NIS2 Tester
Czy Twoja organizacja podlega ustawie o Krajowym Systemie Cyberbezpieczeństwa?
Ustawa KSC (Dz.U. 2026 poz. 20 + nowelizacja NIS2: poz. 252) • Dyrektywa (UE) 2022/2555 • Zalecenie 2003/361/WE
Dane organizacji
Wpisz NIP, aby pobrać dane z rejestrów publicznych auto
Wielkość podmiotu
Kryteria wg Zalecenia Komisji 2003/361/WE (Załącznik art. 2)
Wyjątek (art. 5 ust. 6–7 uKSC): jeżeli Twój system informacyjny jest niezależny od pozostałych spółek z grupy i nie świadczycie usług wspólnie (np. brak wspólnego centrum usług IT/ICT w grupie) — podaj dane samodzielne, a nie skonsolidowane.
Przynależność sektorowa
Zaznacz sektory, w których podmiot prowadzi działalność (Załączniki 1 i 2 KSC). NIS2 dotyczy wyłącznie firm z konkretnych sektorów — jeśli żaden nie pasuje, firma nie podlega ustawie.
Sektory kluczowe (Załącznik nr 1)
Sektory ważne (Załącznik nr 2)
Wyjątki od progu wielkości
Niektóre typy firm podlegają NIS2 niezależnie od rozmiaru. Sprawdź, czy dotyczy Cię którykolwiek z poniższych wyjątków.
art. 5 ust. 1 pkt 4 ustawy o KSC; art. 3 ust. 1 NIS2
Firma świadczy KWALIFIKOWANE usługi zaufania — kwalifikowany podpis elektroniczny, kwalifikowaną pieczęć, kwalifikowany znacznik czasu lub kwalifikowane certyfikaty (wpis na listę kwalifikowanych dostawców, nadzór ministra właściwego ds. informatyzacji). Jest podmiotem KLUCZOWYM niezależnie od wielkości.
art. 2 ust. 2 lit. a(ii) NIS2; art. 3 ust. 2
Firma świadczy NIEKWALIFIKOWANE usługi zaufania (np. zwykłe podpisy, pieczęcie lub znaczniki czasu bez statusu kwalifikowanego). Podlega NIS2 niezależnie od wielkości jako podmiot WAŻNY.
art. 2 ust. 2 lit. a(iii) NIS2
Firma obsługuje serwery DNS, które zamieniają nazwy domen (np. google.pl) na adresy IP. Dotyczy dostawców publicznych resolverów i autorytatywnych serwerów. Podmiot kluczowy niezależnie od wielkości.
art. 2 ust. 2 lit. a(iii) NIS2
Firma zarządza domeną najwyższego poziomu (np. NASK zarządza .pl). W Polsce dotyczy głównie NASK. Podmiot kluczowy niezależnie od wielkości.
art. 4 NIS2
Firma umożliwia klientom rejestrowanie domen internetowych (np. nazwa.pl, OVH, home.pl). Podlega niezależnie od wielkości.
art. 2 ust. 2 lit. f NIS2
Urząd, ministerstwo, agencja rządowa, ZUS, NFZ, samorząd — każdy podmiot publiczny podlega niezależnie od liczby pracowników.
art. 2 ust. 3 NIS2
Podmiot uznany przez rząd za operatora infrastruktury krytycznej (np. elektrownia, wodociąg, port) na podstawie odrębnej dyrektywy CER o odporności podmiotów krytycznych.
art. 2 ust. 2 lit. b NIS2, art. 7l ustawy o KSC
Firma jest jedynym dostawcą danej usługi w regionie lub w kraju — np. jedyny dostawca wody, jedyny szpital w powiecie. NIE nadaje statusu automatycznie: organ może uznać taki podmiot indywidualną decyzją (art. 7l).
