Decydujące znaczenie ma przede wszystkim:
- rodzaj świadczonych usług,
- kategoria podmiotu wskazana w KSC,
- wielkość przedsiębiorstwa, jeżeli dla danej kategorii ma znaczenie,
- szczególne zasady przewidziane dla określonych usług.
Dlatego prawidłowe pytanie nie brzmi:
„Czy JDG podlega KSC?”
lecz:
„Czy moja jednoosobowa działalność świadczy usługi, dla których KSC przewiduje obowiązki?”
Czy KSC dotyczy tylko spółek?
Nie.
KSC nie ogranicza się do spółek z o.o., spółek akcyjnych czy innych osób prawnych.
W przepisach dotyczących podmiotów ważnych ustawodawca wprost wskazuje:
„osoba fizyczna, osoba prawna albo jednostka organizacyjna nieposiadająca osobowości prawnej”.
Oznacza to, że osoba fizyczna prowadząca działalność gospodarczą może należeć do kategorii podmiotów objętych KSC.
Ma to duże znaczenie dla rynku IT.
Jednoosobową działalnością może być przecież:
- administrator IT,
- firma świadcząca outsourcing IT,
- reseller domen,
- dostawca DNS,
- administrator infrastruktury,
- firma oferująca usługi chmurowe,
- dostawca usług cyberbezpieczeństwa,
- firma hostingowa,
- podwykonawca usług IT.
Sama forma „JDG” nie rozstrzyga więc o statusie KSC.
Czy każda JDG podlega KSC?
Nie.
To najważniejsze zastrzeżenie.
KSC obejmuje określone sektory, podsektory i rodzaje podmiotów. Nie jest to ustawa nakładająca obowiązki cyberbezpieczeństwa na każdą firmę prowadzącą działalność gospodarczą.
Przykładowo osoba prowadząca JDG i zajmująca się wyłącznie:
- tworzeniem prostych stron internetowych,
- grafiką,
- doradztwem informatycznym,
- sprzedażą sprzętu komputerowego,
nie staje się automatycznie podmiotem kluczowym lub ważnym tylko dlatego, że jest przedsiębiorcą działającym w branży IT.
Trzeba sprawdzić rzeczywisty zakres działalności.
JDG a wielkość przedsiębiorstwa
W przypadku wielu kategorii objętych KSC znaczenie ma wielkość przedsiębiorstwa.
To właśnie tutaj jednoosobowe działalności często pojawiają się w analizach.
Osoba prowadząca JDG może być:
- mikroprzedsiębiorstwem,
- małym przedsiębiorstwem,
- a w określonych przypadkach również większym przedsiębiorstwem.
Sama forma jednoosobowej działalności nie oznacza automatycznie kategorii „mikroprzedsiębiorstwo”.
Według unijnej definicji mikroprzedsiębiorstwo to przedsiębiorstwo, które zatrudnia mniej niż 10 osób oraz którego roczny obrót lub roczna suma bilansowa nie przekracza 2 mln euro. Unijna definicja przedsiębiorstwa obejmuje przy tym również osoby samozatrudnione.
Dlatego można powiedzieć:
JDG może być mikroprzedsiębiorstwem, ale nie dlatego, że jest JDG — tylko dlatego, że spełnia odpowiednie kryteria.
Czy jednoosobowa firma z jednym właścicielem zawsze jest mikrofirmą?
Nie należy stosować takiego uproszczenia.
Najczęściej jednoosobowa działalność bez pracowników i o niewielkiej skali będzie spełniała kryteria mikroprzedsiębiorstwa.
Jednak przy formalnej kwalifikacji trzeba uwzględnić odpowiednie kryteria finansowe oraz zasady dotyczące przedsiębiorstw partnerskich i powiązanych.
Nie wystarczy więc powiedzieć:
„Mam jedną osobę w CEIDG, więc na pewno jestem mikroprzedsiębiorcą”.
Czy mikroprzedsiębiorstwo może podlegać KSC?
Tak.
To jeden z najważniejszych punktów całego artykułu.
Nie można przyjąć zasady:
mikroprzedsiębiorstwo = brak KSC.
W przypadku części kategorii KSC wielkość przedsiębiorstwa rzeczywiście ogranicza możliwość uzyskania statusu podmiotu kluczowego lub ważnego.
Ale ustawa przewiduje również kategorie, w których status jest związany z samym rodzajem świadczonej usługi, a nie z osiągnięciem określonego rozmiaru przedsiębiorstwa.
Przykład: jednoosobowy dostawca DNS
Wyobraźmy sobie przedsiębiorcę prowadzącego JDG, który samodzielnie świadczy publicznie dostępne usługi DNS.
