Spółka w grupie kapitałowej - jak policzyć wielkość przedsiębiorstwa na potrzeby KSC
Udostępnij na:
Spis treści
NIS2 i KSC - Czy firma podlega KSC i w jakiej kategorii
Spółka w grupie kapitałowej - jak policzyć wielkość przedsiębiorstwa na potrzeby KSC
W skrócie
Spółka z grupy kapitałowej bywa sama mała, ale ustawa o KSC mierzy wielkość unijną definicją mikro, małych i średnich przedsiębiorstw (MŚP), więc z danymi grupy może okazać się średnia albo duża.
Dane spółek powiązanych dolicza się w całości, bezpośrednich partnerskich proporcjonalnie. Spółka, która przekracza próg tylko dzięki grupie, nie jest z tego tytułu podmiotem kluczowym ani ważnym, jeśli ma niezależny system informacyjny lub nie świadczy usług wspólnie z grupą (art. 5 ust. 6-7). Część przypadków jest sporna.
Policz wielkość bez grupy i z grupą, opisz wspólne systemy, a wynik zapisz w notatce zatwierdzonej przez zarząd. Ocenę powtarzaj po każdym sprawozdaniu finansowym i po zmianie struktury grupy.
Pytanie zadają zarządy spółki zależnej, która sama zatrudnia kilkadziesiąt osób, i spółki matki. Na liczbach fikcyjnej grupy pokazujemy, czyje dane doliczasz na potrzeby ustawy o krajowym systemie cyberbezpieczeństwa (KSC), kiedy grupa nie zmienia statusu spółki i jak udokumentować wynik.
Jak to wygląda w praktyce
Fikcyjna spółka Nordwik Maszyny sp. z o.o. produkuje maszyny pakujące, czyli działa w dziale 28 unijnej klasyfikacji działalności gospodarczej NACE Rev. 2, wymienionym w załączniku nr 2. Według ostatniego zatwierdzonego sprawozdania zatrudnia 38 osób w rocznych jednostkach pracy (RJP, czyli pełnych etatach w skali roku), ma 7,0 mln EUR obrotu i 5,0 mln EUR sumy bilansowej, więc sama jest mała. Jej jedynym wspólnikiem jest Nordwik Holding S.A., właściciel także Nordwik Komponenty sp. z o.o., a sama spółka ma 30% udziałów w biurze konstrukcyjnym spoza grupy.
Pytanie wraca przy deklaracji wielkości we wniosku do Wykazu podmiotów kluczowych i podmiotów ważnych (Wykaz KSC, art. 7 ust. 2 pkt 13) i w ankietach klientów.
Co mówią przepisy
Kategorię wyznacza wielkość według załącznika I do rozporządzenia Komisji (UE) nr 651/2014 (art. 5 ust. 1 i 2 ustawy o KSC). Powiązanie to m.in. większość praw głosu albo prawo powoływania większości zarządu lub rady nadzorczej, także pośrednio, np. przez wspólną spółkę matkę (art. 3 ust. 3 załącznika I). Partnerstwo to co najmniej 25% kapitału lub praw głosu bez powiązania (art. 3 ust. 2).
Dane spółek powiązanych dolicza się w całości, a bezpośrednich partnerów proporcjonalnie do udziału w kapitale lub prawach głosu, zależnie od tego, który jest większy (art. 6 ust. 2). Obrót liczy się bez VAT, z ostatniego zatwierdzonego okresu (art. 4 ust. 1), dla całej spółki, nie tylko dla działalności z załącznika (Ministerstwo Cyfryzacji, odpowiedź 3.38).
Spółka, która przewyższa albo spełnia kryteria średniego przedsiębiorstwa tylko dzięki danym spółek powiązanych lub partnerskich, nie jest odpowiednio podmiotem kluczowym ani ważnym (art. 5 ust. 6 i 7). Warunek: jej system informacyjny jest niezależny od ich systemów lub nie świadczy ona z nimi usług wspólnie. Według ministerstwa system jest niezależny m.in. wtedy, gdy usługa nie wymaga działania spółki powiązanej albo gdy jej rozwiązania można zastąpić w akceptowalnym czasie i koszcie. Wspólne świadczenie może polegać na podziale zadań przy tej samej usłudze. „Powinno to być należycie udokumentowane” (odpowiedź 1.6).
Trzy kwestie są otwarte. Ustawa łączy warunki słowem „lub”, a motyw 16 dyrektywy NIS2 słowami „a także”, więc bezpieczniej udokumentować oba. Nie wiadomo też, czy spółka wyłączona z kategorii kluczowej (ust. 6) jest podmiotem ważnym według własnych danych, bez grupy. Ust. 7 mówi tylko o kryteriach średniego przedsiębiorstwa, więc spółka z załącznika nr 2, którą grupa czyni dużą, może powołać się jedynie na cel przepisu i motyw 16. W obu przypadkach notatka opisuje też wariant podmiotu ważnego.
