Wprowadzenie
Nowelizacja ustawy o krajowym systemie cyberbezpieczeństwa obowiązuje od 3 kwietnia 2026. Zawiera definicję, która opisuje czynności wykonywane przez każdą firmę utrzymującą cudzą stronę: instalację, eksploatację i konserwację systemów informacyjnych, świadczoną zdalnie. Poniżej to, co mówi tekst ustawy, zacytowane dosłownie, oraz wyraźne oznaczenie miejsc, w których tekst nie rozstrzyga i potrzebny jest prawnik.
W skrócie
- Ustawa z 23 stycznia 2026, Dz.U. 2026 poz. 252, ogłoszona 2 marca, obowiązuje od 3 kwietnia 2026 na podstawie art. 49.
- Definicja dostawcy usług zarządzanych obejmuje wsparcie i administrację “na miejscu lub zdalnie”.
- Sektor Zarządzanie usługami ICT figuruje w załączniku nr 1, czyli wśród sektorów kluczowych.
- W tym samym sektorze ustawa wymienia dwa różne rodzaje podmiotu, a różnica między nimi decyduje o progu wielkości.
- Dla dostawcy usług zarządzanych w zakresie cyberbezpieczeństwa próg zaczyna się już od małego przedsiębiorcy, a nie od średniego.
- Terminy liczą się od spełnienia przesłanek, nie od jednej ogólnej daty, więc ten tekst nie jest odliczaniem do deadline’u.
- Nie jest to opinia prawna. Jest to lektura tekstu ustawy z zaznaczeniem, gdzie kończy się to, co da się z niego wyczytać.
Skąd trzy różne daty i która obowiązuje
Zbierając terminy do tego tekstu, znalazłem trzy różne daty wejścia w życie tej samej ustawy. Wyszukiwarka i portale branżowe podawały 3 kwietnia 2026, europejski rejestr aktów prawnych też 3 kwietnia, a jedno streszczenie komunikatu resortowego mówiło o 10 kwietnia.
Rozstrzyga tekst. Ostatni przepis nowelizacji brzmi:
Art. 49. Ustawa wchodzi w życie po upływie miesiąca od dnia ogłoszenia.
Ogłoszenie nastąpiło 2 marca 2026, więc miesiąc upływa 2 kwietnia, a ustawa obowiązuje od 3 kwietnia 2026. Jedna linijka rozstrzyga to, o czym krążą trzy wersje.
Piszę o tym nie dla porządku, tylko dlatego, że cała reszta artykułu opiera się na terminach liczonych od tej daty. Gdybym wziął datę z komunikatu, każdy termin poniżej przesunąłby się o tydzień. Przy okazji jest to test na wiarygodność każdego innego tekstu o KSC, który przeczytasz: sprawdź, czy autor podaje numer artykułu, czy tylko datę.
Co ustawa mówi o dostawcach
Nowelizacja wprowadza dwie definicje, które warto przeczytać dosłownie, bo różnica między nimi decyduje o wszystkim dalej.
Pierwsza:
dostawca usług zarządzanych - osobę fizyczną, osobę prawną albo jednostkę organizacyjną nieposiadającą osobowości prawnej, która świadczy usługi związane z instalacją, eksploatacją lub konserwacją produktów ICT, usług ICT, procesów ICT lub systemów informacyjnych przez wsparcie lub aktywną administrację przeprowadzane u usługobiorcy na miejscu lub zdalnie
Druga:
dostawca usług zarządzanych w zakresie cyberbezpieczeństwa - (…) która świadczy usługi polegające na realizacji lub wsparciu dla realizacji działań związanych z zarządzaniem ryzykiem w cyberbezpieczeństwie, w tym obsługę incydentów, testy bezpieczeństwa
Pierwsza definicja opisuje utrzymanie. Aktualizacje rdzenia i wtyczek, kopie zapasowe, konfiguracja serwera, wdrożenia, dyżur przy awarii, czyli treść przeciętnej umowy utrzymaniowej. Słowo “zdalnie” jest tam wprost, więc argument, że nie mamy dostępu fizycznego do infrastruktury klienta, nie zmienia kwalifikacji czynności.
Druga definicja opisuje coś innego: zarządzanie ryzykiem, obsługę incydentów, testy bezpieczeństwa. Są to usługi, które sprzedaje się jako osobną kompetencję, a nie jako obsługę techniczną.
Dwa rodzaje podmiotu w jednym sektorze
W załączniku nr 1 sektor Zarządzanie usługami ICT ma dwie pozycje w kolumnie rodzaju podmiotu: dostawca usług zarządzanych oraz dostawca usług zarządzanych w zakresie cyberbezpieczeństwa. Nie jest to powtórzenie, tylko dwie osobne kategorie.
