NIS2 dla firm IT i MSP. Czy dostawca usług zarządzanych podlega KSC?

NIS2 dla firm IT stało się pilnym tematem po wejściu w życie nowelizacji ustawy o krajowym systemie cyberbezpieczeństwa. Szczególną uwagę powinny zachować podmioty, które stale administrują środowiskiem klienta, monitorują jego systemy, utrzymują infrastrukturę albo świadczą zarządzane usługi bezpieczeństwa. Sama nazwa działalności nie przesądza jednak o statusie firmy. Liczy się rzeczywisty zakres usługi, sposób jej wykonywania, wielkość przedsiębiorstwa oraz wyjątki przewidziane w przepisach. Dodatkowo firmy, które spełniały kryteria 3 kwietnia 2026 r., powinny uwzględnić termin złożenia wniosku o wpis do wykazu podmiotów kluczowych i ważnych, który upływa 3 października 2026 r.

Jeżeli firma nie ma pewności, czy jej model mieści się w definicji dostawcy usług zarządzanych, BPPZ może przeprowadzić kwalifikację i wdrożenie NIS2. Analiza obejmuje usługi, strukturę grupy, wielkość podmiotu, umowy i faktyczny dostęp do systemów klientów.

Najważniejsze informacje

• Firma IT może podlegać KSC jako dostawca usług zarządzanych lub dostawca zarządzanych usług bezpieczeństwa.
• O kwalifikacji nie decyduje nazwa MSP, lecz rzeczywisty sposób świadczenia usług.
• Jednorazowe wdrożenie systemu nie zawsze jest usługą zarządzaną. Stała administracja, monitoring i aktywne utrzymanie mogą już prowadzić do takiej kwalifikacji.
• Trzeba sprawdzić kryteria wielkości, powiązania kapitałowe i wyjątki ustawowe.
• Podmioty spełniające kryteria 3 kwietnia 2026 r. mają co do zasady czas na złożenie wniosku o wpis do 3 października 2026 r.
• Obowiązki obejmują zarządzanie ryzykiem, bezpieczeństwo łańcucha dostaw, reagowanie na incydenty, ciągłość działania, szkolenia i nadzór kierownictwa.
• Status dostawcy wpływa również na umowy, ankiety bezpieczeństwa, prawo audytu i wymagania klientów objętych KSC.

Zapraszamy do współpracy

Szczegółowe informacje o ofercie i warunkach współpracy można uzyskać telefonicznie lub wysyłając zapytanie za pomocą formularza kontaktowego.

BPPZ – Biuro Porad Prawnych Zacharski

– Czy Twoja firma IT podlega KSC? Zamów kwalifikację i plan wdrożenia

• +48 600 784 526
• kontakt@bppz.pl

Zadzwoń Napisz wiadomość

Dlaczego NIS2 dla firm IT jest obecnie tak ważne?

Nowelizacja ustawy o krajowym systemie cyberbezpieczeństwa weszła w życie 3 kwietnia 2026 r. Wdrożyła do polskiego prawa zasadniczą część wymagań dyrektywy NIS2.

Zmiana objęła wiele sektorów. Wśród nich znajduje się zarządzanie usługami ICT między przedsiębiorcami. W praktyce dotyczy to części dostawców, którzy posiadają szeroki i stały dostęp do infrastruktury swoich klientów.

Znaczenie sektora IT wynika z prostego mechanizmu. Jeden dostawca może obsługiwać dziesiątki lub setki organizacji. Przejęcie jego konta administracyjnego, systemu zdalnego dostępu albo narzędzia aktualizacyjnego może otworzyć drogę do wielu środowisk jednocześnie.

Dlatego przepisy oraz unijne wymagania techniczne mocno akcentują:

• zarządzanie ryzykiem dostawców;
• kontrolę uprzywilejowanych dostępów;
• bezpieczne utrzymanie systemów;
• zarządzanie podatnościami i aktualizacjami;
• ciągłość działania;
• obsługę incydentów;
• bezpieczeństwo łańcucha dostaw.

Kim jest dostawca usług zarządzanych?

W uproszczeniu dostawca usług zarządzanych świadczy usługi związane z instalacją, zarządzaniem, obsługą lub utrzymaniem produktów ICT, sieci, infrastruktury, aplikacji albo innych systemów informacyjnych.

Kluczowa jest pomoc lub aktywna administracja wykonywana na miejscu u klienta albo zdalnie. Zwykle ma ona charakter stały lub powtarzalny.