Wyjątek ma znaczenie tylko wtedy, gdy próg przekraczasz dzięki danym grupy. Decyduje wtedy niezależność systemów lub brak wspólnych usług. Udokumentuj obie okoliczności, a w spornych przypadkach także wariant podmiotu ważnego.
Co zrobić krok po kroku
Schemat grupy. Dyrektor finansowy rysuje schemat udziałów i praw głosu, pamiętając, że przesłanki bada się według stanu na dzień sporządzenia sprawozdania finansowego (art. 5 ust. 5). Zaznacza spółki powiązane, także siostrzane i zagraniczne, oraz partnerów z udziałem od 25%. Efekt: schemat z datą i odpisami z Krajowego Rejestru Sądowego (KRS).
Wyliczenie w dwóch wariantach. Główny księgowy liczy RJP, obrót i sumę bilansową bez grupy i z grupą. Grupa nie ma skonsolidowanego sprawozdania, więc sumujemy dane z ksiąg: holding ma 6 RJP, 1,5 mln EUR obrotu i 14,0 mln EUR sumy bilansowej, Nordwik Komponenty 22 RJP, 2,5 i 1,5 mln EUR. Do tego dochodzi 30% danych biura konstrukcyjnego (40 RJP, 6,0 i 4,0 mln EUR). Razem wychodzi 78 RJP, 12,8 mln EUR obrotu i 21,7 mln EUR sumy bilansowej. Przy co najmniej 50 RJP spółka nie jest już mała, a poniżej 250 RJP i przy obrocie do 50 mln EUR jest średnia. Jako producent z załącznika nr 2 byłaby więc podmiotem ważnym (art. 5 ust. 2 pkt 2), ale tylko dzięki doliczonym danym. Już samo doliczenie biura daje 50 RJP. Efekt: arkusz ze źródłem każdej liczby.
Data spełnienia przesłanek. Ustala ją prawnik. Jeżeli spółka stała się średnia dopiero w ostatnim zamkniętym roku obrotowym, według Ministerstwa Cyfryzacji status zmienia się, gdy przekroczenie progu powtórzy się w kolejnym roku (odpowiedź 1.46, art. 4 ust. 2 załącznika I). Ustawa tej reguły wprost nie przywołuje, więc notatka wskazuje, na czym oparto datę. Efekt: data z uzasadnieniem.
Test niezależności. Kierownik IT spisuje systemy używane przy produkcji (ERP, czyli zintegrowany system zarządzania, sterowanie liniami, poczta, sieć) i zaznacza wspólne z grupą i z biurem, a dyrektor operacyjny opisuje podział zadań. Gdy Nordwik Maszyny i Nordwik Komponenty wytwarzają te same maszyny na jednym ERP holdingu, wyjątek nie działa. Gdy Nordwik Maszyny ma własny ERP, sieć i linię wyrobów, może powołać się na art. 5 ust. 7. Efekt: opis architektury z oceną obu warunków.
Uchwała zarządu i wniosek. Zarząd zatwierdza notatkę z wynikiem, podstawą prawną i terminem ponownej oceny. Spółka objęta ustawą składa wniosek w aplikacji Wykaz KSC z deklaracją wielkości zgodną z notatką. Jeśli spełniała przesłanki już 3 kwietnia 2026 r., miała na to czas do 3 października 2026 r. (art. 33 ust. 3 ustawy nowelizującej), a w innym wypadku ma 6 miesięcy od ich spełnienia (art. 7c ust. 1). Spóźniony wniosek nadal można złożyć, co opisujemy w poście o wniosku o wpis do Wykazu KSC po terminie. Na obowiązki z rozdziału 3 spółka ma 12 miesięcy od spełnienia przesłanek (art. 16). Efekt: uchwała z notatką i wpis.
Koordynacja w grupie. Spółka matka prowadzi rejestr ocen wszystkich spółek i powtarza je po zmianie udziałów i zatwierdzeniu sprawozdań. Spółka wpisana do Wykazu zgłasza zmianę danych w 14 dni (art. 7c ust. 3). Efekt: rejestr ocen z datami.
Jak sprawdzić, że sprawa jest załatwiona
Sprawa jest załatwiona, gdy każda spółka grupy ma zatwierdzoną notatkę z wyliczeniem w dwóch wariantach i oceną obu warunków z art. 5 ust. 6-7, zgodną z deklaracją wielkości w Wykazie KSC. Gdy Wykaz pokazuje inną kategorię, przyczyną bywa brak danych o wielkości (Ministerstwo Cyfryzacji, odpowiedź 2.12), a korektę opisujemy w poście o błędnym wpisie w Wykazie KSC.