Sprawdziłem położenie tego sektora w tekście, bo od tego zależy, czy chodzi o sektor kluczowy, czy ważny. Załącznik nr 1 zaczyna się na stronie 87 Dziennika Ustaw, załącznik nr 2 na stronie 96, a Zarządzanie usługami ICT figuruje na stronie 94. Jest zatem w załączniku nr 1, wśród sektorów kluczowych, obok energetyki, transportu i bankowości.
Sam fakt bycia w załączniku nr 1 nie oznacza jeszcze objęcia obowiązkami, bo o tym decyduje wielkość podmiotu. Oznacza natomiast, że nie da się tego tematu odłożyć argumentem “to nie nasza branża”.
Progi wielkości, dosłownie
Ustawa nie definiuje wielkości samodzielnie, tylko odsyła do załącznika I do rozporządzenia Komisji 651/2014/UE. Ten załącznik mówi:
- Do kategorii mikroprzedsiębiorstw oraz małych i średnich przedsiębiorstw (“MŚP”) należą przedsiębiorstwa, które zatrudniają mniej niż 250 pracowników i których roczny obrót nie przekracza 50 milionów EUR, lub roczna suma bilansowa nie przekracza 43 milionów EUR.
- W kategorii MŚP małe przedsiębiorstwo definiuje się jako przedsiębiorstwo, które zatrudnia mniej niż 50 pracowników i którego roczny obrót lub roczna suma bilansowa nie przekracza 10 milionów EUR.
- W kategorii MŚP mikroprzedsiębiorstwo definiuje się jako przedsiębiorstwo, które zatrudnia mniej niż 10 pracowników i którego roczny obrót lub roczna suma bilansowa nie przekracza 2 milionów EUR.
Dwa szczegóły z tego samego załącznika, które w praktyce ratują przed pochopnym wnioskiem.
Po pierwsze, liczba pracowników to roczne jednostki pracy, a nie liczba nazwisk na liście. Osoby pracujące w niepełnym wymiarze albo część roku liczą się ułamkiem.
Po drugie, art. 4 ust. 2 mówi, że przekroczenie progu w jednym roku niczego nie zmienia:
uzyskanie lub utrata statusu średniego, małego lub mikroprzedsiębiorstwa następuje tylko wówczas, gdy zjawisko to powtórzy się w ciągu dwóch kolejnych okresów obrachunkowych
Jeden dobry rok nie przenosi firmy do innej kategorii. Dwa z rzędu tak.
Dlaczego próg dla cyberbezpieczeństwa jest niższy
Tu jest rzecz, którą łatwo przeoczyć przy pobieżnej lekturze. Artykuł 5 ustanawia różne progi dla różnych pozycji z załącznika.
Reguła ogólna dla podmiotu z załącznika nr 1: podmiotem kluczowym jest ten, który “przewyższa wymogi dla średniego przedsiębiorstwa”. Czyli dopiero powyżej 250 pracowników albo powyżej progów finansowych.
Ale pkt 3 tego samego ustępu brzmi inaczej:
dostawca usług zarządzanych w zakresie cyberbezpieczeństwa, który co najmniej spełnia wymogi dla małego albo średniego przedsiębiorcy (…) lub je przewyższa
Dla tej jednej kategorii ustawodawca zszedł z progu średniego na mały. Firma, która przy zwykłym utrzymaniu byłaby daleko poza zakresem ustawy, przy tej samej wielkości może znaleźć się w kategorii podmiotu kluczowego, jeśli to, co sprzedaje, mieści się w drugiej definicji.
Nie rozstrzygam, jak dokładnie czytać zwrot “co najmniej spełnia wymogi dla małego” w odniesieniu do mikroprzedsiębiorcy, bo to jest pytanie do prawnika, a nie do programisty. Zwracam uwagę na kierunek: próg jest tu niżej niż wszędzie indziej, więc to jedyne miejsce, w którym wielkość firmy przestaje być wygodnym argumentem.
Czy Twoja firma podlega, czyli pytania zamiast werdyktu
Nie napiszę, że podlegasz ani że nie podlegasz, bo nie znam Twoich danych, a odpowiedź zależy od nich, nie od branży. Zamiast tego kolejność pytań, którą sam bym przeszedł.
