Czy moja firma podlega NIS2? Praktyczny test kwalifikacyjny

Pytanie „czy firma podlega NIS2?” nie zawsze można rozstrzygnąć na podstawie samej branży albo liczby pracowników. Znaczenie ma rzeczywisty zakres działalności, wielkość przedsiębiorstwa, powiązania z innymi spółkami oraz szczególne wyjątki przewidziane w przepisach.

W Polsce wymagania dyrektywy NIS2 zostały wdrożone przez nowelizację ustawy o krajowym systemie cyberbezpieczeństwa. Nowe przepisy obowiązują od 3 kwietnia 2026 roku i wprowadzają podział na podmioty kluczowe oraz podmioty ważne. W praktyce pytanie „czy firma podlega NIS2?” oznacza więc sprawdzenie, czy organizacja spełnia kryteria określone w ustawie o KSC. ¹

Zapraszamy do współpracy

Szczegółowe informacje o ofercie i warunkach współpracy można uzyskać telefonicznie lub wysyłając zapytanie za pomocą formularza kontaktowego.

BPPZ – Biuro Porad Prawnych Zacharski

• +48 600 784 526
• kontakt@bppz.pl

Zadzwoń Napisz wiadomość

Najważniejsze informacje

• O objęciu przepisami decydują działalność, wielkość firmy i przepisy szczególne.
• Kod PKD jest pomocny, ale nie rozstrzyga o kwalifikacji.
• Średnie i duże firmy z określonych sektorów najczęściej podlegają ustawie.
• Niektóre mikro- i małe firmy również są objęte przepisami.
• Organizacja powinna samodzielnie ocenić swój status.
• Biuro Porad Prawnych Zacharski może pomóc przeprowadzić analizę kwalifikacyjną NIS2.

Kogo dotyczy NIS2 w Polsce?

Nowe przepisy obejmują organizacje działające w sektorach szczególnie istotnych dla państwa, gospodarki i społeczeństwa. Nie oznacza to jednak, że każda firma prowadząca działalność w danej branży automatycznie zostaje podmiotem kluczowym albo ważnym.

Podczas kwalifikacji należy sprawdzić trzy podstawowe elementy:

• rodzaj prowadzonej działalności;
• wielkość przedsiębiorstwa;
• szczególne przesłanki powodujące objęcie ustawą niezależnie od wielkości.

Ministerstwo Cyfryzacji wskazuje, że proces samoidentyfikacji przeprowadza sam podmiot. Analiza powinna opierać się przede wszystkim na art. 5 oraz załącznikach nr 1 i 2 do ustawy o krajowym systemie cyberbezpieczeństwa. ²

Krok 1. Sprawdź, czy firma działa w sektorze objętym ustawą

Pierwsze pytanie testu brzmi:

Czy rzeczywista działalność firmy mieści się w jednym z sektorów wskazanych w ustawie o KSC?

Sektory kluczowe

Załącznik nr 1 obejmuje między innymi:

• energię, ciepło, gaz, ropę, paliwa, energetykę jądrową i wodór;
• transport lotniczy, kolejowy, wodny i drogowy;
• bankowość i infrastrukturę rynków finansowych;
• ochronę zdrowia;
• produkcję i dystrybucję substancji czynnych, produktów leczniczych i określonych wyrobów medycznych;
• zaopatrzenie w wodę pitną;
• zbiorowe odprowadzanie ścieków;
• infrastrukturę cyfrową;
• komunikację elektroniczną;
• zarządzanie usługami ICT;
• przestrzeń kosmiczną;
• określone podmioty publiczne.

W sektorze cyfrowym mogą znaleźć się na przykład dostawcy usług chmurowych, centrów przetwarzania danych, sieci dostarczania treści, usług zarządzanych, usług cyberbezpieczeństwa, usług DNS oraz rejestracji domen.

Sektory ważne

Załącznik nr 2 obejmuje między innymi:

• usługi pocztowe;
• określone inwestycje energetyki jądrowej;
• gospodarowanie odpadami;
• produkcję i dystrybucję chemikaliów;
• produkcję i dystrybucję żywności;
• produkcję wyrobów medycznych;
• produkcję komputerów, elektroniki i urządzeń optycznych;
• produkcję urządzeń elektrycznych;
• produkcję maszyn i urządzeń;
• produkcję pojazdów i pozostałego sprzętu transportowego;
• internetowe platformy handlowe;
• wyszukiwarki internetowe;
• platformy społecznościowe;
• organizacje badawcze;
• określone podmioty publiczne.

