KSC już obowiązuje. Co teraz musi zrobić przedsiębiorca?
Nowelizacja ustawy o Krajowym Systemie Cyberbezpieczeństwa obowiązuje od 3 kwietnia 2026 r. Pierwszy ważny termin na samodzielny wpis do Wykazu KSC upłynął 3 października.
Nowelizacja wdraża do polskiego prawa unijną dyrektywę NIS2 i znacząco rozszerza grupę organizacji objętych wymaganiami dotyczącymi cyberbezpieczeństwa, wprowadzając podział na podmioty kluczowe i ważne. Co istotne, nowe obowiązki nie dotyczą już wyłącznie największych gigantów technologicznych.
Mogą objąć także przedsiębiorstwa działające m.in. w sektorze produkcyjnym, logistyce, branży chemicznej, spożywczej, usługach cyfrowych (ICT) czy sektorze kosmicznym. O tym, czy konkretna firma podlega nowym przepisom, nie decyduje wyłącznie jej branża czy kod PKD.
Kluczowe znaczenie mają również rzeczywisty zakres działalności, wielkość przedsiębiorstwa, powiązania z innymi podmiotami oraz charakter oferowanych produktów i usług. Dlatego mniejsze firmy w żadnym wypadku nie powinny z góry zakładać, że KSC ich nie dotyczy.
Weryfikacja statusu firmy
Jeżeli jako przedsiębiorca nadal nie masz pewności, czy podlegasz nowym przepisom, powinieneś dokładnie przeanalizować swój profil działalności. Sam kod PKD często nie wystarczy do prawidłowej oceny sytuacji.
W uporządkowaniu tej analizy pomaga bezpłatna usługa Pre-weryfikacja zgodności z zaleceniami NIS2, dostępna na portalu Biznes.gov.pl. Formularz krok po kroku prowadzi przedsiębiorcę przez pytania dotyczące miejsca prowadzenia działalności, sektora, kodów PKD, wielkości firmy, powiązań z innymi podmiotami oraz szczególnych podstaw kwalifikacji.
Pre-weryfikację warto potraktować jako pierwszy krok do świadomej oceny, czy nowe przepisy dotyczą danej organizacji. Im wcześniej firma to sprawdzi, tym więcej czasu zyska na przygotowanie danych i spokojne złożenie wniosku, jeśli okaże się to konieczne.
Konkretne obowiązki firm
Dla firm objętych ustawą, samodzielny wpis do Wykazu KSC nie kończy obowiązków, a jedynie otwiera kolejny etap. Podmioty kluczowe i ważne muszą wdrożyć realne zmiany organizacyjne i techniczne.
W praktyce oznacza to konieczność przygotowania firmy m.in. do wdrożenia Systemu Zarządzania Bezpieczeństwem Informacji (SZBI), systematycznego szacowania ryzyka i zarządzania nim, wdrożenia odpowiednich środków technicznych i organizacyjnych, zbierania informacji o cyberzagrożeniach i podatnościach.
Dodatkowo firmy muszą przygotować procedury zarządzania incydentami i ich zgłaszania, wyznaczyć osoby odpowiedzialne za utrzymywanie kontaktów z podmiotami KSC, zweryfikować niekaralność osób wykonujących określone zadania związane z cyberbezpieczeństwem oraz uwzględnić bezpieczeństwo i ciągłość działania łańcucha dostaw.
Powiązane
