Firma zatrudnia mniej niż 50 osób - czy mimo to podlega pod KSC?

NIS2 i KSC - Czy firma podlega KSC i w jakiej kategorii

Firma zatrudnia mniej niż 50 osób - czy mimo to podlega pod KSC?

W skrócie

Pytanie zadaje właściciel albo zarząd firmy zatrudniającej kilkanaście lub kilkadziesiąt osób, gdy dostaje ankietę od klienta albo widzi swoją branżę w załączniku do ustawy o krajowym systemie cyberbezpieczeństwa (KSC). Pokazujemy, jak sprawdzić, czy mała firma podlega KSC.

Jak to wygląda w praktyce

Fikcyjna hurtownia chemii przemysłowej zatrudnia 35 osób, kupuje farby i rozpuszczalniki od producentów i sprzedaje je zakładom w regionie. W dwóch ostatnich latach obrotowych miała po 18 mln EUR obrotu i 11 mln EUR sumy bilansowej. Prezes zakłada, że firma poniżej 50 osób jest poza ustawą, ale klient, który sam jest podmiotem ważnym, pyta w ankiecie o jej status. Podobnie pytają mały dostawca internetu i kilkuosobowy rejestrator domen.

Co mówią przepisy

Kategorię wyznaczają rodzaj działalności z załącznika nr 1 lub nr 2 i wielkość według załącznika I do rozporządzenia Komisji (UE) nr 651/2014 (art. 5 ust. 1 i 2). Małe przedsiębiorstwo zatrudnia mniej niż 50 pracowników i ma roczny obrót lub roczną sumę bilansową do 10 mln EUR, mikroprzedsiębiorstwo mniej niż 10 pracowników i obrót lub sumę bilansową do 2 mln EUR (art. 2 ust. 2 i 3 załącznika I). Z brzmienia „obrót lub suma bilansowa” wynika, że firma poniżej 50 osób przestaje być mała, gdy oba parametry przekraczają 10 mln EUR. Hurtownia z przykładu jest więc średnia, a jako dystrybutor substancji i mieszanin z pozycji chemikaliów w załączniku nr 2 jest podmiotem ważnym (art. 5 ust. 2 pkt 2).

Bez względu na wielkość ustawa obejmuje jako podmioty kluczowe m.in. dostawcę usług DNS, kwalifikowanego dostawcę usług zaufania, podmiot krytyczny i podmiot świadczący usługi rejestracji nazw domen (art. 5 ust. 1 pkt 4, Ministerstwo Cyfryzacji, odpowiedź 1.7). Ten ostatni to także agent działający w imieniu rejestratorów (art. 2 pkt 11d). Dostawca usług zarządzanych w zakresie cyberbezpieczeństwa jest kluczowy już jako mały przedsiębiorca (art. 5 ust. 1 pkt 3). Przedsiębiorca komunikacji elektronicznej jest ważny jako mikro- lub mały, a kluczowy jako średni lub duży (art. 5 ust. 1 pkt 2 i ust. 2 pkt 4), a serwery DNS dla abonentów nie czynią go dostawcą usług DNS (odpowiedź 1.19). Ważny jest też niekwalifikowany dostawca usług zaufania będący mikro-, małym lub średnim przedsiębiorcą (art. 5 ust. 2 pkt 3) i spółka komunalna realizująca zadanie publiczne z wykorzystaniem systemów informacyjnych (art. 5 ust. 2 pkt 8, odpowiedź 3.37).

Podmiot leczniczy, który nie jest przedsiębiorcą, jest ważny przy 50-249 osobach, a kluczowy od 250 (art. 5 ust. 8), więc samodzielny publiczny zakład opieki zdrowotnej poniżej 50 pracowników ustawie nie podlega (odpowiedź 3.20). Organ może też decyzją uznać mniejszy podmiot z załącznika za kluczowy lub ważny, np. gdy jako jedyny świadczy usługę o kluczowym znaczeniu dla krytycznej działalności społecznej lub gospodarczej (art. 7l ust. 1).

