W Polsce Dyrektywa NIS2[1] zostanie implementowana poprzez nowelizację ustawy o krajowym systemie cyberbezpieczeństwa (UKSC[2]). NIS2 wprowadza standardy, które państwa członkowskie mogą rozszerzyć. Ostatni projekt nowelizacji UKSC, opublikowany 12.02.2025 r.[3], wprowadza takie różnice. Dowiedz się, jakie zmiany są planowane w UKSC.
Rola państw członkowskich a NIS2
Zakres zastosowania Dyrektywy obejmuje podmioty:
- stanowiące średnie i duże przedsiębiorstwa[4] oraz
- działające w sektorach objętych Dyrektywą.
Powyższe kryteria omówiliśmy w poprzednich częściach naszego biuletynu.
Zgodnie z Dyrektywą, państwa członkowskie mogą objąć zakresem NIS2 również niektóre mikro- i małe przedsiębiorstwa, które mają kluczową rolę dla społeczeństwa i gospodarki. NIS2 określa kryteria podmiotów podlegających przepisom i pozostawia państwom członkowskim swobodę w ich szczegółowym określeniu.
UKSC a NIS2
W poprzednich biuletynach omówiliśmy różnice w sektorach między NIS2 a projektem nowelizacji UKSC. Częściowo również w zakresie kryterium wielkości zostały w projekcie UKSC wprowadzone zmiany. Najważniejsze z nich:
- do podmiotów kluczowych projekt zalicza także dostawców usług zarządzanych w zakresie cyberbezpieczeństwa, którzy co najmniej spełniają wymogi dla małego albo średniego przedsiębiorcy albo je przewyższają.
- z kolei do podmiotów ważnych projekt zalicza się również niekwalifikowanych dostawców usług zaufania będących mikro-, małymi lub średnimi przedsiębiorcami oraz przedsiębiorców komunikacji elektronicznej będących mikro- lub małymi przedsiębiorcami.
Warto wiedzieć, że minister właściwy do spraw informatyzacji będzie prowadził wykaz podmiotów kluczowych i ważnych. Znajomość wielkości przedsiębiorstwa okaże się wtedy istotna przy składaniu deklaracji podmiotu kluczowego lub ważnego. Dokument ten będzie zawierać oświadczenie, czy dany podmiot spełnia kryteria mikro-, małego albo średniego przedsiębiorcy.
Jakie podmioty należą do mikro- lub małych przedsiębiorstw?
Mikroprzedsiębiorstwa to takie, które w co najmniej jednym roku z dwóch ostatnich lat obrotowych:
- zatrudniały mniej niż 10 osób oraz
- których obroty roczne lub roczna suma bilansowa nie przekraczała 2 mln EUR.
Małe przedsiębiorstwa to takie, które w co najmniej jednym roku z dwóch ostatnich lat obrotowych:
- zatrudniały od 10 do 49 osób oraz
- których obroty roczne lub roczna suma bilansowa wynosiły 2 mln EUR – 10 mln EUR.
Jak rozumieć te kryteria opisaliśmy w poprzednim artykule.
Wnioski i rekomendacje
Wielkość przedsiębiorstwa stanowi ważne kryterium decydujące o kwalifikacji podmiotu jako kluczowego lub ważnego. Co do zasady NIS2 obejmuje średnie i duże przedsiębiorstwa, jednak projekt UKSC częściowo rozszerza ten zakres także na mikro- i małe przedsiębiorstwa. Umiejętność określenia wielkości przedsiębiorstwa będzie miała również znaczenie przy składaniu deklaracji do wykazu podmiotów kluczowych i ważnych. Warto więc już teraz poznać kwalifikację wielkości swojej firmy.
Jeśli masz wątpliwości, do jakiej kategorii należy Twoja firma, skontaktuj się z nami.
Wypełnij ankietę i sprawdź, czy NIS2 Cię dotyczy: [link]
Autor: Klaudia Szymańska, aplikant radcowski, Junior Associate w Lawspective.
E-mail: klaudia.szymanska@lawspective.pl
Autor: Maciej Tabor, adwokat, Senior Associate w Lawspective.
E-mail: maciej.tabor@lawspective.pl
[1] Dyrektywa Parlamentu Europejskiego i Rady (UE) 2022/2555 z dnia 14 grudnia 2022 r.
[2] Ustawa z dnia 5 lipca 2018 r. o krajowym systemie bezpieczeństwa
[3] https://legislacja.rcl.gov.pl/docs//2/12384504/13055217/13055218/dokument704631.pdf
[4] W rozumieniu art. 2 załącznika do zalecenia Komisji 2003/361/WE