki czy przemyśle. Tego rodzaju podmioty muszą znaleźć się w krajowym systemie cyberbezpieczeństwa.

Tak, organ właściwy do spraw cyberbezpieczeństwa może odpytać każdy podmiot i żądać przedstawienia informacji umożliwiających identyfikację podmiotu jako podmiot kluczowy lub podmiot ważny.

Jeżeli podmioty kluczowe lub podmioty ważne mają miejsce zamieszkania na terytorium Rzeczypospolitej Polskiej lub prowadzą działalność na terytorium Rzeczypospolitej Polskiej przez swoje siedziby, oddziały lub w ramach działalności transgranicznej to podlegają pod właściwość polskich organów.

Przedsiębiorcy komunikacji elektronicznej podlegają pod właściwość polskich organów, jeżeli świadczą swoje usługi na terytorium Rzeczypospolitej Polskiej.

Ustawę o KSC stosuje się do podmiotów publicznych niezależnie od miejsca ich siedziby – obejmie więc ona polskie placówki dyplomatyczne i konsularne.

Wyjątki dotyczą niektórych podmiotów z sektorów infrastruktury cyfrowej, zarządzania usługami ICT oraz dostawców usług cyfrowych. Jeśli te podmioty świadczą usługi na terenie Polski, to podlegają ustawie jeśli Polska jest głównym miejscem prowadzenia działalności przez ten podmiot. Kryterium to jest ustalane w sposób schodkowy:

• 1)
  Głównym miejscem prowadzenia działalności jest państwo członkowskie Unii Europejskiej, w którym ma siedzibę kierownik podmiotu podejmujący decyzje w sprawie systemu zarządzania bezpieczeństwem informacji.
• 2)
  Jeżeli tej informacji nie można ustalić, to głównym miejscem prowadzenia działalności jest państwo członkowskie Unii Europejskiej, w którym są realizowane zadania związane z systemem zarządzania bezpieczeństwem informacji.
• 3)
  Jeżeli i tej informacji nie można ustalić to głównym miejscem prowadzenia działalności jest państwo członkowskie UE.

Podmiotami krajowego systemu cyberbezpieczeństwa są m.in. jednostki budżetowe - szkoły publiczne czy przedszkola są jednostkami budżetowymi. Jednocześnie ustawa przewiduje dla tego typu mniejszych jednostek uproszczone wymagania cyberbezpieczeństwa, określone w załączniku nr 4 do ustawy oraz możliwość tworzenia, np. przez gminę, wspólnych jednostek obsługowych z zakresu cyberbezpieczeństwa.

Jeżeli uczelnia w ramach swojej podstawowej działalności prowadzi badania aplikacyjne lub prace rozwojowe za pomocą systemów informacyjnych to taka uczelnia będzie organizacją badawczą - podmiotem ważnym zobligowanym do wdrożenia systemu zarządzania bezpieczeństwem informacji wskazanego w art. 8 ust. 1 ustawy.

Przy czym sformułowanie "za pomocą systemów informacyjnych" należy rozumieć w ten sposób, że bez systemu informacyjnego przeprowadzenie badań naukowych lub prac rozwojowych jest niemożliwe. Nie chodzi tutaj o tylko zwykłe udokumentowanie tego rodzaju działań, a faktyczne prowadzenie badań naukowych lub prac rozwojowych np. poprzez prowadzenie symulacji, obliczenia, przetwarzanie dużej ilości danych itd.

Ustawa rozgraniczyła te definicje, wyraźnie wskazując, że za dostawcę sieci dostarczania treści nie uznaje się przedsiębiorcy komunikacji elektronicznej. Przedsiębiorcy komunikacji elektronicznej i świadczone przez nich usługi podlegają reżimowi ustawy – ich usługi CDN też będą podlegać pod reżim ustawy jako usługi komunikacji elektronicznej.

Oznacza to również, że do tego zakresu nie będzie znajdowało zastosowania rozporządzenie wykonawcze Komisji (UE) 2024/2690 https://eur-lex.europa.eu/legal-content/PL/TXT/?uri=CELEX:32024R2690.

Taki podmiot będzie podmiotem ważnym.