Co realnie sprzedajesz, według umów, nie według strony. Umowa utrzymaniowa z aktualizacjami i kopiami zapasowymi to pierwsza definicja. Umowa, w której zobowiązujesz się do obsługi incydentów bezpieczeństwa, testów albo prowadzenia analizy ryzyka, zbliża się do drugiej. Sprawdzasz treść zobowiązań, nie nazwę pakietu.
Co deklaruje Twój marketing. To osobne pytanie od poprzedniego i częściej bywa problemem. Strona z hasłem o całodobowym reagowaniu na incydenty i monitoringu bezpieczeństwa opisuje inną usługę niż faktycznie podpisana umowa o aktualizacje. Rozjazd między jednym a drugim jest problemem, zanim jeszcze pojawi się jakikolwiek organ.
Jaka jest Twoja wielkość w rocznych jednostkach pracy i w obrocie, za dwa ostatnie zamknięte lata. Nie za bieżący, bo liczy się powtórzenie w dwóch okresach.
Czy któryś z Twoich klientów jest podmiotem kluczowym lub ważnym. To pytanie nie decyduje o Twoim statusie, ale decyduje o tym, czego zażąda od Ciebie klient. O tym niżej.
Co się zmienia, gdy klient jest podmiotem objętym ustawą
Nawet jeśli sam nie podlegasz, zmienia się coś w relacji z klientem, który podlega. Wśród wymagań systemu zarządzania bezpieczeństwem informacji ustawa wymienia:
bezpieczeństwo i ciągłość łańcucha dostaw produktów ICT, usług ICT i procesów ICT, od których zależy świadczenie usługi, z uwzględnieniem związków pomiędzy bezpośrednim dostawcą sprzętu lub oprogramowania a podmiotem kluczowym lub podmiotem ważnym
Przekłada się to na coś bardzo konkretnego. Klient objęty ustawą musi umieć wykazać, że panuje nad swoim łańcuchem dostaw ICT. Jeżeli jego sklep albo portal stoi na WordPressie, którym zarządza ktoś z zewnątrz, to ten ktoś jest częścią łańcucha, którą trzeba opisać.
Zamiast pytania “czy robicie backupy” pojawia się pytanie o udokumentowaną procedurę, o czas odtworzenia potwierdzony testem z datą, o to, kto ma dostęp do produkcji i co się dzieje, gdy ta osoba odchodzi z firmy. Różnica polega na tym, że deklaracja przestaje wystarczać, bo klient potrzebuje dowodu do własnej dokumentacji.
Dla dostawcy jest w tym rzecz nieoczywista i raczej dobra: to nie jest nowy obowiązek prawny po Twojej stronie, tylko nowy wymóg umowny. Wynika z umowy, nie z ustawy, więc negocjuje się go jak każdy inny warunek, a nie przyjmuje jak wezwanie.
Twoje dane w rządowym wykazie
Jeden szczegół, który zaskakuje przy pierwszym czytaniu. Wniosek o wpis do wykazu podmiotów kluczowych i ważnych zawiera, wśród danych podmiotu, także:
informację o zawarciu umowy z dostawcą usług zarządzanych w zakresie cyberbezpieczeństwa (…) wraz z danymi tego dostawcy zawierającymi nazwę (firmę) dostawcy, adres siedziby, adres do korespondencji, numer telefonu, adres poczty elektronicznej
Jeżeli więc klient objęty ustawą zleca komuś zadania z tego zakresu, dane tego dostawcy trafiają do rejestru prowadzonego przez ministra. Do tego art. 7c ust. 3 wymaga wniosku o zmianę wpisu “w terminie 14 dni od dnia ich zmiany”, więc zmiana dostawcy uruchamia po stronie klienta czternastodniowy zegar.
Praktyczna konsekwencja dla dostawcy: warto wiedzieć, czy figuruje się w cudzym wpisie, bo to zmienia znaczenie zwykłego wypowiedzenia umowy. Wniosek składany jest pod rygorem odpowiedzialności karnej za fałszywe oświadczenie, więc kierownik podmiotu ma silny powód, żeby dane były aktualne.
Terminy, liczone od zdarzenia, nie od jednej daty
Terminy w tej ustawie nie są jedną datą w kalendarzu, tylko zegarami uruchamianymi przez zdarzenia. Dlatego ten tekst nie traci ważności w żadnym konkretnym dniu.
Sześć miesięcy na wniosek o wpis, liczone od spełnienia przesłanek:
Art. 7c. 1. Podmiot kluczowy lub podmiot ważny składają wniosek o wpis do wykazu, w terminie 6 miesięcy od dnia spełnienia przesłanek uznania za podmiot kluczowy lub podmiot ważny.
