Pięcioosobowa firma IT konfiguruje firewalla i pomaga zdalnie jednemu klientowi. Brzmi jak typowy kontrakt utrzymaniowy. Tymczasem w reżimie NIS2 ta firma może być podmiotem kluczowym — z najsurowszym nadzorem i obowiązkiem raportowania incydentów w 24 godziny. Progi wielkości w tej kategorii nie obowiązują.
I nikt jej o tym nie poinformuje. Bo w NIS2 nie ma zaproszeń — jest tylko pytanie od organu, zwykle już po terminie.
Polska implementacja NIS2 weszła w życie 3 kwietnia 2026 r. na mocy ustawy z 23 stycznia 2026 r. (Dz.U. 2026 poz. 252). Termin wpisu do wykazu podmiotów dla firm spełniających przesłanki w dniu wejścia nowelizacji upłynął 3 października 2026 r. Jeśli jeszcze nie sprawdziłeś, czy Twoja firma podlega — ten artykuł przeprowadzi Cię przez test kwalifikacyjny NIS2 krok po kroku. Pokażę, dlaczego kody PKD mogą Cię zmylić, gdzie leżą strefy sporne i jak udokumentować wynik analizy — niezależnie od tego, czy jest pozytywny, czy negatywny.
Podstawowe pojęcia, zanim zaczniesz test
Zanim przejdziesz do testu kwalifikacyjnego, ustal znaczenie kilku pojęć. Bez tego łatwo o błędną interpretację.
| Pojęcie | Co oznacza | Dlaczego ma znaczenie |
|---|---|---|
| Samoidentyfikacja | Firma sama ocenia, czy spełnia przesłanki ustawowe — organ nie wysyła wezwań | Obowiązek powstaje z mocy prawa, nie z decyzji organu |
| Podmiot kluczowy | Firma z sektora z załącznika I (np. energetyka, infrastruktura cyfrowa) spełniająca progi wielkości lub w kategorii bez progu | Nadzór prewencyjny — organ kontroluje bez czekania na incydent; najwyższe kary |
| Podmiot ważny | Firma z sektora z załącznika I lub II spełniająca progi, ale niespełniająca kryteriów podmiotu kluczowego | Nadzór następczy — organ reaguje po incydencie; niższy pułap kar |
| Wykaz KSC | Ustawowa nazwa rejestru podmiotów kluczowych i ważnych prowadzonego elektronicznie | Wpis ma charakter deklaratoryjny — potwierdza status, nie tworzy go |
| Progi MŚP (zalecenie 2003/361/WE) | Mikro/małe: <50 zatrudnionych i ≤10 mln EUR obrotu; średnie: 50–249 lub obrót 10–50 mln EUR; duże: ≥250 lub obrót >50 mln EUR | Przy liczeniu uwzględnia się przedsiębiorstwa powiązane i zależne — razem |
| Dostawca usług zarządzanych | Firma, która po wdrożeniu zostaje przy środowisku klienta: administruje, monitoruje, aktualizuje | Granica: jednorazowe wdrożenie nie kwalifikuje; ciągła administracja — tak |
| Usługi zarządzane w zakresie cyberbezpieczeństwa | SOC, SIEM, IAM, backup i DR, testy, audyty, obsługa incydentów u klienta | Kwalifikacja bez progu wielkości i od razu jako podmiot kluczowy |
Jak działa NIS2 — mechanizm, który zaskakuje
Reżim NIS2 nie działa jak rejestr, do którego zgłasza się chętnych. Działa jak podatek: obowiązek powstaje z mocy prawa w momencie spełnienia przesłanek. Firma ma sama się rozpoznać i sama zgłosić do wykazu KSC.
