Firma tworząca strony WWW a KSC
Typowa agencja lub webdeveloper może świadczyć usługi takie jak:
- projektowanie strony internetowej,
- tworzenie strony w WordPressie,
- przygotowanie sklepu internetowego,
- wdrożenie szablonu,
- programowanie funkcjonalności strony,
- konfiguracja formularzy,
- przygotowanie treści i grafiki,
- optymalizacja strony,
- migracja strony,
- jednorazowe wdrożenie strony u klienta.
Samo wykonywanie takich prac nie oznacza automatycznie, że firma staje się podmiotem objętym KSC.
W ustawie nie ma ogólnej kategorii „dostawca stron internetowych” ani „agencja tworząca strony WWW”.
Co zmienia się, jeżeli firma administruje stroną klienta?
Tutaj sytuacja może wyglądać inaczej.
KSC definiuje dostawcę usług zarządzanych jako podmiot świadczący usługi związane z instalacją, eksploatacją lub konserwacją produktów ICT, usług ICT, procesów ICT lub systemów informacyjnych poprzez wsparcie lub aktywną administrację wykonywaną u usługobiorcy, również zdalnie.
Dlatego trzeba odróżnić:
„Tworzę stronę dla klienta”
od:
„Stale administruję systemem klienta”.
To drugie może wymagać dodatkowej analizy pod kątem definicji dostawcy usług zarządzanych.
Przykład 1 – tylko stworzenie strony
Firma otrzymuje zlecenie:
„Proszę stworzyć stronę internetową dla naszej firmy”.
Wykonawca:
- projektuje stronę,
- instaluje WordPress,
- konfiguruje motyw,
- dodaje treści,
- uruchamia stronę,
- przekazuje ją klientowi.
Po zakończeniu projektu firma nie administruje systemem klienta.
Samo wykonanie takiej strony nie powoduje automatycznie objęcia firmy KSC.
Nie staje się ona przez to dostawcą DNS, dostawcą chmury ani dostawcą usług zarządzanych.
Przykład 2 – stała administracja WordPressem
Inny model wygląda tak:
Agencja tworzy stronę, a następnie zawiera z klientem stałą umowę obejmującą:
- aktualizacje WordPressa,
- aktualizacje wtyczek,
- konfigurację serwera,
- monitoring działania systemu,
- usuwanie problemów technicznych,
- administrację środowiskiem IT,
- wykonywanie zmian konfiguracyjnych,
- utrzymywanie systemu klienta.
Tutaj pojawia się pytanie, czy zakres świadczonych czynności może odpowiadać definicji dostawcy usług zarządzanych.
Nie można jednak automatycznie uznać, że każda umowa „opieki nad stroną” oznacza dostawcę usług zarządzanych w rozumieniu KSC.
Decydujący jest rzeczywisty zakres usługi.
Sama aktualizacja strony nie musi oznaczać KSC
Przykładowo agencja może mieć w ofercie:
„Opieka nad stroną – raz w miesiącu aktualizujemy WordPress i wtyczki”.
Taka usługa wymaga odróżnienia od profesjonalnej usługi zarządzania systemami ICT klienta.
Sporadyczne wykonanie określonej czynności technicznej nie powinno być automatycznie utożsamiane z pełną usługą zarządzaną.
Dlatego przy ocenie należy brać pod uwagę między innymi:
- zakres umowy,
- częstotliwość wykonywania czynności,
- odpowiedzialność za system,
- zakres administracji,
- to, czy firma stale zarządza środowiskiem klienta,
- oraz charakter zarządzanych produktów lub systemów ICT.
Webdeveloper administrujący serwerem klienta
Znacznie bardziej istotna może być sytuacja, gdy webdeveloper nie tylko wykonuje stronę, ale również administruje infrastrukturą klienta.
Przykładowo firma:
- zarządza serwerem klienta,
- administruje systemem operacyjnym,
- zarządza środowiskiem aplikacyjnym,
- wykonuje stałą administrację systemem informacyjnym,
- monitoruje działanie infrastruktury,
- odpowiada za eksploatację środowiska IT klienta.
W takim przypadku warto przeanalizować, czy świadczona usługa mieści się w definicji dostawcy usług zarządzanych.
Definicja KSC obejmuje bowiem usługi związane z instalacją, eksploatacją lub konserwacją produktów, usług, procesów ICT lub systemów informacyjnych, jeżeli są wykonywane poprzez wsparcie lub aktywną administrację u usługobiorcy, również zdalnie.
A co z hostingiem strony?
Jeżeli firma tworząca strony dodatkowo sprzedaje klientowi hosting, należy przeanalizować hosting oddzielnie.