Samo podobieństwo działalności firmy do jednego z tych sektorów nie wystarczy. Trzeba sprawdzić dokładny rodzaj podmiotu i działalności opisany w załącznikach do ustawy.

Przykładowo zwykły sklep internetowy nie staje się automatycznie dostawcą internetowej platformy handlowej. Znaczenie ma to, czy sprzedaje własne produkty, czy udostępnia usługę umożliwiającą zawieranie umów pomiędzy konsumentami a innymi przedsiębiorcami lub osobami trzecimi.

Czy kod PKD wystarczy do oceny?

Nie. Kod PKD może pomóc w przeprowadzeniu wstępnej analizy, ale decydujący jest faktyczny zakres prowadzonej działalności.

Firma może posiadać kod PKD odpowiadający sektorowi objętemu ustawą, mimo że w rzeczywistości nie wykonuje już takiej działalności. Możliwa jest również sytuacja odwrotna: organizacja faktycznie świadczy usługę objętą przepisami, chociaż nie zaktualizowała swoich kodów PKD.

Ministerstwo Cyfryzacji wskazuje, że przy samoidentyfikacji należy uwzględnić rzeczywisty charakter świadczonych usług lub wykonywanych zadań. Kod PKD ma znaczenie pomocnicze.

Wynik pierwszej części testu: jeżeli rzeczywista działalność organizacji odpowiada jednemu z rodzajów podmiotów wskazanych w załączniku nr 1 lub 2, należy przejść do oceny wielkości przedsiębiorstwa.

Krok 2. Określ wielkość przedsiębiorstwa

W wielu przypadkach o objęciu ustawą decyduje to, czy organizacja jest przedsiębiorstwem średnim, czy dużym.

Przyjmuje się następujące progi:

• mikroprzedsiębiorstwo zatrudnia mniej niż 10 osób, a jego obrót lub suma bilansowa nie przekracza 2 mln euro;
• małe przedsiębiorstwo zatrudnia mniej niż 50 osób, a jego obrót lub suma bilansowa nie przekracza 10 mln euro;
• średnie przedsiębiorstwo zatrudnia mniej niż 250 osób, a jego obrót nie przekracza 50 mln euro lub suma bilansowa nie przekracza 43 mln euro;
• duże przedsiębiorstwo przekracza progi przewidziane dla średniego przedsiębiorstwa.

Przy ustalaniu wielkości znaczenie mają liczba zatrudnionych oraz obrót lub suma bilansowa. Jeżeli firma należy do większej grupy, konieczne może być również uwzględnienie danych przedsiębiorstw partnerskich i powiązanych. ³

Nie należy więc sprawdzać wyłącznie zatrudnienia. Firma zatrudniająca 40 osób nie zawsze będzie małym przedsiębiorstwem. Jeżeli przekracza właściwe progi finansowe albo należy do większej grupy kapitałowej, wynik analizy może być inny.

Czy trzeba uwzględnić całą grupę kapitałową?

Co do zasady przy ustalaniu wielkości przedsiębiorstwa należy przeanalizować także dane podmiotów partnerskich i powiązanych. Nie można automatycznie ograniczyć się wyłącznie do zatrudnienia i wyników finansowych jednej spółki.

Przepisy przewidują jednak szczególne zasady dotyczące organizacji, których systemy informacyjne są niezależne od systemów innych podmiotów z grupy i które nie świadczą wspólnie z nimi usług.

Każdy taki przypadek wymaga odrębnej oceny. Samo formalne powiązanie kapitałowe nie zawsze prowadzi więc do identycznego wyniku kwalifikacji, ale nie powinno być również pomijane.

Krok 3. Ustal, czy firma jest podmiotem kluczowym czy ważnym

W najbardziej typowym przypadku kwalifikacja wygląda następująco:

Działalność z załącznika nr 1

• duże przedsiębiorstwo będzie co do zasady podmiotem kluczowym;
• średnie przedsiębiorstwo będzie co do zasady podmiotem ważnym.