Dla podmiotów, które spełniały przesłanki już w dniu wejścia w życie, sześć miesięcy od 3 kwietnia 2026 wypada na początku października 2026. Ale firma, która przesłanki spełni w przyszłym roku, ma własne sześć miesięcy liczone od swojej daty.
Dwanaście miesięcy na obowiązki dla podmiotów, które spełniały przesłanki w dniu wejścia w życie (art. 33 ust. 1), czyli do 3 kwietnia 2027.
Dwadzieścia cztery miesiące na pierwszy audyt dla podmiotów kluczowych (art. 33 ust. 2), czyli do 3 kwietnia 2028.
Czternaście dni na aktualizację danych w wykazie po każdej ich zmianie.
Dostawca wysokiego ryzyka, osobny mechanizm
Ustawa zawiera drugi mechanizm, który bywa mylony z poprzednim, a działa zupełnie inaczej i dotyczy kogoś innego.
Minister właściwy do spraw informatyzacji może wszcząć postępowanie “w sprawie uznania dostawcy sprzętu lub oprogramowania” za dostawcę wysokiego ryzyka, w celu ochrony bezpieczeństwa państwa lub porządku publicznego. Skutki określa art. 67c: podmioty objęte ustawą nie wprowadzają do użytkowania objętych decyzją produktów, usług i procesów ICT, a te już używane “wycofują z użytkowania (…) nie później niż w terminie 7 lat” od ogłoszenia decyzji w Monitorze Polskim. Dla przedsiębiorców telekomunikacyjnych termin wynosi 4 lata. Decyzja podlega natychmiastowemu wykonaniu i nie przysługuje od niej wniosek o ponowne rozpatrzenie sprawy.
Dwa wnioski dla dostawcy usług. Po pierwsze, mechanizm celuje w sprzęt i oprogramowanie, a nie w firmy świadczące usługi utrzymania, więc agencja nie jest jego adresatem. Po drugie, może uderzyć w nią pośrednio i to boleśnie: jeśli komponent, na którym stoi rozwiązanie u klienta objętego ustawą, znajdzie się w takiej decyzji, migracja przestaje być kwestią budżetu, a staje się kwestią terminu ustawowego.
W praktyce oznacza to jedno, i to niezależnie od statusu prawnego: warto wiedzieć, co dokładnie stoi w stosie u klientów z sektorów regulowanych, łącznie z tym, czyja jest wtyczka i skąd pochodzi hosting. Ta wiedza kosztuje jedno popołudnie, gdy się ją spisuje spokojnie, i kosztuje znacznie więcej, gdy trzeba ją odtworzyć pod presją.
Kary, liczby z tekstu ustawy
Podaję je, bo krążą w wersjach zaokrąglonych i to zwykle w górę.
Dla podmiotu kluczowego:
Wysokość kary pieniężnej nie może przekroczyć 10 000 000 euro (…) lub 2 % przychodów osiągniętych przez podmiot kluczowy z działalności gospodarczej w roku obrotowym poprzedzającym wymierzenie kary, przy czym zastosowanie ma kwota wyższa. Kara ta nie może być jednak niższa niż 20 000 zł.
Dla podmiotu ważnego pułap to 250 000 euro albo 1,4 procent przychodów, przy dolnej granicy 15 000 zł.
Dwie uwagi, które zmieniają obraz. Pierwsza: to są pułapy maksymalne, a nie stawki, i ustawa uzależnia karę od wagi naruszenia. Druga: kary zaczynają obowiązywać dopiero po dwóch latach od wejścia w życie, czyli po 3 kwietnia 2028, więc obecny okres jest czasem na uporządkowanie, a nie na egzekucję.
Co zrobić w tym kwartale
Zestaw czynności, które mają sens niezależnie od tego, jak wypadnie ocena prawna, i które są tanie.
Przeczytaj własne umowy pod kątem czasowników. Interesuje Cię, do czego się zobowiązujesz, a nie jak nazywa się pakiet. “Aktualizujemy” i “wykonujemy kopie” to jedno. “Reagujemy na incydenty bezpieczeństwa”, “prowadzimy analizę ryzyka”, “wykonujemy testy” to co innego. Jeśli w umowach jest jedno, a na stronie drugie, to jest robota na jedno popołudnie.
Zrób listę klientów, którzy mogą być podmiotami kluczowymi lub ważnymi. Podpowiedź: szpitale, uczelnie, jednostki samorządu, spółki komunalne, energetyka, transport, banki i ich dostawcy. Nie musisz rozstrzygać ich statusu, wystarczy wiedzieć, od kogo przyjdzie kwestionariusz.
