Problem · NIS2

Jak sprawdzić, czy firma jest podmiotem ważnym albo kluczowym?

Podział na podmioty kluczowe i ważne decyduje o zakresie nadzoru - podmioty kluczowe są kontrolowane z urzędu, ważne dopiero po zgłoszeniu nieprawidłowości.

Kwalifikacja zależy od kombinacji sektora działalności oraz wielkości podmiotu, mierzonej liczbą pracowników i rocznym obrotem lub sumą bilansową. Te same sektory (np. energetyka) mogą obejmować zarówno podmioty kluczowe, jak i ważne - decyduje wielkość organizacji.

W praktyce oznacza to, że duże przedsiębiorstwo energetyczne (250+ pracowników lub ponad 50 mln euro obrotu) będzie zwykle podmiotem kluczowym, a średniej wielkości firma z tego samego sektora (50-249 pracowników) - podmiotem ważnym. Organ właściwy dla danego sektora nadzoruje podmioty kluczowe proaktywnie (audyty, kontrole z urzędu), a podmioty ważne - reaktywnie, czyli po powzięciu informacji o możliwym naruszeniu obowiązków.

Część podmiotów jest kluczowa niezależnie od wielkości - dotyczy to np. dostawców infrastruktury krytycznej czy kwalifikowanych usług zaufania. W pozostałych przypadkach klasyfikację ustala się indywidualnie na podstawie danych finansowych i kadrowych.

Po ustaleniu statusu podmiot ma obowiązek samodzielnie zarejestrować się w wykazie podmiotów kluczowych i ważnych prowadzonym przez właściwy organ, w terminie określonym w ustawie od dnia rozpoczęcia spełniania kryteriów - to odrębny obowiązek formalny, niezależny od wdrożenia wymaganych zabezpieczeń.

Podstawa prawna

ustawa o krajowym systemie cyberbezpieczeństwa - przepisy dotyczące podmiotów kluczowych i ważnych oraz rejestru tych podmiotów