Czy każda organizacja podlega NIS2?

Dlaczego to pytanie w ogóle powstaje

Pytanie wraca, bo dwa jego elementy działają wbrew intuicji.

Pierwszy: NIS2 nie jest przepisem, który stosuje się bezpośrednio. Dyrektywa (UE) 2022/2555 weszła w życie 16 stycznia 2023 r. i wyznaczyła państwom członkowskim termin transpozycji na 17 października 2024 r., ale wiąże państwo, a nie przedsiębiorcę. Obowiązki organizacji wynikają z prawa krajowego — w Polsce z ustawy o krajowym systemie cyberbezpieczeństwa (KSC) w brzmieniu nadanym nowelizacją z 23 stycznia 2026 r. (Dz.U. 2026 poz. 252, ogłoszoną 2 marca 2026 r., obowiązującą od 3 kwietnia 2026 r.). Analiza oparta wyłącznie na tekście dyrektywy albo na opracowaniu dotyczącym innego państwa prowadzi do błędnych wniosków, bo to ustawa krajowa doprecyzowuje sektory, kategorie podmiotów i terminy.

Drugi: co do zasady nikt nie przyśle zawiadomienia. Kwalifikacja opiera się na samoocenie a wniosek o wpis do wykazu składa i podpisuje kierownik podmiotu albo osoba przez niego upoważniona — pod oświadczeniem o prawdziwości danych składanym pod rygorem odpowiedzialności karnej. Wyjątków jest kilka i warto je znać bo zmieniają sytuację konkretnych organizacji. Minister właściwy do spraw informatyzacji wpisuje z urzędu przedsiębiorców telekomunikacyjnych, dostawców usług zaufania, podmioty publiczne i podmioty krytyczne a osobno — dotychczasowych operatorów usług kluczowych, którzy z dniem wejścia nowelizacji w życie stali się podmiotami kluczowymi z mocy prawa. Organ właściwy do spraw cyberbezpieczeństwa może ponadto wpisać do wykazu podmiot, który spełnia przesłanki a wniosku nie złożył w terminie oraz uznać w drodze decyzji za podmiot kluczowy albo ważny podmiot, który przesłanek nie spełnia. Żadna z tych ścieżek nie zwalnia jednak organizacji z obowiązku samodzielnej oceny — uruchamia się wtedy gdy ocena nie została przeprowadzona albo dała wynik, którego organ nie podziela.

Do tego dochodzi skala zmiany. Poprzedni stan prawny obejmował operatorów usług kluczowych, dostawców usług cyfrowych oraz wskazane w ustawie podmioty publiczne — łącznie krąg wyraźnie węższy. Według szacunków Ministerstwa Cyfryzacji nowe przepisy dotyczą około 38 tysięcy podmiotów, w tym około 27 tysięcy podmiotów publicznych czyli w większości organizacji bez wypracowanej praktyki oceny.

Co trzeba ustalić przed decyzją

Samoidentyfikacja ma trzy kroki. Kolejność ma znaczenie: pominięcie pierwszego prowadzi do liczenia wielkości podmiotu, który i tak nie mieści się w żadnym sektorze.

Czy działalność mieści się w sektorach z załącznika nr 1 albo nr 2

Załącznik nr 1 obejmuje sektory kluczowe: energię (w tym wydobywanie kopalin, energię elektryczną, ciepło, ropę i paliwa, gaz, energetykę jądrową i wodór), transport lotniczy, kolejowy, wodny i drogowy, bankowość i infrastrukturę rynków finansowych, ochronę zdrowia wraz z produkcją i dystrybucją produktów leczniczych oraz wyrobów medycznych, zaopatrzenie w wodę pitną, zbiorowe odprowadzanie ścieków, infrastrukturę cyfrową i komunikację elektroniczną, zarządzanie usługami ICT, przestrzeń kosmiczną oraz podmioty publiczne.

Załącznik nr 2 obejmuje sektory ważne: usługi pocztowe, inwestycje energetyki jądrowej, gospodarowanie odpadami, produkcję i dystrybucję chemikaliów, produkcję i dystrybucję żywności, produkcję wyrobów medycznych, komputerów i elektroniki, urządzeń elektrycznych, maszyn, pojazdów samochodowych i pozostałego sprzętu transportowego, dostawców usług cyfrowych, badania naukowe oraz podmioty publiczne.

