Twoja firma wdrożyła już NIS-2 lub jest w trakcie? Sprawdź poziom wdrożenia i uzyskaj wynik wypełniając ankietę samooceny NIS-2
Spis treści
- Implementacja NIS2 w Polsce
- Zarządzanie usługami ICT jako sektor kluczowy NIS2
- Kim jest dostawca usług zarządzanych?
- Jakie są przykłady dostawców usług zarządzanych?
- Dostawca usług zarządzanych – podmiot kluczowy czy ważny?
- Kim jest dostawca usług zarządzanych w zakresie cyberbezpieczeństwa?
- Czy dostawca usług zarządzanych w zakresie cyberbezpieczeństwa jest podmiotem kluczowym czy ważnym?
- Czy nazwa umowy lub świadczonej usługi ma znaczenie?
- Czy usługi świadczone w ramach grupy kapitałowej również podlegają ocenie?
- Działalność podstawowa czy poboczna. Czy ma to znaczenie?
Implementacja NIS2 w Polsce
Celem dyrektywy NIS2 jest wzmocnienie cyberbezpieczeństwa w Unii Europejskiej poprzez nałożenie na wybrane podmioty obowiązków mających zapewnić odpowiedni poziom cyberbezpieczeństwa.
W Polsce implementacja Dyrektywy NIS2 została przeprowadzona poprzez nowelizację Ustawy o Krajowym Systemie Cyberbezpieczeństwa (dalej: „Ustawa o KSC”). To przepisy tej ustawy będą obowiązywały polskie podmioty, a nie sama dyrektywa jako akt prawny. Znowelizowane przepisy ustawy o KSC weszły w życie 3 kwietnia 2026 r.
Podmioty objęte ustawą muszą dokonać wpisu do wykazu (system S46) do 3 października 2026 r., a do 3 kwietnia 2027 r. wdrożyć wymagane środki cyberbezpieczeństwa.
Zarządzanie usługami ICT jako sektor kluczowy NIS2
Regulacje Ustawy o KSC obejmują m.in. sektor „Zarządzania usługami ICT”, uznany za sektor kluczowy. Należą do niego:
- dostawcy usług zarządzanych,
- oraz dostawcy usług zarządzanych w zakresie cyberbezpieczeństwa.
Definicje tych podmiotów są szerokie i mogą obejmować nie tylko wyspecjalizowane firmy informatyczne, lecz także przedsiębiorców świadczących wsparcie IT na rzecz innych podmiotów, w tym wyłącznie spółek z tej samej grupy kapitałowej.
Dla kwalifikacji jako dostawca usług zarządzanych lub dostawca usług zarządzanych w zakresie cyberbezpieczeństwa decydującego znaczenia nie mają nazwa usługi, kody PKD ani fakt, że działalność ta stanowi czy nie stanowi podstawowego przedmiotu działalności przedsiębiorcy. Kluczowe znaczenie ma natomiast rzeczywisty charakter i zakres świadczonych usług. To właśnie faktycznie wykonywane czynności determinują, czy dany podmiot należy zakwalifikować do sektora zarządzania usługami ICT.
Warto pamiętać
Jednocześnie samo prowadzenie działalności w sektorze „Zarządzanie usługami ICT”, zaliczanym przez Ustawę o KSC do sektorów kluczowych, nie przesądza jeszcze o uznaniu danego podmiotu za podmiot kluczowy. Dla dokonania ostatecznej kwalifikacji konieczne jest również uwzględnienie kryteriów wielkości przedsiębiorstwa.
Kim jest dostawca usług zarządzanych?
Zgodnie z Ustawą o KSC, dostawcą usług zarządzanych jest podmiot, świadczący usługi związane z instalacją, eksploatacją lub konserwacją produktów ICT, usług ICT, procesów ICT lub systemów informacyjnych przez wsparcie lub aktywną administrację przeprowadzane u usługobiorcy na miejscu lub zdalnie.
Oznacza to, że dla uznania danego podmiotu za dostawcę usług zarządzanych konieczne jest łączne spełnienie trzech przesłanek:
- Określony rodzaj czynności
Podmiot wykonuje czynności polegające na instalacji, eksploatacji lub konserwacji. - Określony przedmiot czynności
Czynności te dotyczą produktów ICT, usług ICT, procesów ICT lub systemów informacyjnych. - Określony sposób świadczenia usługi
Usługa jest świadczona poprzez wsparcie lub aktywną administrację, realizowane u usługobiorcy na miejscu albo zdalnie.