Z tego wynika asymetria kosztu błędu:
| Scenariusz | Konsekwencja |
|---|---|
| Uznasz, że nie podlegasz, a podlegasz | Odpowiadasz wstecz za cały okres: brak wpisu, brak zgłoszeń incydentów, brak środków zarządzania ryzykiem |
| Uznasz, że podlegasz, a nie podlegasz | Płacisz dobrowolnie za reżim, który Cię nie dotyczy — koszty organizacyjne i finansowe plus stały nadzór |
Termin złożenia wniosku o wpis to 6 miesięcy od dnia spełnienia przesłanek (art. 7c ust. 1 ustawy o KSC). Termin biegnie od momentu faktycznego spełnienia przesłanek — nie od dnia, kiedy się o tym dowiesz.
Odpowiedzialność jest osobista. Art. 8c ust. 1 ustawy o KSC mówi wprost: kierownik podmiotu odpowiada za wykonywanie obowiązków cyberbezpieczeństwa. Przy zarządzie wieloosobowym bez wskazanej osoby odpowiedzialnej — odpowiadają wszyscy członkowie (art. 8c ust. 2). Powierzenie obowiązków innej osobie nie wyłącza odpowiedzialności kierownika (art. 8c ust. 3).
To nie jest obowiązek działu IT. To obowiązek zarządu.
Pułapka kodów PKD — dwa mity, które trzeba rozmontować
Zanim przejdziesz do testu, wyjaśnijmy najczęstsze nieporozumienie. Kody PKD nie są przesłanką ustawową kwalifikacji NIS2.
Mit 1: „Mamy w umowie spółki kod z listy — to znaczy, że podlegamy.”
Nie znaczy. Kod PKD nie tworzy obowiązku. Decyduje faktycznie prowadzona działalność.
Mit 2: „Nie mamy żadnego kodu z listy — to znaczy, że nie podlegamy.”
Też nie znaczy. Brak kodu nie zwalnia, jeśli rzeczywiście prowadzisz działalność objętą załącznikami.
Jak potwierdza Ministerstwo Cyfryzacji: samoidentyfikacji dokonujesz przez analizę działalności na podstawie art. 5 ustawy o KSC oraz załączników nr 1 i 2. Kody PKD mają charakter pomocniczy.
Co PKD faktycznie robi
Kody PKD to narzędzie przesiewowe organu. Nie decydują o wyniku, ale decydują o tym, kogo organ zapyta. Jeśli masz w umowie spółki kod 62.20.A (działalność w zakresie cyberbezpieczeństwa) — przyciągniesz uwagę jako pierwszy, nawet jeśli tej działalności nie prowadzisz.
Problem z KRS: widzisz 10 kodów, a masz 25
KRS ujawnia maksymalnie 10 kodów PKD. W jednej analizowanej sprawie umowa spółki zawierała 25 pozycji — a wśród 15 niewidocznych w rejestrze siedziały dokładnie te, które uruchamiały pytania o NIS2.
Dlatego pierwszym krokiem testu jest wyciągnięcie pełnej listy kodów z umowy spółki lub statutu, nie z odpisu KRS.
Dodatkowe ryzyko: wiele spółek ma dziś w umowie listę kodów świeżo przepisaną przy przejściu na PKD 2025 (Dz.U. 2024 poz. 1936) — ale nieprzemyślaną pod kątem tego, co z tych kodów wynika w reżimie NIS2. Od 1 stycznia 2027 r. podmioty bez aktualizacji będą przeklasyfikowywane automatycznie według klucza powiązań GUS — a klucz przewiduje relacje 1:wiele, co może ujawnić rozbieżności.
Skontaktuj się — pomożemy Ci przejść przez test kwalifikacyjny NIS2 i udokumentować wynik.
Test kwalifikacyjny NIS2 w 8 krokach
Poniższy test przeprowadzisz na własnej firmie. Po każdym kroku wiesz, czy idziesz dalej, czy masz odpowiedź.
Krok 1: wyciągnij pełną listę kodów PKD z umowy spółki
Nie z odpisu KRS. Zestaw każdą pozycję z odpowiedzią: prowadzimy / nie prowadzimy. Jeśli masz kody dla działalności faktycznie nieprowadzonej — zanotuj to. Rozważ uchwałę usuwającą zbędne kody (procedura: uchwała wspólników, protokół notarialny, zgłoszenie do KRS — art. 255 § 3 k.s.h.).
