Opinia kwalifikacyjna NIS2/UKSC — czy Twoja firma podlega ustawie i co zrobić przed 3 października 2026 r.?

3 października 2026 r. jest jedną z najważniejszych dat dla przedsiębiorców objętych nowymi przepisami o krajowym systemie cyberbezpieczeństwa. Do tego dnia podmioty spełniające przesłanki uznania ich za podmioty kluczowe lub podmioty ważne powinny dokonać wpisu do właściwego wykazu. Urząd Komunikacji Elektronicznej wskazuje wprost termin 3 października 2026 r. jako datę graniczną dla wpisu do wykazu podmiotów kluczowych i ważnych. (Urząd Komunikacji Elektronicznej)

Problem polega na tym, że dla wielu przedsiębiorstw odpowiedź na podstawowe pytanie — „czy NIS2 w ogóle nas dotyczy?” — wcale nie jest oczywista. Szczególnie dotyczy to firm IT, software house’ów, dostawców hostingu, podmiotów utrzymujących systemy klientów, firm cyberbezpieczeństwa, operatorów platform, dostawców usług chmurowych oraz grup kapitałowych posiadających kilka różnych spółek.

Przedsiębiorca może być przekonany, że pozostaje zwykłym producentem oprogramowania, podczas gdy rzeczywisty zakres świadczonych usług pozwala zakwalifikować go jako dostawcę usług zarządzanych. Z drugiej strony firma zajmująca się informatyką nie powinna automatycznie zakładać, że podlega NIS2 tylko dlatego, że prowadzi działalność technologiczną.

Dlatego jednym z pierwszych działań poprzedzających wdrożenie NIS2 powinna być prawna analiza kwalifikacyjna, której rezultatem jest pisemna opinia odpowiadająca na pytanie, czy organizacja jest podmiotem kluczowym, ważnym, czy pozostaje poza bezpośrednim zakresem ustawy.

Czym jest opinia kwalifikacyjna NIS2?

Opinia kwalifikacyjna NIS2 nie jest decyzją administracyjną ani urzędowym certyfikatem zwalniającym przedsiębiorstwo z kontroli. Nie istnieje przepis przewidujący dokument, którego uzyskanie automatycznie chroniłoby firmę przed zastosowaniem ustawy.

Jej znaczenie jest inne. Prawidłowo przygotowana opinia dokumentuje proces, w ramach którego przedsiębiorca przeanalizował swoją działalność, rodzaj świadczonych usług, wielkość przedsiębiorstwa, powiązania kapitałowe i przesłanki wynikające ze znowelizowanej ustawy o krajowym systemie cyberbezpieczeństwa.

Jeżeli w przyszłości powstanie spór co do statusu organizacji, przedsiębiorca będzie mógł wykazać, że nie zignorował przepisów, lecz dokonał szczegółowej analizy na podstawie posiadanych informacji. Ma to szczególne znaczenie w przypadkach granicznych, w których jednoznaczna kwalifikacja nie wynika bezpośrednio z nazwy prowadzonej działalności.

Dlaczego nie wystarczy sprawdzić kodu PKD?

Jednym z największych błędów przy analizie NIS2 jest ustalanie statusu przedsiębiorcy wyłącznie na podstawie PKD albo informacji znajdujących się w KRS. Przepisy koncentrują się na faktycznie świadczonych usługach.

Software house może posiadać kod działalności dotyczący tworzenia oprogramowania, ale jednocześnie zawierać z klientami umowy obejmujące całodobowy monitoring systemu, instalowanie aktualizacji, zarządzanie serwerami, kontami użytkowników i kopiami zapasowymi.

W takim przypadku analiza nie może zakończyć się stwierdzeniem, że przedsiębiorca „jedynie tworzy software”. Z drugiej strony firma może posiadać szeroko określone PKD obejmujące usługi informatyczne, których faktycznie nigdy nie wykonuje.

Dlatego opinia powinna opierać się przede wszystkim na umowach z klientami, opisach usług, ofertach, strukturze technicznej, sposobie świadczenia wsparcia i rzeczywistych uprawnieniach personelu.

Software house a dostawca usług zarządzanych

To jedna z najważniejszych kwestii dla branży IT. Typowy software house tworzący na zamówienie aplikację, przekazujący klientowi kod i kończący współpracę po odbiorze nie musi automatycznie stać się podmiotem objętym ustawą.

Sytuacja zmienia się, gdy zakres usługi obejmuje stałe utrzymanie i aktywną administrację systemami klienta. Jeżeli programiści posiadają dostęp do produkcji, samodzielnie wdrażają poprawki, zarządzają infrastrukturą chmurową, tworzą użytkowników, konfigurują zabezpieczenia, wykonują backupy i odpowiadają za ciągłość działania, działalność może zacząć odpowiadać definicji usług zarządzanych.