Na kontrolę zachowaj sprawozdania, odpisy z KRS, arkusz, opis systemów i uchwałę. Organ może o nie zapytać przy wstępnej ocenie statusu (art. 43 ust. 1).
Podstawa prawna i źródła
art. 5 ust. 1-7 ustawy z dnia 5 lipca 2018 r. o krajowym systemie cyberbezpieczeństwa (tekst ujednolicony, stan na 8.10.2026) (źródło)
art. 7 ust. 2 pkt 13, art. 7c ust. 1 i 3, art. 16 oraz art. 43 ust. 1 ustawy o KSC
art. 2-6 załącznika I do rozporządzenia Komisji (UE) nr 651/2014 z dnia 17 czerwca 2014 r. (definicja MŚP)
motyw 16 dyrektywy Parlamentu Europejskiego i Rady (UE) 2022/2555 (NIS2)
art. 33 ust. 3 ustawy z dnia 23 stycznia 2026 r. o zmianie ustawy o krajowym systemie cyberbezpieczeństwa oraz niektórych innych ustaw (Dz.U. 2026 poz. 252) (źródło)
Komunikat Ministra Cyfryzacji z dnia 8 kwietnia 2026 r. w sprawie harmonogramu złożenia wniosków o wpis do wykazu podmiotów kluczowych i podmiotów ważnych (Dz. Urz. MC 2026 poz. 7) (źródło)
Ministerstwo Cyfryzacji, pytania i odpowiedzi do ustawy o KSC, październik 2026, pytania 1.6, 1.45, 1.46, 2.12 i 3.38 (źródło)
Stan prawny na 13 października 2026 r. Wyjaśnienia Ministerstwa Cyfryzacji nie są źródłem prawa, ale pokazują, jak resort odczytuje przepisy. W sprawach spornych decyzję warto oprzeć na opinii prawnika albo na stanowisku organu właściwego do spraw cyberbezpieczeństwa.
Czy spółka zależna musi doliczać dane spółki matki przy ustalaniu wielkości na potrzeby KSC?
Tak. Spółka matka i spółki siostrzane powiązane przez wspólną spółkę matkę są przedsiębiorstwami powiązanymi, a ich dane dolicza się w całości (art. 3 ust. 3 i art. 6 ust. 2 załącznika I do rozporządzenia 651/2014). Jeżeli spółka jest ujęta w skonsolidowanym sprawozdaniu finansowym, dane grupy bierze się z tego sprawozdania. Liczą się także spółki zagraniczne, bo załącznik I nie ogranicza powiązań do Unii Europejskiej, a Ministerstwo Cyfryzacji stosuje jego zasady również do podmiotów spoza Unii (odpowiedź 1.45).
Jak liczyć spółkę, w której mamy 30% udziałów, przy ustalaniu wielkości przedsiębiorstwa?
Spółka, w której masz co najmniej 25% kapitału lub praw głosu, ale nie jesteś z nią powiązany, jest przedsiębiorstwem partnerskim. Jej dane dolicza się proporcjonalnie do udziału, więc przy 30% doliczasz 30% jej personelu, obrotu i sumy bilansowej (art. 6 ust. 2 załącznika I do rozporządzenia 651/2014).
Czy spółka z dużej grupy kapitałowej może nie podlegać ustawie o KSC?
Może, jeżeli kryteria średniego albo dużego przedsiębiorstwa spełnia tylko dzięki doliczeniu danych grupy, a jej system informacyjny jest niezależny od systemów spółek z grupy lub nie świadczy z nimi usług wspólnie (art. 5 ust. 6 i 7 ustawy o KSC). Spółka z załącznika nr 2, duża dzięki grupie, może przy tym powołać się tylko na cel przepisu, bo ust. 7 mówi dosłownie o kryteriach średniego przedsiębiorstwa, a ustawa nie przesądza, czy spółka z załącznika nr 1 wyłączona z kategorii kluczowej może być podmiotem ważnym. Ministerstwo Cyfryzacji oczekuje, że taka analiza będzie należycie udokumentowana.
Od kiedy spółka staje się średnim przedsiębiorcą, gdy dane grupy przekroczyły próg pierwszy raz?
Według Ministerstwa Cyfryzacji status zmienia się dopiero wtedy, gdy przekroczenie progu powtórzy się w dwóch kolejnych okresach obrachunkowych (odpowiedź 1.46, art. 4 ust. 2 załącznika I do rozporządzenia 651/2014). Same przesłanki ustawa o KSC każe badać według stanu na dzień sporządzenia sprawozdania finansowego. Od dnia spełnienia przesłanek biegnie 6 miesięcy na wniosek o wpis do Wykazu KSC (art. 7c ust. 1).
Komentarze (0)
Brak komentarzy...