Krok 2: sprawdź, czy Twoja działalność mieści się w załączniku I lub II
Załącznik I obejmuje sektory szczególnie krytyczne:
| Nr | Sektor |
|---|---|
| 1 | Energetyka |
| 2 | Transport |
| 3 | Bankowość |
| 4 | Infrastruktura rynków finansowych |
| 5 | Zdrowie |
| 6 | Woda pitna |
| 7 | Ścieki |
| 8 | Infrastruktura cyfrowa |
| 9 | Zarządzanie usługami ICT (B2B) |
| 10 | Administracja publiczna |
| 11 | Przestrzeń kosmiczna |
Załącznik II obejmuje m.in.: pocztę i kurierów, odpady, chemikalia, żywność, produkcję, dostawców usług cyfrowych, organizacje badawcze.
Uwaga dla firm IT: „infrastruktura cyfrowa” brzmi jak każda firma IT, ale obejmuje konkretne role: IXP, DNS, rejestry TLD, chmurę, centra przetwarzania danych, CDN, usługi zaufania, publiczne sieci i usługi łączności elektronicznej. Firma pisząca oprogramowanie nie jest żadną z nich — dopóki nie zacznie robić czegoś obok.
Krok 3: sprawdź status regulacyjny w swoim sektorze
W części sektorów kwalifikację przesądza status regulacyjny (koncesja, zezwolenie, wpis do rejestru działalności regulowanej), a nie branża. Odpowiedź szukaj w ustawie sektorowej, nie w ustawie o KSC.
Przykład: wytwarzanie energii elektrycznej jest objęte reżimem tylko przy przedsiębiorstwie energetycznym posiadającym koncesję. Art. 32 ust. 1 pkt 1 lit. c Prawa energetycznego wyłącza z obowiązku koncesyjnego mikroinstalację i małą instalację. Bez koncesji — brak kwalifikacji w kategorii „energia elektryczna”, niezależnie od kodu 35.11.Z.
Ale rozbudowa instalacji do rozmiarów wymagających koncesji zmienia status. I nikt o tym nie przypomni.
Krok 4: zinwentaryzuj umowy utrzymaniowe
Odpowiedz na jedno pytanie przy każdej umowie: czy po wdrożeniu zostajecie przy środowisku klienta? Konta, konfiguracja, aktualizacje, monitoring, backup, zdalny dostęp administracyjny — każde „tak” to kandydat na kwalifikację jako dostawca usług zarządzanych.
Granica jest wyraźna: samo wdrożenie nie kwalifikuje. Dalsza, ciągła administracja środowiskiem klienta — kwalifikuje.
Krok 5: sprawdź kategorię bez progu wielkości
To najczęściej przeoczany punkt. Następujące kategorie kwalifikują niezależnie od wielkości firmy:
| Nr | Kategoria | Status |
|---|---|---|
| 1 | Dostawcy usług zarządzanych w zakresie cyberbezpieczeństwa | Podmiot kluczowy |
| 2 | Dostawcy usług zaufania | Podmiot kluczowy |
| 3 | Rejestry nazw TLD | Podmiot kluczowy |
| 4 | Dostawcy usług DNS | Podmiot kluczowy |
| 5 | Dostawcy publicznych sieci i usług łączności elektronicznej | Podmiot kluczowy |
| 6 | Podmioty administracji publicznej | Podmiot kluczowy |
Sprawdź, czy gdziekolwiek — także w jednym jedynym przypadku i obok głównego biznesu — realizujesz lub wspierasz zarządzanie ryzykiem cyberbezpieczeństwa u klienta: incydenty, testy, audyty, doradztwo, SOC, SIEM, IAM, backup i DR, monitorowanie zagrożeń.
Samo pasywne monitorowanie firewalla to za mało. Decyduje faktyczna ingerencja w proces zarządzania bezpieczeństwem systemowym u klienta.
