Czy usługi backupu podlegają KSC?

Czy backup jest usługą objętą KSC?

Nie można przyjąć prostej zasady:

„Firma oferuje backup, więc podlega KSC”.

KSC obejmuje określone kategorie działalności i usług. W sektorze infrastruktury cyfrowej znajdują się między innymi dostawcy usług chmurowych, dostawcy usług centrów przetwarzania danych, dostawcy CDN oraz dostawcy usług zarządzanych. Backup nie został wskazany jako osobna kategoria.

Dlatego przy analizie trzeba sprawdzić czym faktycznie jest oferowany backup i w jaki sposób jest świadczony.

Samodzielna usługa backupu

Przykładowo firma może oferować klientom:

• wykonywanie kopii zapasowych,
• przechowywanie kopii,
• określony czas retencji,
• możliwość odtworzenia danych,
• automatyczne wykonywanie kopii,
• monitoring poprawności backupu.

Jeżeli jest to samodzielna usługa i nie mieści się jednocześnie w innej kategorii objętej KSC, sam fakt oferowania backupu nie powoduje automatycznie objęcia przedsiębiorcy ustawą.

Backup jako usługa chmurowa

Inaczej może wyglądać sytuacja, gdy backup jest świadczony jako usługa chmurowa.

NIS2 definiuje usługę chmurową jako usługę umożliwiającą na żądanie szeroki dostęp zdalny do skalowalnego i elastycznego zbioru współdzielonych zasobów obliczeniowych. Wśród modeli chmurowych wymienione są m.in. IaaS, PaaS, SaaS i NaaS.

Dlatego nazwa:

„Backup w chmurze”

nie wystarcza sama w sobie do stwierdzenia, że przedsiębiorca jest dostawcą chmury.

Trzeba sprawdzić rzeczywistą konstrukcję usługi.

Przykład: prosty backup danych

Firma oferuje klientom możliwość wykonywania kopii zapasowych na własną infrastrukturę.

Klient ma określony pakiet:

• 500 GB przestrzeni,
• kopia wykonywana codziennie,
• retencja 30 dni,
• możliwość odtworzenia danych.

Jeżeli usługa nie spełnia definicji innej kategorii objętej KSC, samo oferowanie takiego backupu nie oznacza automatycznie podlegania KSC.

Backup jako element usługi chmurowej

Inaczej może być w przypadku usługi, która zapewnia klientowi dostęp do skalowalnych i elastycznych zasobów przechowywania danych w modelu chmurowym.

Jeżeli rzeczywista konstrukcja usługi spełnia definicję usługi chmurowej, przedsiębiorca powinien przeanalizować swoją działalność jako dostawca usług chmurowych, a nie jako „dostawca backupu”.

To istotne rozróżnienie.

Nie sama funkcja wykonywania kopii zapasowej decyduje o zastosowaniu KSC, lecz charakter całej usługi.

Backup a usługi zarządzane

Drugi ważny przypadek to backup świadczony razem z aktywnym zarządzaniem infrastrukturą klienta.

NIS2 definiuje dostawcę usług zarządzanych jako podmiot świadczący usługi związane m.in. z instalacją, zarządzaniem, eksploatacją lub utrzymaniem produktów ICT, sieci, infrastruktury, aplikacji lub innych systemów informacyjnych poprzez wsparcie albo aktywną administrację u klienta lub zdalnie.

Dlatego firma, która nie tylko wykonuje backup, ale również aktywnie zarządza środowiskiem IT klienta, może wymagać analizy pod kątem kategorii dostawcy usług zarządzanych.

Przykład: backup zarządzany

Firma IT zawiera z klientem umowę obejmującą:

• konfigurację systemu backupowego,
• wykonywanie kopii,
• monitoring,
• sprawdzanie poprawności kopii,
• testowe odtwarzanie,
• reagowanie na błędy,
• zarządzanie infrastrukturą backupową,
• administrację serwerem klienta.