Rozstrzyga rzeczywisty charakter działalności a nie kod PKD. Kod jest wskazówką i punktem wyjścia, ale organizacja o rozbudowanym profilu często prowadzi jedną linię biznesową wchodzącą do załącznika i kilka pozostających poza nim. Producent maszyn, który równolegle świadczy usługi utrzymania systemów sterowania dla klientów, powinien ocenić obie działalności osobno i dopiero potem ustalić, jak wpływają na kwalifikację całego podmiotu.

Warto też sprawdzić czy pozycja w załączniku nie jest warunkowa. Przykładem jest urząd gminy: mieści się w sektorze podmiotów publicznych ale tylko wtedy gdy na 1 stycznia danego roku zatrudnia w przeliczeniu na pełny wymiar czasu pracy co najmniej 50 osób na podstawie umowy o pracę.

Jaka jest wielkość podmiotu — liczona razem z grupą

Wielkość ustala się według załącznika I do rozporządzenia Komisji (UE) nr 651/2014, czyli tą samą metodą, którą organizacje znają z prawa pomocy publicznej. Dane bierze się według stanu na dzień sporządzenia sprawozdania finansowego.

Kategoria	Zatrudnienie	Warunek finansowy
Mikroprzedsiębiorca	poniżej 10 osób	obrót roczny albo suma bilansowa do 2 mln EUR
Mały przedsiębiorca	poniżej 50 osób	obrót roczny albo suma bilansowa do 10 mln EUR
Średni przedsiębiorca	poniżej 250 osób	obrót roczny do 50 mln EUR albo suma bilansowa do 43 mln EUR

Konstrukcja tej definicji jest ważniejsza, niż wygląda. Warunek zatrudnienia i warunek finansowy działają łącznie ale sam warunek finansowy jest alternatywą — wystarczy spełnić jedno z dwóch kryteriów. Z tego wynika, jak wygląda przekroczenie kategorii średniego przedsiębiorcy, od którego zależy status podmiotu kluczowego: organizacja przewyższa te wymogi, jeżeli zatrudnia co najmniej 250 osób albo jednocześnie przekracza oba progi finansowe. Firma zatrudniająca 120 osób, z obrotem 70 mln EUR i sumą bilansową 60 mln EUR, przekracza kategorię średniego przedsiębiorcy mimo niewielkiego zatrudnienia. Odwrotnie: przy 300 osobach nie ma już znaczenia, jakie są wyniki finansowe.

Istotne jest też to, czego ta metoda nie pozwala zrobić: nie pozwala patrzeć na spółkę w oderwaniu od grupy. Przy obliczaniu progów uwzględnia się przedsiębiorstwa powiązane i partnerskie, więc spółka celowa zatrudniająca kilkanaście osób, należąca do dużej grupy kapitałowej, po doliczeniu danych grupy zwykle przestaje być małym przedsiębiorcą. To najczęstsze źródło błędnej samooceny w organizacjach o złożonej strukturze właścicielskiej.

Ustawa przewiduje jednak od tej reguły wyraźny wyjątek i to on rozstrzyga część spraw w grupach kapitałowych. Jeżeli podmiot przekracza progi wyłącznie dlatego, że doliczono mu dane przedsiębiorstw powiązanych lub partnerskich, ale jego system informacyjny jest niezależny od ich systemów albo nie świadczy z nimi usług wspólnie — nie jest podmiotem kluczowym ani ważnym. Ocena niezależności systemów przestaje więc być kwestią techniczną i staje się elementem kwalifikacji prawnej, który trzeba udokumentować równie starannie jak wyliczenie progów.

Status ustala się osobno dla każdego podmiotu — grupa nie podlega ustawie jako całość.

Czy podmiot należy do kategorii objętych niezależnie od wielkości

Ten krok bywa pomijany, a rozstrzyga najwięcej przypadków brzegowych. Trzeba przy tym pamiętać, że ustawa przewiduje dwa osobne katalogi: jeden po stronie podmiotów kluczowych, drugi po stronie ważnych.

Niezależnie od wielkości podmiotem kluczowym są między innymi dostawcy usług DNS, rejestry nazw domen najwyższego poziomu i podmioty świadczące usługi rejestracji nazw domen, kwalifikowani dostawcy usług zaufania, podmioty krytyczne, operatorzy obiektów energetyki jądrowej, podmioty publiczne wskazane w załączniku nr 1 w sektorze podmiotów publicznych oraz podmioty niebędące przedsiębiorcami, wskazane w tym załączniku z nazwy albo przez określenie rodzaju.