W takim przypadku nie można zakończyć analizy stwierdzeniem:
„To tylko jedna osoba, więc KSC go nie dotyczy”.
Dostawca usług DNS jest jedną z kategorii wskazanych w KSC jako podmiot kluczowy niezależnie od wielkości.
Kluczowe jest więc najpierw ustalenie, czy przedsiębiorca rzeczywiście spełnia ustawową definicję dostawcy usług DNS.
Samo posiadanie serwera DNS lub korzystanie z DNS na potrzeby własnej działalności nie oznacza jeszcze automatycznie, że przedsiębiorca jest dostawcą usług DNS w rozumieniu KSC.
Przykład: jednoosobowy reseller domen
Podobna ostrożność jest potrzebna w przypadku działalności związanej z domenami.
KSC wymienia podmiot świadczący usługi rejestracji nazw domen wśród podmiotów kluczowych niezależnie od wielkości.
Oznacza to, że sama forma JDG nie może być argumentem:
„Nie podlegam KSC, bo jestem jednoosobową firmą”.
Najpierw trzeba jednak ustalić, czy konkretny model działalności rzeczywiście mieści się w ustawowej definicji podmiotu świadczącego usługi rejestracji nazw domen.
Ma to szczególne znaczenie w modelach:
rejestrator → reseller → klient końcowy.
W przypadku domen nie należy więc automatycznie przenosić zasad dotyczących zwykłych usług IT na działalność związaną z rejestracją nazw domen.
Przykład: jednoosobowy administrator IT
Załóżmy, że przedsiębiorca prowadzący JDG świadczy stałą administrację serwerami klientów.
W ramach umów:
- uzyskuje dostęp administracyjny,
- wykonuje aktualizacje,
- konfiguruje serwery,
- monitoruje infrastrukturę,
- usuwa awarie,
- zarządza systemami klientów.
Taki model może odpowiadać definicji dostawcy usług zarządzanych.
W takim przypadku trzeba następnie sprawdzić kryteria właściwe dla tej kategorii.
Jeżeli przedsiębiorca jest mikroprzedsiębiorstwem, nie oznacza to automatycznie, że jest podmiotem kluczowym lub ważnym.
Ale również nie oznacza automatycznie, że KSC jest całkowicie poza zakresem jego działalności.
Przykład: jednoosobowa firma świadcząca usługi cyberbezpieczeństwa
Jeszcze większą ostrożność należy zachować w przypadku przedsiębiorcy świadczącego usługi związane z cyberbezpieczeństwem.
Jeżeli JDG wykonuje np.:
- monitoring bezpieczeństwa,
- obsługę incydentów,
- testy bezpieczeństwa,
- audyty systemów informacyjnych,
- usługi związane z zarządzaniem ryzykiem cyberbezpieczeństwa,
może wejść w zakres kategorii dostawcy usług zarządzanych w zakresie cyberbezpieczeństwa.
Ta kategoria ma w KSC szczególne zasady kwalifikacji. Dlatego nie należy stosować do niej prostego założenia:
„Jestem jednoosobową firmą, więc mnie to nie dotyczy”.
JDG a outsourcing IT
Jednoosobowe firmy bardzo często świadczą outsourcing IT.
Przykładowo informatyk może mieć 20 klientów i wykonywać dla nich:
- administrację serwerami,
- administrację Microsoft 365,
- zarządzanie kontami,
- monitoring infrastruktury,
- konfigurację sieci,
- backup,
- aktualizacje systemów.
W takim przypadku nazwa działalności „usługi informatyczne” jest mniej istotna niż rzeczywisty zakres usług.
Jeżeli działalność odpowiada definicji dostawcy usług zarządzanych, należy zastosować przepisy dotyczące tej kategorii.
W przypadku zwykłego dostawcy usług zarządzanych znaczenie ma również wielkość przedsiębiorstwa.
Czy JDG musi mieć pracowników, żeby podlegać KSC?
Nie.
Brak pracowników nie oznacza automatycznie wyłączenia z KSC.
Przedsiębiorca może prowadzić działalność samodzielnie i nadal świadczyć usługę należącą do kategorii objętej ustawą.
Jest to szczególnie istotne przy kategoriach, dla których wielkość przedsiębiorstwa nie jest podstawowym warunkiem uzyskania statusu.
Nie można więc przyjąć zasady:
„Nie mam pracowników → nie mam KSC”.
Czy wysokość obrotu JDG decyduje o KSC?
Również nie.
