Aplikacja SaaS w przeglądarce - czy to usługa chmury obliczeniowej w rozumieniu KSC
Udostępnij na:
Spis treści
NIS2 i KSC - Czy firma podlega KSC i w jakiej kategorii
Aplikacja SaaS w przeglądarce - czy to usługa chmury obliczeniowej w rozumieniu KSC
W skrócie
Producent aplikacji udostępnianej przez przeglądarkę nie wie, czy świadczy usługę chmury obliczeniowej. Od tego zależy, czy jako średnia lub duża firma podlega ustawie o KSC w sektorze infrastruktury cyfrowej.
Ustawa mówi o dostępie do skalowalnego i elastycznego zbioru zasobów obliczeniowych wspólnie wykorzystywanych przez wielu użytkowników (art. 2 pkt 4e). Ministerstwo Cyfryzacji zalicza oprogramowanie jako usługę (SaaS) do usług chmurowych, ale zastrzega, że nie każda aplikacja webowa nią jest.
Opisz architekturę usługi, porównaj ją z kryteriami, policz wielkość i ustal główne miejsce działalności. Dostawca chmury objęty ustawą składa wniosek o wpis do Wykazu KSC i stosuje rozporządzenie wykonawcze 2024/2690.
Pytanie zadaje zarząd firmy, która sprzedaje abonament na aplikację działającą w przeglądarce: system rezerwacji, księgowości, magazynu albo sprzedaży. Dostawca chmury obliczeniowej należy w ustawie o krajowym systemie cyberbezpieczeństwa (KSC) do sektora infrastruktury cyfrowej z załącznika nr 1. Pokazujemy kryteria usługi chmury obliczeniowej w KSC, typowe przypadki i skutki kwalifikacji.
Jak to wygląda w praktyce
Fikcyjna spółka zatrudnia 90 osób i sprzedaje przychodniom system do rezerwacji wizyt w modelu SaaS (od ang. software as a service). Klient loguje się przez przeglądarkę, sam dodaje placówki i użytkowników, a wszystkie przychodnie korzystają z jednej instalacji na serwerach wynajmowanych od dostawcy infrastruktury, która przy większym ruchu automatycznie dostaje więcej mocy. Kilku dużym klientom spółka instaluje jednak system na ich własnych serwerach. W przetargu pada pytanie, czy spółka jest dostawcą chmury obliczeniowej w rozumieniu ustawy, a zarząd nie zna odpowiedzi.
Co mówią przepisy
Dostawca chmury obliczeniowej to podmiot, który „świadczy usługę umożliwiającą dostęp do skalowalnego i elastycznego zbioru zasobów obliczeniowych do wspólnego wykorzystywania przez wielu użytkowników” (art. 2 pkt 4e ustawy o KSC). Dyrektywa NIS2 w definicji usługi chmurowej dodaje administrowanie na żądanie i szeroki dostęp zdalny (art. 6 pkt 30). Jej motyw 33 wymienia oprogramowanie jako usługę (SaaS) obok infrastruktury (IaaS) i platformy (PaaS) jako modele usług chmurowych. Administrowanie na żądanie opisuje jako samodzielne zapewnianie sobie zasobów przez użytkownika bez jakiejkolwiek interakcji człowieka po stronie dostawcy.
Ministerstwo Cyfryzacji zalicza SaaS do usług chmurowych, ale każe patrzeć na cel i funkcję usługi, czyli na to, czy daje użytkownikowi bezpośredni dostęp do skalowalnej i elastycznej puli zasobów. Dostawca SaaS może być jedynie dostawcą oprogramowania, a nie chmury, np. gdy sam tylko korzysta z chmury, a program uruchamia się u odbiorcy na jego infrastrukturze (odpowiedź 1.22). Aplikacja webowa jest usługą chmurową tylko wtedy, gdy działa na skalowalnym i elastycznym zbiorze zasobów wspólnie wykorzystywanych przez wielu użytkowników (odpowiedź 1.43). Skalowalny znaczy tu pozwalający dynamicznie zwiększać i zmniejszać użycie zasobów, a elastyczny pozwalający szybko dostosować infrastrukturę do potrzeb. Firma może być jednocześnie dostawcą chmury i centrum przetwarzania danych (odpowiedź 1.39), ale udostępnienie partnerowi miejsca w serwerowni poza działalnością gospodarczą nie czyni jej takim dostawcą (odpowiedź 1.41).
Dostawca chmury z załącznika nr 1 jest podmiotem ważnym jako średni przedsiębiorca i kluczowym jako duży (art. 5 ust. 1 pkt 1 i ust. 2 pkt 1). Polskiej ustawie podlega, gdy Polska jest głównym miejscem prowadzenia działalności (art. 5a ust. 3 i 4), a organem właściwym jest minister właściwy do spraw informatyzacji (art. 41 pkt 8).