Niezależnie od wielkości podmiotem ważnym są między innymi niekwalifikowani dostawcy usług zaufania będący mikro-, małymi lub średnimi przedsiębiorcami, przedsiębiorcy komunikacji elektronicznej będący mikro- lub małymi przedsiębiorcami, inwestorzy obiektów energetyki jądrowej, którzy uzyskali decyzję zasadniczą, podmioty niebędące przedsiębiorcami wskazane w załączniku nr 2, a także samorządowe jednostki budżetowe, samorządowe zakłady budżetowe, samorządowe instytucje kultury oraz spółki wykonujące zadania o charakterze użyteczności publicznej, jeżeli realizują zadanie publiczne z wykorzystaniem systemów informacyjnych. Ten ostatni punkt obejmuje bardzo dużą grupę jednostek samorządowych i jest najczęściej pomijany w samoocenach.

Osobno ustawa obniża próg wielkości dla dwóch rodzajów działalności. Przedsiębiorca komunikacji elektronicznej jest podmiotem kluczowym już od poziomu średniego przedsiębiorcy. Dostawca usług zarządzanych w zakresie cyberbezpieczeństwa — od poziomu małego. To rozróżnienie warto czytać dosłownie: obniżony próg dotyczy dostawcy usług zarządzanych w zakresie cyberbezpieczeństwa, a nie każdego dostawcy usług zarządzanych. Załącznik nr 1 wymienia oba rodzaje osobno i przypisuje im różne konsekwencje.

Podmioty lecznicze niebędące przedsiębiorcami mają własną regułę: przy zatrudnieniu od 50 do 249 osób są podmiotami ważnymi, przy co najmniej 250 — kluczowymi.

Czy podmiot jest kluczowy, czy ważny

Kwalifikacja nie kończy się na odpowiedzi „podlegam”. Podmiotem kluczowym jest organizacja z sektora z załącznika nr 1, która przewyższa wymogi dla średniego przedsiębiorstwa, oraz każda kategoria z katalogu kluczowego. Podmiotem ważnym — organizacja z sektora z załącznika nr 1, która wymogi dla średniego przedsiębiorcy spełnia, ale ich nie przewyższa, organizacja z sektora z załącznika nr 2 od poziomu średniego przedsiębiorcy wzwyż oraz kategorie z katalogu ważnego. Jeżeli podmiot spełnia wymogi obu kategorii, jest podmiotem kluczowym.

Katalog podstawowych obowiązków jest w obu kategoriach zbliżony: wpis do wykazu, system zarządzania bezpieczeństwem informacji, obsługa i zgłaszanie incydentów, korzystanie z systemu S46, wyznaczenie co najmniej dwóch osób do kontaktów z podmiotami krajowego systemu cyberbezpieczeństwa oraz odpowiedzialność kierownika podmiotu. Różnice są trzy i wszystkie mają wymiar finansowy albo organizacyjny.

Pierwsza to audyt. Cykliczny audyt bezpieczeństwa systemu informacyjnego, przeprowadzany co najmniej raz na trzy lata licząc od podpisania poprzedniego raportu, obciąża wyłącznie podmioty kluczowe. Podmiotowi ważnemu organ może nakazać audyt zewnętrzny, ale dopiero w razie incydentu poważnego albo innego naruszenia przepisów.

Druga to nadzór. Podmioty kluczowe podlegają nadzorowi prewencyjnemu i następczemu, podmioty ważne — wyłącznie następczemu, a katalog środków nadzorczych wobec nich jest węższy.

Trzecia to kary. Podmiot kluczowy odpowiada do 10 mln euro albo 2 % przychodów z działalności gospodarczej za poprzedni rok obrotowy, przy czym stosuje się kwotę wyższą, i nie mniej niż 20 tys. zł. Podmiot ważny — do 7 mln euro albo 1,4 % przychodów, nie mniej niż 15 tys. zł. Niezależnie od kategorii ustawa przewiduje karę do 100 mln zł, gdy naruszenie powoduje bezpośrednie i poważne zagrożenie dla obronności, bezpieczeństwa państwa, porządku publicznego albo życia i zdrowia ludzi.

Dla zarządu wniosek jest praktyczny: kategoria decyduje o skali nakładu pracy, o cyklu audytowym i o poziomie ryzyka finansowego. Dlatego kwalifikację rozstrzyga się przed ustaleniem budżetu, a nie po nim.