To właśnie dlatego kwalifikacja wymaga analizy tego, co faktycznie robi zespół po uruchomieniu projektu. Samo określenie kontraktu jako maintenance, SLA albo support nie przesądza sprawy. Trzeba ustalić zakres realnej kontroli nad systemami klienta.

Firmy cyberbezpieczeństwa wymagają szczególnej uwagi

Jeszcze dokładniejszej analizy wymagają przedsiębiorstwa świadczące usługi cyberbezpieczeństwa. Dotyczy to między innymi operatorów SOC, dostawców usług monitorowania, reagowania na incydenty, zarządzania podatnościami, testów bezpieczeństwa i części usług doradczych.

Polskie przepisy wprowadzają wobec dostawców zarządzanych usług cyberbezpieczeństwa szczególne rozwiązania, które mogą powodować objęcie regulacją również podmiotów mniejszych niż przedsiębiorstwa podlegające standardowym progom kwalifikacyjnym.

W praktyce niewielka firma świadcząca usługi bezpieczeństwa nie powinna zakładać, że NIS2 jej nie dotyczy tylko dlatego, że zatrudnia kilkanaście osób.

Znaczenie wielkości przedsiębiorstwa

Drugim kluczowym elementem opinii jest prawidłowe ustalenie wielkości przedsiębiorcy. To również jest bardziej skomplikowane niż sprawdzenie liczby osób zatrudnionych na umowę o pracę.

Przy ustalaniu statusu mikro-, małego, średniego i dużego przedsiębiorstwa należy uwzględniać unijne zasady dotyczące przedsiębiorstw partnerskich i powiązanych. Firma zatrudniająca trzydzieści osób może więc nie być traktowana jako małe przedsiębiorstwo, jeżeli należy do dużej grupy kapitałowej.

Konieczna jest analiza struktury właścicielskiej, udziałów, głosów oraz relacji kontroli z innymi podmiotami. W grupach kapitałowych opinia powinna być często przygotowywana osobno dla poszczególnych spółek, ponieważ każda z nich może świadczyć inne usługi i występować w innym charakterze.

Co powinno znaleźć się w opinii kwalifikacyjnej?

Dobra opinia nie powinna ograniczać się do dwóch zdań stwierdzających, że spółka „podlega” albo „nie podlega” ustawie. Powinna opisywać działalność przedsiębiorcy, świadczone usługi, klientów, model utrzymania systemów oraz znaczenie infrastruktury IT dla świadczenia usługi.

Następnie należy przeanalizować potencjalne kategorie ustawowe i wskazać, dlaczego konkretna działalność spełnia albo nie spełnia ich definicji. Kolejnym elementem jest analiza wielkości podmiotu oraz przedsiębiorstw z nim powiązanych.

W opinii warto także wskazać, czy istnieją szczególne przepisy obejmujące przedsiębiorcę niezależnie od standardowych progów oraz czy organ może dokonać indywidualnej kwalifikacji ze względu na znaczenie świadczonej usługi.

Końcowa część powinna zawierać rekomendację praktyczną. Jeżeli przedsiębiorca podlega ustawie, należy wskazać najbliższe terminy oraz działania, które trzeba wdrożyć. Jeżeli pozostaje poza zakresem, warto wskazać zdarzenia wymagające ponownej analizy, przykładowo rozpoczęcie świadczenia usługi zarządzanej albo przekroczenie progów wielkości.

Co należy zrobić przed 3 października 2026 r.?

Najpilniejszym obowiązkiem podmiotów objętych regulacją jest prawidłowa rejestracja.

UKE wskazuje, że wpis do wykazu podmiotów kluczowych i ważnych powinien nastąpić do 3 października 2026 r. W toku rejestracji należy również wskazać osoby odpowiedzialne za kontakty w ramach krajowego systemu cyberbezpieczeństwa. UKE wskazuje co najmniej dwie takie osoby, z wyjątkiem mikro- i małych przedsiębiorstw, dla których wystarczająca może być co najmniej jedna osoba. (Urząd Komunikacji Elektronicznej)

Z wpisem powiązany jest również dostęp do systemu S46 służącego komunikacji i realizacji części obowiązków. Przedsiębiorca powinien więc nie tylko odpowiedzieć na pytanie o swój status, ale również ustalić, kto w organizacji będzie odpowiedzialny za wykonywanie obowiązków.

3 października to nie koniec wdrożenia

Wpis do wykazu jest dopiero początkiem.

