Do 3 października 2026 r. firmy objęte ustawą o krajowym systemie cyberbezpieczeństwa muszą wpisać się do wykazu podmiotów ważnych lub kluczowych. Jak wskazują prawnicy, obowiązek ten dotyczy większej liczby przedsiębiorców, niż początkowo zakładano. Zaskoczone mogą być m.in. hurtownie spożywcze, dostawcy oprogramowania w modelu SaaS, a nawet niektóre firmy budowlane. O konieczności wpisu może bowiem przesądzić nawet niewielki wycinek prowadzonej działalności – pisze Prawo.pl.
Prawo.pl informuje, że według pojawiających się informacji, w wykazie znajduje się już ponad 80 tys. podmiotów, z czego ponad połowa to podmioty publiczne. Pokazuje to, że skala nowych regulacji jest znacznie większa, niż pierwotnie zakładano.
Radca prawny Aleksander Elmerych, senior associate w kancelarii Traple Konarski Podrecki i Wspólnicy, cytowany przez Prawo.pl, zaznacza, że część firm popełnia błąd, oceniając swoje ewentualne obowiązki wyłącznie pod kątem swojej głównej działalności.
– Przy samoidentyfikacji nie wystarczy sprawdzić głównego kodu PKD – trzeba przeanalizować rzeczywisty zakres całej działalności organizacji, w tym działalność poboczną i usługi wewnątrzgrupowe, bo właśnie tam często kryje się „haczyk" – wyjaśnia mecenas Elmerych.
Serwis uczula, że w internecie jest wiele narzędzi ułatwiających samoidentyfikację, oferowanych zarówno przez prywatne firmy i kancelarie, jak i rządowy portal biznes.gov.pl. Często ich rola będzie jednak pomocnicza, bo sytuacja danego podmiotu wymaga indywidualnej analizy. Ustawa o KSC nie jest zero-jedynkowa. Zawiera co prawda załączniki określające sektory ważne i kluczowe, jednak są one opisane szeroko. Od generalnej zasady, że wpisowi podlegają tylko przedsiębiorstwa średnie i duże, są zaś wyjątki, które sprawiają, że obowiązek może objąć również mniejsze firmy.
Więcej w: Ustawa o KSC – został niecały miesiąc, firmy mogą się zdziwić
