Wykaz KSC – czy firma musi się zarejestrować?

Spółka zatrudniająca 40 osób może podlegać obowiązkom KSC, a znacznie większa firma działająca w innej branży – niekoniecznie. Dlatego pytanie „wykaz KSC – jak sprawdzić, czy firma musi się zarejestrować?” nie powinno zaczynać się od liczby pracowników ani od samego kodu PKD. Kluczowe są rzeczywiste usługi organizacji, jej rola w łańcuchu dostaw oraz wpływ ewentualnego incydentu na klientów, gospodarkę lub usługi publiczne.

Dla zarządu i osób odpowiedzialnych za IT jest to kwestia szersza niż formalna rejestracja. Prawidłowa ocena pomaga określić, czy firma powinna przygotować proces zarządzania ryzykiem, obsługę incydentów i nadzór nad bezpieczeństwem systemów. Błędne założenie, że „nas to nie dotyczy”, może opóźnić potrzebne działania organizacyjne i techniczne.

Czym jest wykaz KSC?

W kontekście krajowego systemu cyberbezpieczeństwa wykaz służy identyfikacji podmiotów objętych określonymi obowiązkami. W praktyce mówi się o podmiotach kluczowych i ważnych, których działalność ma istotne znaczenie dla funkcjonowania gospodarki, społeczeństwa lub łańcuchów dostaw.

Nie należy traktować wykazu jako zwykłej listy firm z wybranych sektorów. Sam fakt działania w branży wskazanej w przepisach jest bardzo istotny, ale ocena zwykle wymaga zestawienia kilku elementów: rodzaju świadczonej usługi, skali organizacji, statusu przedsiębiorstwa oraz ewentualnych wyjątków. Szczegóły zależą od aktualnego brzmienia przepisów i procedury właściwej dla danego sektora.

Rejestracja nie jest też równoznaczna z automatycznym bezpieczeństwem. Jest elementem ładu organizacyjnego. Równolegle firma musi wiedzieć, jakie systemy wykorzystuje, kto ma do nich dostęp, jak wykrywa podejrzane zdarzenia i kto podejmie decyzje podczas incydentu.

Wykaz KSC – jak sprawdzić obowiązek rejestracji?

Najbezpieczniejsze podejście polega na udokumentowanej analizie, a nie na szybkim wyszukaniu nazwy branży w internecie. Warto zacząć od uporządkowania podstawowych informacji o działalności firmy.

1. Ustal, jakie usługi firma świadczy faktycznie

Opis w KRS, umowa z klientem i praktyka operacyjna nie zawsze są identyczne. Firma logistyczna może na przykład prowadzić systemy wspierające transport, magazynowanie lub wymianę danych z partnerami. Producent może zarządzać środowiskiem automatyki przemysłowej, a biuro usługowe – przetwarzać dane lub świadczyć usługi cyfrowe dla wielu klientów.

Trzeba odpowiedzieć na proste pytanie: co przestanie działać u klientów lub partnerów, jeśli firma straci dostęp do systemów na 24 godziny? Jeżeli skutki wykraczają poza pojedyncze stanowiska pracy, analiza powinna być szczególnie dokładna.

2. Przypisz działalność do właściwego sektora lub podsektora

Przepisy dotyczące KSC obejmują wskazane sektory i rodzaje działalności. W zależności od stanu prawnego mogą dotyczyć między innymi obszarów energii, transportu, zdrowia, infrastruktury cyfrowej, gospodarki wodnej, usług cyfrowych, produkcji określonych wyrobów czy zarządzania odpadami.

Nie warto opierać się wyłącznie na ogólnej nazwie sektora. Przykładowo firma świadcząca usługi dla branży transportowej nie zawsze sama będzie kwalifikowana tak samo jak operator realizujący konkretną usługę transportową. Znaczenie ma pozycja przedsiębiorstwa, charakter usługi i zakres odpowiedzialności.

3. Zweryfikuj wielkość i powiązania przedsiębiorstwa

Progi związane z wielkością organizacji mogą mieć znaczenie, lecz ich liczenie bywa bardziej złożone niż sprawdzenie liczby etatów. Należy uwzględnić między innymi status przedsiębiorstwa, relacje właścicielskie oraz dane podmiotów partnerskich lub powiązanych, jeśli są istotne dla kwalifikacji.

To obszar, w którym łatwo o pomyłkę. Firma zatrudniająca pozornie niewielki zespół może należeć do większej grupy kapitałowej. Z kolei organizacja działająca w sektorze objętym regulacją może podlegać szczególnym zasadom niezależnie od typowego progu wielkości. Nie należy zakładać, że MŚP są automatycznie poza zakresem KSC.

4. Sprawdź wyjątki oraz właściwą ścieżkę zgłoszenia

Po wstępnej kwalifikacji trzeba ustalić, czy dla danej działalności przewidziano wyjątki, kto jest organem właściwym oraz jak wygląda aktualna procedura zgłoszenia lub rejestracji. Przepisy wykonawcze i rozwiązania organizacyjne mogą się zmieniać, dlatego decyzji nie powinno się opierać na starym artykule, opinii z forum ani informacji przekazanej przez kontrahenta kilka lat wcześniej.