Obrót może mieć znaczenie przy ustalaniu wielkości przedsiębiorstwa, ale nie jest samodzielnym kryterium podlegania KSC.
Dla mikroprzedsiębiorstwa unijne przepisy przewidują mniej niż 10 pracowników oraz roczny obrót lub roczną sumę bilansową do 2 mln euro. Dla małego przedsiębiorstwa odpowiednie limity wynoszą mniej niż 50 pracowników oraz 10 mln euro obrotu lub sumy bilansowej, a dla średniego – mniej niż 250 pracowników oraz 50 mln euro obrotu lub 43 mln euro sumy bilansowej.
Ale nawet zakwalifikowanie JDG jako mikroprzedsiębiorstwa nie odpowiada jeszcze na pytanie, czy firma podlega KSC.
Najpierw trzeba ustalić kategorię działalności.
Czy JDG może być podmiotem kluczowym?
Tak.
Forma prawna nie wyklucza statusu podmiotu kluczowego.
KSC wprost przewiduje, że wśród podmiotów kluczowych mogą znajdować się osoby fizyczne.
Dotyczy to w szczególności sytuacji, w których dana osoba fizyczna prowadząca działalność gospodarczą wykonuje usługę należącą do kategorii, dla której KSC przewiduje status podmiotu kluczowego niezależnie od wielkości.
Przykładowo ustawa wymienia w tej grupie:
- dostawcę usług DNS,
- rejestr nazw domen najwyższego poziomu,
- podmiot świadczący usługi rejestracji nazw domen,
a także inne kategorie określone w art. 5 KSC.
Czy JDG może być podmiotem ważnym?
Tak.
KSC wprost wskazuje, że podmiotem ważnym może być:
osoba fizyczna, osoba prawna albo jednostka organizacyjna nieposiadająca osobowości prawnej
spełniająca określone kryteria.
W przypadku podmiotów z załącznika nr 1 jednym z warunków jest spełnienie kryteriów dla średniego przedsiębiorcy oraz brak statusu podmiotu kluczowego.
Dlatego jednoosobowa działalność gospodarcza może – zależnie od rodzaju prowadzonej działalności i jej skali – znaleźć się również w kategorii podmiotów ważnych.
JDG a podwykonawca firmy objętej KSC
Sama współpraca z podmiotem kluczowym nie powoduje automatycznie objęcia JDG KSC.
Przykładowo:
duża firma IT → jednoosobowy administrator IT
Jeżeli administrator wykonuje część prac dla dużego przedsiębiorstwa, nie oznacza to automatycznie, że sam staje się podmiotem kluczowym.
Należy oddzielić:
status własny JDG
od
wymagań bezpieczeństwa nakładanych przez klienta objętego KSC.
Podmiot objęty KSC może bowiem wymagać od swojego dostawcy lub podwykonawcy spełnienia określonych wymagań bezpieczeństwa związanych z łańcuchem dostaw.
Nie jest to jednak równoznaczne z automatycznym uzyskaniem przez podwykonawcę statusu podmiotu kluczowego.
Czy JDG może prowadzić działalność objętą KSC bez zmiany formy prawnej?
Tak.
Nie ma ogólnej zasady, że przedsiębiorca musi przekształcić JDG w spółkę, aby móc legalnie świadczyć usługę należącą do zakresu KSC.
Jeżeli przedsiębiorca spełnia przesłanki objęcia ustawą, obowiązki KSC dotyczą jego działalności niezależnie od tego, czy prowadzi ją jako:
- JDG,
- spółkę z o.o.,
- spółkę akcyjną,
- czy inną dopuszczalną formę organizacyjną.
Forma prawna nie jest więc sposobem na automatyczne wyłączenie KSC.
Jak sprawdzić, czy moja JDG podlega KSC?
Najlepiej przeprowadzić analizę w kilku krokach.
Krok 1. Określ faktyczne usługi
Nie tylko kody PKD, ale przede wszystkim rzeczywisty zakres usług.
Czy świadczysz:
- DNS?
- rejestrację domen?
- chmurę?
- hosting?
- usługi zarządzane?
- usługi cyberbezpieczeństwa?
- CDN?
- usługi centrum danych?
Krok 2. Sprawdź definicję ustawową
Nazwa usługi handlowej nie zawsze odpowiada nazwie kategorii użytej w KSC.
Krok 3. Ustal wielkość przedsiębiorstwa
Jeżeli dla danej kategorii ma ona znaczenie, sprawdź:
- liczbę personelu,
- obrót,
- sumę bilansową,
- ewentualne przedsiębiorstwa partnerskie i powiązane.
