29/09/2026
Do 3 października zostały dosłownie dni. Czy Twoja spółka wie, czy podlega pod KSC? ⏳
Nowelizacja ustawy o krajowym systemie cyberbezpieczeństwa (implementacja NIS2) obowiązuje od kwietnia. Spółki spełniające przesłanki podmiotu ważnego lub kluczowego, które nie zostały wpisane z urzędu, muszą samodzielnie złożyć wniosek do wykazu KSC. Termin mija 3 października 2026 r.
Najważniejsza rzecz, o której łatwo zapomnieć: status spółki nie zawsze zależy tylko od niej samej.
🔹 Przy ocenie wielkości przedsiębiorcy uwzględnia się także przedsiębiorstwa partnerskie i powiązane, czyli ich zatrudnienie, obroty i sumę bilansową. Mała spółka, która sama nie przekracza progów, może je przekroczyć jako część grupy kapitałowej.
🔹 Znaczenie ma rzeczywisty zakres działalności, a nie tylko główny kod PKD. Wystarczy, że nawet poboczna część działalności mieści się w załącznikach do ustawy.
🔹 Szczególnej uwagi wymagają spółki pełniące funkcję centrum usług wspólnych. Usługi IT lub cyberbezpieczeństwa świadczone wyłącznie na rzecz innych spółek z grupy mogą zostać uznane za usługi zarządzane. W przypadku dostawców usług zarządzanych w zakresie cyberbezpieczeństwa status podmiotu kluczowego może powstać już na poziomie małego przedsiębiorcy.
🔹 Jest też aspekt osobisty: nowelizacja przewiduje bezpośrednią odpowiedzialność finansową kierowników podmiotów ważnych i kluczowych, także gdy obowiązki przekazano podmiotowi zewnętrznemu.
Co zrobić teraz?
✅ Zmapować wszystkie spółki w grupie i ich rzeczywiste usługi, także te wewnątrzgrupowe
✅ Policzyć progi wielkości z uwzględnieniem podmiotów powiązanych i partnerskich
✅ Sprawdzić, czy spółka nie została już wpisana z urzędu
✅ Jeśli trzeba, złożyć wniosek przed 3 października
✅ Zaplanować wdrożenie środków zarządzania ryzykiem (okres dostosowawczy dla podmiotów prywatnych wynosi 12 miesięcy)
Czy w Waszej grupie ktoś już przeprowadził taką analizę na poziomie całej struktury, a nie pojedynczych spółek?