Co zmienia status podmiotu publicznego

Podmioty publiczne trafiają do systemu dwiema drogami — jako podmioty kluczowe z załącznika nr 1 albo jako podmioty ważne z katalogu samorządowego — ale mają własny, uproszczony reżim wymagań. Podmiot ważny będący podmiotem publicznym nie stosuje ogólnego przepisu o systemie zarządzania bezpieczeństwem informacji; wdraża system według odrębnego załącznika do ustawy, który wymienia konkretne działania, w tym szkolenie osób zaangażowanych w przetwarzanie informacji, zasady korzystania z ogólnodostępnych usług chmurowych i ogólnodostępnych dużych modeli generatywnej sztucznej inteligencji, a także przegląd systemu co najmniej raz w roku. Ten sam podmiot jest też zwolniony z części obowiązków sprawozdawczych przy incydentach.

To istotna informacja dla jednostek samorządowych, które w komunikacji rynkowej bywają traktowane tak samo jak duże przedsiębiorstwa — zakres pracy jest u nich inny i wynika z innego przepisu.

Co zmienia DORA w sektorze finansowym

Bankowość i infrastruktura rynków finansowych znajdują się w załączniku nr 1, więc podmioty z tego sektora podlegają ustawie o KSC. Zakres ich obowiązków jest jednak inny, a podstawa jest krajowa i wprost wskazana: ustawa wyłącza wobec tego sektora stosowanie przepisów o systemie zarządzania bezpieczeństwem informacji oraz o zgłaszaniu incydentów poważnych, zachowując przy tym przepisy o kwalifikacji, wpisie do wykazu, odpowiedzialności kierownika podmiotu, osobach do kontaktów i terminach realizacji obowiązków. W praktyce instytucja finansowa realizuje wymagania rozporządzenia DORA, a jednocześnie musi wykazać poprawną kwalifikację i rejestrację w krajowym wykazie.

Warto przy tym czytać załącznik dosłownie. Sektor obejmuje instytucje kredytowe, banki krajowe, oddziały banków zagranicznych, kasy oszczędnościowo-kredytowe, podmioty prowadzące rynek regulowany, alternatywny system obrotu i zorganizowaną platformę obrotu oraz administratorów kluczowych wskaźników referencyjnych. Nie wymienia instytucji płatniczych, zakładów ubezpieczeń, towarzystw funduszy inwestycyjnych ani firm inwestycyjnych — te nie są z tego tytułu podmiotami kluczowymi ani ważnymi, choć ustawa przewiduje wobec podmiotów finansowych spoza tego kręgu odrębne obowiązki i odrębną karę pieniężną.

Do kiedy kwalifikacja musi być gotowa

Harmonogram rejestracji nie wynika wprost z ustawy — ustawa deleguje go do komunikatu ministra właściwego do spraw informatyzacji i pozwala ten komunikat zmienić, jeżeli wpisy nie będą możliwe z przyczyn technicznych lub organizacyjnych. Obowiązujący komunikat z 8 kwietnia 2026 r. wyznacza:

Termin	Co się dzieje
3 kwietnia 2026 r.	Nowelizacja ustawy o KSC weszła w życie
7 maja – 3 października 2026 r.	Składanie wniosków o wpis przez podmioty kluczowe i ważne, z wyłączeniem wpisywanych z urzędu
8 kwietnia 2026 – 3 kwietnia 2027 r.	Rozpoczęcie korzystania z systemu S46 przez podmioty będące stronami wcześniejszych porozumień
12 czerwca 2026 – 3 kwietnia 2027 r.	Rozpoczęcie korzystania z systemu S46 przez pozostałe podmioty
3 kwietnia 2027 r.	Koniec dwunastomiesięcznego terminu na realizację obowiązków przez podmioty, które spełniały przesłanki 3 kwietnia 2026 r.
3 kwietnia 2028 r.	Upływ dwudziestoczteromiesięcznego terminu na pierwszy audyt podmiotów kluczowych; po tej dacie mogą też być po raz pierwszy nakładane kary pieniężne

Dla samej kwalifikacji wiążąca jest data 3 października 2026 r. — ostatni dzień okresu samorejestracji. W chwili tej aktualizacji zostało na nią około sześciu tygodni. Dwa zastrzeżenia są przy tym istotne. Termin ten dotyczy podmiotów, które spełniały przesłanki w dniu wejścia ustawy w życie; podmiot, który spełni je później, ma na złożenie wniosku sześć miesięcy od tego momentu. Dla podmiotów wpisanych z urzędu termin jest indywidualny i biegnie od doręczenia wezwania do uzupełnienia danych.

