Usługi ICT w ustawie o KSC.
Dla firm IT progi są niższe niż w innych branżach. Kilka usług jest objętych bez względu na wielkość firmy, a dostawca usług bezpieczeństwa jest podmiotem kluczowym już jako mała firma. Większość dostawców cyfrowych stosuje też szczegółowe wymagania z rozporządzenia wykonawczego 2024/2690.
Usługa i wielkość
Kategoria według usługi i wielkości firmy.
Wielkość liczy się razem z przedsiębiorstwami powiązanymi i partnerskimi. Firma, która świadczy kilka usług z tabeli, przyjmuje wyższą kategorię (art. 5 ust. 4). Jak liczyć wielkość
| Usługa | Mikro | Mała | Średnia | Duża | Podstawa |
|---|---|---|---|---|---|
| Zarządzane usługi cyberbezpieczeństwa (MSSP) | poza | kluczowy | kluczowy | kluczowy | art. 5 ust. 1 pkt 3 |
| Usługi zarządzane, czyli outsourcing IT (MSP) | poza | poza | ważny | kluczowy | art. 5 ust. 1 pkt 1, ust. 2 pkt 1 |
| Chmura, centra danych, sieci CDN, punkty wymiany ruchu | poza | poza | ważny | kluczowy | art. 5 ust. 1 pkt 1, ust. 2 pkt 1 |
| DNS (poza głównymi serwerami nazw), rejestr TLD, rejestracja domen | kluczowy | kluczowy | kluczowy | kluczowy | art. 5 ust. 1 pkt 4 lit. a, i, j |
| Kwalifikowane usługi zaufania | kluczowy | kluczowy | kluczowy | kluczowy | art. 5 ust. 1 pkt 4 lit. b |
| Niekwalifikowane usługi zaufania | ważny | ważny | ważny | kluczowy | art. 5 ust. 2 pkt 3, ust. 1 pkt 1 |
| Publiczna sieć lub usługa łączności elektronicznej | ważny | ważny | kluczowy | kluczowy | art. 5 ust. 2 pkt 4, ust. 1 pkt 2 |
| Platformy handlowe, wyszukiwarki, serwisy społecznościowe | poza | poza | ważny | ważny | art. 5 ust. 2 pkt 2 |
Ostatni wiersz to załącznik nr 2, pozostałe to załącznik nr 1 albo przepisy szczególne z art. 5. Wynik „poza” oznacza, że firma nie jest objęta z tytułu tej usługi.
Dostawca usług bezpieczeństwa
Definicja obejmuje też testy, audyty i doradztwo.
świadczy usługi polegające na realizacji lub wsparciu dla realizacji działań związanych z zarządzaniem ryzykiem w cyberbezpieczeństwie, w tym obsługę incydentów, testów bezpieczeństwa, audytów systemów informacyjnych, doradztwo
art. 2 pkt 4j ustawy o KSC, dostawca usług zarządzanych w zakresie cyberbezpieczeństwa
Poza SOC i monitoringiem definicja obejmuje firmy, które robią testy bezpieczeństwa, audyty systemów informacyjnych albo doradzają w zarządzaniu ryzykiem. Mała firma z takim profilem jest więc podmiotem kluczowym: ma obowiązkowy audyt co 3 lata (art. 15 ust. 1) i ryzyko kary do 10 mln € albo 2% przychodu (art. 73). Mikroprzedsiębiorca nie jest objęty z tego tytułu.
Podmiot kluczowy, który świadczy obsługę incydentów, publikuje na swojej stronie internetowej zakres działania, oferowane usługi, politykę obsługi incydentów i dane kontaktowe, w tym informacje o kluczach publicznych do szyfrowanej komunikacji (art. 8g).
Usługi zarządzane bez dopisku „w zakresie cyberbezpieczeństwa” to instalacja, eksploatacja lub konserwacja produktów, usług i systemów ICT przez wsparcie lub aktywną administrację, na miejscu albo zdalnie (art. 2 pkt 4i). To typowy outsourcing IT i tu obowiązują zwykłe progi, od średniej firmy.
Wymagania szczegółowe
Środki z rozporządzenia wykonawczego 2024/2690.
- Wymagania w rejestrze Red Relic
- 49osobnych wymagań z rozporządzenia 2024/2690, obszar CYF
Dostawcy usług DNS, rejestry TLD, dostawcy chmury, centrów danych, sieci CDN, usług zarządzanych i zarządzanych usług bezpieczeństwa, platform handlowych, wyszukiwarek i serwisów społecznościowych stosują w ramach SZBI środki z rozporządzenia wykonawczego Komisji (UE) 2024/2690 (art. 8b ust. 1).
Rozporządzenie opisuje środki dokładniej niż ustawa, na przykład prowadzenie rejestru dostawców albo zasady dla kont uprzywilejowanych. Określa też, kiedy incydent u takiego dostawcy uznaje się za poważny.
Te rodzaje dostawców, a także rejestratorzy domen, podlegają polskiej ustawie, jeśli Polska jest głównym miejscem prowadzenia ich działalności (art. 5a ust. 3). Przedsiębiorca komunikacji elektronicznej podlega jej, jeśli świadczy usługi w Polsce (art. 5a ust. 2).
Nadzór i terminy
Kto nadzoruje i do kiedy.
| Organ właściwy | Minister właściwy do spraw informatyzacji. Dla komunikacji elektronicznej Prezes Urzędu Komunikacji Elektronicznej. | art. 41 pkt 8, 8a, 9b i 9j |
|---|---|---|
| Wpis do wykazu | Wniosek w ciągu 6 miesięcy od spełnienia przesłanek. Dla firm objętych od 3.04.2026 termin minął 3.10.2026. | art. 7c ust. 1 |
| SZBI i środki | Wdrożone do 3.04.2027, u dostawców z art. 8b ust. 1 z uwzględnieniem rozporządzenia 2024/2690. | art. 33 ust. 1 ustawy zmieniającej |
| Incydent poważny | Wczesne ostrzeżenie w 24 h, zgłoszenie w 72 h, sprawozdanie końcowe miesiąc od zgłoszenia. Dostawca usług zaufania zgłasza incydent w 24 h. | art. 11 ust. 1 pkt 4, 4a i 4c, art. 11 ust. 1a |
| Audyt | Tylko podmiot kluczowy: co najmniej raz na 3 lata, pierwszy do 3.04.2028. | art. 15 ust. 1 |
Podmiot kluczowy lub ważny realizuje zadania z art. 8–13 przez własny zespół albo na podstawie umowy z dostawcą usług zarządzanych w zakresie cyberbezpieczeństwa (art. 14). Firmy z tej branży są więc jednocześnie objęte ustawą i obsługują jej obowiązki u klientów.
Sprawdź swoją firmę.
Skan zakresu pyta o sektor, usługi szczególne i wielkość, w tym o mikro i małą firmę osobno. Wynik dostajesz od razu, a odpowiedzi zostają w przeglądarce.