Co zrobić krok po kroku
Opis usługi. Dyrektor techniczny opisuje, gdzie działa aplikacja (u klienta, na serwerach firmy, u dostawcy infrastruktury). Sprawdza też, czy jedna instalacja obsługuje wielu klientów z oddzielnym przetwarzaniem danych każdego z nich, czy klient sam dokłada użytkowników, przestrzeń i moduły bez pracy zespołu firmy i czy zasoby rosną automatycznie z obciążeniem. Efekt: opis architektury z diagramem.
Porównanie z kryteriami. Zespół prawny i techniczny zestawia opis z art. 2 pkt 4e ustawy, art. 6 pkt 30 NIS2 i odpowiedziami 1.22 i 1.43. W przykładzie wspólna instalacja dla przychodni, samoobsługa klientów i automatyczne skalowanie wskazują na usługę chmurową. Wynajęte serwery tego w naszym odczytaniu nie zmieniają, bo przykład z odpowiedzi 1.22 dotyczy programu działającego u odbiorcy. Instalacja na serwerach klienta to sprzedaż oprogramowania, a jego utrzymanie oceń pod kątem usług zarządzanych, o czym piszemy w poście o firmie IT jako dostawcy usług zarządzanych. Efekt: tabela kryteriów z oceną każdego wariantu usługi.
Wielkość. Księgowość liczy osoby w rocznych jednostkach pracy, obrót i sumę bilansową całej spółki (odpowiedź 3.38), razem z danymi spółek powiązanych i partnerskich, co opisujemy w poście o wielkości przedsiębiorstwa w grupie kapitałowej. Spółka z przykładu, z 90 osobami, jest co najmniej średnia. Efekt: wyliczenie wielkości.
Główne miejsce działalności. Zarząd ustala, w którym państwie Unii Europejskiej ma siedzibę kierownik podejmujący decyzje o systemie zarządzania bezpieczeństwem informacji (SZBI), bo to przesądza o właściwości polskich organów (art. 5a ust. 3-6). Dostawca bez jednostki organizacyjnej w Unii, który oferuje usługi w Polsce, wyznacza przedstawiciela w Polsce, chyba że wyznaczył go w innym państwie Unii (art. 5a ust. 7). Efekt: zapis w uchwale.
Decyzja i wpis. Zarząd zatwierdza kwalifikację uchwałą. Spółka uznana za dostawcę chmury składa wniosek o wpis do Wykazu podmiotów kluczowych i podmiotów ważnych (Wykaz KSC) i podaje w nim główne miejsce prowadzenia działalności (art. 7 ust. 2 pkt 15). Jeśli spełniała przesłanki już 3 kwietnia 2026 r., miała na to czas do 3 października 2026 r. (art. 33 ust. 3 ustawy nowelizującej), a w innym wypadku ma 6 miesięcy od ich spełnienia (art. 7c ust. 1). Spóźniony wniosek nadal można złożyć (odpowiedź 2.32). Efekt: uchwała i wpis.
Obowiązki dostawcy chmury. W ramach SZBI spółka stosuje środki z rozporządzenia wykonawczego Komisji (UE) 2024/2690 (art. 8b ust. 1) w zakresie usługi chmurowej (odpowiedź 3.47). To rozporządzenie określa też, kiedy incydent jest poważny, np. gdy usługa jest całkowicie niedostępna przez ponad 30 minut albo gdy w wyniku podejrzewanego działania złośliwego naruszono integralność, poufność lub autentyczność danych (art. 7). Wczesne ostrzeżenie składa się niezwłocznie, najpóźniej w 24 godziny od wykrycia (art. 11 ust. 1 pkt 4 ustawy). Obowiązki z rozdziału 3 spółka wdraża w 12 miesięcy od spełnienia przesłanek, a duża, czyli podmiot kluczowy, przeprowadza też pierwszy audyt w 24 miesiące (art. 16). Przy przesłankach spełnionych 3 kwietnia 2026 r. terminy mijają 3 kwietnia 2027 r. i 3 kwietnia 2028 r. (art. 33 ust. 1 i 2 ustawy nowelizującej). Efekt: plan wdrożenia.
Jak sprawdzić, że sprawa jest załatwiona
Sprawa jest załatwiona, gdy zarząd ma opis architektury, tabelę porównania z kryteriami dla każdego wariantu usługi, wyliczenie wielkości i uchwałę z kwalifikacją, a spółka objęta ustawą ma wpis w Wykazie KSC. Granica między aplikacją webową a usługą chmurową wynika z wyjaśnień ministerstwa, które nie mają mocy prawnej, więc przy wariancie spornym opisz w notatce argumenty za i przeciw oraz przyjęte stanowisko.
