Dlaczego kwalifikacja wymaga decyzji biznesowej 

Nowelizacja ustawy o krajowym systemie cyberbezpieczeństwa, wdrażająca dyrektywę NIS2, istotnie poszerzyła krąg organizacji objętych regulacją. W praktyce pytanie nie brzmi już wyłącznie: „czy otrzymaliśmy decyzję albo pismo z urzędu?”. Właściwe pytanie brzmi: „czy rodzaj faktycznie świadczonej przez nas usługi, skala działalności i miejsce prowadzenia działalności spełniają ustawowe kryteria?”. To rozróżnienie ma znaczenie, ponieważ część podmiotów trafia do Wykazu KSC z urzędu, ale inne składają wniosek samodzielnie. Cisza po stronie administracji nie jest więc bezpiecznym potwierdzeniem braku obowiązków. 

Kwalifikacja pod UKSC ma jednocześnie wymiar prawny, organizacyjny i techniczny. Prawnik odczytuje załączniki do ustawy i definicje działalności. Finanse oraz kadry dostarczają dane potrzebne do oceny wielkości przedsiębiorstwa. Osoby odpowiedzialne za operacje opisują, jakie usługi są rzeczywiście świadczone. IT i bezpieczeństwo wskazują, z jakich systemów zależy ich ciągłość. Dopiero zestawienie tych informacji daje podstawę do wniosku, czy firma jest podmiotem kluczowym, ważnym, czy pozostaje poza zakresem ustawy. Jedno PKD albo ogólny opis działalności ze strony internetowej zwykle nie wystarczą. 

Krok pierwszy: ustalenie rzeczywistej usługi i sektora   

Punktem wyjścia są załączniki nr 1 i 2 do ustawy. Obejmują one nie tylko sektory kojarzone tradycyjnie z infrastrukturą krytyczną, takie jak energia, transport, bankowość, infrastruktura rynków finansowych, ochrona zdrowia, woda pitna i ścieki. Zakres obejmuje również wybrane usługi cyfrowe, dostawców chmury i centrów danych, usługi zarządzane, usługi zarządzane w zakresie cyberbezpieczeństwa, pocztę i kurierów, gospodarowanie odpadami, produkcję określonych wyrobów, żywność, badania oraz inne kategorie wskazane w ustawie. Sama obecność firmy w szeroko rozumianej branży nie rozstrzyga sprawy. Trzeba dopasować konkretny rodzaj podmiotu opisany w odpowiedniej pozycji załącznika. 

Analiza powinna opierać się na faktach, a nie wyłącznie na kodach PKD. Warto sprawdzić umowy z klientami, regulaminy usług, koncesje i zezwolenia, strukturę przychodów, opis procesów operacyjnych oraz architekturę świadczenia usług. Firma może przedstawiać się marketingowo jako producent, a równolegle świadczyć usługę zarządzaną, która przesuwa ją do innej kategorii. Może też wykonywać kilka rodzajów działalności, z których tylko jeden jest objęty ustawą. Wówczas należy ustalić, które procesy i systemy wpływają na świadczenie tej konkretnej usługi. Dobra kwalifikacja kończy się wskazaniem pozycji załącznika i krótkim uzasadnieniem opartym na dowodach.

Krok drugi: wielkość przedsiębiorstwa i powiązania kapitałowe

W wielu kategoriach status zależy od tego, czy organizacja spełnia progi właściwe dla średniego przedsiębiorcy albo je przekracza. Nie jest to proste sprawdzenie liczby pracowników w jednej spółce. Ustawa odsyła do unijnych zasad dotyczących statusu mikro, małego i średniego przedsiębiorstwa, które wymagają uwzględnienia nie tylko zatrudnienia, lecz także danych finansowych oraz relacji z przedsiębiorstwami partnerskimi i powiązanymi. W grupach kapitałowych błędem jest badanie każdej spółki w całkowitej izolacji. W zależności od struktury własności i kontroli część danych innych podmiotów może podlegać doliczeniu. 