W takim przypadku nie należy patrzeć wyłącznie na nazwę usługi „backup”.

Trzeba sprawdzić, czy zakres świadczonych czynności powoduje, że firma świadczy również usługi zarządzane w rozumieniu KSC.

Backup jako część hostingu

Backup może być również dodatkowym elementem usługi hostingowej.

Przykładowo firma hostingowa oferuje:

Hosting WWW + codzienny backup.

W takim przypadku nie należy automatycznie tworzyć osobnej kwalifikacji:

„backup = KSC”.

Cały model usług trzeba analizować zgodnie z charakterem poszczególnych usług.

Samo dodanie kopii zapasowej do hostingu nie powoduje automatycznie, że przedsiębiorca staje się odrębną kategorią podmiotu KSC jako „dostawca backupu”, ponieważ taka kategoria nie występuje w ustawie.

Backup dla klientów a własny backup

Warto również rozróżnić:

backup własnych danych

od

świadczenie usługi backupu na rzecz klientów.

Firma może wykonywać kopie zapasowe własnych serwerów, baz danych czy systemów.

Samo wykonywanie własnych kopii zapasowych oczywiście nie oznacza, że przedsiębiorca jest dostawcą usług backupu.

KSC może mieć znaczenie z zupełnie innego tytułu, jeżeli firma prowadzi działalność należącą do kategorii objętych ustawą.

Czy reseller backupu podlega KSC?

Załóżmy, że firma A kupuje usługę backupu od firmy B i odsprzedaje ją swoim klientom.

Sama odsprzedaż nie daje automatycznej odpowiedzi.

Należy sprawdzić:

• kto faktycznie zapewnia infrastrukturę,
• kto przechowuje kopie,
• kto zarządza systemem backupowym,
• kto odpowiada za wykonanie kopii,
• czy reseller świadczy dodatkową usługę zarządzaną,
• czy usługa ma charakter chmurowy,
• czy reseller świadczy jeszcze inne usługi objęte KSC.

Samo określenie firmy jako „resellera backupu” nie oznacza automatycznie, że jest ona podmiotem objętym KSC.

Czy backup w centrum danych oznacza KSC?

Nie automatycznie.

Firma może przechowywać kopie zapasowe w zewnętrznym centrum danych.

Nie oznacza to, że sama staje się dostawcą usługi centrum przetwarzania danych.

KSC osobno definiuje dostawcę usługi centrum przetwarzania danych jako podmiot świadczący usługę obejmującą struktury przeznaczone m.in. do scentralizowanego hostingu, wzajemnego połączenia i eksploatacji produktów lub usług ICT służących do przechowywania, przetwarzania i transportu danych wraz z odpowiednią infrastrukturą energetyczną i środowiskową.

Dlatego:

korzystanie z centrum danych ≠ bycie dostawcą centrum danych.

Tak samo:

korzystanie z chmury ≠ automatycznie bycie dostawcą chmury.

Czy mała firma oferująca backup podlega KSC?

Nie ma osobnego przepisu, który mówiłby:

„każdy dostawca backupu, niezależnie od wielkości, podlega KSC”.

Backup nie jest bowiem samodzielną kategorią podmiotu w ustawie.

Jeżeli jednak dana firma świadczy usługę, która kwalifikuje ją np. jako dostawcę usług chmurowych albo dostawcę usług zarządzanych, wtedy należy zastosować zasady KSC dotyczące tej konkretnej kategorii.

W przypadku tych kategorii wielkość przedsiębiorstwa może mieć znaczenie. Nie należy więc przenosić na backup zasady dotyczącej dostawców DNS, dla których ustawodawca przewidział szczególne zasady.

Backup a usługi zarządzane – gdzie jest granica?

Najprościej można to zobaczyć na przykładzie.

Model A – tylko backup

Firma wykonuje kopie danych klienta i przechowuje je przez określony czas.

Nie administruje innymi systemami klienta.

