podmiot kluczowy

Podmiot kluczowy to kategoria podmiotu wprowadzona przez dyrektywę NIS2 i przeniesiona do polskiej ustawy o krajowym systemie cyberbezpieczeństwa. Dyrektywa zalicza do niej przede wszystkim podmioty z sektorów wymienionych w załączniku I, które przekraczają pułapy dla średnich przedsiębiorstw ^[1]. Drugą kategorią jest podmiot ważny: każdy podmiot z sektorów z załączników I lub II, który nie kwalifikuje się jako kluczowy ^[1]. Obie grupy mają te same obowiązki zarządzania ryzykiem i zgłaszania incydentów, a różnią się sposobem nadzoru i pułapem kar ^[1].

Kogo dotyczy

Załącznik I dyrektywy, zatytułowany „Sektory kluczowe”, wymienia jedenaście sektorów: energetykę, transport, bankowość, infrastrukturę rynków finansowych, opiekę zdrowotną, wodę pitną, ścieki, infrastrukturę cyfrową, zarządzanie usługami ICT między przedsiębiorstwami, podmioty administracji publicznej i przestrzeń kosmiczną ^[1]. Sam sektor nie przesądza jednak o kategorii. Art. 3 ust. 1 dyrektywy zalicza do podmiotów kluczowych także, niezależnie od wielkości, kwalifikowanych dostawców usług zaufania, rejestry nazw domen najwyższego poziomu i dostawców usług DNS ^[1].

Polska ustawa po nowelizacji z 23 stycznia 2026 roku definiuje podmiot kluczowy w art. 5 ust. 1 ^[2]. Poza dużymi podmiotami z załącznika nr 1 do ustawy wymienia m.in. ^[2]:

• przedsiębiorcę komunikacji elektronicznej, który jest co najmniej średnim przedsiębiorcą;
• dostawcę usług zarządzanych w zakresie cyberbezpieczeństwa, który jest co najmniej małym przedsiębiorcą;
• niezależnie od wielkości: dostawcę usług DNS, kwalifikowanego dostawcę usług zaufania, podmiot krytyczny, rejestr nazw domen najwyższego poziomu i podmiot świadczący usługi rejestracji nazw domen.

Jeżeli podmiot spełnia wymogi zarówno dla podmiotu kluczowego, jak i ważnego, jest podmiotem kluczowym ^[2]. Gdy status zależy od wielkości, przesłanki bada się według stanu na dzień sporządzenia sprawozdania finansowego ^[2]. Szczególną regułę ustawa przewiduje dla podmiotu leczniczego, który nie jest przedsiębiorcą: przy co najmniej 250 zatrudnionych jest kluczowy, przy 50–249 ważny ^[2].

Obowiązki i nadzór

Obowiązki merytoryczne są wspólne. Art. 21 dyrektywy wymaga od podmiotów kluczowych i ważnych odpowiednich i proporcjonalnych środków technicznych, operacyjnych i organizacyjnych, a art. 20 każe organom zarządzającym te środki zatwierdzać i nadzorować ^[1]. W Polsce odpowiada temu obowiązek wdrożenia systemu zarządzania bezpieczeństwem informacji (SZBI), obejmującego m.in. systematyczne szacowanie ryzyka, bezpieczeństwo łańcucha dostaw i monitorowanie systemu w trybie ciągłym ^[2]. Poważne incydenty podlegają obowiązkowi zgłaszania do właściwego CSIRT.

Różnica leży w nadzorze. Wobec podmiotów kluczowych organ może stosować m.in. kontrole na miejscu i nadzór zdalny, regularne ukierunkowane audyty, audyty doraźne i skany bezpieczeństwa ^[1]. Wobec podmiotów ważnych działa w przypadku otrzymania dowodu, wskazania lub informacji, że podmiot rzekomo nie stosuje się do dyrektywy, i stosuje środki nadzoru ex post ^[1]. Tylko wobec podmiotu kluczowego dyrektywa przewiduje, jako ostateczność, wniosek o tymczasowy zakaz pełnienia funkcji zarządczych przez osobę na poziomie dyrektora generalnego lub przedstawiciela prawnego ^[1].