Dostawca usługi DNS jest podmiotem kluczowym niezależnie od wielkości podmiotu. Jednakże definicja wskazuje, że jest to podmiot, który świadczy dostępne publicznie rekurencyjne usługi rozpoznawania nazw domen na rzecz ogółu użytkowników końcowych Internetu lub autorytatywne usługi rozpoznawania nazw domen do użytku ogółu użytkowników końcowych Internetu, z wyjątkiem głównych serwerów nazw. Definicja wskazuje, że chodzi

o usługi świadczone publicznie dla ogółu użytkowników Internetu a nie tylko dla własnych użytkowników.

Po drugie wyjaśnienia Organu Europejskich Regulatorów Łączności Elektronicznej (BEREC) wskazują, że serwery DNS udostępniane przez dostawcę usług internetowych w ramach usługi dostępu do Internetu stanowią w praktyce część tej usługi, ponieważ są one instalowane automatycznie w momencie uruchomienia połączenia, a bez nich usługa dostępu do internetu byłaby praktycznie bezużyteczna dla przeciętnego użytkownika końcowego. Są więc one elementem usługi dostępu do Internetu a nie samodzielną usługą.

W konsekwencji nie należy traktować małego dostawcy usługi dostępu do Internetu jako dostawcę usługi DNS, ponieważ ta usługa nie jest usługą samodzielną, a jedynie elementem usługi dostępu do internetu.

BEREC Guidelines on the Implementation of the Open Internet Regulation https://www.berec.europa.eu/sites/default/files/files/document_register_store/2 022/6/BoR_%2822%29_81_Update_to_the_BEREC_Guidelines_on_the_Impleme ntation_of_the_Open_Internet_Regulation.pdf

Firmy, które nie zarejestrują się w wykazie będą wpisywane z urzędu przez organy właściwe do spraw cyberbezpieczeństwa. Konsekwencją takiego działania mogą być jednak czynności nadzorcze nad podmiotem lub w dalszej perspektywie nałożenie administracyjnej kary pieniężnej.

Natomiast podmiot wpisany do wykazu podmiotów kluczowych i podmiotów ważnych, który nie podlega pod ustawę, będzie mógł być wykreślony z wykazu przez organ właściwy do spraw cyberbezpieczeństwa.

Tak, jeżeli jest co najmniej małym przedsiębiorstwem. Skoro tego typu podmioty świadczą usługi np. obsługi incydentów, przetwarzając przy tym wrażliwe dane swoich klientów, to powinny spełniać wymogi z zakresu cyberbezpieczeństwa.

Dostawca usług chmurowych jest to podmiot świadczący usługi przetwarzania danych w modelu chmury obliczeniowej, zapewniając użytkownikowi na żądanie zdalny dostęp do skalowalnych oraz elastycznych zasobów IT - m.in. mocy obliczeniowej, pamięci, oprogramowania lub platform. Obejmuje to w szczególności usługi w modelu infrastruktura jako usługa (IaaS), platforma jako

usługa (PaaS) oraz oprogramowanie jako usługa (SaaS).Usługi te mogą być świadczone w różnych modelach wdrożeniowych, np. chmurze prywatnej, publicznej, hybrydowej, czy wspólnotowej.

Przy identyfikacji, czy dany dostawca jest dostawcą usług chmurowych należy przede wszystkim zwrócić uwagę na cel i funkcjonalność usługi, tj. czy usługa zapewnia użytkownikowi bezpośredni dostęp do skalowalnej i elastycznej puli zasobów obliczeniowych. W niektórych sytuacjach, w modelu SaaS, dostawca może być jedynie dostawcą oprogramowania, a nie dostawcą chmury obliczeniowej. Może to mieć miejsce w sytuacji, w której dostawca oprogramowania korzysta jedynie z chmury obliczeniowej, ale nie jest jej dostawcą, a dane oprogramowanie uruchamiane jest u odbiorcy na zasadzie on-premise.

Nie, nie wchodzą. Dostawcy oprogramowania co do zasady są regulowani przez Cyber Resilience Act.

Status podmiotu publicznego jako podmiotu kluczowego lub podmiotu ważnego nie zależy od tego czy jest on obsługiwany przez jednostkę wyznaczoną. Jednostka ta realizuje zadania z zakresu cyberbezpieczeństwa dla obsługiwanych podmiotów publicznych - podmiotów ważnych zgodnie z załącznikiem nr 4 do ustawy. Może przy tym wdrożyć dodatkowe środki techniczne i organizacyjne, jeżeli jest to konieczne dla zapewnienia odpowiedniego poziomu bezpieczeństwa systemów informacyjnych.