Model B – backup + administracja

Firma:

• zarządza serwerem klienta,
• administruje systemem backupowym,
• monitoruje infrastrukturę,
• wykonuje aktualizacje,
• reaguje na awarie,
• zarządza środowiskiem IT.

Tutaj należy dodatkowo przeanalizować, czy firma spełnia definicję dostawcy usług zarządzanych.

Model C – backup jako usługa chmurowa

Firma udostępnia klientom skalowalne i elastyczne zasoby obliczeniowe lub magazynowe w modelu odpowiadającym definicji cloud computing.

Wtedy należy zbadać, czy przedsiębiorca jest dostawcą usług chmurowych.

Czy Backup-as-a-Service podlega KSC?

Samo określenie Backup-as-a-Service (BaaS) nie przesądza o podleganiu KSC.

Jest to nazwa modelu handlowego, a nie samodzielna kategoria podmiotu wskazana w ustawie.

Dlatego nie można przyjąć:

BaaS = KSC.

Należy sprawdzić, jak faktycznie działa dana usługa.

Jeżeli BaaS jest usługą chmurową, analizujemy ją jako potencjalną usługę chmurową.

Jeżeli jest częścią aktywnej administracji środowiskiem klienta, analizujemy również kategorię usług zarządzanych.

Jeżeli nie mieści się w żadnej kategorii objętej KSC, samo oferowanie BaaS nie powoduje automatycznego podlegania ustawie.

Przykład dla resellera

Firma kupuje usługę backupową od dużego dostawcy.

Następnie oferuje ją swoim klientom:

„Backup serwera – 100 GB, codzienne kopie, retencja 30 dni”.

Firma nie posiada własnej infrastruktury backupowej i nie administruje systemami klientów.

W takim modelu należy przede wszystkim odróżnić odsprzedaż usługi od jej faktycznego świadczenia przez dostawcę infrastruktury.

Jeżeli reseller nie świadczy jednocześnie innej usługi objętej KSC, samo odsprzedawanie backupu nie powoduje automatycznie objęcia go ustawą.

Co powinien sprawdzić reseller oferujący backup?

Przedsiębiorca powinien odpowiedzieć na kilka pytań:

1. Czy tylko odsprzedaję usługę backupu?

Jeżeli tak, trzeba ustalić rolę resellera w całym modelu usługi.

2. Czy sam przechowuję dane klientów?

Jeżeli tak, należy dokładniej przeanalizować charakter infrastruktury i usługi.

3. Czy usługa jest świadczona w modelu chmurowym?

Jeżeli tak, trzeba sprawdzić definicję dostawcy usług chmurowych.

4. Czy aktywnie administruję infrastrukturą klienta?

Jeżeli tak, należy sprawdzić definicję dostawcy usług zarządzanych.

5. Czy backup jest tylko dodatkiem do hostingu?

Wtedy nie należy automatycznie traktować go jako osobnej kategorii KSC.

6. Czy firma świadczy również DNS, hosting, CDN, VPS lub inne usługi ICT?

Każdą kategorię należy przeanalizować oddzielnie.

Backup a KSC – najważniejsze przypadki

Podsumowanie

Dlatego sama sprzedaż lub odsprzedaż kopii zapasowych nie oznacza automatycznie podlegania ustawie.

Sytuacja może się zmienić, jeżeli backup jest częścią:

• usługi chmurowej,
• usług zarządzanych,
• infrastruktury objętej inną kategorią KSC,
• albo działalności przedsiębiorcy, która podlega KSC z innego tytułu.

Najważniejsze jest więc nie pytanie:

„Czy backup podlega KSC?”

ale:

„Jaką usługę faktycznie świadczy firma, oferując backup, i do jakiej kategorii podmiotów KSC można ją zakwalifikować?”

To rozróżnienie jest szczególnie ważne dla resellerów, firm hostingowych, agencji IT i dostawców usług zarządzanych.