uksc.pl - czy Twoja firma podlega ustawie o KSC? Kwalifikator w minutę

Od 3 kwietnia 2026 r. obowiązuje nowelizacja ustawy o krajowym systemie cyberbezpieczeństwa (UKSC), która wdraża w Polsce unijną dyrektywę NIS2. Dziesiątki tysięcy firm muszą same ustalić, czy ustawa je obejmuje - i jeśli tak, do 3 października 2026 r. złożyć wniosek o wpis do wykazu. Żeby tę decyzję dało się podjąć w minutę, a nie w tygodnie, zbudowaliśmy uksc.pl - Kwalifikator Cyberbezpieczeństwa UKSC.

Po co w ogóle jest kwalifikacja?

Nowa ustawa opiera się na samoidentyfikacji. Nikt nie przyśle firmie pisma z informacją, że stała się podmiotem kluczowym albo ważnym. To zarząd musi sam sprawdzić, czy spółka spełnia kryteria, złożyć wniosek o wpis do wykazu prowadzonego przez Ministra Cyfryzacji i wdrożyć obowiązki. Niezłożenie wniosku w terminie samo w sobie jest zagrożone karą.

Od wyniku kwalifikacji zależy bardzo dużo:

• czy firma w ogóle ma obowiązki wynikające z ustawy - a jeśli nie, warto mieć to udokumentowane na wypadek pytań audytora, banku czy kontrahenta,
• jaki reżim nadzoru ją obejmuje - podmioty kluczowe podlegają nadzorowi uprzedniemu (kontrole, audyty), podmioty ważne - następczemu, uruchamianemu np. po incydencie,
• jakie środki trzeba wdrożyć: systemowe zarządzanie ryzykiem, procedury obsługi i zgłaszania incydentów przez system S46, bezpieczeństwo łańcucha dostaw, szkolenia kierownictwa,
• jak wysokie kary grożą za zaniedbania: do 10 mln EUR lub 2% rocznego przychodu dla podmiotów kluczowych i do 7 mln EUR lub 1,4% przychodu dla podmiotów ważnych. Osobną karę, do 300% wynagrodzenia, można nałożyć na kierownika podmiotu.

Problem w tym, że sama kwalifikacja nie jest oczywista. Wymaga zestawienia kodów PKD i faktycznej działalności z załącznikami do ustawy, policzenia wielkości przedsiębiorstwa i uwzględnienia wyjątków. Bez narzędzia zwykle kończy się to konsultacją z prawnikiem - i czekaniem na odpowiedź.

Kto podlega ustawie o KSC?

Nowelizacja obejmuje kilkanaście sektorów gospodarki - znacznie więcej niż dotychczasowa ustawa. O tym, czy i jak firma jej podlega, decydują trzy rzeczy.

1. Sektor działalności

Ustawa dzieli sektory na dwie grupy. W pierwszej (sektory o wysokiej krytyczności) są m.in. energetyka, transport, bankowość i infrastruktura rynków finansowych, ochrona zdrowia, woda pitna i ścieki, infrastruktura cyfrowa, zarządzanie usługami ICT, administracja publiczna i przestrzeń kosmiczna. W drugiej (inne sektory krytyczne) m.in. usługi pocztowe i kurierskie, gospodarka odpadami, chemikalia, produkcja i dystrybucja żywności, produkcja (np. wyrobów medycznych, elektroniki, maszyn, pojazdów), dostawcy usług cyfrowych i badania naukowe.

2. Wielkość przedsiębiorstwa

Co do zasady ustawa obejmuje średnie i duże przedsiębiorstwa, czyli firmy zatrudniające co najmniej 50 osób albo przekraczające 10 mln EUR zarówno obrotu, jak i sumy bilansowej. Małe i mikrofirmy są zwykle poza zakresem - z ważnymi wyjątkami, np. dla dostawców usług zaufania, rejestrów domen czy dostawców DNS, którzy podlegają ustawie niezależnie od wielkości.

Najczęstsza pułapka: wielkość liczy się razem z przedsiębiorstwami powiązanymi i partnerskimi. Spółka zatrudniająca 30 osób, ale należąca do grupy kapitałowej, może być w świetle ustawy średnim albo dużym przedsiębiorstwem.

3. Kategoria: kluczowy czy ważny?

Połączenie sektora i wielkości daje kategorię. W uproszczeniu: duże firmy z sektorów o wysokiej krytyczności są podmiotami kluczowymi, a średnie firmy z tych sektorów oraz średnie i duże firmy z pozostałych sektorów krytycznych - podmiotami ważnymi. Podmioty publiczne i część dostawców usług telekomunikacyjnych trafiają do wykazu z urzędu.