Podmiotami kluczowymi będą następujące podmioty publiczne:

• 1)

  jednostki sektora finansów publicznych, o których mowa w art. 9 pkt 1 ustawy z dnia 27 sierpnia 2009 r. o finansach publicznych, oraz urzędy je obsługujące;

  • a.
    organy władzy publicznej, w tym organy administracji rządowej, organy kontroli państwowej i ochrony prawa oraz sądy i trybunały;
  • b.
    Przykłady: Ministrowie i ministerstwa, wojewodowie i urzędy wojewódzkie, sądy powszechne, urzędy centralne, np. Prezes Urzędu Komunikacji Elektronicznej wraz z Urzędem Komunikacji Elektronicznej, Służba Ochrony Państwa;
• 2)

  jednostki sektora finansów publicznych, o których mowa w art. 9 pkt 3, 5– 6, 8 i 9 ustawy z dnia 27 sierpnia 2009 r. o finansach publicznych;

  • a.

    jednostki budżetowe;

    • i.
      Jednostkami budżetowymi są jednostki organizacyjne sektora finansów publicznych nieposiadające osobowości prawnej, które pokrywają swoje wydatki bezpośrednio z budżetu, a pobrane dochody odprowadzają na rachunek odpowiednio dochodów budżetu państwa albo budżetu jednostki samorządu terytorialnego;
  • b.

    agencje wykonawcze;

    • i.
      Polska Agencja Kosmiczna – wskazana w sektorze kosmicznym;
    • ii.
      Narodowy Instytut Wolności – Centrum Rozwoju Społeczeństwa Obywatelskiego;

    • iii.
      Polska Agencja Rozwoju Przedsiębiorczości;
    • iv.
      Narodowe Centrum Badań i Rozwoju;
    • v.
      Narodowe Centrum Nauki;
    • vi.
      Agencja Mienia Wojskowego;
    • vii.
      Agencja Restrukturyzacji i Modernizacji Rolnictwa;

    • viii.

      Krajowy Ośrodek Wsparcia Rolnictwa;

      • ix.
        Centralny Ośrodek Badań Odmian Roślin Uprawnych;
      • x.
        Rządowa Agencja Rezerw Strategicznych wskazana w sektorze energetycznym;
  • c.

    instytucje gospodarki budżetowej;

    • i.
      Centrum Obsługi Kancelarii Prezydenta RP;
    • ii.
      Centrum Zakupów dla Sądownictwa Instytucja Gospodarki Budżetowej;

    • iii.
      Centrum Obsługi Administracji Rządowej;
    • iv.
      Centralny Ośrodek Informatyki;
    • v.
      Centrum Usług Logistycznych;
    • vi.
      Centralny Ośrodek Sportu;
    • vii.
      Zakład Inwestycji Organizacji Traktatu Północnoatlantyckiego;

    • viii.

      Profilaktyczny Dom Zdrowia w Juracie;

      • ix.
        Krajowy Instytut Mediów w likwidacji;
  • d.
    Zakład Ubezpieczeń Społecznych i zarządzane przez niego fundusze;
  • e.
    Kasa Rolniczego Ubezpieczenia Społecznego i fundusze zarządzane przez Prezesa Kasy Rolniczego Ubezpieczenia Społecznego;
  • f.
    Narodowy Fundusz Zdrowia;
• 3)

  państwowe instytucje kultury;

  • a.
    Ministrowie oraz kierownicy urzędów centralnych organizują działalność kulturalną, tworząc państwowe instytucje kultury, dla których prowadzenie takiej działalności jest podstawowym celem statutowym;
• 4)

  instytuty badawcze;

  • a.
    Instytuty badawcze są tworzone przez Radę Ministrów w drodze rozporządzenia;
• 5)
  Narodowy Bank Polski;
• 6)
  Bank Gospodarstwa Krajowego;
• 7)
  Urząd Dozoru Technicznego;
• 8)
  Polska Agencja Żeglugi Powietrznej;
• 9)
  Polskie Centrum Akredytacji;
• 10)
  Urząd Komisji Nadzoru Finansowego;
• 11)
  Polska Agencja Prasowa;
• 12)
  Państwowe Gospodarstwo Wodne Wody Polskie;
• 13)

  Polski Fundusz Rozwoju i inne instytucje rozwoju, o których mowa w art. 2 ust. 1 pkt 1 i 3–6 ustawy z dnia 4 lipca 2019 r. o systemie instytucji rozwoju;