Do oceny warto przygotować schemat grupy, udziały i prawa głosu, informacje o wspólnym zarządzaniu, dane o zatrudnieniu, rocznym obrocie i sumie bilansowej. Istotny jest także moment badania. Ustawa wskazuje, że gdy status zależy od wielkości, przesłanki ocenia się według stanu na dzień sporządzenia sprawozdania finansowego. Jednocześnie przewidziano szczególne rozwiązanie dla sytuacji, w której przekroczenie progów wynika wyłącznie z doliczenia przedsiębiorstw partnerskich lub powiązanych, a system informacyjny badanego podmiotu jest od nich niezależny lub usługi nie są świadczone wspólnie. Taki wyjątek wymaga jednak rzetelnego udokumentowania, nie może być przyjęty intuicyjnie.

Krok trzeci: kluczowy czy ważny  

Po potwierdzeniu sektora i kryteriów wielkości trzeba ustalić kategorię podmiotu. Uproszczenie, że większe firmy są zawsze kluczowe, a średnie zawsze ważne, bywa użyteczne jedynie jako pierwsza orientacja. Artykuł 5 zawiera liczne szczegółowe reguły oraz kategorie niezależne od typowych progów. Niektóre podmioty są kluczowe ze względu na rodzaj działalności lub szczególny status. Inne należą do kategorii ważnych. Jeżeli organizacja spełnia jednocześnie warunki obu kategorii, ustawa przesądza status podmiotu kluczowego. 

Rozróżnienie jest istotne dla modelu nadzoru, poziomu kar i obowiązku cyklicznego audytu. Nie oznacza natomiast, że podmiot ważny może potraktować cyberbezpieczeństwo jako temat drugiej kategorii. Zarówno podmioty kluczowe, jak i ważne mają wdrożyć system zarządzania bezpieczeństwem informacji, stosować adekwatne środki zarządzania ryzykiem, obsługiwać i zgłaszać incydenty oraz realizować obowiązki organizacyjne. Dlatego kwalifikację należy od razu połączyć z mapą obowiązków, a nie kończyć jej na samej etykiecie.

Krok czwarty: zasięg terytorialny i sytuacje transgraniczne  

Ustawa określa również łącznik terytorialny. Co do zasady obowiązki dotyczą podmiotów mających miejsce zamieszkania w Polsce albo prowadzących działalność na terytorium Polski przez siedzibę, oddział lub transgranicznie. Dla niektórych usług cyfrowych ustawodawca posługuje się pojęciem głównego miejsca prowadzenia działalności. Dla przedsiębiorców komunikacji elektronicznej znaczenie ma świadczenie usług na terytorium Polski. Grupy międzynarodowe powinny więc ustalić nie tylko, która spółka podpisuje umowę z klientem, lecz także gdzie podejmowane są decyzje dotyczące bezpieczeństwa i gdzie faktycznie organizowana jest usługa. 

W analizie transgranicznej należy unikać automatycznego założenia, że zgodność zapewni centrala w innym państwie. Możliwe jest wykorzystanie wspólnych polityk, narzędzi i zespołów, lecz polski podmiot nadal powinien potrafić wykazać swój status, zakres odpowiedzialności i sposób wykonania obowiązków wynikających z polskiej ustawy. W niektórych przypadkach podmiot spoza Unii oferujący określone usługi musi wyznaczyć przedstawiciela. Ocena miejsca prowadzenia działalności powinna znaleźć się w notatce kwalifikacyjnej obok analizy sektora i wielkości. 

Brak wpisu z urzędu nie zamyka sprawy 

Wykaz KSC służy identyfikacji podmiotów, wymianie informacji oraz prowadzeniu nadzoru. Minister właściwy do spraw informatyzacji dokonuje wpisów z urzędu wobec określonych kategorii, między innymi na podstawie rejestrów publicznych. Pozostałe podmioty kluczowe i ważne składają wniosek. Oficjalna instrukcja S46 wskazuje, że termin wynosi sześć miesięcy od dnia spełnienia przesłanek. Dla organizacji, które spełniały kryteria w dniu wejścia w życie nowelizacji, opublikowany harmonogram przewiduje samorejestrację do 3 października 2026 roku. 

