NIS2: kogo dotyczy

Czy Twoja firma lub instytucja jest podmiotem kluczowym, ważnym, czy jest poza zakresem ustawy o krajowym systemie cyberbezpieczeństwa. Według art. 5 ustawy po nowelizacji, stan na 30 października 2026.

W skrócie:

Decydują dwie rzeczy: czy działalność jest w załączniku nr 1 albo nr 2 do ustawy i jak duży jest podmiot.
Duże firmy z załącznika nr 1 to podmioty kluczowe, średnie podmioty ważne. W załączniku nr 2 średnie i duże są podmiotami ważnymi.
Mikro i małe firmy zwykle są poza zakresem. Wyjątki to m.in. usługi DNS, rejestracja domen, usługi zaufania, komunikacja elektroniczna i dostawcy usług zarządzanych w zakresie cyberbezpieczeństwa.
Nikt nie przyśle firmie decyzji: podmiot sam ocenia, czy spełnia przesłanki, i sam składa wniosek o wpis do wykazu.

Szybkie sprawdzenie

Działalność albo sektor Liczba pracowników (w przeliczeniu na etaty) Roczny obrót (mln euro) Roczna suma bilansowa (mln euro) Podmiot krytyczny (w rozumieniu dyrektywy (UE) 2022/2557) Należy do grupy kapitałowej

WynikWybierz działalność i wpisz dane

Progi z art. 2 załącznika I do rozporządzenia 651/2014, do którego odsyła art. 5 ustawy. Sprawdzenie nie uwzględnia podmiotów zidentyfikowanych decyzją organu (art. 7l), państwowych osób prawnych (art. 7m), energetyki jądrowej ani podmiotów leczniczych niebędących przedsiębiorcami. Nie zapisujemy wpisanych danych.

Sektory i wielkość

Grupa	Sektory	Duże	Średnie	Małe i mikro
Załącznik nr 1	energia, transport, bankowość i infrastruktura rynków finansowych, ochrona zdrowia, woda pitna, ścieki, infrastruktura cyfrowa, zarządzanie usługami ICT, przestrzeń kosmiczna, podmioty publiczne	kluczowy	ważny	poza zakresem*
Załącznik nr 2	usługi pocztowe, inwestycje energetyki jądrowej, odpady, chemikalia, żywność, produkcja, dostawcy usług cyfrowych, badania naukowe, podmioty publiczne	ważny	ważny	poza zakresem*
Usługi DNS, rejestr TLD, rejestracja domen, kwalifikowane usługi zaufania	infrastruktura cyfrowa	kluczowy	kluczowy	kluczowy
Komunikacja elektroniczna	infrastruktura cyfrowa	kluczowy	kluczowy	ważny
Niekwalifikowane usługi zaufania	infrastruktura cyfrowa	kluczowy	ważny	ważny
Usługi zarządzane w zakresie cyberbezpieczeństwa	zarządzanie usługami ICT	kluczowy	kluczowy	kluczowy (małe), poza zakresem* (mikro)

* chyba że organ zidentyfikuje podmiot decyzją (art. 7l) albo podmiot jest podmiotem krytycznym. Tabela według art. 5 ust. 1 i 2 ustawy o KSC. Duże niekwalifikowane usługi zaufania nie są wymienione wprost: ustawa wymienia jako ważne mikro, małe i średnie, a duże wynikają z załącznika nr 1 (przedsiębiorca większy niż średni).

Progi wielkości

Wielkość	Pracownicy	Obrót roczny	albo suma bilansowa
Mikro	poniżej 10	do 2 mln euro	do 2 mln euro
Małe	poniżej 50	do 10 mln euro	do 10 mln euro
Średnie	poniżej 250	do 50 mln euro	do 43 mln euro
Duże	250 i więcej	ponad 50 mln euro	i ponad 43 mln euro

Liczba pracowników to warunek konieczny. Z kwot finansowych wystarczy, że jedna mieści się w limicie: firma z 200 pracownikami, obrotem 70 mln euro i sumą bilansową 30 mln euro jest średnia. Ustawa nie stosuje przepisu, według którego firma kontrolowana przez podmiot publiczny nie może być MŚP (art. 5 ust. 3).