  • a.
    Polski Fundusz Rozwoju;
  • b.
    Polska Agencja Rozwoju Przedsiębiorczości;
  • c.
    Korporacja Ubezpieczeń Kredytów Eksportowych Spółka Akcyjna;
  • d.
    Polska Agencja Inwestycji i Handlu Spółka Akcyjna;
  • e.
    Agencja Rozwoju Przemysłu Spółka Akcyjna;
• 14)
  Narodowy Fundusz Ochrony Środowiska i Gospodarki Wodnej;
• 15)
  wojewódzkie fundusze ochrony środowiska i gospodarki wodnej;
• 16)
  Państwowy Fundusz Rehabilitacji Osób Niepełnosprawnych;
• 17)
  Zakład Unieszkodliwiania Odpadów Promieniotwórczych z siedzibą w Otwocku-Świerku;
• 18)
  państwowa osoba prawna, wobec której wydano decyzję, o której mowa w art. 7m;
• 19)
  spółka, o której mowa w art. 2 ust. 1 ustawy z dnia 29 kwietnia 2016 r. o szczególnych zasadach wykonywania niektórych zadań dotyczących informatyzacji w zakresie działów administracji rządowej budżet i finanse publiczne;
• 20)
  w odniesieniu do samorządu województwa: jednostki budżetowe oraz zakłady budżetowe z wyjątkami;
• 21)
  w odniesieniu do samorządu powiatu: starostwo powiatowe;
• 22)
  w odniesieniu do samorządu gminy: urząd gminy, jeżeli zatrudnia na dzień 1 stycznia danego roku w przeliczeniu na pełny wymiar czasu pracy na podstawie umowy o pracę co najmniej 50 osób.

Nie. Podmiotami kluczowymi nie są wojewódzkie:

• 1.
  przedszkola;
• 3.
  szkoły;
• 4.
  placówki oświatowo-wychowawcze;
• 4.
  placówki kształcenia ustawicznego, centra kształcenia zawodowego oraz branżowe centra umiejętności, umożliwiające uzyskanie i uzupełnienie wiedzy, umiejętności i kwalifikacji zawodowych lub zmianę kwalifikacji zawodowych;
• 5.
  placówki artystyczne;
• 6.
  poradnie psychologiczno-pedagogiczne;
• 7.
  młodzieżowe ośrodki wychowawcze, młodzieżowe ośrodki socjoterapii, specjalne ośrodki szkolno-wychowawcze oraz specjalne ośrodki wychowawcze dla dzieci i młodzieży wymagających stosowania specjalnej organizacji nauki, metod pracy i wychowania, a także ośrodki rewalidacyjno-wychowawcze;
• 8.
  placówki zapewniające opiekę i wychowanie uczniom w okresie pobierania nauki poza miejscem stałego zamieszkania;
• 9.
  placówki doskonalenia nauczycieli;
• 10.
  biblioteki pedagogiczne;
• 11.
  kolegia pracowników służb społecznych;
• 12.
  jednostki organizacyjne województwa wykonujące zadania w zakresie wspierania rodziny i systemu pieczy zastępczej;
• 13.
  placówki wsparcia dziennego;
• 14.
  organizatorzy rodzinnej pieczy zastępczej;
• 15.
  placówki opiekuńczo-wychowawcze;
• 16.
  regionalne placówki opiekuńczo-terapeutyczne;
• 17.
  interwencyjne ośrodki preadopcyjne;
• 18.
  ośrodki adopcyjne;
• 19.
  jednostek organizacyjnych, o których mowa w art. 6 pkt 5 ustawy z dnia 12 marca 2004 r. o pomocy społecznej, oprócz regionalnych ośrodków polityki społecznej;
• 20.
  ośrodek pomocy społecznej;
• 21.
  centrum usług społecznych - w przypadku przekształcenia ośrodka pomocy społecznej w centrum usług społecznych na podstawie przepisów ustawy z dnia 19 lipca 2019 r. o realizowaniu usług społecznych przez centrum usług społecznych (Dz.U. poz. 1818 oraz z 2025 r. poz. 620);
• 22.
  dom pomocy społecznej;
• 23.
  placówkę specjalistycznego poradnictwa, w tym rodzinnego;
• 24.
  ośrodek wsparcia i ośrodek interwencji kryzysowej;
• 25.
  wojewódzkie urzędy pracy;
• 26.
  parki krajobrazowe i ich zespoły;
• 27.
  jednostek obsługujących, o których mowa w art. 8d ustawy z dnia 5 czerwca 1998 r. o samorządzie województwa, w zakresie, w jakim prowadzą wspólną obsługę ww. jednostek.

