Najczęstsze pytanie, jakie słyszymy od firm po wejściu w życie nowelizacji ustawy o KSC, brzmi prosto: „Czy to w ogóle nas dotyczy?”. Problem w tym, że nikt nie przyśle Ci pisma z odpowiedzią. Polski model wdrożenia dyrektywy NIS2 opiera się na samoidentyfikacji — to organizacja sama musi ocenić swój status i zgłosić się do wykazu.
Ten artykuł to praktyczny test. Przejdź przez trzy kroki, a będziesz wiedzieć, czy i jako jaki podmiot najprawdopodobniej podlegasz.
Co oznacza samoidentyfikacja?
W poprzednim modelu państwo indywidualnie wskazywało operatorów usług kluczowych. NIS2 to zmienia: obejmuje automatycznie całe sektory i kategorie wielkości. W praktyce ciężar oceny przeniesiono na firmy — i to one odpowiadają za jej prawidłowość. Dlatego samoidentyfikację warto potraktować poważnie i udokumentować.
Krok 1: Sprawdź swój sektor
Pierwsze pytanie: czy Twoja działalność mieści się w sektorach wymienionych w ustawie? Obejmują one m.in.:
- energetykę, transport, bankowość i infrastrukturę rynków finansowych,
- ochronę zdrowia, wodę pitną i ścieki,
- infrastrukturę cyfrową, usługi ICT,
- usługi pocztowe i kurierskie, gospodarowanie odpadami,
- produkcję (w tym wyrobów medycznych, elektroniki, maszyn), żywność,
- badania naukowe, usługi cyfrowe.
Jeśli Twojej branży nie ma na liście — najprawdopodobniej nie podlegasz. Jeśli jest — przejdź dalej.
Krok 2: Sprawdź wielkość organizacji
Regulacja obejmuje co do zasady organizacje od poziomu średniego przedsiębiorstwa wzwyż. Uproszczone progi to:
- zatrudnienie od 50 osób, lub
- roczny obrót / suma bilansowa powyżej progu dla średnich firm.
Od tego zależy też kategoria: większe podmioty w sektorach krytycznych trafiają zwykle do grupy podmiotów kluczowych, pozostałe — ważnych. Różnice opisaliśmy w artykule o podmiocie kluczowym i ważnym.
Krok 3: Sprawdź swoją rolę w łańcuchu dostaw
Nawet jeśli jesteś mniejszą firmą, możesz podlegać, jeśli świadczysz usługi krytyczne dla podmiotów objętych regulacją lub dla infrastruktury krytycznej. Dla części podmiotów kluczowych wielkość nie ma znaczenia — liczy się rola.
Jak zinterpretować wynik testu?
- Sektor TAK + próg wielkości TAK → najprawdopodobniej podlegasz; ustal kategorię i przygotuj wpis.
- Sektor TAK + poniżej progu, ale krytyczna rola → możliwe, że podlegasz mimo niewielkiej skali.
- Sektor NIE → zwykle nie podlegasz, ale warto udokumentować tę ocenę.
W razie wątpliwości nie zgaduj — przeprowadź audyt gotowości KSC/NIS2, który jednoznacznie ustali status.
Co zrobić przed 3 października 2026?
To pierwszy twardy termin: wniosek o wpis do wykazu podmiotów kluczowych i ważnych. Rekomendowana kolejność:
- Przeprowadź i udokumentuj samoidentyfikację (ten test).
- Ustal kategorię (kluczowy/ważny).
- Złóż wniosek o wpis przed terminem.
- Zaplanuj wdrożenie obowiązków (termin: 3 kwietnia 2027).
Pełny harmonogram znajdziesz w artykule o terminach nowelizacji KSC/NIS2.
Powiązane pojęcia
Sprawdź nasze usługi
- Audyt i doradztwo KSC/NIS2 — ustalenie statusu i mapa drogowa
- vCISO — wsparcie zarządcze w procesie zgodności
- SOC 24/7 — gotowość operacyjna do obowiązków NIS2
Samoidentyfikacja to pozornie formalność, a w rzeczywistości pierwszy obowiązek, od którego zależy wszystko inne. Lepiej zrobić ją świadomie i z wyprzedzeniem niż pod presją terminu.