Dobrą praktyką jest zapisanie źródeł, daty analizy, przyjętych założeń oraz osób, które zatwierdziły ocenę. Taki dokument nie zastępuje wymaganej oceny prawnej, ale pozwala zarządowi wykazać, że decyzja nie była przypadkowa.

Jakie dane przygotować przed analizą?

Prace idą sprawniej, gdy dział prawny, operacyjny i IT korzystają z tego samego zestawu faktów. Potrzebne będą przede wszystkim aktualny opis usług, struktura organizacyjna i właścicielska, dane o zatrudnieniu oraz informacje o najważniejszych klientach i zależnościach operacyjnych.

Równie ważna jest mapa systemów wspierających działalność. Warto wskazać, które aplikacje są krytyczne, gdzie przechowywane są dane, czy firma korzysta z Microsoft 365, Google Workspace lub infrastruktury chmurowej oraz kto administruje dostępami. Przydatne są także informacje o dostawcach IT, umowach outsourcingowych i procedurach na wypadek awarii.

Outsourcing nie przenosi automatycznie całej odpowiedzialności na dostawcę. Jeżeli firma korzysta z zewnętrznego hostingu, systemu ERP albo usług administracyjnych, nadal powinna rozumieć ryzyko po swojej stronie. Szczególnie istotne są warunki zgłaszania incydentów, dostęp do logów oraz możliwość szybkiego odtworzenia działania kluczowych usług.

Rejestracja to początek, nie koniec obowiązków

Jeżeli analiza prowadzi do wniosku, że organizacja podlega wymaganiom KSC, kolejnym krokiem nie powinno być wyłącznie wysłanie zgłoszenia. W praktyce firma potrzebuje zdolności do zarządzania ryzykiem i reagowania na zdarzenia.

Przykład jest prosty: pracownik kliknął link phishingowy, a jego konto Microsoft 365 zostało przejęte. Atakujący ustawia regułę przekazywania poczty, wysyła fałszywe faktury do kontrahentów i próbuje zalogować się do innych usług. Polityka bezpieczeństwa sama nie wykryje takiego zdarzenia. Potrzebne są widoczność logowań, analiza alertów, jasna ścieżka eskalacji i osoba, która podejmie decyzję o blokadzie konta.

W mniejszej firmie nie oznacza to konieczności budowania kosztownego, wewnętrznego centrum bezpieczeństwa. Stały monitoring bezpieczeństwa IT, SOC as a Service lub usługa MDR, czyli Managed Detection and Response, mogą zapewnić monitoring 24/7 i wsparcie analityków bez zatrudniania własnego zespołu SOC. W zależności od środowiska monitoring może objąć komputery, serwery, zapory sieciowe, usługi chmurowe i centralne zbieranie logów w rozwiązaniu SIEM.

Technologia ma tu znaczenie tylko wtedy, gdy prowadzi do działania. Alert o nietypowym logowaniu, wyłączonym zabezpieczeniu lub próbie uruchomienia ransomware powinien zostać przeanalizowany w kontekście firmy, a następnie obsłużony zgodnie z ustalonym procesem reagowania na zagrożenia.

Najczęstsze błędy przy ocenie obowiązku

Pierwszym błędem jest utożsamienie KSC wyłącznie z dużymi podmiotami infrastruktury krytycznej. Regulacje dotyczące cyberbezpieczeństwa obejmują szersze grono organizacji, a ich zakres należy oceniać na podstawie realnej działalności.

Drugim jest ograniczenie analizy do PKD albo jednej frazy w przepisie. Formalna klasyfikacja pomaga, lecz nie oddaje wszystkich aspektów usługi, zależności od dostawców i wpływu incydentu na odbiorców.

Trzeci błąd to traktowanie zgodności jako projektu prowadzonego raz. Firma zmienia usługi, przejmuje klientów, wdraża nowe systemy i przechodzi do chmury. Wraz z tymi zmianami powinna okresowo wracać do oceny zakresu obowiązków oraz ryzyk cyberbezpieczeństwa.

Wreszcie, problemem jest brak współpracy między zarządem, IT i osobami odpowiedzialnymi za zgodność. Zarząd zna model biznesowy i akceptuje ryzyko, IT widzi systemy oraz zdarzenia techniczne, a osoby zajmujące się zgodnością interpretują wymagania. Dopiero połączenie tych perspektyw daje wiarygodny wynik.

Jeżeli masz wątpliwość co do obowiązku wpisu do wykazu, potraktuj ją jako sygnał do uporządkowania informacji o działalności i bezpieczeństwie, a nie jako powód do czekania. Rzetelna analiza oraz gotowość do wykrywania i obsługi incydentów dają firmie więcej kontroli niezależnie od ostatecznej kwalifikacji formalnej.

Dyrektor ds. Technologii (CTO) D.B.