Przedsiębiorstwo spożywcze, będące co najmniej średnim przedsiębiorstwem będzie zaklasyfikowane jako podmiot ważny, o ile prowadzi jeden z typów działalności:

Dystrybucja hurtowa żywności – pomocne dla ustalenia tej działalności mogą być kody PKD 2025:

Przemysłowa produkcja i przetwarzanie żywności

Co do zasady wojewódzkie ośrodki doradztwa rolniczego nie kwalifikują się jako podmioty kluczowe ani podmioty ważne na podstawie przepisów dotyczących podmiotów publicznych.

ODR są państwowymi jednostkami organizacyjnymi posiadającymi osobowość prawną. Zgodnie z ustawą o finansach publicznych należą do kategorii innych państwowych osób prawnych utworzonych na podstawie odrębnych ustaw w celu wykonywania zadań publicznych. Kategoria ta nie została objęta zakresem podmiotów publicznych wskazanych w ustawie o KSC.

ODR powinny jednak samodzielnie sprawdzić, czy prowadzona przez nie działalność nie spełnia przesłanek uznania ich za organizację badawczą w rozumieniu ustawy o KSC lub podmiotów z innych sektorów lub podsektorów podlegających obowiązkowi samorejestracji. Wymaga to indywidualnej oceny zakresu działalności danego ośrodka.

Przy ustalaniu progu 50 osób należy uwzględniać wszystkich pracowników pozostających w stosunku pracy, niezależnie od tego, czy zajmują stanowiska urzędnicze, kierownicze, pomocnicze, czy stanowiska obsługi. Nie ma podstaw do ograniczania tej liczby wyłącznie do stanowisk urzędniczych.

Jednocześnie nie należy wliczać osób wykonujących czynności na rzecz urzędu na podstawie umów cywilnoprawnych, samozatrudnienia, umów z wykonawcami zewnętrznymi lub innych form współpracy, jeżeli nie pozostają one pracownikami urzędu w rozumieniu przepisów prawa pracy.

W przypadku urzędów gmin próg uznania za podmiot kluczowy został ustalony w następujący sposób: urząd gminy, jeżeli zatrudnia na dzień 1 stycznia danego roku w przeliczeniu na pełny wymiar czasu pracy na podstawie umowy o pracę co najmniej 50 osób. Przepis nie wyłącza pracowników przebywających np. na urlopie macierzyńskim czy rodzicielskim. Należy więc ująć te osoby, jeżeli są zatrudnione na umowę o pracę na pełny wymiar czasu pracy na dzień 1 stycznia jak również osoby zatrudnione na umowę na zastępstwo na pełny wymiar czasu pracy, która też jest rodzajem umowy o pracę.

W przypadku przedsiębiorstw, zasady ustalania liczby pracowników na potrzeby określenia wielkości przedsiębiorstwa wynikają z art. 5 załącznika I do rozporządzenia 2014/651. Zgodnie z tym przepisem do liczby pracowników nie wlicza się okresu przebywania na urlopie macierzyńskim ani wychowawczym.

Publiczna szkoła podstawowa, dla której organem prowadzącym jest gmina, jako gminna samorządowa jednostka budżetowa, spełnia przesłanki uznania za podmiot ważny i podlega wpisowi do Wykazu, z urzędu, przez ministra właściwego do spraw informatyzacji. Jest to wpis niezależny od wpisów urzędów gmin.

Niepubliczne szkoły, w tym szkoły posiadające uprawnienia szkół publicznych, co do zasady nie podlegają automatycznie przepisom ustawy o KSC. Dotyczy to także szkół otrzymujących dotacje lub środki pochodzące z subwencji oświatowej. Sam fakt finansowania ze środków publicznych nie oznacza bowiem, że szkoła staje się jednostką sektora finansów publicznych.