Szczególne przypadki

Podmiot spełnia oba warunki: jeśli jest jednocześnie kluczowy i ważny, jest kluczowy (art. 5 ust. 4).
Grupa kapitałowa: firma, która przekracza próg tylko dzięki spółkom powiązanym, nie jest objęta, jeśli jej system informacyjny jest od nich niezależny albo nie świadczy z nimi usług wspólnie (art. 5 ust. 6 i 7).
Szpitale publiczne: podmiot leczniczy, który nie jest przedsiębiorcą, jest ważny przy 50-249 pracownikach i kluczowy od 250 (art. 5 ust. 8).
Samorząd: urząd gminy jest w załączniku nr 1, jeśli 1 stycznia zatrudnia co najmniej 50 osób w przeliczeniu na etaty. Samorządowe jednostki i zakłady budżetowe, instytucje kultury i spółki komunalne są podmiotami ważnymi, jeśli realizują zadanie publiczne z wykorzystaniem systemów informacyjnych.
Identyfikacja: organ właściwy może uznać za kluczowy albo ważny podmiot, który nie spełnia kryteriów wielkości, np. gdy jako jedyny świadczy usługę o kluczowym znaczeniu albo jej zakłócenie poważnie zagrozi bezpieczeństwu państwa (art. 7l).

Co dalej

Jeśli wynik to podmiot kluczowy albo ważny: wniosek o wpis do wykazu KSC, system zarządzania bezpieczeństwem informacji i zgłaszanie incydentów. Firmy poza zakresem ustawy mogą odczuć NIS2 pośrednio: objęci przepisami klienci muszą dbać o bezpieczeństwo łańcucha dostaw i mogą wymagać zabezpieczeń w umowach.

Najczęstsze pytania

Kogo dotyczy NIS2 w Polsce?

Średnich i dużych firm oraz instytucji z sektorów wymienionych w załącznikach nr 1 i 2 do ustawy o krajowym systemie cyberbezpieczeństwa, a niezależnie od wielkości m.in. dostawców usług DNS, rejestrów domen TLD, firm rejestrujących domeny, kwalifikowanych dostawców usług zaufania, podmiotów krytycznych i części podmiotów publicznych.

Czym różni się podmiot kluczowy od ważnego?

Oba rodzaje podmiotów mają te same podstawowe obowiązki: system zarządzania bezpieczeństwem informacji, zgłaszanie incydentów i wpis do wykazu. Podmiot kluczowy ma dodatkowo obowiązek audytu co najmniej raz na 3 lata i grożą mu wyższe kary (do 10 mln euro albo 2 % przychodów, dla podmiotu ważnego do 7 mln euro albo 1,4 %).

Co to jest średnie przedsiębiorstwo według NIS2?

Ustawa odsyła do rozporządzenia Komisji (UE) nr 651/2014. Średnie przedsiębiorstwo zatrudnia mniej niż 250 osób i ma obrót do 50 mln euro albo sumę bilansową do 43 mln euro. Małe zatrudnia mniej niż 50 osób i ma obrót albo sumę bilansową do 10 mln euro, mikro mniej niż 10 osób i do 2 mln euro. Wielkość ocenia się według stanu na dzień sporządzenia sprawozdania finansowego (art. 5 ust. 5).

Czy firma z grupy kapitałowej liczy dane całej grupy?

Co do zasady tak, bo rozporządzenie 651/2014 każe dodawać dane przedsiębiorstw powiązanych i partnerskich. Ustawa przewiduje jednak wyjątek: jeśli firma przekracza próg tylko dzięki grupie, a jej system informacyjny jest niezależny od systemów spółek z grupy albo nie świadczy z nimi usług wspólnie, nie jest podmiotem kluczowym ani ważnym z tego powodu (art. 5 ust. 6 i 7).

Czy mała firma hostingowa podlega NIS2?

Zależy od usługi. Dostawca usług DNS i firma rejestrująca domeny są podmiotami kluczowymi niezależnie od wielkości. Dostawcy usług chmurowych, centrów danych i sieci CDN są w załączniku nr 1, więc obejmuje ich ustawa dopiero od średniej wielkości. Dostawca usług zarządzanych w zakresie cyberbezpieczeństwa jest podmiotem kluczowym już jako mały przedsiębiorca.

Źródła: art. 5 i załączniki nr 1 i 2 ustawy o krajowym systemie cyberbezpieczeństwa w brzmieniu Dz.U. 2026 poz. 252; rozporządzenie Komisji (UE) nr 651/2014, załącznik I.

To nie jest porada prawna. Streszczamy przepisy własnymi słowami; wiążący jest tekst ustawy w Dzienniku Ustaw.