art. 2 ust. 2 lit. c NIS2, art. 7l ustawy o KSC
Awaria lub cyberatak na tę firmę mógłby zagrozić bezpieczeństwu państwa, porządkowi publicznemu lub zdrowiu ludzi. NIE nadaje statusu automatycznie — organ może uznać taki podmiot indywidualną decyzją (art. 7l).
art. 2 ust. 2 lit. d NIS2, art. 7l ustawy o KSC
Zakłócenie usługi tej firmy mogłoby wywołać efekt domina w innych sektorach lub krajach UE — np. duży dostawca chmury, z którego korzystają szpitale i banki. NIE nadaje statusu automatycznie — organ może uznać taki podmiot indywidualną decyzją (art. 7l).
Wyłączenia
Nawet jeśli firma pasuje do sektora NIS2, w kilku przypadkach jest wyłączona — bo podlega innym, równoważnym przepisom. Sprawdź, czy Twoja firma korzysta z wyłączenia.
art. 1 ust. 2 pkt 1 KSC
Operator telekomunikacyjny, który w zakresie cyberbezpieczeństwa podlega wyłącznie Prawu komunikacji elektronicznej (nie KSC). Dotyczy sytuacji, gdy odrębna ustawa telekomunikacyjna reguluje już bezpieczeństwo sieci.
art. 1 ust. 2 pkt 2 KSC
Dostawca usług zaufania (np. podpis elektroniczny), który spełnia już wymogi bezpieczeństwa z art. 19 rozporządzenia eIDAS — nie musi dodatkowo stosować KSC, bo eIDAS jest surowszy.
art. 1 ust. 2 pkt 3 KSC
Szpitale i placówki medyczne tworzone przez Agencję Bezpieczeństwa Wewnętrznego lub Agencję Wywiadu — wyłączone ze względu na bezpieczeństwo narodowe.
art. 8i, 16a KSC
Banki, SKOK-i, giełdy, domy maklerskie, ubezpieczyciele — podlegają rozporządzeniu DORA, które reguluje bezpieczeństwo ICT w sektorze finansowym. Z KSC stosuje się tylko część przepisów (osoba kontaktowa, struktury cyber, dostawca wysokiego ryzyka).
Dane kontaktowe
Wynik wyświetli się na stronie po wypełnieniu poniższego formularza. Pełny raport przesyłamy na podany przez Ciebie adres e-mail.
Zdajemy sobie sprawę z tego, że wiele firm oferuje weryfikatory NIS2, które mogą wprowadzać w błąd. W RED INTO GREEN stawiamy na rzetelność.
Nasz NIS2 Tester opracowaliśmy na podstawie przyjętej 3 kwietnia 2026 ustawy KSC. Jest to narzędzie, które weryfikuje organizację na podstawie szczegółowych i obowiązujących już wymagań. Najlepszą rekomendacją jest fakt, że zrobiliśmy je najpierw dla siebie. Korzystają z niego też nasi Klienci.
Proponujemy też dobrowolne, bezpłatne wsparcie nakierowane na pierwsze kroki, które możesz podjąć znając swój status wobec NIS2 / uKSC.
Wynik kwalifikacji
Na podstawie algorytmu decyzyjnego z art. 2-3 dyrektywy NIS2 i ustawy KSC
Dziękujemy za przesłanie danych. Pełny raport przesłaliśmy na podany adres e-mail. Jeżeli wiadomość nie trafiła do Twojej skrzynki odbiorczej, sprawdź folder spam.
W mailu zachęcamy Cię też do kontaktu z nami. Warto sprawdzić, w czym możemy Ci pomóc. Dalsze wsparcie kierujemy do instytucji, które faktycznie mogą skorzystać z naszego doradztwa lub narzędzi.
Jeżeli chcesz sprawdzić, jak możemy Ci pomóc, a nasz mail z raportem nie dotarł do Ciebie, to możesz jeszcze zarejestrować się na bezpłatną konsultację poprzez formularz kontaktowy.