Ale „robimy jednemu klientowi informatyka” — konfiguracja serwerów, UTM-a i firewalla plus zdalna pomoc — to w ocenie ostrożnościowej raczej usługa zarządzana w zakresie cyberbezpieczeństwa. A to oznacza status podmiotu kluczowego bez względu na wielkość firmy.
Krok 6: policz progi wielkości z uwzględnieniem grupy
Progi liczysz zgodnie z zaleceniem Komisji 2003/361/WE):
| Kategoria | Zatrudnienie | Obrót roczny | Suma bilansowa |
|---|---|---|---|
| Mikro/małe | <50 | ≤10 mln EUR | ≤10 mln EUR |
| Średnie | 50–249 | 10–50 mln EUR | 10–43 mln EUR |
| Duże | ≥250 | >50 mln EUR | >43 mln EUR |
Zatrudnienie jest warunkiem samodzielnym. Obrót i suma bilansowa działają alternatywnie.
Najczęstszy błąd: niedoliczenie przedsiębiorstw powiązanych i zależnych. Spółka z 20 pracownikami w grupie kapitałowej przekracza progi razem z grupą. Zalecenie rozróżnia przedsiębiorstwa samodzielne, partnerskie i powiązane — powiązanie przez osoby fizyczne prowadzi do agregacji danych przy spełnieniu przesłanki rynkowej (ten sam lub pokrewny rynek) oraz relacji kontroli.
Zmiana statusu następuje po przekroczeniu lub nieprzekroczeniu progów przez dwa kolejne lata obrotowe — jednorazowe przekroczenie w trakcie roku nie powoduje automatycznej natychmiastowej kwalifikacji.
Krok 7: ustal, kto świadczy usługę wobec użytkownika końcowego
Przy każdym produkcie odpowiedz: kto ustala i kto akceptuje regulamin wobec użytkownika końcowego — Ty czy Twój klient?
Przykład: producent oprogramowania dla samorządów dostarcza JST portal, przez który mieszkańcy widzą wysokość należności i mogą zapłacić. Regulamin przygotowuje i akceptuje JST. Dostawca jest dostawcą i operatorem narzędzia — usługę świadczy JST. Dostawca nie jest „dostawcą platformy sieci usług społecznościowych”, bo platforma umożliwia komunikację z urzędem, nie między obywatelami.
To kryterium dowodowe — udokumentuj je.
Krok 8: udokumentuj wynik — także negatywny
Ustalenie „nie podlegamy” ma datę. Jeżeli nie zapiszesz, od czego ono zależy, po dwóch latach nikt w firmie nie będzie wiedział, że nowa umowa utrzymaniowa przesuwa firmę do reżimu.
Udokumentuj wynik w formie opinii prawnej zawierającej założenia, na których stoi. To jednocześnie:
- Dokument obronny na wypadek pytania organu
- Lista warunków wymagających ponownej analizy
- Podstawa do wyznaczenia zdarzeń wyzwalających powtórzenie testu
Strefy sporne — gdzie odpowiedź nie jest jednoznaczna
Przy świeżych przepisach bez orzecznictwa i utrwalonej praktyki organu część kwalifikacji pozostaje w strefie interpretacji. Brak potwierdzonych polskich decyzji organu ani wyroków sądowych rozstrzygających poniższe granice — każda kwalifikacja wymaga analizy rzeczywistego zakresu, ciągłości i odpowiedzialności usługodawcy.
Uboczna kolokacja i hosting
Firma trzyma fizyczne serwery we własnej siedzibie i hostuje na nich środowiska kilku klientów. Obok wynajmuje szafy podmiotom trzecim jako działalność uboczną. Uboczny charakter nie ratuje — to kwalifikacja jako dostawca usług centrum przetwarzania danych (udostępnianie infrastruktury serwerowej podmiotom trzecim wraz z eksploatacją: zasilanie, chłodzenie, utrzymanie).