Nie można powiedzieć:
„Skoro firma tworzy strony, to hosting również podlega KSC”.
Są to dwie różne usługi.
Przykładowo:
Firma A tworzy stronę WWW.
Firma B zapewnia hosting.
Jeżeli firma A jedynie tworzy stronę i przekazuje ją firmie B do hostowania, działalność firmy A należy oceniać przede wszystkim przez pryzmat jej własnych usług.
Jeżeli natomiast firma A sama zapewnia hosting, DNS lub inne usługi infrastrukturalne, należy dodatkowo przeanalizować te usługi pod kątem odpowiednich kategorii KSC.
A DNS?
Podobnie wygląda sytuacja z DNS.
Jeżeli agencja:
- tworzy stronę,
- korzysta z DNS dostawcy hostingu,
- przekazuje klientowi dane potrzebne do konfiguracji domeny,
nie oznacza to automatycznie, że agencja jest dostawcą usług DNS.
Inaczej może wyglądać sytuacja przedsiębiorcy, który sam świadczy usługę DNS spełniającą definicję ustawową.
Dostawca usług DNS jest bowiem w KSC szczególną kategorią podmiotu kluczowego, dla której nie stosuje się zwykłego kryterium wielkości przedsiębiorstwa.
Czy mała agencja tworząca strony może podlegać KSC?
Samo tworzenie stron WWW nie powoduje takiego obowiązku.
Jeżeli jednak agencja świadczy również usługę, która kwalifikuje ją jako dostawcę usług zarządzanych, sytuację trzeba przeanalizować również pod kątem wielkości przedsiębiorstwa.
W aktualnej KSC dostawca usług zarządzanych został wymieniony w załączniku nr 1 jako element sektora infrastruktura cyfrowa / zarządzanie usługami ICT.
Art. 5 KSC przewiduje dla podmiotów wskazanych w załączniku nr 1 zasadniczo status podmiotu kluczowego po przekroczeniu kryteriów średniego przedsiębiorstwa. Wyjątki dotyczą określonych kategorii, m.in. dostawców DNS i kwalifikowanych dostawców usług zaufania.
Dlatego nie można przenieść zasady dotyczącej DNS na agencję tworzącą strony.
Przykład: mała agencja WordPress
Załóżmy, że agencja:
- zatrudnia kilka osób,
- tworzy strony WordPress,
- wykonuje sklepy internetowe,
- pobiera opłatę za stworzenie strony,
- opcjonalnie oferuje aktualizacje WordPressa,
- nie prowadzi własnego DNS,
- nie jest dostawcą chmury,
- nie prowadzi centrum danych,
- nie administruje infrastrukturą IT klientów.
Samo prowadzenie takiej działalności nie oznacza automatycznie objęcia KSC.
Przykład: duża firma świadcząca zarządzanie systemami klientów
Inny przedsiębiorca może natomiast:
- tworzyć aplikacje i strony,
- utrzymywać środowiska produkcyjne klientów,
- zarządzać serwerami,
- wykonywać stałą administrację systemami,
- monitorować infrastrukturę,
- zapewniać ciągłą obsługę techniczną.
Jeżeli działalność tej firmy odpowiada definicji dostawcy usług zarządzanych, a przedsiębiorca spełnia kryteria wielkości określone w KSC, może powstać obowiązek wynikający z ustawy.
W takim przypadku decydujące nie jest już samo „tworzenie stron WWW”, lecz zakres usług zarządzanych świadczonych klientom.
Czy freelancer tworzący strony podlega KSC?
Sam fakt prowadzenia jednoosobowej działalności gospodarczej i tworzenia stron WWW dla klientów nie powoduje automatycznie objęcia KSC.
Przykładowo freelancer może:
- projektować strony,
- programować,
- wdrażać WordPress,
- przygotowywać sklepy,
- wykonywać jednorazowe migracje.
Jeżeli jego działalność nie mieści się w żadnej z kategorii podmiotów objętych KSC, sama usługa tworzenia stron internetowych nie tworzy obowiązku KSC.
Inaczej należy analizować działalność freelancera, który oprócz tworzenia stron stale administruje systemami informatycznymi klientów lub świadczy inne usługi wymienione w KSC.
Najważniejsze rozróżnienie
W przypadku firmy zajmującej się stronami WWW warto zadać sobie pięć pytań:
1. Czy tylko tworzę strony?
Jeżeli tak, samo tworzenie stron nie jest odrębną kategorią KSC.
2. Czy administruję systemami klienta?
Jeżeli tak, trzeba sprawdzić definicję dostawcy usług zarządzanych.
