Dla kogo jest ten kwalifikator
Ustawa o krajowym systemie cyberbezpieczeństwa wdraża w Polsce unijną dyrektywę NIS 2. Nikt nie zawiadamia firmy, że jej dotyczy. Organizacja sama ustala swój status i sama zgłasza się do wykazu. Ten kwalifikator prowadzi przez to ustalenie krok po kroku.
Co sprawdzamy
- Gdzie działa Twoja organizacja, bo kwalifikator sprawdza polską ustawę.
- Czy należy do sektora wymienionego w załączniku pierwszym albo drugim do ustawy.
- Jaką ma wielkość, liczoną zatrudnieniem, obrotem i sumą bilansową.
- Czy nie obejmują jej wyłączenia albo inne przepisy, na przykład rozporządzenie DORA.
Trzy możliwe wyniki
- Podmiot kluczowy
- Dotyczy dużych organizacji z sektorów z załącznika pierwszego. Obowiązki są pełne, a organ nadzoru może prowadzić kontrolę z własnej inicjatywy.
- Podmiot ważny
- Dotyczy średnich organizacji z załącznika pierwszego oraz średnich i dużych z załącznika drugiego. Obowiązki są te same, ale nadzór wchodzi dopiero po zdarzeniu.
- Poza ustawą
- Sektor albo wielkość nie spełniają przesłanek. Warto zapisać, na jakiej podstawie tak wyszło, bo przesłanki sprawdza się ponownie po każdym roku obrotowym.
Terminy z ustawy
- Wniosek o wpis do wykazu podmiotów kluczowych i ważnych składa się w ciągu sześciu miesięcy od dnia spełnienia przesłanek. Dla podmiotów, które spełniały je 3 kwietnia 2026 roku, minister wyznaczył termin do 3 października 2026 roku. Po terminie wniosek trzeba złożyć jak najszybciej.
- Do 3 kwietnia 2027 roku trzeba wdrożyć system zarządzania bezpieczeństwem informacji i pozostałe obowiązki z rozdziału trzeciego.
- Do 3 kwietnia 2028 roku podmiot kluczowy przechodzi pierwszy audyt. Od tego dnia organ nadzoru może też nakładać kary.
Najczęstsze pytania
- Czy wynik kwalifikatora jest wiążący?
- Nie. To wstępna klasyfikacja o charakterze informacyjnym. Ostateczna ocena należy do organizacji i jej doradców.
- Czy muszę zakładać konto?
- Nie. Kwalifikator jest bezpłatny i przechodzi się go bez logowania.
- Skąd bierzemy dane o firmie?
- Z publicznych rejestrów, po numerze identyfikacji podatkowej. Podanie numeru jest dobrowolne.
- Co dostaję na końcu?
- Kartę statusu z kategorią podmiotu, podstawą prawną, cytatem przepisu i terminami, które z niego wynikają.