W związku z tym szkoły te nie są wpisywane z urzędu do wykazu podmiotów kluczowych i podmiotów ważnych. Nie można jednak wykluczyć sytuacji, w której konkretna szkoła niepubliczna zostanie objęta obowiązkami wynikającymi z ustawy o KSC, jeżeli charakter prowadzonej działalności lub zakres świadczonych usług będą kwalifikowały ją jako podmiot spełniający kryteria innych sektorów lub podsektorów podlegających samorejestracji.

Tak jest dostawcą usługi DNS i w zakresie świadczenia usługi DNS powinien stosować przepisy rozporządzenia wykonawczego Komisji (UE) 2024/2690 z dnia 17 października 2024 r. ustanawiającego zasady stosowania dyrektywy (UE) 2022/2555 w odniesieniu do wymogów technicznych i metodycznych dotyczących środków zarządzania ryzykiem w cyberbezpieczeństwie oraz doprecyzowujące przypadki, w których incydent uznaje się za poważny w odniesieniu do dostawców usług DNS, rejestrów nazw TLD, dostawców usług chmurowych, dostawców usług ośrodka przetwarzania danych, dostawców sieci dostarczania treści, dostawców usług zarządzanych, dostawców usług zarządzanych w zakresie bezpieczeństwa, dostawców internetowych platform handlowych, wyszukiwarek internetowych i platform usług sieci społecznościowych oraz dostawców usług zaufania (Dz. Urz. UE L 2024/2690 z 18.10.2024, z późn. zm.).

Zgodnie z definicją ustawową dostawcą usług zarządzanych jest osoba fizyczna, osoba prawna albo jednostka organizacyjna nieposiadająca osobowości prawnej, która świadczy usługi związane z instalacją, eksploatacją lub konserwacją produktów ICT, usług ICT, procesów ICT lub systemów informacyjnych przez wsparcie lub aktywną administrację przeprowadzane u usługobiorcy na miejscu lub zdalnie. Usługi helpdesk polegają na wsparciu usługobiorcy w instalacji, eksploatacji lub konserwacji produktów ICT, usług ICT, procesów ICT lub systemów informacyjnych. Dlatego usługi helpdesk wpisują się w definicję dostawcy usług zarządzanych.

Oddział instytucji kredytowych nie został wskazany w ustawie z dnia 5 lipca 2018 r. o krajowym systemie cyberbezpieczeństwa w sektorze bankowości i infrastruktury rynków finansowych jako podmiot kluczowy lub podmiot ważny. Niezależnie od tego należy przeanalizować kwalifikację danego podmiotu w ramach pozostałych sektorów wskazanych w ustawie.

Pojęcie „usługi ITS”, do którego odsyła załącznik nr 1 do ustawy o krajowym systemie cyberbezpieczeństwa, należy odczytywać łącznie z definicjami inteligentnych systemów transportowych oraz aplikacji ITS zawartymi w art. 4 pkt 33 i 35 ustawy z dnia 21 marca 1985 r. o drogach publicznych. Usługą ITS jest zatem dostarczanie operacyjnej aplikacji wykorzystującej technologie informacyjne i komunikacyjne w obszarze transportu drogowego – obejmującym infrastrukturę, pojazdy i użytkowników, zarządzanie ruchem i mobilnością oraz interfejsy z innymi rodzajami transportu – w określonych ramach organizacyjnych i operacyjnych, w celu wskazanym w art. 4 pkt 36 tej ustawy.

Krąg podmiotów świadczących usługi ITS nie jest ograniczony do zarządców dróg ani do dostawców systemów używanych przez zarządców dróg. Przemawia za tym w szczególności treść art. 4 pkt 33, 36 i 37 ustawy o drogach publicznych, art. 43a ust. 1 posługujący się zwrotem „w szczególności zarządcy dróg publicznych”, a także odrębne wymienienie w załączniku nr 1 do ustawy o krajowym systemie

cyberbezpieczeństwa zarządcy drogi oraz podmiotów świadczących usługę ITS. Dostawcą usługi ITS może być zatem podmiot publiczny albo prywatny.

Jednocześnie nie każde oprogramowanie wykorzystywane przez przedsiębiorstwo działające w transporcie drogowym stanowi aplikację lub usługę ITS. Rozstrzygające są rzeczywiste funkcje rozwiązania i sposób jego dostarczania, nie zaś sama nazwa produktu, branża odbiorcy czy technologia wdrożenia. Oprogramowanie wyłącznie księgowe, kadrowe, płacowe, CRM, archiwizacyjne albo służące wyłącznie retrospekcyjnej kontroli zgodności co do zasady nie spełnia definicji, jeżeli nie stanowi operacyjnego narzędzia wspierającego ruch, mobilność lub wykonywanie operacji transportowej albo przewozowej.