Na potrzeby powyższej definicji:
- produktem ICT jest element lub grupa elementów sieci lub systemów informatycznych;
- usługą ICT jest usługa polegająca w pełni lub głównie na przekazywaniu, przechowywaniu, pobieraniu lub przetwarzaniu informacji za pośrednictwem sieci i systemów informatycznych;
- procesem ICT jest zestaw czynności wykonywanych w celu projektowania, rozwijania, dostarczania lub utrzymywania produktów ICT lub usług ICT;
- systemem informatycznym jest:
- zespół współpracujących ze sobą urządzeń informatycznych i oprogramowania zapewniający przetwarzanie, przechowywanie, a także wysyłanie i odbieranie danych przez sieci telekomunikacyjne za pomocą właściwego dla danego rodzaju sieci telekomunikacyjnego urządzenia końcowego w rozumieniu przepisów ustawy z dnia 12 lipca 2024 r. – Prawo komunikacji elektronicznej; lub
- urządzenie lub grupa połączonych urządzeń i oprogramowania zaprogramowanych w celu przetwarzania danych – wraz z danymi przetwarzanymi w postaci elektronicznej.
Jakie są przykłady dostawców usług zarządzanych?
Z zastrzeżeniem, że każdorazowo konieczna jest analiza konkretnego modelu operacyjnego, zakresu umowy oraz czynności rzeczywiście wykonywanych przez usługodawcę, jako przykłady dostawców usług zarządzanych w rozumieniu Ustawy o KSC można wskazać m.in.:
- podmioty świadczące usługi helpdesku zapewniające zdalne wsparcie użytkownikom sieci lub aplikacji;
- software developerów wspierających klientów w instalacji lub utrzymaniu własnych aplikacji;
- usługodawców świadczących usługi utrzymania sieci klienta oraz wykonujących inne czynności na terenie klienta.
Dostawca usług zarządzanych – podmiot kluczowy czy ważny?
W Ustawie o KSC dostawcy usług zarządzanych zostali zaliczeni do sektora kluczowego. Nie oznacza to jednak, że każdy dostawca usług zarządzanych jest automatycznie podmiotem kluczowym. W zależności od spełnienia kryteriów wielkości przedsiębiorstwa może on zostać zakwalifikowany jako podmiot kluczowy, podmiot ważny albo nie podlegać kwalifikacji do żadnej z tych kategorii.
Zgodnie z Ustawą o KSC status podmiotu kluczowego w tym sektorze przysługuje wyłącznie przedsiębiorcom przewyższającym progi określone dla średniego przedsiębiorstwa w art. 2 załącznika I do rozporządzenia Komisji (UE) nr 651/2014 z dnia 17 czerwca 2014 r.
Oznacza to, że podmiotem kluczowym będzie dostawca usług zarządzanych spełniający kryteria właściwe dla przedsiębiorstwa dużego.
Jeżeli natomiast dostawca usług zarządzanych nie spełnia warunków pozwalających uznać go za przedsiębiorstwo duże, ale spełnia kryteria średniego przedsiębiorstwa, zostanie zakwalifikowany jako podmiot ważny.
Z kolei dostawca usług zarządzanych będący przedsiębiorstwem małym lub mikroprzedsiębiorstwem co do zasady nie będzie podlegał kwalifikacji jako podmiot kluczowy ani podmiot ważny wyłącznie z tytułu prowadzenia tej działalności.
Kim jest dostawca usług zarządzanych w zakresie cyberbezpieczeństwa?
Zgodnie z Ustawą o KSC, dostawcą usług zarządzanych w zakresie cyberbezpieczeństwa jest podmiot, świadczący usługi polegające na realizacji lub wsparciu dla realizacji działań związanych z zarządzaniem ryzykiem w cyberbezpieczeństwie, w tym:
- obsługę incydentów,
- testów bezpieczeństwa,
- audytów systemów informacyjnych,
Katalog tych czynności ma charakter otwarty, na co wskazuje użycie przez ustawodawcę sformułowania „w tym”. Oznacza to, że kwalifikacji mogą podlegać również inne usługi związane z zarządzaniem ryzykiem w cyberbezpieczeństwie, nawet jeśli nie zostały wprost wymienione w definicji ustawowej.
Ważny fragment
Warto przy tym zwrócić uwagę, że Ustawa o KSC nakłada szczególne obowiązki na dostawców usług zarządzanych w zakresie cyberbezpieczeństwa świadczących usługę obsługi incydentów.
Podmioty te są zobowiązane do udostępniania na swojej stronie internetowej określonych informacji dotyczących prowadzonej działalności, w tym m.in. nazwy podmiotu, zakresu działalności, oferowanych usług, polityki obsługi i koordynacji incydentów oraz danych kontaktowych.
Czy dostawca usług zarządzanych w zakresie cyberbezpieczeństwa jest podmiotem kluczowym czy ważnym?
Podobnie jak w przypadku dostawców usług zarządzanych, dostawcy usług zarządzanych w zakresie cyberbezpieczeństwa nie są automatycznie uznawani za podmioty kluczowe wyłącznie z tego względu, że prowadzą działalność w sektorze kluczowym.
Zgodnie z Ustawą o KSC dostawca usług zarządzanych w zakresie cyberbezpieczeństwa zostaje zakwalifikowany jako podmiot kluczowy, jeżeli posiada status co najmniej małego przedsiębiorcy w rozumieniu art. 2 załącznika I do rozporządzenia Komisji (UE) nr 651/2014 z dnia 17 czerwca 2014 r.