To właśnie dlatego oczekiwanie na korespondencję może być ryzykowne. Firma może nie należeć do grupy wpisywanej automatycznie, a mimo to być objęta ustawą. Może też otrzymać wezwanie do uzupełnienia danych dopiero w odniesieniu do wpisu dokonanego z urzędu. Sam obowiązek kwalifikacji nie powstaje wskutek doręczenia listu. Wynika z faktów określonych w ustawie. Jeżeli analiza prowadzi do wniosku o braku obowiązku, warto zachować jej wynik i materiały źródłowe. Jeżeli prowadzi do wniosku pozytywnego, należy przygotować dane i osoby uprawnione do złożenia wniosku.  

Jak sprawnie przygotować wniosek  

Wniosek składa i podpisuje kierownik podmiotu albo osoba przez niego upoważniona. Zawiera on oświadczenie kierownika składane pod rygorem odpowiedzialności karnej za złożenie fałszywego oświadczenia, z ustawowym wyłączeniem dotyczącym zakresów IP i domen. W praktyce formularz wymaga połączenia danych prawnych, rejestrowych, kontaktowych i technicznych. Trzeba ustalić sektor, podsektor i rodzaj działalności, dane identyfikacyjne, adresy, osoby kontaktowe, administratora konta, zakresy publicznych adresów IP, domeny oraz inne informacje przewidziane w wykazie. 

Warto wcześniej przygotować kartę rejestracyjną przygotowana przed rozpoczęciem pracy w systemie. Każda informacja powinna mieć właściciela i źródło. Prawnik odpowiada za podstawę klasyfikacji, finanse za dane wielkościowe, IT za adresy i domeny, a kierownik podmiotu za zatwierdzenie całości. Jeżeli wniosek podpisuje pełnomocnik, należy przygotować pełnomocnictwo elektroniczne, z uwzględnieniem wyjątków wskazanych w instrukcji. Takie uporządkowanie ogranicza ryzyko niespójności i pozwala zachować materiał dowodowy na wypadek późniejszej aktualizacji lub kontroli.

Po co przygotować dokument kwalifikacyjny 

Ustawa nie narzuca jednego wzoru opinii kwalifikacyjnej. Z perspektywy zarządczej warto jednak sporządzić dokument, który odpowiada na kilka prostych pytań: jaką usługę badano, do której pozycji załącznika ją odniesiono, jakie dane wielkościowe przyjęto, jak potraktowano grupę kapitałową, jaki łącznik terytorialny zastosowano i jaki jest końcowy status. Do dokumentu powinny prowadzić załączniki lub odwołania do umów, sprawozdań i schematu grupy. Należy wskazać datę analizy oraz zdarzenia, które powodują konieczność jej aktualizacji. 

Taki dokument ma praktyczne znaczenie. Daje zarządowi podstawę do podjęcia decyzji, a w razie wyniku negatywnego pozwala wykazać, że brak wpisu wynikał ze świadomej oceny, a nie z zaniechania. Jeżeli kwalifikacja jest pozytywna, dokument może być punktem wyjścia do przygotowania rejestru obowiązków i planu wdrożenia. Powinien być zrozumiały także dla osób spoza działu prawnego i przedstawiać wnioski bez zbędnego przepisywania ustawy.