Za typowe usługi ITS można uznać nie tylko systemy zarządzania ruchem i informacji dla kierowców, lecz również – zależnie od ich konkretnych funkcji i modelu świadczenia – usługi nawigacji i informacji o ruchu, wyznaczania i dynamicznej optymalizacji trasy, dyspozytury i zarządzania flotą, ustalania pozycji i przewidywanego czasu przyjazdu, a także śledzenia przewozu osób lub rzeczy z wykorzystaniem danych lokalizacyjnych. W przypadku systemów czasu pracy kierowców, analizy kart kierowców, optymalizacji załadunku i rozładunku lub monitorowania plomb elektronicznych konieczna jest ocena, czy dana funkcja operacyjnie wspiera realizowany przewóz albo bezpieczeństwo w jego toku, czy ma jedynie charakter administracyjny, dowodowy lub analityczny po jego zakończeniu.

Należy również odróżnić podmiot świadczący usługę ITS od jej użytkownika oraz od dostawcy pojedynczego komponentu technicznego. Przedsiębiorstwo transportowe używające zewnętrznej platformy flotowej jest co do zasady użytkownikiem ITS. Z kolei producent urządzenia, podmiot hostujący albo wykonawca samego kodu nie staje się automatycznie dostawcą usługi ITS. Należy ustalić, kto faktycznie dostarcza odbiorcy kompletną aplikację w określonych ramach organizacyjnych i operacyjnych.

Samo w sobie świadczenie usług body leasingu, jeżeli dotyczy to wyłącznie zapewnienia personelu, a podmiot nie przetwarza danych związanych z systemem zarządzania bezpieczeństwem informacji usługobiorcy nie stanowi świadczenia usług zarządzanych w zakresie cyberbezpieczeństwa.

Jeżeli odsprzedawca (reseller) usług chmurowych lub usług zarządzanych zajmuje się wyłącznie czynnościami związanymi ze sprzedażą tych usług, bez faktycznego świadczenia usługi czy przetwarzania danych w chmurze obliczeniowej to nie jest on dostawcą usług chmurowych.

Tak, dostawca chmury obliczeniowej może być jednocześnie dostawcą usługi centrum przetwarzania danych, jeżeli spełnia obydwie definicje.

Działalność związana z wykonywaniem kopii zapasowych może być wykonywana zarówno przez dostawcę usług zarządzanych jak i dostawcę usług zarządzanych w zakresie cyberbezpieczeństwa. Decydujące powinno być to, czy usługa ta jest świadczona w połączeniu z innymi usługami związanym z zarządzaniem ryzykiem cyberbezpieczeństwa czy jako działanie związane z eksploatacją i konserwacją systemów.

Dostawcami usługi centrum przetwarzania danych podlegającymi pod ustawę KSC są podmioty, które są przedsiębiorstwami w rozumieniu załącznika nr 1 rozporządzenia GBER. Art. 1 tego załącznika wskazuje wyraźnie, że przedsiębiorstwem jest podmiot, który prowadzi działalność gospodarczą. Jeżeli więc udostępnienie podmiotowi trzeciemu we własnej serwerowni macierzy dyskowej nie służy prowadzeniu działalności gospodarczej to taki podmiot nie jest dostawcą centrum przetwarzania danych, który podlegałby pod ustawę KSC.

Podmioty, które przed upływem terminu na wpis do wykazu podmiotów kluczowych i podmiotów ważnych, przestały spełniać definicję podmiotu ważnego albo kluczowego z uwagi na zaprzestanie prowadzenia działalności wskazanej w przepisach uksc, nie mają obowiązku złożenia wniosku o wpis do wykazu podmiotów kluczowych i podmiotów ważnych.

Nie każda aplikacja webowa będzie usługą chmurową w modelu Software as a service. Aby można było ją uznać za usługę chmurową musi być ona umieszczona na skalowalnym (pozwalającym na dynamiczne zwiększanie i obniżanie użycia zasobów obliczeniowych) i elastycznym (pozwalającym do szybkiego dostosowania infrastruktury do potrzeb) zbiorze zasobów obliczeniowych do wspólnego wykorzystywania przez wielu użytkowników. W konsekwencji nie każdy dostawca aplikacji webowej będzie dostawcą chmury obliczeniowej.

