Hosting nie jest jedną kategorią w KSC
Ustawa o KSC, która wdraża dyrektywę NIS2, nie posługuje się po prostu kategorią „firma hostingowa”.
Wśród podmiotów wskazanych w załączniku nr 1 znajdują się między innymi:
- dostawcy chmury obliczeniowej,
- dostawcy usług centrów przetwarzania danych,
- dostawcy sieci dostarczania treści,
- dostawcy usług DNS,
- podmioty świadczące usługę rejestracji nazw domen,
- dostawcy usług zarządzanych,
- dostawcy usług zarządzanych w zakresie cyberbezpieczeństwa.
Są to odrębne kategorie działalności, a zakwalifikowanie przedsiębiorcy zależy od charakteru rzeczywiście świadczonej usługi.
Dlatego samo określenie usługi jako „hosting” nie wystarcza do stwierdzenia, że firma podlega KSC.
Czy odsprzedaż hostingu oznacza podleganie KSC?
Nie można przyjąć zasady, że każdy reseller hostingu jest objęty KSC.
Przykładowo przedsiębiorca może kupować usługę serwerową od zewnętrznego operatora, a następnie tworzyć na niej konta hostingowe i sprzedawać je klientom.
W takim modelu należy sprawdzić przede wszystkim, jaką usługę świadczy reseller.
Samo kupienie infrastruktury od innego podmiotu i jej dalsza odsprzedaż nie przesądza jeszcze o tym, że reseller jest dostawcą chmury obliczeniowej albo dostawcą usług zarządzanych w rozumieniu KSC.
Znaczenie ma rodzaj świadczonej usługi
Ustawa definiuje między innymi dostawcę chmury obliczeniowej jako podmiot, który świadczy usługę umożliwiającą dostęp do skalowalnego i elastycznego zbioru zasobów obliczeniowych do wspólnego wykorzystywania przez wielu użytkowników.
Nie każdy hosting spełnia tę definicję.
Z kolei dostawca usług zarządzanych to podmiot świadczący usługi związane z instalacją, eksploatacją lub konserwacją produktów ICT, usług ICT, procesów ICT lub systemów informacyjnych poprzez wsparcie lub aktywną administrację wykonywaną u usługobiorcy, również zdalnie.
Oznacza to, że znaczenie ma nie tylko nazwa produktu w ofercie, ale przede wszystkim sposób jego świadczenia.
Przykład: reseller kupuje VPS i sprzedaje konta cPanel
Załóżmy, że przedsiębiorca:
- kupuje VPS lub serwer od zewnętrznego operatora,
- instaluje lub wykorzystuje na nim cPanel,
- tworzy konta hostingowe,
- sprzedaje te konta swoim klientom,
- pobiera od klientów opłaty za hosting.
W takim przypadku nie można automatycznie powiedzieć, że przedsiębiorca jest objęty KSC tylko dlatego, że sprzedaje hosting.
Trzeba ustalić, czy świadczona przez niego usługa odpowiada jednej z kategorii wskazanych w KSC, w szczególności czy jest to usługa chmurowa albo usługa zarządzana.
A co jeśli reseller administruje własnym VPS?
Samo administrowanie własną infrastrukturą, na której reseller świadczy usługi swoim klientom, nie oznacza automatycznie, że reseller staje się „dostawcą usług zarządzanych”.
Definicja dostawcy usług zarządzanych odnosi się do usług świadczonych u usługobiorcy, poprzez wsparcie lub aktywną administrację jego produktami, usługami, procesami ICT lub systemami informacyjnymi.
Dlatego należy odróżnić:
administrację własnym serwerem wykorzystywanym do świadczenia hostingu
od
świadczenia klientowi usługi polegającej na aktywnym zarządzaniu jego systemami lub infrastrukturą ICT.
To dwa różne modele działalności.
Czy wielkość firmy ma znaczenie?
Tak.
Jeżeli dana działalność rzeczywiście mieści się w kategorii podmiotu wskazanej w załączniku nr 1 KSC, to co do zasady znaczenie ma wielkość przedsiębiorstwa.