Działalność z załącznika nr 2

• średnie i duże przedsiębiorstwo będzie co do zasady podmiotem ważnym.

Jeżeli organizacja jednocześnie spełnia kryteria podmiotu kluczowego i ważnego, jest traktowana jako podmiot kluczowy.

Podział ten ma znaczenie między innymi dla sposobu sprawowania nadzoru oraz obowiązku przeprowadzania audytów. Nie zmienia jednak podstawowej zasady, że zarówno podmioty kluczowe, jak i ważne muszą zarządzać ryzykiem cyberbezpieczeństwa oraz realizować określone obowiązki związane z incydentami.

Krok 4. Sprawdź wyjątki od kryterium wielkości

Jednym z najczęstszych błędów jest założenie, że mała firma nigdy nie podlega NIS2. Ustawa przewiduje grupy podmiotów, które mogą zostać objęte regulacją niezależnie od liczby pracowników i wysokości obrotów.

Szczególne zasady dotyczą między innymi:

• dostawców usług DNS;
• kwalifikowanych dostawców usług zaufania;
• rejestrów nazw domen najwyższego poziomu;
• podmiotów świadczących usługi rejestracji nazw domen;
• podmiotów krytycznych;
• określonych podmiotów publicznych;
• przedsiębiorców telekomunikacyjnych;
• niektórych dostawców usług zarządzanych w zakresie cyberbezpieczeństwa;
• podmiotów związanych z określonymi inwestycjami energetyki jądrowej.

Wszyscy przedsiębiorcy telekomunikacyjni podlegają ustawie niezależnie od wielkości. Średni i duży przedsiębiorca telekomunikacyjny jest podmiotem kluczowym, natomiast mikro- lub mały przedsiębiorca może zostać zakwalifikowany jako podmiot ważny.

Wynik tej części testu: nawet jeżeli firma jest małym przedsiębiorstwem lub mikroprzedsiębiorstwem, analiza nie powinna kończyć się automatyczną odpowiedzią „NIS2 nas nie dotyczy”.

Praktyczny test: czy firma podlega NIS2?

Odpowiedz kolejno na poniższe pytania.

Pytanie 1. Czy firma działa w sektorze objętym ustawą?

Czy organizacja prowadzi działalność w jednym z sektorów wskazanych w załączniku nr 1 lub 2 do ustawy o KSC?

• Jeżeli nie – najprawdopodobniej nie podlega regulacji bezpośrednio.
• Jeżeli tak – przejdź do kolejnego pytania.

Pytanie 2. Czy działalność odpowiada dokładnemu rodzajowi podmiotu?

Nie należy opierać odpowiedzi wyłącznie na nazwie branży albo kodzie PKD.

Trzeba sprawdzić między innymi:

• definicję określonego rodzaju podmiotu;
• faktyczny zakres usług;
• sposób świadczenia usług;
• grupę odbiorców;
• posiadane zezwolenia, wpisy i koncesje;
• rolę organizacji w danym sektorze.

Pytanie 3. Czy firma jest przedsiębiorstwem średnim lub dużym?

Należy:

• ustalić liczbę zatrudnionych;
• sprawdzić obrót i sumę bilansową;
• uwzględnić podmioty partnerskie;
• przeanalizować podmioty powiązane.

Jeżeli odpowiedź brzmi „tak”, a działalność mieści się w sektorze objętym ustawą, istnieje wysokie prawdopodobieństwo objęcia firmy przepisami.

Pytanie 4. Czy firma należy do kategorii objętej ustawą niezależnie od wielkości?

Jeżeli tak, nawet mikro- lub małe przedsiębiorstwo może zostać uznane za podmiot ważny albo kluczowy.

Pytanie 5. Czy firma prowadzi działalność na terytorium Polski?

Ustawa obejmuje przede wszystkim podmioty mające siedzibę w Polsce, działające w Polsce przez oddział albo prowadzące określoną działalność transgraniczną.

Dla części dostawców cyfrowych znaczenie może mieć również główne miejsce prowadzenia działalności w Unii Europejskiej.

Pytanie 6. Czy podmiot został lub może zostać objęty regulacją indywidualną decyzją?