Najczęstsze błędy w kwalifikacji 

Pierwszy błąd to utożsamianie kodu PKD z rozstrzygającym kryterium. Drugi to pomijanie usług wykonywanych ubocznie, lecz mieszczących się w ustawowym opisie. Trzeci to badanie zatrudnienia i przychodów wyłącznie w jednej spółce bez sprawdzenia relacji partnerskich i powiązanych. Czwarty to założenie, że spółka technologiczna automatycznie jest dostawcą usług zarządzanych albo chmurowych, mimo że jej model nie spełnia definicji. Piąty to odwrotna sytuacja: marketingowa nazwa usługi zasłania jej rzeczywisty charakter. Szósty błąd polega na czekaniu na wpis z urzędu. 

Kolejne ryzyka pojawiają się już w procesie rejestracji. Firma może wskazać nieaktualne osoby kontaktowe, niepełne zakresy domen, nieprawidłową kategorię wielkości albo podpisać wniosek przez osobę bez właściwego umocowania. Zdarza się też, że zespół traktuje rejestrację jako koniec projektu i nie uruchamia prac nad SZBI. Tymczasem dane w wykazie powinny odpowiadać rzeczywistości, a wpis pozwala rozpocząć korzystanie z S46 Cyber Hub i realizacji dalszych obowiązków. Dlatego zespół kwalifikacyjny powinien od początku przekazać wynik osobom odpowiedzialnym za wdrożenie. 

Praktyczny plan na najbliższe tygodnie

Pierwszy tydzień warto przeznaczyć na zebranie informacji o usługach, strukturze grupy i danych finansowych. W drugim tygodniu można przeprowadzić warsztat kwalifikacyjny z udziałem prawa, finansów, operacji i IT. Trzeci tydzień służy sporządzeniu krótkiej opinii, podjęciu decyzji przez kierownika podmiotu i wyznaczeniu właściciela dalszych działań. Jeśli wynik jest pozytywny, równolegle należy zgromadzić dane do wniosku oraz rozpocząć analizę luk w systemie zarządzania bezpieczeństwem informacji. Jeśli wynik jest negatywny, warto ustawić cykliczny przegląd. 

Przegląd powinien być uruchamiany także po przejęciu spółki, zmianie struktury właścicielskiej, przekroczeniu progów wielkości, wejściu w nowy sektor, uruchomieniu nowej usługi albo zmianie sposobu świadczenia usług w grupie. Kwalifikacji pod UKSC nie przeprowadza się raz na zawsze. Status może zmienić się wraz z przedsiębiorstwem. Organizacja, która ma prosty proces monitorowania tych zdarzeń, znacznie łatwiej dotrzymuje sześciomiesięcznego terminu liczonego od spełnienia przesłanek.

Co powinien otrzymać zarząd 

Materiał dla zarządu powinien mieścić się na kilku stronach i prowadzić do jasnej decyzji. Powinien wskazywać status, podstawę prawną, najważniejsze założenia, obszary niepewności, termin na wpis oraz konsekwencje organizacyjne. Jeżeli potrzebna jest dodatkowa interpretacja działalności, należy opisać ją jako otwarte zagadnienie i wskazać sposób jego rozstrzygnięcia. Zarząd nie powinien otrzymywać wyłącznie tabeli z kilkudziesięcioma kategoriami podmiotów bez rekomendacji. 

Warto dołączyć plan dalszych prac z odpowiedzialnością po stronie konkretnych funkcji. Sam formularz Wykazu KSC wymaga współpracy. Jeszcze większej współpracy wymaga wdrożenie SZBI, procedur incydentowych, zarządzania dostawcami i ciągłości działania. Decyzja kwalifikacyjna jest więc pierwszą decyzją w programie zgodności, nie odrębnym zadaniem administracyjnym. Dzięki temu organizacja unika sytuacji, w której ma formalny wpis, ale nie ma właścicieli procesów potrzebnych do wykonania ustawy.