Na kontrolę zachowaj schemat infrastruktury, opis skalowania i samoobsługi, umowę z dostawcą infrastruktury i wzory umów z klientami. Ocenę powtarzaj przy zmianie architektury, np. przejściu z instalacji u klientów na wspólną instalację, bo taka zmiana może oznaczać spełnienie przesłanek i początek biegu terminów. Obowiązki po wpisie opisujemy w tekście firma jest w Wykazie KSC, co dalej.
Podstawa prawna i źródła
art. 2 pkt 4e, art. 5 ust. 1-2 i art. 5a ust. 3-7 i 9 ustawy z dnia 5 lipca 2018 r. o krajowym systemie cyberbezpieczeństwa (tekst ujednolicony, stan na 8.10.2026) (źródło)
art. 7 ust. 2 pkt 15, art. 7c ust. 1, art. 8b ust. 1, art. 11 ust. 1, art. 16, art. 41 pkt 8 oraz załącznik nr 1 (Infrastruktura cyfrowa) ustawy o KSC
art. 6 pkt 30 i motyw 33 dyrektywy Parlamentu Europejskiego i Rady (UE) 2022/2555 (NIS2), motyw 33 w brzmieniu sprostowania opublikowanego 6 listopada 2025 r.
art. 3 i 7 rozporządzenia wykonawczego Komisji (UE) 2024/2690 z dnia 17 października 2024 r.
Ministerstwo Cyfryzacji, pytania i odpowiedzi do ustawy o KSC, październik 2026, pytania 1.22, 1.39, 1.41, 1.43, 2.32, 3.38 i 3.47 (źródło)
art. 33 ust. 1-3 ustawy z dnia 23 stycznia 2026 r. o zmianie ustawy o krajowym systemie cyberbezpieczeństwa oraz niektórych innych ustaw (Dz.U. 2026 poz. 252) (źródło)
Komunikat Ministra Cyfryzacji z dnia 8 kwietnia 2026 r. w sprawie harmonogramu złożenia wniosków o wpis do wykazu podmiotów kluczowych i podmiotów ważnych (Dz. Urz. MC 2026 poz. 7) (źródło)
Stan prawny na 13 października 2026 r. Wyjaśnienia Ministerstwa Cyfryzacji nie są źródłem prawa, ale pokazują, jak resort odczytuje przepisy. W sprawach spornych decyzję warto oprzeć na opinii prawnika albo na stanowisku organu właściwego do spraw cyberbezpieczeństwa.
Czy każda aplikacja webowa to usługa chmury obliczeniowej w rozumieniu KSC?
Nie. Ministerstwo Cyfryzacji wyjaśnia, że aplikacja webowa jest usługą chmurową tylko wtedy, gdy działa na skalowalnym i elastycznym zbiorze zasobów obliczeniowych wspólnie wykorzystywanych przez wielu użytkowników (odpowiedź 1.43). Liczy się więc architektura usługi, a nie sam dostęp przez przeglądarkę.
Czy producent oprogramowania instalowanego na serwerach klienta jest dostawcą chmury?
Według Ministerstwa Cyfryzacji producent, którego program działa u odbiorcy na jego infrastrukturze, może być jedynie dostawcą oprogramowania, a nie dostawcą chmury obliczeniowej (odpowiedź 1.22). Utrzymywanie takiego systemu u klienta należy jednak ocenić pod kątem definicji dostawcy usług zarządzanych z art. 2 pkt 4i ustawy o KSC.
Kiedy dostawca SaaS podlega ustawie o KSC?
Gdy jego usługa spełnia definicję chmury obliczeniowej, firma jest co najmniej średnim przedsiębiorcą, a Polska jest jej głównym miejscem prowadzenia działalności (art. 2 pkt 4e, art. 5 i art. 5a ust. 3 ustawy o KSC). Dostawca bez jednostki organizacyjnej w Unii podlega polskiemu organowi, jeśli wyznaczył przedstawiciela w Polsce (art. 5a ust. 9). Średni dostawca jest podmiotem ważnym, duży kluczowym, a mikro- i mała firma co do zasady ustawie nie podlega.
Kiedy incydent u dostawcy usług chmurowych jest incydentem poważnym?
Kryteria określa rozporządzenie wykonawcze Komisji (UE) 2024/2690. Incydent jest poważny m.in. wtedy, gdy usługa chmurowa jest całkowicie niedostępna przez ponad 30 minut albo gdy naruszono integralność, poufność lub autentyczność danych w wyniku podejrzewanego działania złośliwego (art. 7). Wczesne ostrzeżenie trzeba złożyć niezwłocznie, najpóźniej w 24 godziny od wykrycia.
Komentarze (0)
Brak komentarzy...