Przykładem może być firma, która:

• administruje serwerami i stacjami roboczymi klienta;
• zarządza Microsoft 365, Google Workspace lub środowiskiem chmurowym;
• monitoruje dostępność i wydajność systemów;
• instaluje poprawki i aktualizacje;
• zarządza kopiami zapasowymi;
• obsługuje urządzenia sieciowe;
• utrzymuje system ERP lub CRM;
• prowadzi helpdesk połączony z uprawnieniami administracyjnymi;
• odpowiada za ciągłość działania środowiska klienta.

Nie każda firma informatyczna automatycznie staje się MSP. Trzeba zbadać konkretną usługę, zakres odpowiedzialności i sposób dostępu do systemu.

Czym różni się MSP od MSSP?

MSP zarządza usługami i środowiskiem ICT klienta. MSSP koncentruje się na zarządzanych usługach bezpieczeństwa.

MSSP może między innymi:

• monitorować zdarzenia w systemie SIEM;
• prowadzić usługę SOC;
• wykrywać i analizować zagrożenia;
• zarządzać zaporami sieciowymi;
• obsługiwać EDR lub XDR;
• reagować na incydenty;
• skanować podatności;
• prowadzić monitoring bezpieczeństwa przez całą dobę.

Granica nie zawsze jest wyraźna. Jeden dostawca może równocześnie utrzymywać infrastrukturę i prowadzić monitoring bezpieczeństwa. Wtedy trzeba zbadać wszystkie role, ponieważ zakres wymagań i ekspozycja na ryzyko mogą być większe.

Czy każdy outsourcing IT podlega KSC?

Nie. Outsourcing IT to szerokie pojęcie. Może obejmować zarówno jednorazową konfigurację laptopa, jak i stałe zarządzanie całą infrastrukturą klienta.

Pomocna jest analiza czterech elementów.

Element	Pytanie kontrolne	Znaczenie dla kwalifikacji
Charakter usługi	Czy firma aktywnie zarządza systemem klienta?	Stała administracja zwiększa prawdopodobieństwo objęcia KSC
Powtarzalność	Czy usługa jest ciągła lub regularna?	Jednorazowy projekt częściej pozostaje poza definicją MSP
Dostęp	Czy dostawca ma konta uprzywilejowane lub zdalny dostęp?	Szeroki dostęp wskazuje na realny wpływ na bezpieczeństwo usługi
Odpowiedzialność	Czy dostawca utrzymuje dostępność, aktualizacje lub reakcję na awarie?	Operacyjna odpowiedzialność przemawia za usługą zarządzaną

Sama umowa nazwana „serwisem”, „opieką informatyczną” albo „body leasingiem” nie rozstrzyga sprawy. Organ może ocenić rzeczywisty model współpracy.

Software house a NIS2

Software house może realizować różne modele usług. Każdy z nich wymaga osobnej oceny.

Wytworzenie i przekazanie oprogramowania

Firma tworzy aplikację, przeprowadza odbiór i przekazuje ją klientowi. Później nie administruje produkcją ani infrastrukturą. Taki model nie musi oznaczać świadczenia usługi zarządzanej.

Utrzymanie i rozwój aplikacji

Zespół regularnie wdraża poprawki, monitoruje działanie, usuwa awarie i posiada dostęp do środowiska produkcyjnego. W takim przypadku ryzyko kwalifikacji jest wyższe.

SaaS

Dostawca udostępnia własną aplikację jako usługę i zarządza jej środowiskiem. Trzeba ocenić nie tylko definicję MSP. Znaczenie może mieć także kwalifikacja jako dostawca chmury, centrum danych lub innego rodzaju usługi cyfrowej.

Dedykowany zespół IT

Programiści pracują w systemach klienta, ale wszystkie decyzje operacyjne podejmuje klient. Taki model wymaga analizy zakresu samodzielności, dostępu i odpowiedzialności. Samo udostępnienie specjalistów nie przesądza jeszcze o statusie MSP.

Czy mała firma IT może podlegać NIS2?

Kwalifikacja zwykle wymaga sprawdzenia wielkości przedsiębiorstwa. Nie wolno jednak opierać się wyłącznie na liczbie osób zatrudnionych w jednej spółce.

Znaczenie mogą mieć:

• obrót i suma bilansowa;
• przedsiębiorstwa partnerskie i powiązane;
• przynależność do grupy kapitałowej;
• działalność prowadzona przez kilka podmiotów;
• szczególne wyjątki ustawowe;
• usługi świadczone transgranicznie.

Popularny błąd polega na uznaniu, że spółka zatrudniająca mniej niż 50 osób na pewno nie podlega przepisom. W grupie przedsiębiorstw wynik może wyglądać inaczej.