UKE wskazuje 3 kwietnia 2027 r. jako termin wdrożenia szeregu obowiązków dotyczących między innymi systematycznego szacowania ryzyka, odpowiednich środków technicznych i organizacyjnych, zbierania informacji o zagrożeniach, zarządzania incydentami oraz bezpieczeństwa łańcucha dostaw. Pierwszy obowiązkowy audyt części podmiotów kluczowych powinien natomiast zostać przeprowadzony do 3 kwietnia 2028 r. (Urząd Komunikacji Elektronicznej)

Firma, która potwierdzi swój status we wrześniu 2026 r., nie powinna zatem ograniczać się do wysłania formularza rejestracyjnego. Konieczne będzie przeprowadzenie analizy luk i rozpoczęcie właściwego projektu dostosowawczego.

Jakie dokumenty będą potrzebne po kwalifikacji?

Pierwszym dokumentem może być sama opinia kwalifikacyjna. Następnie konieczne staje się przygotowanie systemu dokumentacji bezpieczeństwa odpowiadającego wymaganiom ustawy.

Powinien on obejmować między innymi zasady zarządzania ryzykiem, bezpieczeństwa informacji, zarządzania dostępami, reagowania na incydenty, bezpieczeństwa dostawców, ciągłości działania, kopii zapasowych, podatności, aktualizacji, kryptografii i bezpieczeństwa personelu.

Równie ważna jest dokumentacja operacyjna pokazująca, że procedury są stosowane. Podczas kontroli samo posiadanie polityki nie wystarczy, jeżeli organizacja nie jest w stanie przedstawić wyników przeglądów dostępów, testów backupu, oceny dostawców czy rejestru incydentów.

Czy opinia kwalifikacyjna chroni przed odpowiedzialnością?

Nie daje formalnego immunitetu. Może jednak mieć istotne znaczenie dowodowe i organizacyjne.

Przedsiębiorca jest w stanie wykazać, że dokonał analizy z należytą starannością, zgromadził dane o strukturze firmy, przeanalizował definicje ustawowe i podjął decyzję w oparciu o określone argumenty.

W szczególności ma to znaczenie wtedy, gdy przedsiębiorca uznał, że pozostaje poza zakresem NIS2. Bez jakiejkolwiek dokumentacji takie stanowisko może wyglądać jak zwykłe zignorowanie nowych regulacji.

Opinia pozwala również zachować „fotografię” stanu organizacji na określoną datę. Jeżeli za rok firma rozszerzy ofertę o usługi SOC albo zacznie aktywnie administrować infrastrukturą klientów, będzie wiadomo, że kwalifikację należy powtórzyć.

Kiedy należy ponownie przeanalizować status firmy?

Kwalifikacja NIS2 nie powinna być traktowana jako jednorazowe ćwiczenie.

Ponowna analiza będzie potrzebna po zmianie modelu biznesowego, rozszerzeniu zakresu utrzymania systemów, przejęciu spółki, zmianie właściciela, znaczącym wzroście firmy albo uruchomieniu nowych usług.

Szczególnie ważne są zmiany w obszarze usług zarządzanych. Software house, który w 2026 r. jedynie tworzy aplikacje, może w 2027 r. rozpocząć oferowanie pełnego managed services i tym samym zmienić swoją sytuację prawną.

Dlaczego warto przeprowadzić analizę przed 3 października?

Pozostawienie kwalifikacji na ostatnią chwilę powoduje ryzyko dokonania pochopnej rejestracji albo, przeciwnie, nieuzasadnionego uznania, że ustawa firmy nie obejmuje.

Dobrze przygotowana opinia pozwala ustalić zakres obowiązków, wskazać właściwą spółkę w grupie, zweryfikować progi przedsiębiorstwa i przygotować plan wdrożenia. Może również ujawnić sytuację odwrotną — firma przygotowuje kosztowny projekt NIS2, mimo że nie spełnia przesłanek bezpośredniego objęcia ustawą.

W takim przypadku zamiast pełnego systemu zgodności można skoncentrować się na wymaganiach kontraktowych klientów i podstawowych dobrych praktykach bezpieczeństwa.

Podsumowanie

Największym błędem przy NIS2 może być zarówno brak reakcji, jak i niepotrzebne założenie, że każda firma IT podlega pełnym wymaganiom ustawy.

Pierwszym krokiem powinno być ustalenie statusu organizacji. Opinia kwalifikacyjna pozwala uporządkować tę analizę, udokumentować podstawy prawne oraz wskazać konkretne działania. W 2026 r. jest to szczególnie istotne z uwagi na termin 3 października dotyczący wpisu do wykazu podmiotów kluczowych i ważnych.

Firma powinna jednak pamiętać, że wpis jest dopiero początkiem projektu. W kolejnych miesiącach konieczne będzie przygotowanie systemu zarządzania ryzykiem, dokumentacji bezpieczeństwa, procedur incydentowych oraz kontroli łańcucha dostaw.

W praktyce prawidłowa kwalifikacja pozwala więc odpowiedzieć nie tylko na pytanie „czy NIS2 nas obejmuje?”, ale także „co dokładnie musimy zrobić i kiedy?”.