Jak sprawdzić, czy Twoja firma podlega KSC – 5 kroków
- Sprawdź rodzaj działalności
Czy świadczysz usługę wskazaną w załączniku nr 1 albo nr 2 do ustawy lub w art. 5 KSC?
- Sprawdź definicję konkretnego podmiotu
Np. dostawca DNS, podmiot świadczący usługi rejestracji nazw domen, dostawca chmury, CDN, usług zarządzanych, centrum przetwarzania danych.
- Sprawdź, czy wielkość firmy ma znaczenie
Nie dla wszystkich kategorii – część jest kluczowa niezależnie od wielkości.
- Jeżeli ma – ustal wielkość przedsiębiorstwa
Zatrudnienie, obrót, suma bilansowa oraz przedsiębiorstwa partnerskie i powiązane.
- Sprawdź przepisy szczególne
Wyjątki i możliwość indywidualnego uznania podmiotu za kluczowy albo ważny (art. 7l KSC).
Szerzej o kolejności analizy: Czy obrót decyduje o podleganiu KSC?
Rodzaj działalności a KSC – tabela
| Działalność | Czy liczy się wielkość firmy? | Poradnik |
|---|---|---|
| Rejestracja nazw domen (także odsprzedaż) | Nie – podmiot kluczowy niezależnie od wielkości | Resellerzy domen |
| Publicznie dostępna usługa DNS | Nie – podmiot kluczowy niezależnie od wielkości | DNS a KSC |
| Kwalifikowany dostawca usług zaufania | Nie – podmiot kluczowy niezależnie od wielkości | SSL a KSC |
| Usługi zarządzane w zakresie cyberbezpieczeństwa (SOC, MDR, incydenty, testy, audyty) | Tak – kluczowy już od kryteriów małego przedsiębiorcy | Outsourcing IT |
| Usługi zarządzane (stała administracja systemami klienta) | Tak – średni: ważny, powyżej średniego: kluczowy | Outsourcing IT |
| Chmura obliczeniowa (w tym VPS/IaaS w modelu chmurowym) | Tak | VPS a KSC |
| Sieć dostarczania treści (CDN) | Tak | CDN a KSC |
| Hosting i reselling hostingu | Brak osobnej kategorii – decyduje charakter usługi | Reseller hostingu |
| Backup, Backup-as-a-Service | Brak osobnej kategorii – decyduje charakter usługi | Backup a KSC |
| Tworzenie stron WWW | Brak osobnej kategorii | Strony WWW |
| Odsprzedaż standardowych certyfikatów SSL | Sama odsprzedaż nie oznacza KSC | SSL a KSC |
„Tak” oznacza, że dla kategorii z załącznika nr 1 co do zasady podmiot przekraczający kryteria średniego przedsiębiorstwa jest kluczowy, a średnie przedsiębiorstwo – ważne.
Wielkość przedsiębiorstwa – progi MŚP
| Kategoria | Pracownicy | Roczny obrót lub suma bilansowa |
|---|---|---|
| Mikroprzedsiębiorstwo | mniej niż 10 | do 2 mln euro |
| Małe przedsiębiorstwo | mniej niż 50 | do 10 mln euro |
| Średnie przedsiębiorstwo | mniej niż 250 | obrót do 50 mln euro lub bilans do 43 mln euro |
Progi pochodzą z unijnej definicji MŚP i trzeba je stosować łącznie – z uwzględnieniem personelu, a nie tylko umów o pracę, oraz przedsiębiorstw partnerskich i powiązanych. Szczegóły: liczba pracowników a KSC, obrót a KSC, JDG a KSC.
Termin: wpis do Wykazu KSC do 3 października 2026 r.
Podmioty prywatne, które spełniały kryteria ustawy w dniu wejścia w życie nowelizacji, mają czas na złożenie wniosku o wpis do Wykazu podmiotów kluczowych i ważnych do 3 października 2026 r. Kto musi to zrobić i jak: Wpis do Wykazu KSC – poradnik.
Masz domeny swoich klientów?
Najwięcej zmienia się dla firm, które sprzedają i fakturują domeny klientom – podmiot świadczący usługi rejestracji nazw domen jest podmiotem kluczowym niezależnie od wielkości. Program Partnerski RejestracjaDomen.pl pozwala zachować klientów i przychody z odnowień, przenosząc obsługę techniczną, administracyjną i obowiązki KSC/NIS2 do operatora programu. Zgodnie z FAQ programu: jeżeli Partner nie wystawia klientom faktur związanych z domenami i utrzymaniem DNS, przepisy KSC go nie dotyczą.