Art. 5 ust. 1 pkt 1 KSC wskazuje, że podmiotem kluczowym jest podmiot wskazany w załączniku nr 1, który przekracza kryteria średniego przedsiębiorstwa określone w art. 2 ust. 1 załącznika I do rozporządzenia 651/2014/UE.
Dlatego nie można sprowadzić przepisów do prostego stwierdzenia:
„Każda firma hostingowa podlega KSC”.
Najpierw trzeba ustalić kategorię działalności, a następnie zastosować odpowiednie kryteria wielkości przedsiębiorstwa.
Nie chodzi wyłącznie o obrót
W praktyce często mówi się o „obrocie firmy”, ale przepisy dotyczące wielkości przedsiębiorstwa nie opierają się wyłącznie na jednej wartości przychodu.
Kryteria przedsiębiorstwa wynikają z załącznika I do rozporządzenia 651/2014/UE i uwzględniają przede wszystkim liczbę pracowników oraz dane finansowe.
Przy ocenie wielkości przedsiębiorstwa znaczenie mogą mieć również przedsiębiorstwa partnerskie i powiązane.
Dlatego sama informacja:
„firma ma obrót poniżej X zł”
nie zawsze wystarcza do prawidłowej oceny statusu przedsiębiorstwa.
Mały reseller hostingu a KSC
Jeżeli przedsiębiorca prowadzi działalność odpowiadającą kategorii z załącznika nr 1, ale jest mikro- lub małym przedsiębiorcą, nie oznacza to automatycznie, że zostaje podmiotem kluczowym.
W przypadku podmiotów wskazanych w załączniku nr 1 podstawową zasadą jest bowiem próg związany z przekroczeniem kryteriów średniego przedsiębiorstwa.
Ustawa przewiduje jednak także szczególne przypadki, w których podmiot może zostać objęty KSC niezależnie od standardowego progu wielkości. Przykładowo dotyczy to dostawców usług DNS oraz kwalifikowanych dostawców usług zaufania.
Dlatego wielkość przedsiębiorstwa należy analizować razem z rodzajem świadczonej usługi oraz wyjątkami przewidzianymi w ustawie.
Hosting a chmura obliczeniowa
To jedno z ważniejszych rozróżnień.
Hosting może być usługą polegającą na udostępnianiu określonej przestrzeni lub zasobów serwera, natomiast definicja dostawcy chmury obliczeniowej w KSC odnosi się do dostępu do skalowalnego i elastycznego zbioru zasobów obliczeniowych przeznaczonych do wspólnego wykorzystywania przez wielu użytkowników.
Dlatego przy analizie konkretnej oferty warto odpowiedzieć na pytania:
- jakie zasoby otrzymuje klient?
- czy są one skalowalne?
- czy tworzą elastyczną pulę zasobów?
- czy zasoby są współdzielone przez wielu użytkowników?
- kto zapewnia infrastrukturę?
- kto zarządza infrastrukturą?
- jaki dokładnie produkt jest sprzedawany klientowi?
Dopiero na tej podstawie można ocenić, czy dana usługa może odpowiadać definicji chmury obliczeniowej.
A co z firmą, która tylko odsprzedaje usługę?
Model resellerski sam w sobie nie przesądza o wyłączeniu ani o objęciu KSC.
Możliwa jest sytuacja, w której przedsiębiorca kupuje usługę od dużego operatora i następnie odsprzedaje ją swoim klientom. W takim przypadku należy ustalić, czy reseller sam świadczy usługę należącą do kategorii objętej KSC, czy jedynie pośredniczy w sprzedaży produktu innego dostawcy.
Szczególne znaczenie ma więc rzeczywista konstrukcja usługi i relacja pomiędzy resellerem, dostawcą infrastruktury a klientem końcowym.
Przykład praktyczny
Firma A kupuje VPS od firmy B.
Firma A instaluje na VPS cPanel i tworzy 100 kont hostingowych. Następnie sprzedaje klientom konta WWW, pocztę i bazy danych.
W takim przypadku sama informacja, że firma A:
„sprzedaje hosting”
nie wystarcza do zakwalifikowania jej jako podmiotu objętego KSC.
