ARK. 1Słownik pojęćPrawo, zgodność i ryzyko

podmiot kluczowy

Kategoria podmiotu według NIS2 i ustawy o krajowym systemie cyberbezpieczeństwa: duży podmiot z sektora o wysokiej krytyczności (energetyka, transport, bankowość, zdrowie, woda, infrastruktura cyfrowa, administracja publiczna, przestrzeń kosmiczna), objęty najsurowszym reżimem obowiązków i nadzorem wyprzedzającym — w odróżnieniu od podmiotu ważnego, kontrolowanego następczo, po sygnale o nieprawidłowościach.

TAB. 1Nazwapo polsku

Po angielsku	essential entity
Po polsku	podmiot kluczowy
Którą formą pisać	po polsku Polska nazwa przyjęła się w tekstach i w wyszukiwarce — używaj jej samodzielnie.
Odmiana	ten podmiot kluczowy, tego podmiotu kluczowego, temu podmiotowi kluczowemu, o podmiocie kluczowym; l.mn. podmioty kluczowe, podmiotów kluczowych.

TAB. 2Jak to nazywająprasa vs urząd

Prasa branżowa	podmioty kluczowe — zawsze w opozycji do „podmiotów ważnych” (sekurak, dwa artykuły)
Urząd i ustawa	brak bezpośredniego potwierdzenia (gov.pl niedostępny dla pobrania, ISAP zablokowany); polska wersja dyrektywy NIS2 posługuje się parą „podmioty kluczowe” / „podmioty ważne” — do potwierdzenia w tekście ustawy

TAB. 3Źródła2

Forma	Cytat	Skąd
PL	„Kto podlega – podmioty kluczowe (duże firmy z sektorów takich jak: energetyka, transport, bankowość, zdrowie…) i podmioty ważne”	sekurak.pl
PL	„dla podmiotów kluczowych audyt co najmniej raz na 3 lata”	sekurak.pl

TAB. 4Obok w tej dziedzinie6

organ nadzorczy	supervisory authority	Niezależny organ publiczny powołany przez państwo członkowskie do monitorowania stosowania RODO — w Polsce Prezes Urzędu Ochrony Danych Osobowych — wyposażony w uprawnienia naprawcze: kontrolę, nakazy, ograniczenie przetwarzania i administracyjne kary pieniężne.
PCI DSS	PCI DSS	Branżowy standard bezpieczeństwa danych kart płatniczych (Payment Card Industry Data Security Standard), utrzymywany przez PCI Security Standards Council, obowiązujący każdy podmiot, który przetwarza, przechowuje lub przesyła dane posiadaczy kart; aktualna jest linia 4.x.
plan ciągłości działania	business continuity plan	Dokument opisujący, jak organizacja utrzyma lub szybko wznowi krytyczne procesy podczas poważnego zakłócenia — awarii, katastrofy albo ataku ransomware.
podmiot przetwarzający	data processor	Podmiot, który przetwarza dane osobowe w imieniu administratora i wyłącznie na jego udokumentowane polecenie — na przykład firma hostingowa, dostawca systemu kadrowego albo usługi chmurowej. Jeśli sam zaczyna decydować o celach przetwarzania, staje się administratorem.
polityka bezpieczeństwa	security policy	Zatwierdzony przez kierownictwo dokument (lub zbiór dokumentów) określający zasady, obowiązki i granice korzystania z zasobów informacyjnych i IT, stanowiący podstawę egzekwowania wymagań bezpieczeństwa wobec pracowników i dostawców.
rejestr ryzyk	risk register	Prowadzony na bieżąco wykaz zidentyfikowanych ryzyk wraz z ich oceną, przypisanym właścicielem, planowanym sposobem postępowania i statusem realizacji.

TAB. 5

Wpisy o tym pojęciu

24.09.2026	NIS2 i KSC2: wniosek o wpis do wykazu podmiotów trzeba złożyć do 3 października
11.09.2026	Do 3 października 2026 podmioty kluczowe i ważne muszą zarejestrować się w wykazie KSC

Cały słownik →