Odroczenie kar również ma granicę, o której warto wiedzieć: nie obejmuje kary nadzwyczajnej do 100 mln zł. Ta może zostać nałożona od początku obowiązywania ustawy.

Cztery możliwe wyniki kwalifikacji

Wynik	Kiedy zachodzi	Co robić do 3 października 2026 r.	Co dalej
Podmiot kluczowy	Sektor z załącznika nr 1 powyżej progów średniego przedsiębiorcy, obniżony próg dla komunikacji elektronicznej i usług zarządzanych w zakresie cyberbezpieczeństwa albo kategoria z katalogu kluczowego	Wpis do wykazu wraz z udokumentowaną kwalifikacją	Pełny zakres obowiązków, cykl audytowy, nadzór prewencyjny i następczy, wyższy pułap kar
Podmiot ważny	Sektor z załącznika nr 1 na poziomie średniego przedsiębiorcy, sektor z załącznika nr 2 od poziomu średniego wzwyż albo kategoria z katalogu ważnego — w tym jednostki samorządowe	Wpis do wykazu wraz z udokumentowaną kwalifikacją	Zbliżony zakres obowiązków bez cyklicznego audytu, nadzór wyłącznie następczy, niższy pułap kar; podmioty publiczne — uproszczony system według załącznika
Poza zakresem, ale dostawca podmiotów objętych	Brak sektora albo brak progu, przy jednoczesnej obsłudze podmiotów kluczowych i ważnych	Notatka z kwalifikacji; przegląd wymagań bezpieczeństwa w umowach z klientami	Wymagania przychodzą kontraktem, nie ustawą — ankiety, zapisy umowne, prawo do audytu
Poza zakresem	Brak sektora, brak progu, brak kategorii szczególnej — albo wyłączenie z uwagi na niezależność systemów w grupie	Notatka z kwalifikacji i wskazanie, kto ponawia ocenę przy zmianach	Ponowna ocena przy wzroście, przejęciu, wejściu do grupy albo nowej linii usług

Trzeci wiersz dotyczy większej liczby organizacji, niż wynikałoby to z samego zakresu ustawy. Podmioty kluczowe i ważne mają obowiązek zarządzać ryzykiem w łańcuchu dostaw, a jedynym praktycznym narzędziem, jakim dysponują, są wymagania umowne i weryfikacja. Dostawcy usług informatycznych, utrzymania, logistyki czy serwisu technicznego dostają więc pytania o zabezpieczenia, czasy reakcji na incydent, uprawnienia zdalnego dostępu i prawo do audytu — niezależnie od własnego statusu. Dla takiej organizacji uporządkowanie podstaw najczęściej okazuje się tańsze niż odpowiadanie ad hoc na kolejne ankiety bezpieczeństwa od każdego klienta osobno.

Najczęstsze błędy

• Kwalifikacja według kodu PKD. Rozstrzyga rzeczywista działalność. Organizacje wielobranżowe muszą ocenić każdą istotną linię osobno.
• Liczenie wielkości bez grupy kapitałowej — i odwrotnie, doliczanie grupy bez sprawdzenia wyjątku. Pominięcie przedsiębiorstw powiązanych i partnerskich zaniża wynik. Ale automatyczne doliczenie ich danych bez zbadania niezależności systemów informacyjnych zawyża go i potrafi wciągnąć do systemu podmiot, który ustawie nie podlega.
• Szukanie kategorii bezwielkościowych tylko po stronie podmiotów kluczowych. Drugi katalog, po stronie podmiotów ważnych, obejmuje między innymi samorządowe jednostki budżetowe i spółki komunalne. Jego pominięcie wyklucza z zakresu setki jednostek, które w nim są.
• Mylenie dostawcy usług zarządzanych z dostawcą usług zarządzanych w zakresie cyberbezpieczeństwa. Obniżony próg dotyczy tylko tego drugiego.
• Traktowanie kwalifikacji jako czynności jednorazowej. Wzrost zatrudnienia, przekroczenie progu obrotu, wejście do grupy, nowa linia usług albo przejęcie spółki zmieniają wynik. Obowiązek złożenia wniosku wiąże się z momentem spełnienia przesłanek, a nie z pierwszym terminem rejestracji.
• Brak zapisu z oceny. Notatka wskazująca, jakie dane wzięto pod uwagę, jaką działalność przypisano do załącznika, jak policzono wielkość i kto zatwierdził wniosek, jest dowodem należytej staranności. Przy wyniku negatywnym to jedyny ślad, że decyzja w ogóle zapadła.