BPPZ może przygotować pisemną kwalifikację podmiotu do NIS2 i KSC, wraz z uzasadnieniem, mapą usług i harmonogramem dalszych działań. Taki dokument ułatwia zarządowi podjęcie decyzji o wpisie i budżecie wdrożenia.

Termin wpisu do wykazu KSC

Podmioty, które 3 kwietnia 2026 r. spełniały kryteria podmiotu kluczowego lub ważnego, powinny co do zasady złożyć wniosek o wpis do wykazu do 3 października 2026 r.

Wpis nie następuje wyłącznie z inicjatywy organu. Organizacja musi przeprowadzić samoocenę. Następnie powinna złożyć wniosek za pomocą właściwego systemu teleinformatycznego.

Przed wysłaniem wniosku warto potwierdzić:

• rodzaj podmiotu;
• sektor i podsektor;
• usługi objęte ustawą;
• status podmiotu kluczowego albo ważnego;
• dane osób odpowiedzialnych za kontakt;
• sposób reprezentacji;
• zakres działalności w Polsce i innych państwach UE.

Jeżeli firma zacznie spełniać kryteria później, termin należy liczyć zgodnie z przepisami od momentu powstania obowiązku. Nie warto więc traktować 3 października 2026 r. jako jedynej daty istotnej dla całego rynku.

Jakie obowiązki ma firma IT objęta KSC?

Wdrożenie nie polega na przygotowaniu jednego regulaminu. Organizacja musi stworzyć działający system zarządzania bezpieczeństwem informacji, który odpowiada skali i ryzyku usług.

Zakres obejmuje między innymi:

• analizę ryzyka;
• polityki bezpieczeństwa;
• obsługę incydentów;
• ciągłość działania i odtwarzanie po awarii;
• zarządzanie kryzysowe;
• bezpieczeństwo łańcucha dostaw;
• bezpieczne nabywanie, rozwój i utrzymanie systemów;
• zarządzanie podatnościami;
• ocenę skuteczności zabezpieczeń;
• podstawowe praktyki cyberhigieny;
• szkolenia;
• kryptografię i szyfrowanie;
• kontrolę dostępu;
• zarządzanie zasobami;
• uwierzytelnianie wieloskładnikowe.

Dla MSP szczególnie ważne są narzędzia zdalnej administracji. Firma powinna wiedzieć, kto ma do nich dostęp, jak rejestrowane są operacje oraz jak szybko można odebrać uprawnienia.

Rozporządzenie 2024/2690 i wymagania dla MSP

Rozporządzenie wykonawcze Komisji (UE) 2024/2690 określa techniczne i metodyczne wymagania dla kilku rodzajów podmiotów cyfrowych. Wprost obejmuje dostawców usług zarządzanych oraz zarządzanych usług bezpieczeństwa.

Wymagania dotyczą między innymi:

• polityki analizy ryzyka;
• ról i odpowiedzialności;
• monitorowania zdarzeń;
• reagowania na incydenty;
• planów ciągłości działania;
• kopii zapasowych;
• zarządzania dostawcami;
• bezpiecznego cyklu życia systemów;
• testowania zabezpieczeń;
• kontroli tożsamości i dostępu.

ENISA opublikowała również techniczne wytyczne, które pokazują przykłady dowodów wdrożenia. Nie zastępują one ustawy ani rozporządzenia, ale pomagają przełożyć wymagania na zadania operacyjne.

Incydent u MSP może dotyczyć wielu klientów

Dostawca usług zarządzanych powinien przygotować dwa powiązane procesy. Pierwszy dotyczy własnych obowiązków raportowych. Drugi obejmuje informowanie klientów, których systemy lub usługi zostały dotknięte zdarzeniem.

W praktyce potrzebna jest procedura, która odpowiada na pytania:

• kto przyjmuje zgłoszenie;
• kto kwalifikuje incydent;
• jak szybko zbierane są informacje;
• kto kontaktuje się z CSIRT;
• kto informuje klienta;
• jak oddzielić dane poszczególnych klientów;
• jak zabezpieczyć logi i materiał dowodowy;
• jak prowadzić komunikację kryzysową;
• kiedy uruchomić plan ciągłości działania.

NIS2 przewiduje wieloetapowe raportowanie. Wczesne ostrzeżenie może być wymagane w ciągu 24 godzin, a zgłoszenie incydentu w ciągu 72 godzin. Dlatego proces nie może zaczynać się od szukania kontaktu do prawnika dopiero po ataku.

Umowy MSP po wejściu w życie nowych przepisów

KSC wpływa nie tylko na dokumentację wewnętrzną. Zmienia także oczekiwania klientów wobec dostawców IT.