Tak, dostawca chmury obliczeniowej może być jednocześnie dostawcą usługi centrum przetwarzania danych, jeżeli spełnia obydwie definicje.

Tak, nawet w przypadku podmiotów spoza Unii Europejskiej należy uwzględnić zasady ustalania wielkości przedsiębiorstwa, o których mowa w rozporządzeniu 651/2014.

Nie, ilekroć ustawa posługuje się pojęciem średniego przedsiębiorcy odsyła do art. 2 ust. 1 załącznika I rozporządzenia 651/2014/UE, który m.in. określa w art. 4 dane i okresy referencyjne brane pod uwagę przy ustalaniu statusu przedsiębiorcy, w tym kluczową w aspekcie pytania regułę dwóch lat. Zgodnie ze wskazanym przepisem „Jeżeli w dniu zamknięcia ksiąg rachunkowych dane przedsiębiorstwo stwierdza, że w skali rocznej przekroczyło pułapy zatrudnienia lub pułapy finansowe określone w art. 2, lub spadło poniżej tych pułapów, uzyskanie lub utrata statusu średniego, małego lub mikroprzedsiębiorstwa następuje tylko wówczas, gdy zjawisko to powtórzy się w ciągu dwóch kolejnych okresów obrachunkowych.”

Powyższe oznacza, że samo przekroczenie progów 2026 roku, nie jest jeszcze wystarczającą przesłanką do zmiany statusu podmiotu. Zgodnie z ww. przepisem uzyskanie statusu średniego przedsiębiorcy, następuje dopiero gdy zjawisko powtórzy się w drugim, kolejnym roku obrotowym, tj. w 2027 roku.

Natomiast samo badanie spełnienia przesłanek powinno być dokonywane na dzień sporządzenia sprawozdania finansowego - zgodnie z art. 5 ust. 5 Ustawy. W tym aspekcie kluczowe jest, że art. 5 ust. 5 Ustawy nie wprowadza autonomicznej jednorocznej cezury czasowej gdyż status podmiotu ustalany jest zgodnie z wyżej opisaną metodologią unijną.

Nie. Restauracje nie prowadzą dystrybucji hurtowej oraz przemysłowej produkcji i przetwarzania żywności. Z zakresu dyrektywy NIS2 są wyłączone przedsiębiorstwa spożywcze, które zajmują się detaliczną dystrybucją żywności.

Podmiot, który zajmuje się produkcją produktów kosmetycznych i w związku z działaniami produkcyjnymi nabywa oraz przechowuje substancje do produkcji produktów kosmetycznych, tj. wyrobów w rozumieniu art. 3 pkt 3 rozporządzenia REACH podlega pod sektor „Produkcja, wytwarzanie i dystrybucja chemikaliów” jako przedsiębiorstwo zajmujące się wytwarzaniem z substancji lub mieszanin wyrobów, o których mowa w art. 3 pkt 3 rozporządzenia REACH, a w konsekwencji zobligowany jest do dokonania wpisu w wykazie podmiotów kluczowych i podmiotów ważnych oraz do realizacji obowiązków wskazanych w ustawie.

Tak, prowadzenie działalności w zakresie obrotu paliwami ciekłymi, która na podstawie przepisów ustawy – Prawo energetyczne nie wymaga uzyskania koncesji, nie podlega pod ustawę o KSC.

Samo świadczenie usług prawnych nie jest jeszcze prowadzeniem działalności jako dostawca usług zarządzanych w zakresie cyberbezpieczeństwa. Warto jednak zwrócić uwagę, że o ile samo świadczenie pomocy prawnej nie należy uznać za usługę zarządzaną w zakresie bezpieczeństwa to powinna być ona odpowiednio wyodrębniona od innego rodzaju doradztwa czy wsparcia w zakresie zarządzania ryzykiem, tworzenia polityk bezpieczeństwa i innych czynności związanych z zapewnienie funkcjonowania systemu zarządzania bezpieczeństwem informacji. Tego rodzaju kompleksowe doradztwo należałoby już uznać za usługę zarządzaną w zakresie bezpieczeństwa. Jeśli więc prawnik zapewnia tego rodzaju usługi to już powinien się zidentyfikować się jako dostawca usług zarządzanych w zakresie cyberbezpieczeństwa.