Zobacz: KSC i NIS2 dla resellerów domen oraz wynagrodzenie Partnera.
Wszystkie poradniki o KSC
Wpis do Wykazu KSC – kto musi złożyć wniosek do 3 października 2026?
Terminy, tryby wpisu, dane do wniosku i aplikacja wykaz-ksc.gov.pl.
KSC i NIS2 dla resellerów domen
Co zmienia nowelizacja dla firm sprzedających domeny klientom.
KSC i NIS2 a domeny klientów
Jak zachować przychody z odnowień domen przy nowych wymaganiach.
DNS a KSC
Kiedy dostawca DNS jest podmiotem kluczowym – niezależnie od wielkości.
Czy reseller hostingu podlega KSC?
Hosting nie jest osobną kategorią – liczy się charakter usługi.
Czy VPS podlega KSC?
VPS, IaaS, chmura, managed i unmanaged – czym się różnią.
Czy CDN podlega KSC?
Dostawca CDN a użytkownik CDN i znaczenie wielkości firmy.
Czy usługi backupu podlegają KSC?
Backup jako usługa chmurowa albo zarządzana.
Czy odsprzedaż certyfikatów SSL podlega KSC?
Reseller SSL a kwalifikowany dostawca usług zaufania.
Czy tworzenie stron WWW podlega KSC?
Agencje, freelancerzy i opieka nad WordPressem.
Czy outsourcing IT podlega KSC?
Kiedy administracja IT to usługa zarządzana.
Czy podwykonawca usług IT podlega KSC?
Status klienta nie przechodzi na podwykonawcę.
Czy jednoosobowa działalność może podlegać KSC?
Forma prawna nie wyłącza z ustawy.
Czy liczba pracowników decyduje o KSC?
Progi MŚP, personel, B2B i grupy kapitałowe.
Czy obrót decyduje o podleganiu KSC?
Najpierw usługa, potem wielkość firmy.
Audyt KSC i NIS2 u resellera domen
Kiedy audyt, co obejmuje i jak się przygotować.
Jak ograniczyć koszty KSC i NIS2
Obsługa domen klientów bez budowania własnego zaplecza.
Najczęściej zadawane pytania
Podmioty kluczowe i ważne z sektorów wskazanych w ustawie – m.in. z infrastruktury cyfrowej: dostawcy DNS, podmioty świadczące usługi rejestracji nazw domen, dostawcy chmury, CDN, centrów przetwarzania danych i usług zarządzanych. O statusie decyduje rodzaj usługi, a w wielu kategoriach także wielkość przedsiębiorstwa.
Nowelizacja z 23 stycznia 2026 r., wdrażająca dyrektywę NIS2, obowiązuje od 3 kwietnia 2026 r.
Między innymi usługi DNS spełniające ustawową definicję, usługi rejestracji nazw domen (także odsprzedaż), rejestr nazw domen najwyższego poziomu oraz kwalifikowane usługi zaufania.
Nie. Ustawa nie ma kategorii „firma hostingowa” ani „dostawca backupu”. Liczy się, czy usługa odpowiada definicji np. usługi chmurowej albo usługi zarządzanej – i wtedy także wielkość przedsiębiorstwa.
Program nie jest automatycznym zwolnieniem z przepisów. Operator programu przejmuje obsługę techniczną i administracyjną domen klientów Partnera oraz odpowiada za obowiązki KSC i NIS2 – jeżeli Partner nie wystawia klientom faktur za domeny i utrzymanie DNS, przepisy KSC go w tym zakresie nie dotyczą. Pozostałe usługi Partner ocenia samodzielnie.
Stan prawny: ustawa o krajowym systemie cyberbezpieczeństwa po nowelizacji z 23 stycznia 2026 r. (Dz.U. z 2026 r. poz. 252), obowiązującej od 3 kwietnia 2026 r., oraz unijna definicja MŚP – stan na 24 września 2026 r. Przewodnik streszcza nasze poradniki; szczegóły i zastrzeżenia znajdziesz w każdym z nich.
Materiał ma charakter informacyjny i nie stanowi indywidualnej opinii prawnej.