Oznacza to, że podmiotem kluczowym jest dostawca usług zarządzanych w zakresie cyberbezpieczeństwa będący małym, średnim lub dużym przedsiębiorstwem.
Jeżeli natomiast dostawca usług zarządzanych w zakresie cyberbezpieczeństwa nie spełnia kryteriów właściwych dla małego przedsiębiorstwa i posiada status mikroprzedsiębiorcy, nie będzie podlegał kwalifikacji jako podmiot kluczowy ani jako podmiot ważny.
Czy nazwa umowy lub świadczonej usługi ma znaczenie?
Dla zakwalifikowania podmiotu jako dostawcy usług zarządzanych lub dostawcy usług zarządzanych w zakresie cyberbezpieczeństwa konieczne jest spełnienie wszystkich przesłanek wynikających z przedstawionych powyżej definicji. Przesłanki te tworzą zamknięty katalog warunków. Bez znaczenia pozostaje przy tym m.in. to, czy w umowie zawartej z usługobiorcą podmiot ten został wprost określony jako dostawca usług zarządzanych lub dostawca usług zarządzanych w zakresie cyberbezpieczeństwa.
Nie jest zatem konieczne posługiwanie się w umowie określeniami „usługi zarządzane” ani „managed services”.
Dla celów kwalifikacji decydujące znaczenie ma rzeczywisty charakter i zakres wykonywanych czynności. Oznacza to, że należy analizować faktycznie świadczone usługi, a nie wyłącznie nazwę umowy, przyjęte przez strony nazewnictwo czy przedmiot działalności ujawniony w rejestrze przedsiębiorców.
NIS-2 – czy moja firma podlega? [ANKIETA]
Wypełnij formularz, który pozwoli zidentyfikować, czy i w jakim stopniu Państwa firma podlega pod wymagania Dyrektywy w sprawie środków na rzecz wysokiego wspólnego poziomu cyberbezpieczeństwa w całej Unii Europejskiej (dyrektywa NIS2). NIS-2 została implementowana do polskiego porządku prawnego poprzez nowelizację Ustawy o Krajowym Systemie Bezpieczeństwa, która weszła w życie wiosną 2026 roku. Nowe regulacje wprowadziły znaczące zmiany dla polskich podmiotów: odpowiedzialność organów zarządzających oraz kary dochodzące do 10 000 000 euro lub aż 2% rocznego obrotu przedsiębiorstwa. Pomożemy Państwu przygotować się do tych nowych wymagań. Aby wstępnie zbadać swoje nowe obowiązki w tym zakresie przygotowaliśmy kilka pytań. Po odpowiedzi na nie otrzymają Państwo wynik, który odzwierciedli prawdopodobieństwo polegania pod nowe obowiązki nałożone przez Dyrektywę i nowelizację Ustawy o Krajowym Systemie Bezpieczeństwa.
Czy usługi świadczone w ramach grupy kapitałowej również podlegają ocenie?
Dla kwalifikacji działalności co do zasady nie ma znaczenia, czy usługi są świadczone na rzecz podmiotów niepowiązanych, czy wyłącznie na rzecz spółek należących do tej samej grupy kapitałowej.
W konsekwencji świadczenie usług wyłącznie na rzecz innych spółek z grupy kapitałowej nie wyłącza możliwości uznania danego podmiotu za dostawcę usług zarządzanych czy dostawcę usług zarządzanych w zakresie cyberbezpieczeństwa. O kwalifikacji decyduje bowiem charakter i zakres wykonywanych czynności.
Działalność podstawowa czy poboczna. Czy ma to znaczenie?
Definicje, omówione powyżej, nie zawierają wymogu, aby działalność ta stanowiła podstawowy przedmiot działalności przedsiębiorcy. Odmiennie jest w przypadku niektórych innych sektorów objętych Ustawą o KSC, takich jak sektor gospodarowania odpadami, gdzie dla uznania przedsiębiorcy za podmiot działający w danym sektorze konieczne jest, aby dana działalność miała charakter działalności podstawowej.
W konsekwencji przedsiębiorca może zostać zakwalifikowany jako dostawca usług zarządzanych lub dostawca usług zarządzanych w zakresie cyberbezpieczeństwa nawet wtedy, gdy świadczenie tego rodzaju usług ma charakter uboczny lub pomocniczy względem jego głównej działalności.
Najważniejsze terminy związane z NIS-2
Kwalifikacja jako dostawca usług zarządzanych lub dostawca usług zarządzanych w zakresie cyberbezpieczeństwa wymaga analizy rzeczywistego charakteru i zakresu świadczonych usług, a nie wyłącznie ich nazewnictwa, nazwy umowy, czy kodów PKD.
W świetle zbliżających się terminów istotne jest zatem przeanalizowanie prowadzonej działalności i zweryfikowanie jej pod kątem możliwości zakwalifikowania przedsiębiorcy do sektora zarządzania usługami ICT oraz ustalenia jego wielkości.
Czytaj także: