Podmiot kluczowy czy ważny wg NIS2: jak ocenić status zakładu

Dlaczego status ma znaczenie w praktyce zakładu

Nowelizacja ustawy o krajowym systemie cyberbezpieczeństwa (Dz.U. 2026 poz. 252) obowiązuje od 3 kwietnia 2026 r. i wdraża dyrektywę (UE) 2022/2555. Ustawa nie czeka na decyzję urzędu: to podmiot sam ocenia, czy jest podmiotem kluczowym, ważnym, czy nie podlega przepisom wcale. Błędna ocena w dół oznacza brak przygotowań, błędna ocena w górę oznacza niepotrzebne koszty.

Różnica między statusami jest wymierna. Dla podmiotu kluczowego kara sięga 10 000 000 EUR lub 2% przychodów z poprzedniego roku obrotowego, przy czym stosuje się kwotę wyższą. Dla podmiotu ważnego jest to 7 000 000 EUR lub 1,4% przychodów. Tylko podmiot kluczowy ma obowiązkowy audyt cyberbezpieczeństwa: pierwszy w 24 miesiące od wejścia ustawy w życie, czyli do 3 kwietnia 2028 r., a potem nie rzadziej niż raz na 3 lata.

Krok 1: sprawdź sektor i rodzaj działalności

Pierwsze pytanie dotyczy rodzaju działalności, nie wielkości. Dyrektywa dzieli sektory na dwa załączniki. Sektory kluczowe to energia, transport, bankowość, infrastruktura rynków finansowych, ochrona zdrowia, woda pitna, ścieki, infrastruktura cyfrowa, zarządzanie usługami ICT, administracja publiczna i przestrzeń kosmiczna. Sektory ważne to poczta i kurierzy, gospodarka odpadami, chemikalia, żywność, produkcja (m.in. maszyn, pojazdów, elektroniki i wyrobów medycznych), dostawcy cyfrowi oraz badania.

Zakład przemysłowy rzadko mieści się w jednej kategorii. Huta może mieć własną elektrociepłownię, zakład chemiczny instalację rafinacji, a producent maszyn dział produkujący elementy elektroniczne. Przejdź przez wszystkie rodzaje działalności firmy i dla każdego sprawdź, czy mieści się w którymś z załączników. Wynik tej analizy trzeba zapisać, bo jest pierwszym dowodem w razie kontroli.

• wypisz wszystkie rodzaje działalności i kody PKD zakładu, także te uboczne
• dla każdego sprawdź, czy mieści się w załączniku I (sektory kluczowe) albo II (sektory ważne)
• zapisz, które instalacje i usługi realizują daną działalność oraz kto za nie odpowiada
• porównaj wynik z działalnością spółek powiązanych w grupie

Krok 2: porównaj wielkość z progami

Drugi krok to wielkość podmiotu. Zgodnie z kartą źródłową opartą na ustawie, podmiotem kluczowym jest duży podmiot z sektora kluczowego: od 250 pracowników albo z obrotem ponad 50 mln EUR i bilansem ponad 43 mln EUR. Podmiotem ważnym jest średni podmiot z sektora kluczowego (50–249 pracowników lub obrót do 50 mln EUR albo bilans 10–43 mln EUR) oraz średni i duży podmiot z sektora ważnego (od 50 pracowników lub obrót albo bilans ponad 10 mln EUR).

W praktyce oznacza to, że ten sam zakład z 2 000 pracownikami będzie podmiotem kluczowym, jeżeli prowadzi działalność z sektora kluczowego, a podmiotem ważnym, jeżeli jego działalność mieści się wyłącznie w sektorze ważnym, na przykład w produkcji chemikaliów. Dlatego krok 1 musi poprzedzać krok 2.

Na co uważać przy liczeniu

Do liczby pracowników i obrotu trzeba przyjąć dane z właściwego okresu i ocenić, czy wlicza się podmioty powiązane kapitałowo. Zasady liczenia wielkości przedsiębiorstwa wynikają z odrębnych przepisów, więc granicę warto potwierdzić z prawnikiem, zanim zakład uzna, że mieści się poniżej progu.

Wyjątki niezależne od wielkości

Część podmiotów jest kluczowa niezależnie od skali. Karta źródłowa wymienia m.in. dostawców usług DNS, rejestry nazw domen najwyższego poziomu oraz podmioty krytyczne. Dla zakładów przemysłowych ważne jest to ostatnie: operator infrastruktury krytycznej wskazany w przepisach o odporności podmiotów krytycznych nie może zakładać, że niski próg zatrudnienia go zwalnia.

Regulator sektorowy może też wpisać podmiot do wykazu decyzją. Jeżeli zakład uznał, że nie podlega przepisom, a organ ocenia inaczej, wpis może nastąpić bez jego wniosku. Wniosek o samodzielny wpis jest więc rozsądniejszy niż czekanie na decyzję.

Krok 3: wniosek o wpis do wykazu i aktualizacje

Podmiot, który stwierdzi, że jest kluczowy lub ważny, składa elektroniczny wniosek o wpis do wykazu prowadzonego przez ministra właściwego do spraw informatyzacji. Zmiany danych we wpisie zgłasza się w ciągu 14 dni od zmiany. Harmonogram dla poszczególnych podmiotów wynika z komunikatu Ministra Cyfryzacji, więc termin własnego zgłoszenia trzeba potwierdzić w tym komunikacie, a nie tylko w kalendarzu ustawy.

Po wpisie zaczyna się odliczanie obowiązków. Dla podmiotów spełniających przesłanki w dniu wejścia ustawy w życie system zarządzania bezpieczeństwem informacji, dokumentacja i procedury incydentowe muszą działać do 3 kwietnia 2027 r. (art. 33 ust. 1). Zgłaszanie incydentów poważnych odbywa się przez system S46: wczesne ostrzeżenie w ciągu 24 godzin, zgłoszenie w ciągu 72 godzin, sprawozdanie końcowe w ciągu miesiąca.

Jak udokumentować ocenę statusu do audytu

Ocena statusu to decyzja, którą ktoś kiedyś zakwestionuje: audytor, regulator sektorowy albo klient w ankiecie bezpieczeństwa łańcucha dostaw. Dowód powinien być zrozumiały bez ustnych wyjaśnień. W praktyce wystarcza jedna notatka o stałej strukturze: stan na dzień oceny, sektory i działalności, dane o zatrudnieniu i obrocie, wynik porównania z progami, wniosek, osoba zatwierdzająca i data następnego przeglądu.

Taką notatkę zatwierdza kierownik podmiotu, bo to on odpowiada za nadzór nad systemem zarządzania bezpieczeństwem informacji i ponosi odpowiedzialność osobistą. Przeglądaj ją przy każdej zmianie zatrudnienia, obrotu, struktury grupy albo zakresu działalności, a zmiany wpisu zgłaszaj w terminie 14 dni.

• stan na dzień oceny i źródło danych o zatrudnieniu oraz obrocie
• lista działalności z odniesieniem do załączników I i II dyrektywy
• porównanie z progami i uzasadnienie wyniku
• decyzja kierownika podmiotu oraz termin kolejnego przeglądu

Co z oceną statusu ma wspólnego bezpieczeństwo OT i prace firm zewnętrznych

Status wpływa na zakres, ale nie na sens działań w obszarze OT. Podmiot kluczowy i ważny musi objąć systemem zarządzania bezpieczeństwem informacji także systemy sterowania, a w nim bezpieczeństwo łańcucha dostaw ICT i przeszkolenie pracowników. Zakład, który wpuszcza na teren dziesiątki firm zewnętrznych, odpowiada za to, kto i na jakich zasadach ma dostęp do instalacji.

Tu pomaga system, który zapisuje, kto został zaproszony, kto przeszedł szkolenie i kto ma ważne uprawnienia. InnerWeb przy tworzeniu zezwolenia na pracę sprawdza automatycznie, czy przypisani pracownicy mają wymagane, ważne kwalifikacje, a zmiany w zezwoleniach i wynikach szkoleń zapisuje z autorem i czasem. Takie zapisy wspierają spełnienie wymogu i dostarczają dowodu do audytu, ale nie zastępują oceny statusu ani analizy ryzyka.