W określonych sytuacjach organizacja może zostać objęta regulacją ze względu na:

znaczenie świadczonej usługi;

• możliwość wystąpienia istotnego zakłócenia;
• szczególną rolę dla bezpieczeństwa państwa;
• znaczenie dla społeczeństwa lub gospodarki;
• brak odpowiedniego podmiotu zastępczego.

Jak interpretować wynik testu?

Firma prawdopodobnie podlega ustawie

Taki wynik występuje najczęściej, gdy:

• działalność odpowiada jednemu z rodzajów podmiotów wymienionych w ustawie;
• firma jest co najmniej średnim przedsiębiorstwem;
• prowadzi działalność objętą polskimi przepisami;
• nie zachodzi żadne wyłączenie.

Firma może podlegać mimo niewielkiego rozmiaru

Dalsza analiza jest konieczna, gdy organizacja jest mała lub mikro, ale działa między innymi w zakresie:

• telekomunikacji;
• usług DNS;
• rejestracji domen;
• kwalifikowanych usług zaufania;
• innych usług objętych szczególnymi zasadami.

Firma prawdopodobnie nie podlega bezpośrednio

Taki wynik jest możliwy, gdy:

• działalność nie mieści się w żadnym z sektorów;
• firma nie odpowiada rodzajowi podmiotu wskazanemu w załącznikach;
• jest mikro- lub małym przedsiębiorstwem;
• nie dotyczy jej żaden wyjątek od kryterium wielkości.

Nawet wtedy organizacja może spotkać się z wymaganiami dotyczącymi cyberbezpieczeństwa w umowach z klientami i kontrahentami.

Czy dostawca firmy objętej NIS2 również podlega ustawie?

Nie automatycznie. Sam fakt dostarczania oprogramowania, hostingu, sprzętu albo innych usług podmiotowi kluczowemu nie powoduje jeszcze, że dostawca sam staje się podmiotem kluczowym lub ważnym.

Dostawca musi niezależnie spełniać kryteria wskazane w ustawie.

Podmioty objęte KSC mają jednak obowiązek zarządzania bezpieczeństwem łańcucha dostaw produktów, usług i procesów ICT. Z tego powodu mogą wymagać od swoich dostawców między innymi:

• stosowania odpowiednich zabezpieczeń;
• przekazywania informacji o incydentach;
• przygotowania procedur bezpieczeństwa;
• przedstawienia dokumentacji;
• zapewnienia prawa do kontroli lub audytu;
• wprowadzenia odpowiednich klauzul do umów.

Firma może więc nie podlegać NIS2 bezpośrednio, ale odczuwać jej skutki poprzez wymagania klientów i kontrahentów.

Najczęstsze błędy podczas samoidentyfikacji

1. Sprawdzanie wyłącznie kodu PKD – PKD jest wskazówką, a nie ostatecznym dowodem. Liczy się faktyczna działalność organizacji.
2. Analizowanie tylko liczby pracowników – przy kwalifikacji należy uwzględnić również dane finansowe i powiązania z innymi przedsiębiorstwami.
3. Założenie, że mała firma jest zawsze wyłączona – przepisy przewidują kategorie podlegające ustawie niezależnie od wielkości.
4. Ocenianie pojedynczej spółki bez uwzględnienia grupy – dane przedsiębiorstw partnerskich i powiązanych mogą wpłynąć na ustalenie wielkości podmiotu.
5. Oczekiwanie na indywidualne zawiadomienie – wiele organizacji ma obowiązek samodzielnie ustalić swój status i dokonać wpisu do Wykazu KSC. Brak pisma od urzędu nie oznacza, że przepisy nie mają zastosowania.
6. Mylenie dostawcy z podmiotem objętym ustawą – wymagania kontraktowe klienta nie zawsze oznaczają bezpośrednie podleganie KSC. Konieczne jest sprawdzenie własnej działalności oraz ustawowych kryteriów.

Firma podlega NIS2 – co należy zrobić?

