Jak ustalić, czy organizacja podlega nowym wymogom KSC i od czego zacząć przygotowania

Wiele organizacji nadal nie wie, czy znowelizowana ustawa o krajowym systemie cyberbezpieczeństwa obejmuje ich działalność. Zespoły IT często rozpoczynają przygotowania od niewłaściwych kroków, skupiając się na zakupie oprogramowania zamiast na analizie prawnej. Nowelizacja weszła w życie 3 kwietnia 2026 roku i całkowicie przebudowała dotychczasowe podejście do ochrony sieci. Zastąpiła ona wcześniejszy podział na wyselekcjonowanych operatorów usług kluczowych nowymi, znacznie szerszymi kategoriami podmiotów kluczowych oraz ważnych. Zarządy firm muszą samodzielnie dokonać samoidentyfikacji i zarejestrować organizację w Wykazie KSC w nieprzekraczalnym terminie do 3 października 2026 roku.

Kryteria kwalifikacji organizacji do KSC

Kwalifikacja do systemu zależy przede wszystkim od sektora działalności i wielkości przedsiębiorstwa według unijnej definicji MŚP. Załącznik numer 1 do znowelizowanej ustawy szczegółowo wymienia sektory kluczowe dla funkcjonowania państwa. Należą do nich między innymi energetyka, transport lądowy i lotniczy, bankowość, infrastruktura rynków finansowych oraz ochrona zdrowia. Ustawodawca włączył tu także zaopatrzenie w wodę, infrastrukturę cyfrową oraz przestrzeń kosmiczną. Załącznik numer 2 obejmuje z kolei sektory ważne dla gospodarki. Zalicza się do nich usługi pocztowe, gospodarkę odpadami, a także szeroko pojętą produkcję i dystrybucję chemikaliów lub żywności.

Zasady przypisywania do konkretnej grupy opierają się na zatrudnieniu i obrotach. Duże przedsiębiorstwo z pierwszej grupy staje się automatycznie podmiotem kluczowym. Średnia firma z tej samej listy lub duża korporacja z drugiej grupy trafia do katalogu podmiotów ważnych. Istnieją jednak wyjątki od tej reguły. Niektóre branże podlegają przepisom niezależnie od progu wielkości. Dotyczy to w głównej mierze przedsiębiorców telekomunikacyjnych oraz dostawców usług zarządzanych w obszarze IT. Wyznaczone organizacje muszą formalnie wdrożyć System Zarządzania Bezpieczeństwem Informacji najpóźniej do 3 kwietnia 2027 roku.

Samoocena zasobów i analiza łańcucha dostaw

Prawidłowa samoocena wymaga rzetelnej inwentaryzacji posiadanych zasobów informacyjnych oraz procesów krytycznych. Należy bezbłędnie wytypować obszary, w których najwcześniej pojawia się ryzyko cyberataku lub awarii infrastruktury. Organizacja weryfikuje swój profil działalności na podstawie rzeczywistego zakresu świadczonych usług. Opieranie się wyłącznie na historycznych kodach PKD z rejestru przedsiębiorców bardzo często prowadzi do błędnych wniosków diagnostycznych. Kolejnym istotnym krokiem jest sprawdzenie relacji powiązań kapitałowych przy ocenie wielkości podmiotu, ponieważ spółki zależne mogą zmieniać status całej grupy.

Nowe przepisy kładą szczególny nacisk na bezpieczeństwo całego ekosystemu biznesowego. Obowiązek szacowania ryzyka rozciąga się obecnie na cały łańcuch dostaw. Podmioty podlegające ustawie muszą aktywnie kontrolować zewnętrznych dostawców produktów i usług informatycznych. Oznacza to konieczność wprowadzenia regularnych audytów due diligence oraz wdrożenia odpowiednich klauzul umownych na etapie podpisywania kontraktów. Bezpieczeństwo własnej serwerowni nie zwalnia zarządu z odpowiedzialności za ewentualne luki systemowe u zewnętrznych podwykonawców chmurowych.

Plan działań i weryfikacja procedur

Pozytywny wynik kwalifikacji oznacza bezwzględny obowiązek budowy i utrzymania Systemu Zarządzania Bezpieczeństwem Informacji. Organizacja musi w ramach tego systemu wdrożyć odpowiednie i proporcjonalne środki techniczne, operacyjne oraz organizacyjne. Niezbędne staje się opracowanie skutecznych planów ciągłości działania oraz procesów natychmiastowego zgłaszania poważnych incydentów. Kierownik podmiotu ponosi osobistą odpowiedzialność za realizację tych wymogów i podlega obowiązkowi regularnych szkoleń. Pierwszy obowiązkowy audyt bezpieczeństwa do 3 kwietnia 2028 roku dotyczy podmiotów kluczowych, które nie miały wcześniej statusu operatora usług kluczowych. Pozostałe organizacje przeprowadzają takie badanie w ciągu 24 miesięcy od momentu spełnienia ustawowych przesłanek.

Gdy wewnętrzna diagnoza wykazuje braki kompetencyjne, organizacje najczęściej decydują się na zewnętrzne testy penetracyjne oraz weryfikację infrastruktury sieciowej. Kompleksowe cyberbezpieczeństwo dla firm oferuje spółka CYBERBLOCK, która na co dzień funkcjonuje w Warszawie. Zespół certyfikowanych ekspertów realizuje zaawansowane audyty systemów IT oraz praktyczne szkolenia dedykowane dla biznesu i sektora publicznego. Specjaliści dysponują wymaganymi poświadczeniami dostępu do informacji ściśle tajnych oraz doświadczeniem zebranym podczas realizacji projektów dla organów państwowych i Europolu. Eksperci na bieżąco przygotowują wymaganą dokumentację procesową w ramach budowy SZBI oraz dostosowania środowiska do wymogów dyrektywy NIS2.

Skuteczne przygotowanie do nowych realiów prawnych zawsze zaczyna się od ustalenia ram formalnej odpowiedzialności. Przedsiębiorstwa powinny najpierw określić priorytety swoich działań, a dopiero w kolejnym kroku dobierać rynkowe narzędzia ochronne. Uporządkowanie rozproszonych procedur oraz wyznaczenie wykwalifikowanych osób do kontaktu w sytuacjach kryzysowych stanowi fundament utrzymania długoterminowej zgodności z przepisami.