Nowe regulacje w zakresie cyberbezpieczeństwa. Jak dokonać samoidentyfikacji

Nowelizacja ustawy o Krajowym Systemie Cyberbezpieczeństwa (KSC), będąca implementacją dyrektywy NIS2, wprowadza obowiązek samoidentyfikacji podmiotów objętych nowymi regulacjami. Przedsiębiorcy i inne podmioty prowadzące działalność w sektorach wskazanych w ustawie muszą samodzielnie ocenić, czy podlegają przepisom KSC jako podmioty kluczowe lub podmioty ważne, a następnie dokonać rejestracji w Wykazie KSC prowadzonym przez Ministra Cyfryzacji.

Nowe regulacje w zakresie cyberbezpieczeństwa. Jak dokonać samoidentyfikacji

Niektóre podmioty będą wpisane do wykazu z urzędu przez Ministra Cyfryzacji w terminie do 6 maja 2026 r. – dotyczy to podmiotów publicznych, przedsiębiorców telekomunikacyjnych, dostawców usług cyfrowych oraz podmiotów, które wcześniej miały status operatorów usług kluczowych.

Wykaz KSC jest prowadzony w Systemie S46, ale stanowi osobną aplikację webową dostępną pod adresem https://wykaz-ksc.gov.pl. Wnioski o wpis, zmianę wpisu, wykreślenie podmiotu z wykazu będą wypełniane i składane w aplikacji i opatrywane podpisem elektronicznym.

Samoidentyfikacja w praktyce - jak dokonać oceny

Kluczowym elementem nowych regulacji jest samoidentyfikacja, czyli obowiązek samodzielnej oceny przez podmiot, czy podlega przepisom krajowego systemu cyberbezpieczeństwa oraz czy spełnia kryteria uznania go za podmiot kluczowy lub podmiot ważny.

KROK 1 – Sprawdź, czy prowadzisz działalność w sektorze objętym ustawą

W pierwszej kolejności należy zweryfikować, czy prowadzona działalność mieści się w sektorach lub podsektorach wskazanych w załączniku nr 1 (podmioty kluczowe) albo załączniku nr 2 (podmioty ważne).

Przy ocenie należy brać pod uwagę rzeczywisty charakter prowadzonej działalności. Pomocniczo można posłużyć się kodami PKD, jednak decydujące znaczenie ma faktyczny zakres świadczonych usług lub wykonywanych zadań.

KROK 2 – Określ wielkość swojego podmiotu

Należy wziąć pod uwagę progi mikro, małych i średnich przedsiębiorstw. Przy obliczaniu wielkości przedsiębiorstwa uwzględnia się również przedsiębiorstwa powiązane oraz przedsiębiorstwa partnerskie.

Wszyscy przedsiębiorcy telekomunikacyjni niezależnie od ich wielkości podlegają pod ustawę.

KROK 3 – Przeanalizuj art. 5  ustawy o KSC 

Ostatnim etapem jest analiza art. 5 ustawy, który określa szczegółowe zasady uznawania podmiotów za podmiot kluczowy albo podmiot ważny. Przepis ten wskazuje m.in. przypadki, w których podmiot może zostać objęty ustawą niezależnie od swojej wielkości, a także szczególne sytuacje uzasadniające zakwalifikowanie podmiotu do jednej kategorii.

Po dokonaniu analizy art. 5 możliwe jest ostateczne ustalenie, czy podmiot:

• jest podmiotem kluczowym,
• jest podmiotem ważnym,
• nie podlega przepisom ustawy.

ŹRÓDŁO: Ministerstwo Cyfryzacji

Oprac. Katarzyna Bogucka

REDAKCJA INFORLEX