Model powered-shell (klient zarządza wszystkim sam, firma dostarcza tylko zasilanie i chłodzenie) i zasoby wyłącznie własne — nie kwalifikują.
Wdrożenie vs. usługa zarządzana
Samo wdrożenie systemu u klienta nie czyni z firmy dostawcy usług zarządzanych. Ale jeśli po wdrożeniu firma zostaje — konfiguruje, aktualizuje, monitoruje, ma zdalny dostęp administracyjny — granica została przekroczona. Zmiana redakcyjna w umowie bez zmiany tego, co faktycznie robicie w środowisku klienta, nie zmienia kwalifikacji.
Czat w produkcie a telekomunikacja
Cztery kody telekomunikacyjne (61.10.A, 61.10.B, 61.90.A, 61.90.B) wpisane „na zapas” uruchamiają pytanie o dostarczanie sieci i usługi komunikacji interpersonalnej. Jeśli masz w produkcie funkcję komunikacji między użytkownikami — sprawdź, czy nie wchodzisz w definicję usługi łączności elektronicznej.
Kody badawcze i ulga B+R
Kody 71.20.C i 72.10.Z w umowie spółki plus korzystanie z ulgi B+R, przy badaniach prowadzonych wyłącznie na własne potrzeby — to nie jest organizacja badawcza z załącznika II. Ale wygląda na nią w aktach. Przygotuj opis, na czyje potrzeby prowadzisz prace B+R — to pierwsze pytanie organu.
Podpis elektroniczny w systemie
Akceptacja o charakterze wewnętrznym „podpisu systemowego” nie jest usługą zaufania. Podpis kwalifikowany na decyzjach wydawanych na zewnątrz jest — ale dostawcą usługi zaufania jest zewnętrzny kwalifikowany dostawca (np. w rozumieniu rozporządzenia eIDAS), którego biblioteki wykorzystuje system, a nie producent systemu.
Co musisz wdrożyć po wpisie do wykazu
Jeśli test kwalifikacyjny dał wynik pozytywny, oto katalog obowiązków wynikających z ustawy o KSC:
| Nr | Obowiązek | Termin / częstotliwość |
|---|---|---|
| 1 | Wpis do wykazu KSC | 6 miesięcy od spełnienia przesłanek |
| 2 | Wdrożenie systemu zarządzania bezpieczeństwem informacji (SZBI) | Do 3 kwietnia 2027 r. (dla podmiotów spełniających przesłanki w dniu wejścia nowelizacji) |
| 3 | Analiza ryzyka i polityki bezpieczeństwa | Ciągle, z aktualizacją |
| 4 | Obsługa incydentów: wczesne ostrzeżenie | 24 godziny od wykrycia |
| 5 | Zgłoszenie incydentu poważnego | 72 godziny od wykrycia |
| 6 | Sprawozdanie końcowe z incydentu | 1 miesiąc |
| 7 | Ciągłość działania, backup i odtwarzanie | Ciągle |
| 8 | Bezpieczeństwo łańcucha dostaw | Ciągle, w umowach z dostawcami |
| 9 | Zarządzanie podatnościami | Ciągle |
| 10 | Kryptografia i kontrola dostępu, MFA | Ciągle |
| 11 | Szkolenie kierownika z cyberbezpieczeństwa (art. 8e) | Raz w roku kalendarzowym, udokumentowane |
| 12 | Zaświadczenie o niekaralności z KRK dla osób realizujących zadania cyberbezpieczeństwa (art. 8f) | Przed dopuszczeniem do zadań; dotyczy też podwykonawców |
| 13 | Podłączenie do systemu S46 | Do 3 kwietnia 2027 r. |
| 14 | Pierwszy audyt (podmioty kluczowe niebędące uprzednio OUK) | Do 3 kwietnia 2028 r. |
Obowiązki bezpieczeństwa łańcucha dostaw przechodzą na dostawców ICT kontraktowo. Art. 21 ust. 2 lit. d–e dyrektywy NIS2 obejmuje relacje z bezpośrednimi dostawcami. Zamawiający objęty NIS2 musi zapewnić odpowiednie gwarancje od dostawcy: lokalizacja danych, szyfrowanie, zarządzanie podatnościami, zasady zwrotu danych po zakończeniu współpracy.