Krok 4. Sprawdź wyjątki
Niektóre kategorie są traktowane odmiennie.
Krok 5. Sprawdź miejsce prowadzenia działalności
KSC przewiduje również szczególne zasady dotyczące podmiotów świadczących określone usługi na terytorium Polski oraz głównego miejsca prowadzenia działalności.
Najczęstsze błędy przedsiębiorców prowadzących JDG
„Jestem JDG, więc KSC mnie nie dotyczy”
Nieprawda.
Forma prawna sama w sobie nie wyłącza KSC.
„Mam tylko jednego pracownika”
To również nie przesądza sprawy.
Jednoosobowa firma może wykonywać usługę należącą do kategorii objętej KSC.
„Mam obrót poniżej 2 mln euro”
Może to mieć znaczenie dla zakwalifikowania przedsiębiorstwa jako mikroprzedsiębiorstwa, ale nie jest automatycznym wyłączeniem z KSC.
„Nie mam spółki, więc nie mogę być podmiotem kluczowym”
Nieprawda.
KSC wprost uwzględnia osoby fizyczne wśród podmiotów, które mogą posiadać taki status.
„Pracuję tylko dla firmy objętej KSC, więc też podlegam”
Nie automatycznie.
Status podmiotu głównego nie przechodzi automatycznie na podwykonawcę.
Podsumowanie
Jednoosobowa działalność gospodarcza może podlegać KSC.
Nie decyduje o tym jednak sama forma prawna.
Najważniejsze pytania to:
- Jakie usługi świadczy JDG?
- Czy dana usługa znajduje się w zakresie KSC?
- Czy dla danej kategorii znaczenie ma wielkość przedsiębiorstwa?
- Czy JDG spełnia kryteria mikro-, małego lub średniego przedsiębiorstwa?
- Czy występują szczególne zasady dotyczące danej kategorii?
W przypadku niektórych usług nawet bardzo mała firma może znaleźć się w zakresie KSC, ponieważ ustawa przewiduje kategorie podmiotów kluczowych niezależnie od wielkości.
Z drugiej strony wiele jednoosobowych firm IT, które wykonują wyłącznie usługi niewymienione w KSC, nie będzie objętych ustawą tylko dlatego, że działają w branży informatycznej.
Najważniejsza zasada brzmi:
JDG nie jest ani automatycznie objęta KSC, ani automatycznie z niego wyłączona. Decyduje rodzaj prowadzonej działalności i zasady kwalifikacji właściwe dla danej kategorii podmiotu.
Najczęściej zadawane pytania
Tak. Forma prawna nie wyklucza statusu podmiotu kluczowego – KSC wprost dopuszcza osoby fizyczne. Dotyczy to zwłaszcza kategorii kluczowych niezależnie od wielkości, np. dostawcy usług DNS i podmiotu świadczącego usługi rejestracji nazw domen.
Nie zawsze. Zasada „mikroprzedsiębiorstwo = brak KSC” jest błędna. W części kategorii wielkość rzeczywiście ogranicza status, ale są kategorie, w których decyduje sam rodzaj usługi, a nie rozmiar firmy.
Tak. Brak pracowników nie oznacza wyłączenia z KSC – przedsiębiorca działający samodzielnie może świadczyć usługę należącą do kategorii objętej ustawą.
Stała administracja serwerami klientów może odpowiadać definicji dostawcy usług zarządzanych. Wtedy trzeba sprawdzić kryteria tej kategorii, w tym wielkość przedsiębiorstwa – mikrofirma nie jest automatycznie podmiotem kluczowym ani ważnym, ale też nie jest automatycznie poza KSC. Zobacz: Czy outsourcing IT podlega KSC?
Nie automatycznie. Status klienta nie przechodzi na podwykonawcę. Klient objęty KSC może jednak wymagać od dostawcy spełnienia określonych wymagań bezpieczeństwa związanych z łańcuchem dostaw.
Nie. Jeżeli przedsiębiorca spełnia przesłanki objęcia ustawą, obowiązki dotyczą jego działalności niezależnie od formy – JDG, spółki z o.o. czy spółki akcyjnej. Forma prawna nie jest sposobem na wyłączenie KSC.
Stan prawny: Artykuł oparto na obowiązującym tekście ustawy o krajowym systemie cyberbezpieczeństwa oraz aktualnych zasadach definiowania mikro-, małych i średnich przedsiębiorstw. W szczególności KSC wprost przewiduje możliwość kwalifikowania jako podmiotu kluczowego lub ważnego osoby fizycznej, a unijna definicja przedsiębiorstwa obejmuje osoby samozatrudnione.