Najkrótsza odpowiedź: zależy od dwóch rzeczy — sektora działalności i wielkości firmy. Ustawa o Krajowym Systemie Cyberbezpieczeństwa (wdrożenie unijnej dyrektywy NIS2) nie obejmuje wszystkich firm, ale lista objętych branż jest znacznie szersza niż wcześniej — i wiele firm nie zdaje sobie sprawy, że już się na niej znalazło.
Krok 1: Czy Twój sektor jest na liście?
Ustawa dzieli objęte branże na dwa załączniki:
- Załącznik nr 1 (wysoka krytyczność): m.in. energia, transport, bankowość, ochrona zdrowia, woda, infrastruktura cyfrowa, administracja centralna.
- Załącznik nr 2 (pozostałe sektory krytyczne): m.in. usługi pocztowe, gospodarka odpadami, chemikalia, żywność, produkcja (maszyny, elektronika, pojazdy), usługi cyfrowe, badania naukowe.
Jeśli Twojej branży nie ma w żadnym załączniku — co do zasady ustawa Cię nie obejmuje (ale zobacz niżej: łańcuch dostaw).
Krok 2: Czy przekraczasz próg wielkości?
Dla większości sektorów o tym, czy podlegasz, decyduje wielkość firmy:
- Duży przedsiębiorca — najczęściej podmiot kluczowy.
- Średni przedsiębiorca — najczęściej podmiot ważny.
- Mikro / mały — zwykle poza zakresem (z wyjątkami).
Ważny termin
Samoidentyfikacja i wniosek o wpis do Wykazu podmiotów kluczowych i ważnych w trybie samorejestracji są możliwe od 7 maja 2026 r., a termin na złożenie wniosku upływa 3 października 2026 r. Dlatego warto ustalić swój status odpowiednio wcześnie.
Wyjątki, o których łatwo zapomnieć
- Łańcuch dostaw: nawet jeśli sama nie podlegasz, Twój klient objęty ustawą może wymagać od Ciebie określonych zabezpieczeń w umowie.
- Kategorie szczególne: niektóre podmioty (np. DNS, TLD, dostawcy usług zarządzanych cyberbezpieczeństwa) są kluczowe niezależnie od wielkości.
Sprawdź to w 3 minuty
Zamiast czytać ustawę i załączniki — odpowiedz na kilka pytań i otrzymaj wynik z uzasadnieniem prawnym oraz raportem PDF.
Treść ma charakter informacyjny i edukacyjny — nie stanowi porady prawnej. Przy wyniku granicznym skonsultuj się z radcą prawnym lub adwokatem.