Możesz nie być adresatem ustawy i być adresatem wymogów — tylko przez umowę, a nie przez rejestr.
Zdarzenia, które unieważniają Twoje ustalenie
Wynik testu kwalifikacyjnego ma datę ważności. Spisz zamkniętą listę zdarzeń wyzwalających powtórzenie testu i przypisz ją do konkretnej osoby z kalendarzem przeglądu:
| Nr | Zdarzenie wyzwalające | Co sprawdzić ponownie |
|---|---|---|
| 1 | Nowy klient na utrzymaniu (ciągła administracja) | Krok 4 — dostawca usług zarządzanych |
| 2 | Nowa usługa bezpieczeństwa (nawet jednorazowo) | Krok 5 — kategoria bez progu wielkości |
| 3 | Przekroczenie progu zatrudnienia (50 lub 250 osób) | Krok 6 — progi MŚP |
| 4 | Wejście do grupy kapitałowej lub zmiana struktury właścicielskiej | Krok 6 — przedsiębiorstwa powiązane |
| 5 | Rozbudowa instalacji (np. fotowoltaicznej) powodująca obowiązek koncesyjny | Krok 3 — status regulacyjny |
| 6 | Uruchomienie hostingu lub kolokacji dla podmiotów trzecich | Krok 4 — centrum przetwarzania danych |
| 7 | Dodanie funkcji komunikacji między użytkownikami w produkcie | Krok 7 — usługa łączności elektronicznej |
Jak możemy pomóc
Test kwalifikacyjny NIS2 wymaga zestawienia trzech warstw: treści umowy spółki, faktycznego zakresu działalności i wymogów ustawowych. W strefach spornych — a przy świeżych przepisach jest ich sporo — ocena ostrożnościowa wymaga analizy technicznej faktycznego zakresu usług, nie tylko lektury umowy.
Przeprowadzamy test kwalifikacyjny NIS2 na podstawie ankiety i wywiadu. Wynik dokumentujemy w opinii prawnej zawierającej założenia — działającej jako dokument obronny wobec organu (także przy wyniku negatywnym) i jako lista warunków wymagających ponownej analizy.
Trzy poziomy zaangażowania:
| Poziom | Zakres | Dla kogo |
|---|---|---|
| Minimum operacyjne | Przegląd listy kodów PKD z umowy spółki wobec faktycznej działalności, wstępna ocena kwalifikacyjna | Firmy, które chcą szybko ustalić, czy temat ich dotyczy |
| Solidna baza | Pełny test kwalifikacyjny z analizą spornych pojęć, policzeniem progów w grupie, opinią prawną z założeniami, rejestrem zdarzeń wyzwalających | Firmy w strefach spornych lub z rozbudowaną listą PKD |
| Pełne zabezpieczenie | Jak wyżej + przemodelowanie umów utrzymaniowych i klauzul łańcucha dostaw, uchwała porządkująca przedmiot działalności, wdrożenie obowiązków z art. 20, 21 i 23 NIS2, szkolenie zarządu | Firmy, które podlegają i potrzebują wdrożenia od A do Z |
Samoidentyfikacja NIS2 to decyzja zarządu, nie działu IT
NIS2 nie pyta, czy chcesz podlegać. Pyta, czy spełniasz przesłanki. Obowiązek powstaje z mocy prawa, a odpowiedzialność za jego rozpoznanie spoczywa na zarządzie osobiście — delegacja nie chroni (art. 8c ust. 3 ustawy o KSC).