Umowa powinna określać:

• zakres administrowanych systemów;
• podział odpowiedzialności;
• minimalne zabezpieczenia;
• sposób nadawania i odbierania dostępów;
• czas reakcji na incydent;
• zasady przekazywania logów;
• obowiązek współpracy przy zgłoszeniu;
• korzystanie z podwykonawców;
• lokalizację świadczenia usług;
• zasady audytu;
• testy ciągłości działania;
• zwrot lub usunięcie danych po zakończeniu współpracy;
• plan wyjścia i migracji do innego dostawcy.

Samo wpisanie do umowy, że dostawca „zapewnia zgodność z NIS2”, jest zbyt ogólne. Klient powinien wiedzieć, jakie działania są wykonywane i jakie dowody może otrzymać.

W ramach doradztwa projektowego BPPZ można połączyć analizę KSC z przeglądem umów, ankiet bezpieczeństwa i wymagań narzucanych przez klientów. Pozwala to ograniczyć ryzyko składania deklaracji, których firma nie potrafi później wykazać.

Co sprawdzi klient objęty NIS2?

Firma IT może nie podlegać KSC bezpośrednio, a mimo to odczuć skutki regulacji. Klient objęty ustawą ma obowiązek zarządzać ryzykiem łańcucha dostaw.

Może więc zapytać dostawcę o:

• politykę bezpieczeństwa;
• certyfikaty i wyniki audytów;
• zarządzanie podatnościami;
• stosowanie MFA;
• szyfrowanie;
• plan ciągłości działania;
• testy odtwarzania kopii;
• lokalizację danych;
• podwykonawców;
• czasy zgłaszania incydentów;
• szkolenia pracowników;
• ubezpieczenie cybernetyczne.

Brak ustawowego statusu nie zwalnia więc dostawcy z wymagań biznesowych. W niektórych przetargach gotowość do wykazania zabezpieczeń może zdecydować o utrzymaniu kontraktu.

Odpowiedzialność zarządu firmy IT

Kierownictwo nie może przenieść całej odpowiedzialności na administratora systemów, CISO ani zewnętrzną firmę. Zarząd powinien zatwierdzić środki zarządzania ryzykiem i nadzorować ich wdrożenie.

Potrzebuje do tego aktualnych informacji. Powinien otrzymywać co najmniej:

• wyniki analizy ryzyka;
• status planu naprawczego;
• zestawienie istotnych incydentów;
• wyniki testów i audytów;
• informacje o krytycznych dostawcach;
• wykaz zaakceptowanych ryzyk;
• potrzeby budżetowe;
• potwierdzenia szkoleń.

Decyzje trzeba dokumentować. Protokół zarządu, zatwierdzony plan, raport z testu oraz decyzja o akceptacji ryzyka są ważniejsze niż ogólna deklaracja, że bezpieczeństwo pozostaje priorytetem.

Checklista: NIS2 dla firm IT i MSP

Kwalifikacja

• Zmapuj wszystkie świadczone usługi.
• Oddziel projekty jednorazowe od stałej administracji.
• Zidentyfikuj usługi zarządzanego bezpieczeństwa.
• Sprawdź wielkość przedsiębiorstwa i powiązania.
• Określ, czy firma jest podmiotem kluczowym czy ważnym.
• Udokumentuj wynik analizy.

Rejestracja i odpowiedzialność

• Sprawdź termin wpisu do wykazu KSC.
• Wyznacz osoby odpowiedzialne za kontakt.
• Zatwierdź program wdrożenia przez zarząd.
• Zaplanuj szkolenie kierownictwa.
• Ustal sposób raportowania postępów.

Bezpieczeństwo operacyjne

• Przeprowadź analizę ryzyka.
• Zabezpiecz konta administracyjne i narzędzia RMM.
• Włącz MFA i rejestrowanie operacji uprzywilejowanych.
• Uporządkuj zarządzanie podatnościami i poprawkami.
• Sprawdź kopie zapasowe i odtwarzanie.
• Oceń podwykonawców i dostawców chmury.
• Przetestuj plan ciągłości działania.

Incydenty i umowy

• Przygotuj procedurę raportowania 24 i 72 godziny.
• Połącz procedurę KSC z obsługą naruszeń RODO.
• Ustal zasady informowania klientów.
• Zaktualizuj SLA i klauzule incydentowe.
• Ureguluj audyty, podwykonawców i plan wyjścia.
• Przeprowadź ćwiczenie na realistycznym scenariuszu.

Jeżeli organizacja potrzebuje nie tylko diagnozy, lecz także dokumentów i wsparcia we wdrożeniu, BPPZ oferuje kompleksowe wdrożenie NIS2 i KSC. Projekt może objąć kwalifikację, analizę luk, plan naprawczy, procedury, umowy, szkolenia i przygotowanie do audytu.

