Podmiot kluczowy czy ważny - jak ustalić status firmy przed 3 października

Firma z 40 pracownikami bywa podmiotem kluczowym, a firma ze 180 osobami może nie podlegać ustawie w ogóle. O statusie nie decyduje sama liczba etatów, tylko art. 5 ustawy o krajowym systemie cyberbezpieczeństwa.

To pierwsza decyzja, którą trzeba podjąć przed złożeniem wniosku o wpis do wykazu podmiotów kluczowych i podmiotów ważnych. Termin mija 3 października 2026 i sama kwalifikacja bywa trudniejsza niż wypełnienie formularza.

Dwie kategorie i jeden test wielkości

Ustawa odsyła do definicji MŚP z załącznika I do rozporządzenia 651/2014/UE. Średnie przedsiębiorstwo to takie, które zatrudnia mniej niż 250 osób i którego roczny obrót nie przekracza 50 mln EUR lub roczna suma bilansowa nie przekracza 43 mln EUR. Kryterium zatrudnienia jest obowiązkowe, finansowe alternatywne.

Na tej podstawie ustawa buduje dwie kategorie:

• Podmiot kluczowy to podmiot z załącznika nr 1, który przewyższa wymogi dla średniego przedsiębiorstwa (art. 5 ust. 1 pkt 1)
• Podmiot ważny to podmiot z załącznika nr 1, który spełnia wymogi dla średniego przedsiębiorcy i nie jest kluczowym, albo podmiot z załącznika nr 2, który te wymogi spełnia lub przewyższa (art. 5 ust. 2 pkt 1 i 2)

Gdy firma spełnia przesłanki obu kategorii, jest podmiotem kluczowym (art. 5 ust. 4). Wielkość bada się według stanu na dzień sporządzenia sprawozdania finansowego (art. 5 ust. 5), a nie na dowolny dzień roku.

Wyjątki, które psują intuicję

Prosty test wielkości nie działa w kilku przypadkach i to właśnie one generują najwięcej błędnych kwalifikacji:

1. Dostawca usług zarządzanych w zakresie cyberbezpieczeństwa jest podmiotem kluczowym już wtedy, gdy spełnia wymogi dla małego przedsiębiorcy (art. 5 ust. 1 pkt 3)
2. Przedsiębiorca komunikacji elektronicznej o wielkości średniej lub większej jest kluczowy, a mikro lub mały jest ważny (art. 5 ust. 1 pkt 2 oraz ust. 2 pkt 4)
3. Niezależnie od wielkości kluczowe są między innymi: dostawca usług DNS, rejestr nazw domen najwyższego poziomu, podmiot świadczący usługi rejestracji nazw domen, kwalifikowany dostawca usług zaufania oraz podmiot krytyczny (art. 5 ust. 1 pkt 4)
4. Podmiot leczniczy, który nie jest przedsiębiorcą, jest ważny przy zatrudnieniu od 50 do 249 osób i kluczowy od 250 osób (art. 5 ust. 8)

Jeżeli firma mieści się w którymś z tych punktów, liczenie etatów w ogóle nie jest pierwszym krokiem.

Liczysz siebie czy całą grupę

Tu popełnia się najwięcej pomyłek. Skoro ustawa odsyła do załącznika I rozporządzenia 651/2014/UE, obowiązują też jego zasady sumowania. Do danych badanej firmy dolicza się dane przedsiębiorstw partnerskich (od 25% kapitału lub praw głosu) oraz powiązanych (w całości). Spółka zależna w grupie kapitałowej rzadko liczy się sama.

Ustawa wprowadza jednak dwie własne korekty, o których łatwo nie wiedzieć.

Po pierwsze, art. 5 ust. 3 wyłącza stosowanie art. 3 ust. 4 załącznika I. W klasycznej definicji MŚP kontrola co najmniej 25% kapitału przez organ publiczny odbiera firmie status MŚP. Na potrzeby ustawy o KSC ta reguła nie działa, co ma znaczenie zwłaszcza dla spółek komunalnych.

Po drugie, art. 5 ust. 6 i 7 dają furtkę wyjścia. Jeżeli firma przekracza progi wyłącznie dlatego, że doliczono jej dane przedsiębiorstw partnerskich lub powiązanych zgodnie z art. 6 ust. 2-4 załącznika I, ale jej system informacyjny jest niezależny od systemów tych przedsiębiorstw albo nie świadczy ona usług wspólnie z nimi, to nie jest odpowiednio podmiotem kluczowym ani ważnym.

To przepis, który realnie zmienia wynik kwalifikacji w grupach kapitałowych z rozdzielonym IT. Warto go sprawdzić, zanim firma zadeklaruje status wyższy, niż wynika ze stanu faktycznego.

Od czego zacząć

Cztery kroki do wykonania bez budżetu, w kolejności:

1. Ustal, czy przedmiot działalności figuruje w załączniku nr 1, w załączniku nr 2, czy w żadnym
2. Sprawdź wyjątki niezależne od wielkości, zanim zaczniesz liczyć etaty
3. Policz zatrudnienie w rocznych jednostkach pracy i dane finansowe według załącznika I, uwzględniając przedsiębiorstwa partnerskie i powiązane
4. Zapisz uzasadnienie wraz z datą sprawozdania finansowego, na którym oparto wyliczenie

Jeżeli chcesz szybko sprawdzić kierunek, bezpłatny kwalifikator przechodzi przez przesłanki art. 5 w dwie minuty. Wynik traktuj jako punkt wyjścia do udokumentowanej analizy, a nie jej zamiennik.

Dokument z uzasadnieniem przyda się dwa razy: przy składaniu wniosku i później, gdy trzeba będzie wykazać, dlaczego firma przyjęła taki, a nie inny status.