Trzy rzeczy do zrobienia teraz:
- Wyciągnij pełną listę kodów PKD z umowy spółki i zestawij ją z faktyczną działalnością
- Zinwentaryzuj umowy utrzymaniowe — każda ciągła administracja środowiskiem klienta to kandydat na kwalifikację
- Udokumentuj wynik analizy — także negatywny — z założeniami i listą zdarzeń wyzwalających
Jeśli potrzebujesz wsparcia przy analizie kwalifikacyjnej, przemodelowaniu umów lub wdrożeniu obowiązków NIS2 — napisz do nas.
Najczęściej zadawane pytania
Jesteśmy software house’em na 40 osób — czy NIS2 w ogóle nas dotyczy?
Samo pisanie oprogramowania nie kwalifikuje. Ale sprawdź trzy rzeczy: czy po wdrożeniu zostajecie przy środowisku klienta (usługa zarządzana), czy gdziekolwiek wspieracie zarządzanie bezpieczeństwem u klienta (kategoria bez progu wielkości) i czy hostujecie środowiska klientów na własnej infrastrukturze (centrum przetwarzania danych). Każde „tak” uruchamia dalszą analizę.
Mamy w umowie spółki kod cyberbezpieczeństwa, choć tej działalności nie prowadzimy. Wykreślić go?
Kod sam w sobie nie tworzy obowiązku, ale przyciąga uwagę organu przy przeglądzie. Rozważ uchwałę usuwającą kod — wymaga protokołu notarialnego i wpisu do KRS. Pamiętaj o dwóch skutkach ubocznych: powrót do tej działalności wymaga kolejnej zmiany umowy spółki, a rozbudowana lista kodów dla działalności nieprowadzonej osłabia wiarygodność całej samoidentyfikacji.
Robimy jednemu klientowi „informatyka” za kilka tysięcy miesięcznie. Czy to może zrobić z nas podmiot kluczowy?
Tak — jeśli zakres obejmuje konfigurację firewalla, UTM-a, zdalną administrację i monitoring. W ocenie ostrożnościowej to raczej usługa zarządzana w zakresie cyberbezpieczeństwa, a ta kategoria kwalifikuje bez progu wielkości i od razu jako podmiot kluczowy. Rozstrzyga analiza techniczna faktycznego zakresu, nie lektura umowy.
Jesteśmy w grupie kapitałowej — liczymy nasze 20 osób czy całą grupę?
Całą grupę. Zalecenie 2003/361/WE wymaga agregacji danych przedsiębiorstw powiązanych i zależnych. Spółka z 20 pracownikami w grupie przekracza progi razem z grupą. To najczęstszy błąd w samoidentyfikacji. Powiązanie przez osoby fizyczne prowadzi do agregacji danych przy spełnieniu przesłanki rynkowej (ten sam lub pokrewny rynek) oraz relacji kontroli.
Nasz największy klient podlega NIS2 i przysłał aneks z wymogami bezpieczeństwa. Musimy go podpisać, jeśli sami nie podlegamy?
Obowiązek ustawowy Cię nie dotyczy, ale obowiązek kontraktowy — tak. Art. 21 ust. 2 lit. d–e dyrektywy NIS2 obejmuje bezpieczeństwo łańcucha dostaw. Podmiot objęty NIS2 zachowuje odpowiedzialność za zarządzanie ryzykiem nawet po zakontraktowaniu usług ICT — dlatego będzie wymagał od Ciebie gwarancji. Przejrzyj aneks pod kątem zakresu odpowiedzialności, lokalizacji danych, zasad zarządzania podatnościami i warunków zwrotu danych.
Jaki dokument chroni zarząd, jeśli wynik analizy jest negatywny?
Opinia prawna zawierająca założenia, na których stoi wynik. Powinna wskazywać: jaką działalność faktycznie prowadzicie, dlaczego nie spełniacie przesłanek, jakie zdarzenia unieważniają ustalenie. To dokument obronny na wypadek pytania organu i lista warunków wymagających ponownej analizy. Notatka wewnętrzna bez analizy prawnej nie chroni — przemilczenie faktów w ankiecie kwalifikacyjnej przesuwa całą odpowiedzialność na zarząd.
