Podmiot kluczowy tylko przez grupę? Wyłączenie z art. 5 ust. 6 i 7 KSC

Kogo dotyczy problem?

Wielkość przedsiębiorstwa ustala się według załącznika I do rozporządzenia Komisji (UE) nr 651/2014, co do zasady z doliczeniem danych przedsiębiorstw partnerskich i powiązanych. Spółka zatrudniająca 30 osób, ale należąca do dużej grupy, formalnie staje się dużym przedsiębiorstwem. Jeśli działa w sektorze z załącznika nr 1 do ustawy, po doliczeniu danych grupy wychodzi jej status podmiotu kluczowego, z cyklicznym audytem i nadzorem jak dla dużego operatora.

Najczęściej dotyczy to spółek zależnych grup, także zagranicznych, oraz placówek działających w sieciach, na przykład przychodni, laboratoriów czy firm logistycznych.

Co dokładnie mówi przepis?

Art. 5 ust. 6 ustawy stanowi, że podmiot, który spełnia przesłanki uznania za podmiot kluczowy wyłącznie z powodu przekroczenia progów średniego przedsiębiorcy po doliczeniu danych przedsiębiorstw partnerskich lub powiązanych, nie jest podmiotem kluczowym, jeżeli jego system informacyjny jest niezależny od systemów tych przedsiębiorstw lub nie świadczy usług wspólnie z nimi. Art. 5 ust. 7 stosuje tę samą regułę do podmiotów ważnych.

W praktyce daje to dwa scenariusze:

1. Spółka sama w sobie średnia, a duża tylko przez grupę: przestaje być podmiotem kluczowym, ale zostaje podmiotem ważnym, bo przesłanki dla podmiotu ważnego spełnia samodzielnie.
2. Spółka sama w sobie mała lub mikro: przy spełnieniu warunku nie jest ani podmiotem kluczowym, ani ważnym.

Wyłączenie dotyczy wyłącznie kryterium wielkości. Nie obejmuje podmiotów objętych ustawą niezależnie od wielkości, na przykład dostawców usług DNS. Organ właściwy może też uznać podmiot za kluczowy lub ważny w drodze decyzji.

Kiedy system informacyjny nie jest niezależny?

Ustawa nie podaje listy. Niezależność podważają zwykle:

1. wspólny katalog użytkowników i domena, na przykład jeden tenant Microsoft 365 dla całej grupy,
2. wspólna poczta, VPN albo sieć WAN grupy,
3. wspólny ERP, system dziedzinowy lub CRM używany przy świadczeniu usługi,
4. dział IT lub SOC grupy z uprawnieniami administracyjnymi w Twoich systemach.

Wspólne świadczenie usług to sytuacja, w której spółka z grupy realizuje część procesu wobec Twojego klienta lub pacjenta.

Przepis łączy oba warunki spójnikiem „lub”, więc formalnie wystarczy jeden. Część komentatorów czyta go jednak ostrzej, a Ministerstwo Cyfryzacji w Q&A omawia oba elementy razem. Dlatego dokumentuj oba.

Co zrobić, jeśli S46 pokazuje zbyt wysoki status?

1. Policz wielkość dwa razy: z danymi grupy i bez nich, według ostatniego zamkniętego roku obrotowego.
2. Przeanalizuj niezależność systemów i wspólne świadczenie usług. Sporządź listę systemów używanych przy usłudze, ich właścicieli i osób z dostępem administracyjnym.
3. Spisz wnioski w notatce zatwierdzonej przez kierownika podmiotu. Status wynika z ustawy, a nie z wpisu, więc ta notatka będzie Twoim dowodem przy kontroli.
4. Zwróć się do organu właściwego do spraw cyberbezpieczeństwa dla Twojego sektora z wnioskiem o zmianę wpisu i analizą w załączniku.
5. Pilnuj zmian. Zmiany danych objętych wpisem zgłasza się w ciągu 14 dni, a migracja do wspólnych systemów grupy może odebrać wyłączenie.

Czy to sposób na uniknięcie obowiązków?

Nie. Wyłączenie działa tylko wtedy, gdy niezależność jest faktyczna i udokumentowana. Jeśli organ ustali, że systemy są w praktyce wspólne, może wpisać podmiot do wykazu z urzędu, a od 3 kwietnia 2028 grożą kary pieniężne. Spółka, która zostaje podmiotem ważnym, nadal wdraża obowiązki ustawowe, tylko bez cyklicznego audytu.

Źródła

• Ustawa z dnia 5 lipca 2018 r. o krajowym systemie cyberbezpieczeństwa, art. 5 ust. 6 i 7 (ISAP)
• Rozporządzenie Komisji (UE) nr 651/2014, załącznik I
• Ministerstwo Cyfryzacji, Q&A „Nowelizacja KSC”, aktualizacja z czerwca 2026, pyt. 1.6

Powiązane artykuły

• Incydent poważny w KSC: jak go rozpoznać, zanim wejdą nowe progi
• Audyt KSC: kto może go przeprowadzić i jak wybrać audytora