Dziesięć pytań kontrolnych przed podpisaniem wniosku 

Czy potrafimy wskazać dokładną pozycję załącznika odpowiadającą świadczonej usłudze? Czy opis usługi wynika z dokumentów, a nie tylko deklaracji marketingowej? Czy dane o zatrudnieniu i finansach są aktualne na właściwy dzień? Czy zidentyfikowaliśmy przedsiębiorstwa partnerskie i powiązane? Czy sprawdziliśmy wyjątek dotyczący niezależności systemów i wspólnego świadczenia usług? Czy uwzględniliśmy wszystkie jednostki organizacyjne i działalność transgraniczną? Czy wybrana kategoria podmiotu jest spójna ze wszystkimi przesłankami? Czy kierownik podmiotu zna treść oświadczenia? Czy dane techniczne zostały potwierdzone przez ich właścicieli? Czy ustaliliśmy proces aktualizacji wpisu? 

Lista kontrolna nie zastępuje opinii, ale szybko ujawnia luki. Każda odpowiedź „nie wiemy” powinna otrzymać właściciela i termin wyjaśnienia. Nie wszystkie wątpliwości muszą prowadzić do wielotygodniowego projektu. Często wystarcza rozmowa z właścicielem usługi, weryfikacja kilku umów oraz aktualny schemat grupy. Najbardziej ryzykowne jest pozostawienie założeń bez nazwania. Wtedy nie wiadomo, czy decyzja była świadoma, ani kiedy należy do niej wrócić.

Jak zebrać informacje w organizacji

W Twojej organizacji rozmowę warto prowadzić wokół konkretnej usługi. Prawnik powinien zapytać osoby odpowiedzialne za sprzedaż i operacje, co faktycznie otrzymuje klient, finanse i kadry o dane potrzebne do ustalenia wielkości przedsiębiorstwa, a dział IT o systemy, domeny i adresy IP. Dzięki temu kwalifikacja będzie oparta na faktach, a nie na samej nazwie branży lub kodzie PKD. 

Jak udokumentować kwalifikację 

W notatce kwalifikacyjnej należy zapisać przyjęte dane, ich źródła, właściwą pozycję załącznika do ustawy, sposób uwzględnienia powiązań kapitałowych oraz końcowy wniosek. Warto także wskazać datę analizy i zdarzenia, po których trzeba ją powtórzyć. Taki dokument pozwoli zarządowi wykazać, na jakiej podstawie podjął decyzję o wpisie albo o braku obowiązku rejestracji. 

Rola prawnika w kwalifikacji 

Prawnik powinien ustalić podstawę kwalifikacji, wskazać potrzebne informacje i ocenić je w świetle ustawy. Nie zastąpi jednak osób, które znają faktyczny sposób świadczenia usługi, dane finansowe lub architekturę systemów. Jego zadaniem jest połączenie tych informacji i przedstawienie zarządowi jednoznacznego wniosku wraz z uzasadnieniem.

Kiedy powtórzyć analizę 

Do kwalifikacji trzeba wrócić po uruchomieniu nowej usługi, przejęciu spółki, zmianie struktury grupy, przekroczeniu progów wielkości lub wejściu na nowy rynek. W Twojej organizacji warto wskazać osobę, która będzie monitorować takie zmiany i w odpowiednim czasie przekaże je prawnikowi. 

Wniosek

O podleganiu UKSC decydują ustawowe przesłanki i rzeczywisty model działalności, a nie to, czy organizacja otrzymała pismo z urzędu. Analiza powinna obejmować sektor, wielkość przedsiębiorstwa, powiązania w grupie, zasięg terytorialny i właściwe wyjątki. Jej wynik należy udokumentować, zatwierdzić i powiązać z terminem na wpis. Odkładanie tej oceny do czasu kontaktu ze strony organu może pozostawić zbyt mało czasu na rejestrację i przygotowanie do dalszych obowiązków. 

Materiał ma charakter ogólny i edukacyjny. Konkretna kwalifikacja zależy od faktów dotyczących danej organizacji, treści umów, struktury grupy i danych finansowych. W przypadkach granicznych warto przeprowadzić analizę na dokumentach zamiast opierać decyzję na nazwie branży lub krótkim opisie działalności.