Jak działa uksc.pl

Kwalifikator prowadzi przez cały proces - od numeru KRS do gotowego raportu. Zobacz, jak to wygląda w praktyce:

1. Szybka weryfikacja - na stronie głównej uksc.pl wpisujesz numer KRS i bez logowania dostajesz wstępną kwalifikację podmiotu.
2. Pełny kwalifikator - po zalogowaniu wybierasz źródło danych: wpisujesz je ręcznie, przesyłasz dokumenty albo korzystasz z danych publicznych. W tym ostatnim wariancie wystarczy numer KRS lub nazwa - system sam odnajduje spółkę w rejestrach.
3. Silnik regułowy i uzasadnienie prawne - mechanizm kwalifikacji stosuje kryteria ustawy: sektor, wielkość przedsiębiorstwa, powiązania, wyjątki. Wynik - podmiot kluczowy, ważny albo niepodlegający - przychodzi z uzasadnieniem i odniesieniami do przepisów.
4. Raport i eksport - raport kwalifikacyjny eksportujesz do PDF (dla zarządu, działu prawnego czy audytora) albo JSON (do dalszej automatyzacji), a każda analiza zostaje w historii konta.

Na start każdy nowy użytkownik dostaje jeden pełny raport gratis.

Źródła danych: raporta.pl

Kwalifikacja jest tak dobra, jak dane, na których pracuje. Dlatego uksc.pl nie opiera się na tym, co użytkownik pamięta o własnej spółce, tylko na danych z rejestrów publicznych, które dostarcza raporta.pl - serwis do wyszukiwania i monitorowania firm po numerze KRS, NIP lub nazwie, który współtworzymy.

Z raporta.pl kwalifikator pobiera:

• dane rejestrowe z KRS - formę prawną, adres, przedmiot działalności,
• dane finansowe ze sprawozdań - podstawę do oceny wielkości przedsiębiorstwa,
• powiązania kapitałowe i osobowe - spółki zależne, członków zarządu i udziałowców.

Te ostatnie są kluczowe właśnie z powodu pułapki opisanej wyżej. W raporcie uksc.pl powiązania widać jako graf połączeń - spółki, osoby i udziały w jednym widoku, a także w tabeli. Od razu widać, czy firma działa samodzielnie, czy w grupie, która zmienia jej status w świetle ustawy.

Tam, gdzie dane publiczne mogą być mniej aktualne niż wewnętrzne dokumenty (np. najnowsze sprawozdanie nie zostało jeszcze złożone), kwalifikator wyraźnie o tym informuje i pozwala przesłać własne dokumenty.

Co zbudowaliśmy

Z perspektywy studia uksc.pl to projekt, w którym zbiegło się kilka rzeczy, które lubimy najbardziej: trudna domena, twarde dane i wynik, od którego zależą realne decyzje.

• Silnik regułowy zamiast "czarnej skrzynki" - każda kwalifikacja wynika z jawnych reguł opartych na ustawie, więc da się ją prześledzić i obronić przed audytorem.
• Integracja z raporta.pl - dane z KRS, finanse i powiązania pobierane automatycznie, bez ręcznego przepisywania.
• Graf powiązań - czytelna wizualizacja struktury kapitałowej i osobowej, także dla dużych grup.
• Raporty PDF i JSON - dokument gotowy dla zarządu i audytora oraz dane do dalszej automatyzacji.
• Konta, historia analiz i model kredytowy - z darmowym szybkim weryfikatorem jako punktem wejścia i raportem gratis na start.

Wynik kwalifikatora wspiera decyzję compliance, ale nie zastępuje opinii prawnej w nietypowych przypadkach. Jego zadanie to dać jasną odpowiedź w typowych przypadkach w minutę - tak, żeby prawnik mógł skupić się na tych naprawdę nietypowych.

Dla kogo?

• Zarządy i właściciele firm, którzy muszą zdecydować, czy złożyć wniosek o wpis do wykazu przed 3 października 2026 r.,
• Zespoły compliance i bezpieczeństwa IT, które potrzebują udokumentowanej kwalifikacji do audytu,
• Kancelarie i doradcy, którzy kwalifikują wielu klientów i chcą zacząć od rzetelnego screeningu,
• Dostawcy podmiotów kluczowych i ważnych - bo wymagania z łańcucha dostaw prędzej czy później trafią też do nich.

Sprawdź swoją firmę

Wejdź na uksc.pl, wpisz numer KRS i sprawdź wstępną kwalifikację bez logowania. Pełny raport z uzasadnieniem prawnym odbierzesz po założeniu konta - pierwszy jest gratis.

Masz własną domenę, w której przepisy, rejestry i dane finansowe trzeba zamienić w jasną decyzję? Takie narzędzia projektujemy na co dzień. Odezwij się.