Co zrobić krok po kroku

1. Działalność. Właściciel z księgową porównuje to, co firma faktycznie robi, z kolumną „Rodzaj podmiotu” w załącznikach nr 1 i nr 2. Kod Polskiej Klasyfikacji Działalności (PKD) pomaga, ale według Ministerstwa Cyfryzacji decyduje faktyczny zakres usług (instrukcja samoidentyfikacji z 27 kwietnia 2026 r., odpowiedź 2.7). Efekt: lista działalności z pozycją załącznika albo zapis, że żadna nie pasuje.
2. Wyjątki od progu. Zarząd odpowiada na pytania: czy świadczymy usługi DNS, rejestracji domen, także jako agent rejestratora, usługi zaufania, komunikacji elektronicznej albo usługi zarządzane w zakresie cyberbezpieczeństwa, czy jesteśmy spółką komunalną, podmiotem krytycznym albo adresatem decyzji z art. 7l. Przy każdym „tak” obowiązuje próg niższy niż dla innych firm albo nie ma go wcale. Usługi informatyczne pomaga ocenić post o firmie IT jako dostawcy usług zarządzanych. Efekt: lista kontrolna z odpowiedziami.
3. Liczba osób. Kadry liczą roczne jednostki pracy (RJP), czyli etaty w skali roku, a niepełne etaty jako ułamek. Wliczają pracowników, właścicieli kierujących firmą i pracujących w niej wspólników, a według Ministerstwa Cyfryzacji także osoby na umowach agencyjnych, zleceniach i umowach o dzieło (odpowiedź 1.5). Nie wliczają praktykantów ani okresu urlopu macierzyńskiego i wychowawczego (art. 5 załącznika I, odpowiedź 1.30), a osobę zatrudnioną na zastępstwo liczą jak każdego pracownika. Efekt: zestawienie RJP.
4. Dane finansowe i grupa. Księgowa bierze obrót bez VAT i sumę bilansową z ostatniego zatwierdzonego sprawozdania (art. 4 ust. 1 załącznika I) i przelicza je na euro, zapisując przyjęty kurs. Według ministerstwa nowy status powstaje dopiero, gdy próg zostanie przekroczony drugi rok z rzędu (odpowiedź 1.46). Jeżeli firma ma spółki powiązane lub partnerskie, dolicza ich dane, co opisujemy w poście o wielkości przedsiębiorstwa w grupie kapitałowej. Pomocny bywa internetowy kwalifikator wielkości firmy Polskiej Agencji Rozwoju Przedsiębiorczości (odpowiedź 1.5). Efekt: wyliczenie z danymi źródłowymi.
5. Notatka z oceny. Zarząd podpisuje notatkę: działalność, pozycja załącznika, RJP, obrót, suma bilansowa, sprawdzone wyjątki, wynik i termin ponownej oceny po kolejnym sprawozdaniu albo przy nowej usłudze. Gdy wynik oznacza objęcie ustawą, firma składa wniosek o wpis do Wykazu podmiotów kluczowych i podmiotów ważnych. Jeśli spełniała przesłanki już 3 kwietnia 2026 r., miała na to czas do 3 października 2026 r. (art. 33 ust. 3 ustawy nowelizującej), a w innym wypadku ma 6 miesięcy od ich spełnienia (art. 7c ust. 1). Spóźniony wniosek nadal można złożyć (odpowiedź 2.32). Efekt: notatka i ewentualny wniosek.
6. Odpowiedź dla klienta. Gdy firma jest poza ustawą, a klient objęty ustawą przysyła ankietę albo aneks, zarząd odpowiada na podstawie notatki i ustala, które wymagania firma przyjmie w umowie. Klient musi zapewnić bezpieczeństwo i ciągłość łańcucha dostaw sprzętu, oprogramowania i usług informatycznych, od których zależy jego usługa (art. 8 ust. 1 pkt 2 lit. e), więc takie pytania będą wracać. Opisujemy to w poście o ankiecie klienta, gdy firma nie podlega ustawie. Efekt: pismo do klienta.

Jak sprawdzić, że sprawa jest załatwiona

Sprawa jest załatwiona, gdy firma ma podpisaną notatkę z oceną, w której każda liczba ma źródło. Wynik „poza ustawą” wymaga takiej samej staranności jak „podmiot ważny”, bo poza przypadkami z art. 7l nikt nie wydaje decyzji o kwalifikacji i firma z działalnością z załączników analizuje ją sama (odpowiedź 1.12).

Organ właściwy do spraw cyberbezpieczeństwa może zapytać firmę o informacje do wstępnej oceny statusu (art. 43 ust. 1), a notatka pozwala odpowiedzieć w terminie.

Podstawa prawna i źródła

• art. 2 pkt 11d, art. 5 ust. 1, 2 i 8, art. 7l ust. 1 ustawy z dnia 5 lipca 2018 r. o krajowym systemie cyberbezpieczeństwa (tekst ujednolicony, stan na 8.10.2026) (źródło)
• art. 7c ust. 1, art. 8 ust. 1 pkt 2 lit. e, art. 43 ust. 1 oraz załączniki nr 1 i nr 2 do ustawy o KSC
• art. 2, 4 i 5 załącznika I do rozporządzenia Komisji (UE) nr 651/2014 z dnia 17 czerwca 2014 r. (definicja mikro, małych i średnich przedsiębiorstw)
• Ministerstwo Cyfryzacji, pytania i odpowiedzi do ustawy o KSC, październik 2026, pytania 1.5, 1.7, 1.8, 1.12, 1.19, 1.29, 1.30, 1.46, 2.7, 2.32, 3.20 i 3.37 (źródło)
• Ministerstwo Cyfryzacji, Nowelizacja ustawy o KSC - jak dokonać samoidentyfikacji, 27.04.2026 (źródło)
• art. 33 ust. 3 ustawy z dnia 23 stycznia 2026 r. o zmianie ustawy o krajowym systemie cyberbezpieczeństwa oraz niektórych innych ustaw (Dz.U. 2026 poz. 252) (źródło)
• Komunikat Ministra Cyfryzacji z dnia 8 kwietnia 2026 r. w sprawie harmonogramu złożenia wniosków o wpis do wykazu podmiotów kluczowych i podmiotów ważnych (Dz. Urz. MC 2026 poz. 7) (źródło)

Stan prawny na 13 października 2026 r. Wyjaśnienia Ministerstwa Cyfryzacji nie są źródłem prawa, ale pokazują, jak resort odczytuje przepisy. W sprawach spornych decyzję warto oprzeć na opinii prawnika albo na stanowisku organu właściwego do spraw cyberbezpieczeństwa.

Wróć do listy: 30 najczęstszych pytań i problemów związanych z NIS2 i KSC