Podmioty, które spełniały ustawowe kryteria 3 kwietnia 2026 roku, powinny dokonać wpisu do Wykazu KSC do 3 października 2026 roku. Termin na wdrożenie obowiązków wynikających z nowych przepisów oraz rozpoczęcie korzystania z systemu S46 upływa 3 kwietnia 2027 roku. ⁴

Po pozytywnej kwalifikacji należy przede wszystkim:

1. udokumentować podstawę uznania organizacji za podmiot kluczowy lub ważny;
2. dokonać wpisu do Wykazu KSC;
3. wyznaczyć osoby odpowiedzialne za dalsze działania;
4. zaplanować dostosowanie systemu zarządzania bezpieczeństwem informacji;
5. zidentyfikować systemy, procesy i usługi objęte wymaganiami;
6. określić harmonogram wdrożenia.

Szczegółowe wymagania dotyczące zabezpieczeń, dokumentacji, zgłaszania incydentów i odpowiedzialności kierownictwa powinny zostać omówione w osobnym materiale dotyczącym obowiązków podmiotów kluczowych i ważnych.

Dzięki temu artykuł kwalifikacyjny odpowiada przede wszystkim na pytanie, kogo dotyczy NIS2, zamiast powielać szczegółowy zakres podstrony ofertowej.

Jak możemy pomóc w ustaleniu statusu firmy?

Samoidentyfikacja może być trudna, zwłaszcza gdy firma prowadzi kilka rodzajów działalności, należy do grupy kapitałowej albo świadczy usługi cyfrowe o niejednoznacznym charakterze.

Biuro Porad Prawnych Zacharski może pomóc:

• ustalić, czy działalność mieści się w załącznikach do ustawy;
• zweryfikować kryteria wielkościowe i powiązania kapitałowe;
• określić, czy organizacja jest podmiotem kluczowym czy ważnym;
• przygotować uzasadnienie przyjętej kwalifikacji;
• wskazać dalsze obowiązki wynikające z ustawy.

Po potwierdzeniu, że organizacja podlega przepisom, możliwe jest skorzystanie ze wsparcia BPPZ w zakresie NIS2, obejmującego przygotowanie firmy do nowych wymagań.

Zapraszamy do współpracy

Szczegółowe informacje o ofercie i warunkach współpracy można uzyskać telefonicznie lub wysyłając zapytanie za pomocą formularza kontaktowego.

BPPZ – Biuro Porad Prawnych Zacharski

– Umów się na bezpłatną konsultację

• +48 600 784 526
• kontakt@bppz.pl

Zadzwoń Napisz wiadomość

Czy moja firma podlega NIS2? Podsumowanie

Odpowiedź wymaga sprawdzenia nie tylko branży, ale również rzeczywistego rodzaju działalności, wielkości organizacji i wyjątków przewidzianych w ustawie.

Firma najczęściej będzie objęta przepisami, jeżeli:

• działa w sektorze wskazanym w załączniku nr 1 lub 2;
• jest co najmniej średnim przedsiębiorstwem;
• świadczy rodzaj usługi dokładnie określony w ustawie.

Mikro- i małe firmy zazwyczaj pozostają poza zakresem regulacji, ale nie dotyczy to wszystkich przypadków. Szczególne zasady obejmują między innymi telekomunikację, usługi DNS, rejestrację domen i niektóre usługi zaufania.

Praktyczny test pozwala przeprowadzić wstępną ocenę, ale nie zastępuje analizy konkretnego podmiotu. Jeżeli wynik nie jest jednoznaczny, warto udokumentować sposób kwalifikacji i zweryfikować go przed upływem terminu na wpis do Wykazu KSC.

Czy moja firma podlega NIS2 – FAQ

Źródła:

1. Ustawa z dnia 23 stycznia 2026 r. o zmianie ustawy o krajowym systemie cyberbezpieczeństwa oraz niektórych innych ustaw, Dz.U. z 2026 r. poz. 252
2. Ministerstwo Cyfryzacji, Nowelizacja ustawy o krajowym systemie cyberbezpieczeństwa – jak dokonać samoidentyfikacji?, 27 kwietnia 2026 r.
3. Komisja Europejska, SME definition – definicja mikro-, małych i średnich przedsiębiorstw
4. Ministerstwo Cyfryzacji, Nowelizacja ustawy o KSC – obowiązki podmiotów kluczowych i ważnych, 5 czerwca 2026 r.