W dniu 3 kwietnia 2026 r. weszła w życie nowelizacja ustawy o krajowym systemie cyberbezpieczeństwa. Zmiany te mają istotne znaczenie dla przedsiębiorców działających w sektorach uznanych za szczególnie ważne z punktu widzenia bezpieczeństwa państwa, ciągłości świadczenia usług oraz funkcjonowania gospodarki. Nowelizacja rozszerza katalog podmiotów objętych obowiązkami w zakresie cyberbezpieczeństwa i obejmuje zarówno tzw. podmioty kluczowe, jak i podmioty ważne.
W praktyce oznacza to, że obowiązki wynikające z ustawy mogą dotyczyć znacznie szerszego grona przedsiębiorców niż dotychczas. Nie chodzi przy tym wyłącznie o podmioty z branży informatycznej. Regulacja obejmuje wiele sektorów gospodarki, w tym między innymi energetykę, transport, ochronę zdrowia, infrastrukturę cyfrową, usługi ICT, sektor finansowy, gospodarkę odpadami, produkcję, dystrybucję żywności, sektor chemiczny oraz usługi pocztowe i kurierskie.
Szczególnie istotne jest to, że przedsiębiorca powinien samodzielnie ustalić, czy w świetle nowych przepisów jest podmiotem kluczowym albo podmiotem ważnym. Taka analiza nie zawsze będzie oczywista. Wymaga sprawdzenia rodzaju prowadzonej działalności, skali przedsiębiorstwa, sektora, w którym działa, a także znaczenia świadczonych usług. Wątpliwości mogą pojawić się zwłaszcza wtedy, gdy przedsiębiorca wykonuje usługi pomocnicze, produkcyjne, technologiczne, logistyczne albo organizacyjne na rzecz innych podmiotów objętych szczególnymi wymogami cyberbezpieczeństwa.
Jeżeli przeprowadzona analiza wykaże, że przedsiębiorca podlega ustawie jako podmiot kluczowy lub ważny, powinien dokonać wpisu do właściwego wykazu. Co do zasady termin na dokonanie rejestracji upływa 3 października 2026 r. Sam wpis do wykazu nie wyczerpuje jednak obowiązków przedsiębiorcy. Konieczne będzie również wdrożenie odpowiednich rozwiązań organizacyjnych i technicznych, w tym procedur zarządzania ryzykiem, zasad reagowania na incydenty, mechanizmów zgłaszania incydentów oraz środków służących zapewnieniu bezpieczeństwa systemów informacyjnych.
Z punktu widzenia zarządów spółek oraz osób prowadzących działalność gospodarczą nowe przepisy mają znaczenie nie tylko administracyjne, ale również organizacyjne. Cyberbezpieczeństwo staje się jednym z elementów należytego zarządzania przedsiębiorstwem. Brak weryfikacji, czy ustawa ma zastosowanie do danego podmiotu, zaniechanie rejestracji albo niewdrożenie wymaganych procedur może wiązać się z ryzykiem sankcji administracyjnych. Ustawa przewiduje bowiem możliwość nakładania kar pieniężnych za naruszenie obowiązków przez podmioty kluczowe i ważne.
W naszej ocenie każdy przedsiębiorca powinien obecnie przeprowadzić przynajmniej wstępną analizę swojej działalności pod kątem nowych przepisów. Pozwoli to ustalić, czy ustawa znajduje zastosowanie do danego podmiotu, jakie obowiązki należy wykonać i w jakim terminie. Im wcześniej zostanie przeprowadzona taka weryfikacja, tym łatwiej będzie zaplanować dalsze działania, przygotować odpowiednie procedury i uniknąć działań podejmowanych w pośpiechu tuż przed upływem ustawowych terminów.
Wdrożenie obowiązków wynikających z ustawy o krajowym systemie cyberbezpieczeństwa wymaga współpracy osób odpowiedzialnych za zarządzanie przedsiębiorstwem, obsługę prawną oraz bezpieczeństwo informatyczne. W wielu przypadkach konieczne będzie nie tylko przygotowanie dokumentów, ale również uporządkowanie wewnętrznych procesów, określenie zasad odpowiedzialności, przeszkolenie pracowników oraz weryfikacja relacji z dostawcami i podwykonawcami.
Jeżeli mają Państwo wątpliwości, czy nowe przepisy dotyczą Państwa działalności, zapraszamy do kontaktu z naszą kancelarią. Pomagamy przedsiębiorcom w ocenie statusu prawnego, analizie obowiązków, przygotowaniu procedur oraz dostosowaniu działalności do wymogów wynikających z ustawy o krajowym systemie cyberbezpieczeństwa.