Praktyczny scenariusz: MSP obsługujący kilkudziesięciu klientów

Firma zatrudnia 42 osoby i administruje środowiskami Microsoft 365, serwerami oraz kopiami zapasowymi klientów. Umowy są zawierane przez jedną spółkę, ale część specjalistów i infrastruktury należy do podmiotów powiązanych.

Ocena nie może zakończyć się na liczbie pracowników. Trzeba sprawdzić dane grupy, zakres usług oraz aktywną administrację. Następnie firma powinna wskazać usługi objęte KSC i oddzielić je od jednorazowych projektów.

Analiza ujawnia też ryzyko operacyjne. To samo narzędzie RMM ma dostęp do wielu klientów, a umowy nie określają czasu informowania o incydencie. Plan działań obejmuje więc MFA, rozdzielenie kont, logowanie sesji, procedurę 24 i 72 godziny oraz zmianę klauzul incydentowych. Dzięki temu projekt odpowiada jednocześnie na obowiązki ustawowe i pytania klientów o łańcuch dostaw.

Najczęstsze błędy firm IT

Ocena statusu wyłącznie na podstawie kodu PKD

PKD może pomóc opisać działalność, ale nie zastępuje analizy rzeczywistych usług.

Założenie, że mała spółka zawsze jest poza KSC

Trzeba uwzględnić dane finansowe, podmioty powiązane i wyjątki.

Uznanie certyfikatu ISO za pełne wdrożenie

ISO 27001 może wspierać zgodność, ale nie potwierdza automatycznie wykonania wszystkich obowiązków KSC.

Skupienie wyłącznie na własnej infrastrukturze

MSP musi uwzględnić także sposób zarządzania środowiskami klientów, kontami uprzywilejowanymi i narzędziami zdalnymi.

Brak gotowości do raportowania incydentów

Procedura bez listy kontaktów, zastępstw i ćwiczeń może nie zadziałać w wymaganym terminie.

Ogólne zapewnienia w umowach

Deklaracja zgodności bez mierzalnych obowiązków może zwiększyć odpowiedzialność dostawcy.

Dzielimy się wiedzą

Wdrożenie NIS2 w firmie technologicznej powinno pozostawić zestaw dowodów, a nie tylko dokumenty. Dowodem może być wynik testu odtworzenia kopii, raport z przeglądu dostępów, protokół ćwiczenia incydentowego albo decyzja zarządu dotycząca ryzyka.

Najbardziej użyteczna mapa MSP łączy usługę klienta, system, konto administracyjne, podwykonawcę, wymagany czas odtworzenia i właściciela ryzyka. Taka mapa usprawnia audyt, reakcję na incydent oraz rozmowę sprzedażową z klientem wymagającym zgodności z KSC.

Podsumowanie

NIS2 dla firm IT wymaga analizy rzeczywistych usług, a nie tylko nazwy działalności. Stała administracja, monitoring, utrzymanie systemów i zarządzane usługi bezpieczeństwa mogą prowadzić do objęcia firmy przepisami KSC.

Pierwszym krokiem powinna być kwalifikacja. Następnie trzeba sprawdzić termin wpisu, zaplanować system zarządzania bezpieczeństwem, przygotować obsługę incydentów oraz zaktualizować umowy.

Nawet dostawca, który nie podlega ustawie bezpośrednio, może zostać objęty wymaganiami kontraktowymi klientów. Dlatego uporządkowanie bezpieczeństwa ma znaczenie regulacyjne i sprzedażowe.

BPPZ wspiera firmy technologiczne w kwalifikacji, wdrożeniu i utrzymaniu zgodności. Usługa NIS2 dla firm pozwala połączyć wymagania prawne z procesami operacyjnymi, bezpieczeństwem i relacjami z klientami.

FAQ

Źródła:

1. Ministerstwo Cyfryzacji: Nowelizacja ustawy o krajowym systemie cyberbezpieczeństwa zaczyna obowiązywać.
2. Ministerstwo Cyfryzacji: Nowelizacja ustawy o krajowym systemie cyberbezpieczeństwa, obowiązki i terminy.
3. ELI: Ustawa o krajowym systemie cyberbezpieczeństwa, tekst jednolity.
4. BPPZ: Wpis do wykazu KSC 2026. Termin i instrukcja.
5. BPPZ: Incydenty NIS2/KSC. Terminy 24 i 72 godziny.
6. BPPZ: Odpowiedzialność zarządu NIS2. Obowiązki i kary.