Wnioski i dalsze kroki

Odpowiedź na pytanie z tytułu rozstrzyga się w trzech krokach i zawsze w tej samej kolejności: sektor, wielkość liczona razem z grupą i z uwzględnieniem wyjątku dla niezależnych systemów, kategorie objęte niezależnie od wielkości — po obu stronach podziału. Dopiero po nich przypisuje się kategorię podmiotu, bo od niej zależy zakres pracy, cykl audytowy i poziom ryzyka finansowego.

Sensowna kolejność prac jest niezależna od branży. Najpierw ustal, które działalności odpowiadają sektorom z załączników i czy któraś jednostka w grupie mieści się w którymkolwiek z katalogów bezwielkościowych. Następnie policz wielkość osobno dla każdego podmiotu, z uwzględnieniem przedsiębiorstw powiązanych i partnerskich — a jeżeli to właśnie one przesądzają o przekroczeniu progu, zbadaj i opisz niezależność systemów informacyjnych. Potem przypisz kategorię, udokumentuj wnioski i zdecyduj o wpisie do wykazu. Na końcu wskaż osobę, która ponowi ocenę przy istotnej zmianie danych.

Wynik tej pracy jest krótki: lista podmiotów, które podlegają, ich kategorie, uzasadnienie i nazwana odpowiedzialność za dalsze kroki. To wystarczający materiał, żeby zarząd podjął decyzję o zakresie wdrożenia, i wystarczający dowód, że kwalifikacja została przeprowadzona świadomie. Co z niego wynika dla samego zarządu — kto jest kierownikiem podmiotu i od czego zacząć prace — opisałem w materiale Od czego zarząd powinien rozpocząć przygotowanie do NIS2?. Organizacja, która ustaliła, że nie podlega, kończy pracę na tym samym dokumencie — z tą różnicą, że jest on jedynym śladem przeprowadzonej analizy.

Materiały powiązane

• Od czego zarząd powinien rozpocząć przygotowanie do NIS2? — kolejny etap: co zrobić, gdy kwalifikacja jest już rozstrzygnięta i trzeba ustalić odpowiedzialność oraz punkt wyjścia.
• Co zrobić po wykryciu incydentu? — sekwencja pierwszej doby i terminy zgłoszeń, które zaczynają obowiązywać po ustaleniu statusu podmiotu.
• Czy każde naruszenie ochrony danych trzeba zgłosić? — obowiązki wobec UODO, które przy podmiotach objętych ustawą o KSC biegną równolegle do zgłoszeń do CSIRT.
• Kiedy i jak złożyć wniosek o wpis do wykazu podmiotów kluczowych i ważnych? — terminy, dane do wniosku i oświadczenie kierownika podmiotu.

Źródła

• Ustawa z dnia 5 lipca 2018 r. o krajowym systemie cyberbezpieczeństwa, tekst ujednolicony — Kancelaria Sejmu, ISAP: isap.sejm.gov.pl (dostęp: 18.08.2026)
• Ustawa z dnia 23 stycznia 2026 r. o zmianie ustawy o krajowym systemie cyberbezpieczeństwa oraz niektórych innych ustaw (Dz.U. 2026 poz. 252) — przepisy przejściowe, Dziennik Ustaw: dziennikustaw.gov.pl (dostęp: 18.08.2026)
• Rozporządzenie Komisji (UE) nr 651/2014, załącznik I — definicja mikro-, małych i średnich przedsiębiorstw — EUR-Lex: eur-lex.europa.eu (dostęp: 18.08.2026)
• Komunikat Ministra Cyfryzacji z dnia 8 kwietnia 2026 r. w sprawie harmonogramu złożenia wniosków o wpis do wykazu podmiotów kluczowych i podmiotów ważnych (Dz. Urz. Min. Cyfr. poz. 7) — Ministerstwo Cyfryzacji: gov.pl (dostęp: 18.08.2026)
• Dyrektywa Parlamentu Europejskiego i Rady (UE) 2022/2555 (NIS2) — EUR-Lex: eur-lex.europa.eu (dostęp: 18.08.2026)
• Nowelizacja ustawy o KSC — jak dokonać samoidentyfikacji? — Ministerstwo Cyfryzacji: gov.pl (dostęp: 18.08.2026)