Weryfikacja UKSC to pierwszy i najpilniejszy obowiązek wynikający z nowej ustawy o Krajowym Systemie Cyberbezpieczeństwa: każda firma musi ustalić, czy jest podmiotem kluczowym, podmiotem ważnym, czy nie podlega ustawie. Nowelizacja (KSC 2.0, wdrażająca dyrektywę NIS2) weszła w życie 3 kwietnia 2026 r., a termin złożenia wniosku o wpis do wykazu podmiotów kluczowych i ważnych upływa 3 października 2026 r. - to już za chwilę.
W tym artykule pokazuję, na czym polega weryfikacja statusu KSC, dlaczego ręczne sprawdzenie bywa zdradliwe - i jak zrobić to w minutę narzędziem, które zbudowałem: kwalifikatorem uksc.pl.
Skąd obowiązek weryfikacji KSC?
Ustawa o Krajowym Systemie Cyberbezpieczeństwa (potocznie: uKSC) po nowelizacji obejmuje kilkanaście sektorów gospodarki - od energetyki i transportu, przez ochronę zdrowia, po produkcję, gospodarkę odpadami i usługi cyfrowe. Kluczowa zmiana względem starych przepisów: to nie urząd wskazuje firmę palcem - to firma sama musi ustalić swój status i zgłosić się do wykazu.
Ustawa dzieli objęte nią organizacje na dwie kategorie:
- Podmiot kluczowy - co do zasady duże firmy (od 250 pracowników lub ponad 50 mln EUR obrotu) w sektorach o najwyższej krytyczności, a w niektórych sektorach także mniejsze organizacje.
- Podmiot ważny - co do zasady średnie firmy (od 50 pracowników lub 10 mln EUR obrotu) w sektorach kluczowych i dodatkowych sektorach ważnych.
Pełną listę sektorów i progi opisałem w osobnym artykule: NIS2 - kto podlega dyrektywie. Tu skupiam się na samej weryfikacji.
Na czym polega weryfikacja statusu KSC?
Weryfikacja statusu KSC to odpowiedź na trzy pytania:
- Czy moja działalność (PKD, faktyczny profil) mieści się w sektorach z załączników do ustawy? Diabeł tkwi w szczegółach - np. „produkcja" obejmuje konkretne działy, nie każdą fabrykę.
- Czy przekraczam progi wielkości? Liczy się zatrudnienie i obrót/suma bilansowa - według unijnej definicji MŚP.
- Czy powiązania kapitałowe nie zmieniają wyniku? To najczęstsza pułapka: zgodnie z rozporządzeniem KE 2003/361 do progów dolicza się dane przedsiębiorstw powiązanych i partnerskich. Spółka zatrudniająca 30 osób może być „średnia" albo „duża", bo należy do grupy.
Najwięcej błędnych samoocen widzę właśnie w punkcie trzecim. Firma patrzy na własny KRS i mówi „jesteśmy za mali" - a po zsumowaniu grupy kapitałowej przekracza próg i podlega ustawie jako podmiot ważny albo nawet kluczowy.
Kwalifikator UKSC - weryfikacja po numerze KRS
Żeby uprościć ten proces, zbudowałem Kwalifikator Cyberbezpieczeństwa UKSC (uksc.pl) - aplikację, która wykonuje całą powyższą analizę automatycznie. Podajesz numer KRS, a narzędzie:
- kwalifikuje podmiot jako kluczowy, ważny lub niepodlegający ustawie,
- zwraca uzasadnienie prawne z odniesieniami do konkretnych przepisów - wynik nadaje się do audytu, nie jest „czarną skrzynką",
- uwzględnia powiązania kapitałowe zgodnie z rozporządzeniem KE 2003/361,
- obsługuje audyt zbiorczy wielu podmiotów naraz - przydatne dla grup kapitałowych, kancelarii i działów compliance,
- eksportuje raport do PDF i JSON oraz udostępnia API dla systemów zewnętrznych.
Tak to wygląda w praktyce:
Weryfikacja zajmuje około minuty. Jeśli wynik brzmi „nie podlega" - masz to udokumentowane raportem z uzasadnieniem, co samo w sobie jest wartością przy pytaniach kontrahentów o łańcuch dostaw. Jeśli „podlega" - wiesz, w której kategorii jesteś i jakie obowiązki się z tym wiążą.
Sprawdziłem status KSC - co dalej?
Jeżeli weryfikacja wykazała, że firma jest podmiotem kluczowym lub ważnym, kalendarz wygląda tak:
- do 3 października 2026 - wniosek o wpis do wykazu podmiotów kluczowych i ważnych,
- do 3 kwietnia 2027 - pełne dostosowanie: zarządzanie ryzykiem, procedury zgłaszania incydentów (wczesne ostrzeżenie w 24 h, zgłoszenie w 72 h), ciągłość działania, bezpieczeństwo łańcucha dostaw, szkolenia,
- do 3 kwietnia 2028 - pierwszy audyt bezpieczeństwa (podmioty kluczowe).
Za uchybienia grożą kary do 10 mln EUR lub 2% obrotu (podmioty kluczowe) i do 7 mln EUR lub 1,4% obrotu (podmioty ważne) - a kierownictwo może odpowiadać osobiście. Dlatego weryfikacja UKSC to nie formalność, tylko punkt startu całego procesu zgodności.
Nie wiesz, jak ugryźć obowiązki po kwalifikacji? Zacznij od planu ciągłości działania i podstaw bezpieczeństwa infrastruktury WWW, a w razie wątpliwości - umów rozmowę.