Przygotuj to, o co i tak zapytają. Kto ma dostęp do produkcji, jak jest odbierany, gdzie leżą kopie, kiedy ostatnio odtwarzano je testowo i ile to trwało, jak wygląda ścieżka zgłoszenia po godzinach. Cztery strony, nie czterdzieści.
Ustal, kto u Ciebie odpowiada za tę ocenę. To pytanie do prawnika i do właściciela, nie do zespołu technicznego. Techniczne przygotowanie zrobisz sam, kwalifikacji prawnej nie.
Jest jeszcze jeden wymóg, który warto poznać wcześniej, bo dotyczy nawyku, a nie zakupu. Ustawa nakazuje podmiotom objętym przechowywanie dokumentacji bezpieczeństwa systemu informacyjnego “przez okres co najmniej 2 lat od dnia jej wycofania z użytkowania lub zakończenia świadczenia usługi”, a jej zniszczenie potwierdza się protokołem brakowania z datą, opisem sposobu zniszczenia i danymi osoby zatwierdzającej. Brzmi to jak biurokracja i po części nią jest, ale niesie konkretną konsekwencję dla dostawcy: dokumentacja przeżywa umowę. Jeżeli po zakończeniu współpracy klient nie ma czego pokazać, bo wszystko było w Twoim systemie zgłoszeń, problem wraca do Ciebie, tyle że już bez umowy.
Praktyczny wniosek jest przyziemny. Warto, aby to, co powstaje przy utrzymaniu, czyli rejestr zmian, wyniki testów odtwarzania i lista dostępów, żyło po stronie klienta, a nie wyłącznie w narzędziach dostawcy. Dla dostawcy jest to zabezpieczenie na wypadek sporu, dla klienta warunek posiadania własnej dokumentacji.
Czego ta ustawa nie zmienia
Dla równowagi, bo teksty o regulacjach mają skłonność do rozdmuchiwania zakresu.
Nie zmienia zasad przetwarzania danych osobowych. RODO obowiązuje niezależnie i to ono, a nie KSC, reguluje zgłaszanie naruszeń danych do organu nadzorczego. Są to dwa odrębne reżimy z odrębnymi terminami i mylenie ich prowadzi do nadmiarowych zgłoszeń.
Nie tworzy obowiązku certyfikacji. W tekście nie ma wymogu posiadania normy ISO ani żadnego konkretnego certyfikatu, jest wymóg posiadania i utrzymywania systemu zarządzania bezpieczeństwem informacji. Certyfikat bywa wygodnym dowodem, ale ustawa go nie nakazuje.
Nie nakłada obowiązków bezpośrednio na dostawcę, który sam nie jest podmiotem kluczowym ani ważnym. Wymagania docierają do niego umową od klienta, co jest istotną różnicą, bo umowę się negocjuje.
Czego ten tekst nie rozstrzyga
Wymieniam wprost, bo tekst z taką liczbą cytatów łatwo pomylić z opinią prawną, a nią nie jest.
Nie rozstrzyga, czy Twoja firma podlega ustawie. Zależy to od treści umów, wielkości liczonej w rocznych jednostkach pracy i powiązań kapitałowych z innymi podmiotami, których nie znam.
Nie rozstrzyga, jak organ będzie czytał granicę między pierwszą a drugą definicją w przypadkach mieszanych, gdzie umowa utrzymaniowa zawiera element bezpieczeństwa. Ta granica będzie się wyjaśniać przez praktykę, a praktyki jeszcze nie ma, bo kary zaczynają obowiązywać w 2028.
Nie rozstrzyga statusu mikroprzedsiębiorcy przy kategorii cyberbezpieczeństwa, o czym pisałem wyżej.
Sam tekst ustawy jest publiczny i ma 102 strony w wydaniu z Dziennika Ustaw. Cytaty powyżej pochodzą z niego, a nie z omówień, i każdy z nich da się sprawdzić przez wyszukanie frazy w pliku.
Źródła
- Ustawa z dnia 23 stycznia 2026 r. o zmianie ustawy o krajowym systemie cyberbezpieczeństwa oraz niektórych innych ustaw, Dz.U. 2026 poz. 252, tekst ogłoszony 2 marca 2026
- Zapis aktu w ISAP
- Rozporządzenie Komisji (UE) nr 651/2014, załącznik I, definicja MŚP, art. 2, 4 i 5
Ostatnia weryfikacja: 10 sierpnia 2026. Cytaty sprawdzone w tekście ogłoszonym w Dzienniku Ustaw. Artykuł ma charakter informacyjny i nie stanowi porady prawnej.
