Czy firma podlega NIS2 i KSC? Małe firmy, MŚP i wyjątki

Zacznij od faktycznie świadczonych usług

Przygotuj krótki opis działalności: komu świadczysz usługę, z jakich systemów korzystasz i co się stanie po jej przerwaniu. Następnie zestaw opis z rodzajami podmiotów wskazanymi w aktualnych załącznikach ustawy. Nazwa firmy lub etykieta branżowa nie zawsze oddają jej rzeczywisty model działania.

Przykład organizacyjny: firma sprzedająca oprogramowanie i firma zarządzająca systemami klienta mogą potrzebować innej analizy. Nie rozstrzygaj kwalifikacji jedynie na podstawie słowa „IT” w ofercie. Zachowaj opis usługi, dokumenty i podstawę końcowego ustalenia.

Mała firma i MŚP – czego nie zakładać

Wielkość ma znaczenie, lecz ustawa przewiduje także szczególne kategorie i wyjątki. Dlatego zdanie „mamy mniej niż 50 pracowników, więc nie podlegamy” nie jest bezpieczną regułą dla każdego podmiotu. Ministerstwo Cyfryzacji opisuje kwalifikację i wyjątki w oficjalnych materiałach.

Do analizy przygotuj strukturę właścicielską i informacje niezbędne do ustalenia wielkości przedsiębiorstwa według właściwych reguł. Nie zastępuj ich przypadkowym wydrukiem z katalogu firm. W razie zmiany działalności lub struktury organizacji powróć do kwalifikacji.

KSC a oczekiwania kontrahenta

Kontrahent może wymagać dowodów bezpieczeństwa w łańcuchu dostaw. Nie oznacza to automatycznie, że Twoja firma ma identyczny status ustawowy jak klient. Oddziel analizę prawną od warunków umownych i od dobrowolnego podnoszenia odporności.

Zamiast przesyłać pełny raport techniczny, ustal, jakie potwierdzenie jest potrzebne i kto może je otrzymać. Niekiedy wystarczy uzgodniony zakres informacji o procesach i działaniach. Szczegółowe luki i konfiguracje powinny pozostać w kontrolowanym obiegu.

Lista informacji do pierwszej analizy

• Opis działalności oraz istotnych usług, nie tylko kody PKD.
• Dane do ustalenia wielkości podmiotu i jego powiązań.
• Forma prawna, lokalizacja działalności i szczególna kategoria ustawowa.
• Informacja o wcześniejszym statusie w KSC i korespondencji z organem.
• Dotychczasowe audyty, SZBI oraz wymagania kontrahentów.

Wynik analizy warto zapisać jako krótką notatkę: przyjęte dane, podstawa, status, data i osoba odpowiedzialna za aktualizację. Gdy brakuje danych, należy je wskazać zamiast nadawać kwalifikacji pozorną pewność.

Co zrobić po ustaleniu statusu

Zbuduj listę obowiązków i terminów właściwych dla swojej sytuacji. Oddziel rozpoczęcie wdrożenia, czynności rejestrowe i audyt. Dla podmiotów działających przed nowelizacją znaczenie mogą mieć przepisy przejściowe. Nie stosuj jednego kalendarza do wszystkich organizacji.

Kolejny krok to audyt gotowości NIS2/KSC: określenie braków, dowodów i planu działań. Sama publikacja polityki na dysku wspólnym nie dowodzi jej stosowania.