3. Czy zapewniam hosting?
Hosting należy przeanalizować jako odrębną usługę.
4. Czy świadczę własną usługę DNS?
Jeżeli tak, należy sprawdzić definicję dostawcy DNS.
5. Czy świadczę usługi chmurowe lub inne usługi infrastruktury cyfrowej?
Wtedy również trzeba sprawdzić odpowiednią kategorię KSC.
Tabela – tworzenie stron WWW a KSC
| Model działalności | Czy samo to oznacza KSC? |
|---|---|
| Projektowanie strony WWW | Nie |
| Jednorazowe wykonanie strony | Nie |
| Programowanie strony | Nie |
| Wdrożenie WordPressa | Nie automatycznie |
| Wykonanie sklepu internetowego | Nie automatycznie |
| Jednorazowa migracja strony | Nie automatycznie |
| Okresowe aktualizacje WordPressa | Nie automatycznie |
| Stała administracja systemem klienta | Wymaga analizy pod kątem usług zarządzanych |
| Administracja serwerem klienta | Wymaga analizy pod kątem usług zarządzanych |
| Sprzedaż własnego hostingu | Należy osobno przeanalizować charakter usługi |
| Świadczenie własnej usługi DNS | Należy przeanalizować jako dostawcę DNS |
| Świadczenie usług chmurowych | Należy przeanalizować jako dostawcę chmury |
Podsumowanie
Firma, która wyłącznie tworzy strony internetowe dla klientów, nie podlega KSC tylko z tego powodu, że wykonuje strony WWW.
Sytuacja może się zmienić, jeżeli przedsiębiorca oprócz tworzenia stron:
- stale administruje systemami klientów,
- zarządza ich infrastrukturą ICT,
- świadczy hosting,
- świadczy własną usługę DNS,
- oferuje usługi chmurowe,
- albo świadczy inną usługę wymienioną w KSC.
W przypadku stałej administracji systemami klientów szczególne znaczenie może mieć definicja dostawcy usług zarządzanych.
Dlatego przy ocenie działalności agencji internetowej nie należy pytać wyłącznie:
„Czy firma tworzy strony WWW?”
Lepsze pytanie brzmi:
„Jakie dokładnie usługi firma świadczy po wykonaniu strony i kto odpowiada za jej infrastrukturę oraz systemy informatyczne?”
To właśnie zakres rzeczywiście świadczonych usług decyduje o tym, czy trzeba analizować obowiązki wynikające z KSC.
Najczęściej zadawane pytania
Samo tworzenie stron internetowych nie oznacza automatycznie podlegania KSC. W ustawie nie ma kategorii „dostawca stron internetowych” ani „agencja tworząca strony WWW” – liczy się zakres usług świadczonych po wykonaniu strony.
Nie każda umowa „opieki nad stroną” oznacza dostawcę usług zarządzanych. Okresowe aktualizacje WordPressa i wtyczek trzeba odróżnić od stałej, aktywnej administracji systemami ICT klienta – decyduje rzeczywisty zakres usługi, częstotliwość czynności i odpowiedzialność za system.
Gdy oprócz tworzenia stron stale administruje serwerem lub systemami klienta, zarządza infrastrukturą ICT, świadczy hosting, własną usługę DNS albo usługi chmurowe. Wtedy każdą z tych usług trzeba sprawdzić pod kątem odpowiedniej kategorii KSC.
Sama jednoosobowa działalność i tworzenie stron nie powodują objęcia KSC. Inaczej należy analizować freelancera, który stale administruje systemami klientów lub świadczy inne usługi wymienione w ustawie. Zobacz też: Czy JDG może podlegać KSC?
Tak. Tworzenie strony i hosting to dwie różne usługi. Jeżeli agencja sama zapewnia hosting, DNS lub inne usługi infrastrukturalne, należy je przeanalizować oddzielnie pod kątem kategorii KSC.
Działalność domenową trzeba ocenić osobno: KSC zalicza podmiot świadczący usługi rejestracji nazw domen do podmiotów kluczowych niezależnie od wielkości, a definicja obejmuje m.in. odsprzedawców. Jak zachować przychody z domen klientów, wyjaśniamy w poradniku KSC i NIS2 dla resellerów domen.
Stan prawny: Materiał uwzględnia ustawę o krajowym systemie cyberbezpieczeństwa po nowelizacji wdrażającej dyrektywę NIS2. Aktualna ustawa definiuje m.in. dostawcę usług zarządzanych i określa go jako odrębną kategorię podmiotu w sektorze infrastruktury cyfrowej.
Materiał ma charakter informacyjny i nie stanowi indywidualnej opinii prawnej.