Polska ustawa przekłada to na audyt bezpieczeństwa. Podmiot kluczowy przeprowadza go na własny koszt co najmniej raz na 3 lata i przekazuje kopię raportu organowi w ciągu 3 dni roboczych ^[2]. Organ może nakazać audyt zewnętrzny podmiotowi kluczowemu w każdym czasie, a podmiotowi ważnemu w razie incydentu poważnego albo innego naruszenia ustawy ^[2].

Kary

Dyrektywa wymaga, by podmiot kluczowy naruszający art. 21 lub 23 podlegał karze w maksymalnej wysokości co najmniej 10 000 000 EUR albo 2% łącznego rocznego światowego obrotu, przy czym stosuje się kwotę wyższą ^[1]. Polska ustawa ustala dla podmiotu kluczowego górną granicę 10 000 000 euro albo 2% przychodów z działalności gospodarczej i dolną granicę 20 000 zł ^[2]. Dla podmiotu ważnego jest to 7 000 000 euro albo 1,4% przychodów, najmniej 15 000 zł ^[2]. Gdy naruszenie powoduje bezpośrednie i poważne cyberzagrożenie m.in. dla bezpieczeństwa państwa albo życia i zdrowia ludzi, kara może wynieść do 100 000 000 zł ^[2].

Odpowiedzialność jest też osobista. Kierownik podmiotu kluczowego lub ważnego odpowiada za wykonywanie obowiązków z zakresu cyberbezpieczeństwa, także gdy powierzył je innej osobie ^[2]. Raz w roku kalendarzowym przechodzi szkolenie ^[2], a kara nałożona na niego może wynieść do 300% wynagrodzenia ^[2].

Terminy w Polsce

Nowelizacja weszła w życie 3 kwietnia 2026 roku ^[3]. Podmiot sam ocenia, czy spełnia przesłanki, i składa wniosek o wpis do wykazu. Kolejne kroki pokazuje schemat poniżej.

RYS. 1Droga podmiotu kluczowego po nowelizacji KSC

Terminy 12 miesięcy na wdrożenie obowiązków i 24 miesięcy na pierwszy audyt podaje rządowa strona o nowelizacji ^[3]. Sekurak zwraca uwagę, że samo wdrożenie narzędzi nie oznacza zgodności: poza techniką potrzebne są procedury, udokumentowane szacowanie ryzyka i przeszkolony personel ^[4].

W WordPressie

Ani dyrektywa, ani ustawa nie wymieniają WordPressa. Strona internetowa podlega przepisom pośrednio, gdy jest częścią systemu informacyjnego, z którego podmiot kluczowy korzysta przy świadczeniu usługi. Może to być portal pacjenta szpitala, strona zamówień przedsiębiorstwa wodociągowego albo serwis informacyjny urzędu.

Dla takiej strony wymogi SZBI oznaczają zwykłe prace utrzymaniowe wykonywane w sposób udokumentowany: zarządzanie podatnościami wtyczek i motywów, kontrolę dostępu do panelu z uwierzytelnianiem wieloskładnikowym (MFA), kopie zapasowe (backup) i ciągłe monitorowanie. Hosting, autorzy wtyczek i firma utrzymująca stronę stają się dostawcami, których obejmuje zarządzanie ryzykiem dostawców (TPRM).

Osobną kwestią jest status samej firmy utrzymaniowej. Dyrektywa zalicza dostawców usług zarządzanych do sektora zarządzania usługami ICT w załączniku I ^[1]. Polska ustawa uznaje dostawcę usług zarządzanych w zakresie cyberbezpieczeństwa za podmiot kluczowy już od progu małego przedsiębiorcy ^[2]. Czy konkretna agencja internetowa spełnia tę definicję, trzeba ocenić na podstawie tekstu ustawy i zakresu jej usług.

Jeżeli włamanie na stronę podmiotu kluczowego ujawnia dane klientów, obok zgłoszenia według KSC może być potrzebne zgłoszenie naruszenia ochrony danych według RODO. Dyrektywa przewiduje, że organy cyberbezpieczeństwa informują wtedy organ ochrony danych ^[1].