Należy dodatkowo sprawdzić:
1. Charakter usługi
Czy usługa świadczona przez firmę A odpowiada definicji któregoś z podmiotów wskazanych w KSC?
2. Chmura
Czy oferowana usługa jest usługą zapewniającą dostęp do skalowalnego i elastycznego zbioru zasobów obliczeniowych do wspólnego wykorzystania?
3. Usługi zarządzane
Czy firma A świadczy klientom aktywną administrację ich systemami lub infrastrukturą ICT w sposób odpowiadający definicji dostawcy usług zarządzanych?
4. Wielkość przedsiębiorstwa
Jeżeli działalność mieści się w kategorii z załącznika nr 1, należy ustalić, czy przedsiębiorca spełnia odpowiednie kryteria wielkości.
5. Pozostałe usługi
Firma może podlegać KSC z innego tytułu, np. jeżeli świadczy również usługi DNS lub rejestracji domen.
Podsumowanie
Sama odsprzedaż hostingu nie oznacza automatycznie podlegania KSC.
W przypadku resellera należy przede wszystkim ustalić:
- jaki rodzaj usługi faktycznie świadczy,
- czy usługa odpowiada jednej z kategorii podmiotów wymienionych w KSC,
- czy jest to usługa chmurowa,
- czy firma świadczy usługi zarządzane,
- kto zapewnia i administruje infrastrukturą,
- jaka jest wielkość przedsiębiorstwa,
- czy występują przedsiębiorstwa partnerskie lub powiązane,
- oraz czy firma nie podlega KSC z innego tytułu.
Nie można więc przyjąć ani zasady „każdy reseller hostingu podlega KSC”, ani zasady „reseller hostingu nigdy nie podlega KSC”.Prawidłowa ocena zależy od konkretnego modelu świadczenia usługi oraz przepisów dotyczących danego rodzaju podmiotu.
Najczęściej zadawane pytania
Nie. Ustawa nie posługuje się kategorią „firma hostingowa”. Wymienia m.in. dostawców chmury obliczeniowej, usług centrów przetwarzania danych, CDN, DNS, usług rejestracji nazw domen i usług zarządzanych – kwalifikacja zależy od rzeczywiście świadczonej usługi.
Nie automatycznie. Trzeba ustalić, czy jego usługa odpowiada którejś z kategorii KSC – w szczególności czy jest usługą chmurową albo usługą zarządzaną – oraz jaka jest wielkość przedsiębiorstwa.
Nie. Administracja własnym serwerem, na którym świadczy się hosting, to co innego niż aktywne zarządzanie systemami lub infrastrukturą ICT klienta. To dwa różne modele działalności.
Dla kategorii z załącznika nr 1 podstawową zasadą jest próg przekroczenia kryteriów średniego przedsiębiorstwa, więc mikro- lub mała firma nie staje się automatycznie podmiotem kluczowym. Wyjątki dotyczą m.in. dostawców DNS i kwalifikowanych dostawców usług zaufania – zobacz DNS a KSC.
Hosting może polegać na udostępnieniu przestrzeni lub zasobów serwera, a chmura obliczeniowa w KSC to dostęp do skalowalnego i elastycznego zbioru zasobów obliczeniowych wspólnie wykorzystywanych przez wielu użytkowników. Liczy się konstrukcja oferty, nie nazwa.
Wtedy może podlegać KSC z innego tytułu – np. jeżeli świadczy usługi DNS lub rejestracji domen, które trzeba przeanalizować osobno. Jak zachować relację z klientami i przychody z domen, pokazujemy w poradniku KSC i NIS2 dla resellerów domen.
Stan prawny: Artykuł uwzględnia ustawę z dnia 5 lipca 2018 r. o krajowym systemie cyberbezpieczeństwa wraz z nowelizacją z dnia 23 stycznia 2026 r., wdrażającą dyrektywę NIS2. Nowelizacja została ogłoszona w Dz.U. z 2026 r. poz. 252.
Materiał ma charakter informacyjny i nie stanowi indywidualnej opinii prawnej. W przypadku wątpliwości dotyczących kwalifikacji konkretnego modelu usługowego konieczna jest analiza całej działalności przedsiębiorcy.