# Które państwa UE wpisać do wykazu KSC? Sprzedaż za granicę, oddział, spółka z grupy Art. 7 ust. 2 pkt 14 ustawy o KSC pyta, w których państwach UE wykonujesz działalność. Oddział, eksport, spółka matka, wysyłka dla grupy: co wpisać i dlaczego. - Adres: - Autor: [Paweł Rosół](https://pelnomocnikcyber.pl/autor/pawel-rosol/) - Data publikacji: 30.10.2026 - Kategoria: [Ustawa o KSC](https://pelnomocnikcyber.pl/kategorie/ustawa-o-ksc/) - Stan prawny sprawdzony: 30.10.2026 - Licencja: [CC BY 4.0](https://creativecommons.org/licenses/by/4.0/deed.pl) We wniosku o wpis do wykazu podmiotów kluczowych i ważnych jest informacja, którą łatwo wypełnić odruchowo: w których państwach Unii podmiot wykonuje działalność. Ustawa poświęca jej jedno zdanie. Ministerstwo Cyfryzacji w pytaniu 2.10 swojego FAQ to zdanie powtarza, a na stronach instrukcji S46, które przeczytałem 30 października 2026 r., nie znalazłem o tym ani słowa. Dalsza część tekstu to w dużej mierze moja wykładnia i tak ją oznaczam. **Wpisałbym państwa UE, w których sam podmiot składający wniosek stale świadczy usługę objętą ustawą albo sprzedaje swój wyrób we własnym imieniu. Działalność spółek z grupy i siedziba spółki matki tej listy nie wyznaczają.** ## Co dokładnie mówi przepis? Art. 7 ust. 2 pkt 14 ustawy o KSC wymienia wśród danych w wykazie „informację określającą, w których państwach członkowskich Unii Europejskiej podmiot kluczowy lub podmiot ważny wykonuje działalność, wraz z określeniem rodzaju wykonywanej działalności”. Z samego tekstu wynikają trzy rzeczy. Pytanie dotyczy tylko państw członkowskich UE, więc Szwajcaria czy Wielka Brytania nie mają tu czego szukać. Dotyczy działalności tego podmiotu, a nie jego grupy. I oprócz nazwy państwa trzeba określić rodzaj działalności. Ustawa nie definiuje za to „wykonywania działalności” i nie podaje żadnego progu: ani liczby transakcji, ani udziału w przychodach. Podpowiedź dają dwa inne przepisy. Art. 3 ust. 4 lit. d dyrektywy NIS2 wymaga od państw członkowskich zebrania „wykazu państw członkowskich, w których świadczą one usługi objęte zakresem stosowania niniejszej dyrektywy”, a art. 49 ust. 5 pkt 9 ustawy o KSC, opisując dane z wykazu przekazywane ENISA o dostawcach cyfrowych, mówi o państwach, „w których podmiot świadczy usługi”. Dlatego czytam pkt 14 jako pytanie o to, gdzie podmiot faktycznie dostarcza to, z powodu czego podlega ustawie. ## Czym to pole nie jest? Trzy inne przepisy brzmią podobnie i odpowiadają na inne pytania. Art. 5a ust. 1 rozstrzyga, czy podmiot w ogóle podlega polskiej ustawie: gdy ma miejsce zamieszkania w Polsce albo prowadzi tu działalność „przez swoje siedziby, oddziały lub w ramach działalności transgranicznej”. Dotyczy więc działalności w Polsce i nie mówi nic o tym, co polska spółka wpisuje na temat Niemiec. Art. 7 ust. 2 pkt 15 to główne miejsce prowadzenia działalności, ustalane według art. 5a ust. 3 do 6 tylko dla wymienionych tam dostawców, między innymi chmury obliczeniowej, usług DNS, centrów przetwarzania danych i usług zarządzanych. Takie podmioty podają i główne miejsce, i państwa z pkt 14. Główne miejsce jest jedno, państw może być wiele. Art. 5 ust. 6 i 7 ustawy o KSC, czytane razem z załącznikiem I do rozporządzenia 651/2014/UE, dotyczą wielkości przedsiębiorstwa. Dane spółek powiązanych mogą decydować o tym, że podmiot jest kluczowy albo ważny, ale z tego nie wynika, że ich rynki trafiają do jego wpisu. ## Jak wypełniłbym to w typowych przypadkach? | Sytuacja | Wpisać państwo? | Na czym to opieram | |---|---|---| | Podmiot działa wyłącznie w Polsce | Polska | Polska jest państwem członkowskim, a dane z pkt 14 należą do wniosku (art. 7c ust. 2) | | Oddział tej samej spółki w innym państwie UE | tak | oddział należy do tej samej osoby prawnej; art. 5a ust. 1 wymienia oddziały wśród form prowadzenia działalności | | Stałe świadczenie usługi objętej ustawą klientom w innym państwie UE, bez oddziału | tak | NIS2 art. 3 ust. 4 lit. d; brak oddziału nie zmienia tego, gdzie usługa jest świadczona | | Dostawca chmury, DNS, centrum danych lub usług zarządzanych z klientami w kilku państwach UE | tak, wraz z głównym miejscem z pkt 15 | art. 49 ust. 5 pkt 9 i 10; NIS2 art. 27 ust. 2 lit. e | | Spółka zależna w innym państwie sprzedaje we własnym imieniu | nie w twoim wpisie | jest odrębnym podmiotem; ministerstwo tak traktuje spółki z grupy (FAQ 2.9 i 3.34) | | Spółka matka ma siedzibę za granicą, a usługa jest świadczona tylko w Polsce | nie | pkt 14 pyta o miejsce działalności podmiotu, a nie o siedzibę właściciela | | Usługa dla spółki matki, dostarczana i wykorzystywana w jej państwie | tak, jeśli to działalność objęta ustawą | liczy się miejsce świadczenia usługi | | Sama wysyłka do klientów powiązanej spółki, która od nich przyjmuje zamówienia i wystawia im faktury | zwykle nie | sprzedaje ktoś inny; sprawdź umowy, patrz niżej | | Pojedyncza, przypadkowa transakcja | nie | moim zdaniem to jeszcze nie wykonywanie działalności; ustawa progu nie podaje | | Działalność za granicą poza zakresem ustawy, na przykład doradztwo prowadzone przez wodociągi | moim zdaniem nie | NIS2 mówi o usługach „objętych zakresem stosowania”; polski tekst tego zastrzeżenia nie ma, więc decyzję warto zapisać | | Szwajcaria, Wielka Brytania, Norwegia | nie | pkt 14 mówi o państwach członkowskich Unii Europejskiej | Oprócz wiersza o Szwajcarii i podobnych państwach, który wynika wprost z ustawy, to moje odczytanie. Ministerstwo na te pytania wprost nie odpowiedziało. ## Producent, który sprzedaje za granicę To najtrudniejszy przypadek i uczciwie mówiąc, da się go obronić na dwa sposoby. Załącznik nr 2 do ustawy w podsektorach produkcji mówi o przedsiębiorcy prowadzącym działalność z określonych działów NACE Rev. 2. Jeśli cała produkcja odbywa się w Polsce, można twierdzić, że tylko tu wykonywana jest działalność objęta ustawą. Można też uznać, że regularna sprzedaż wyrobów klientom w Niemczech jest wykonywaniem tej działalności również w Niemczech. Ja wybrałbym drugie odczytanie i wpisał państwa, w których spółka sprzedaje we własnym imieniu w sposób powtarzalny. Wykaz służy między innymi wymianie informacji o incydentach i podatnościach oraz nadzorowi (art. 7 ust. 1 pkt 2 i 3), a przy awarii u producenta klienci w tych państwach będą jej skutki odczuwać. Nie mam dla tej odpowiedzi źródła urzędowego. Jeśli ministerstwo odpowie inaczej, zmiana wpisu jest prosta. Sama wysyłka to co innego. Gdy polska spółka pakuje i nadaje towar, a klient zamawia u spółki powiązanej w innym państwie i to ona wystawia mu fakturę, adres dostawy nie przesądza sprawy. Sprawdziłbym, kto zawiera umowę z klientem, kto przyjmuje zamówienia, kto odpowiada za wady i kto wykonuje montaż albo serwis na miejscu. Jeśli montaż i serwis u klienta należą do polskiej spółki, wpisałbym to państwo. ## Czy wpis w Polsce załatwia sprawę w innych państwach? Nie. Pkt 14 to informacja dla polskiego wykazu i nie zastępuje obowiązków wynikających z prawa innego państwa. Motyw 113 dyrektywy NIS2 mówi, że podmiot, który świadczy usługi lub ma miejsce prowadzenia działalności w więcej niż jednym państwie członkowskim, „powinien podlegać odrębnej i równoczesnej jurysdykcji każdego z tych państw członkowskich”. Art. 26 ust. 1 dyrektywy wiąże jurysdykcję z miejscem prowadzenia działalności, a motyw 114 wyjaśnia, że chodzi o faktyczne prowadzenie działalności poprzez stabilne struktury, niezależnie od ich formy prawnej. Spółka z oddziałem za granicą powinna więc sprawdzić tamtejsze przepisy wdrażające NIS2. Dostawców wymienionych w art. 26 ust. 1 lit. b dyrektywy, czyli między innymi chmurę i usługi zarządzane, obejmuje jurysdykcja jednego państwa, tego z głównym miejscem prowadzenia działalności. Prawa innych państw w tym tekście nie omawiam. Pkt 14 trzeba też odróżnić od pytania o incydent. Wczesne ostrzeżenie zawiera określenie, czy incydent dotyczy innych państw członkowskich (art. 12 ust. 1 pkt 6 ustawy o KSC), i o odpowiedzi decydują skutki tego incydentu, a nie lista z wykazu. ## Co, jeśli lista będzie błędna? Wniosek zawiera oświadczenie kierownika podmiotu składane pod rygorem odpowiedzialności karnej z art. 233 § 6 Kodeksu karnego. Art. 7c ust. 5 ustawy o KSC wyłącza z tej odpowiedzialności tylko zakresy adresów IP i nazw domenowych, więc informacja o państwach jest nią objęta. Przy przepisie tak niejasnym najlepszą ochroną jest zapisane uzasadnienie decyzji. Organ właściwy może sprawdzać zgodność danych w wykazie ze stanem faktycznym. Gdy stwierdzi rozbieżność, wzywa do zmiany wpisu w terminie 7 dni od doręczenia wezwania (art. 7k ust. 1 i 2), a niewykonanie wezwania jest podstawą kary z art. 73 ust. 1 pkt 1. Pierwsze takie kary mogą zostać nałożone po 3 kwietnia 2028 r. (art. 35 ustawy zmieniającej). Wpis z urzędu niczego tu nie zmienia: ministerstwo w pytaniu 2.41 pisze, że nie zwalnia on z weryfikacji wpisanych danych. Lista się też starzeje. Art. 7c ust. 3 nakazuje złożyć wniosek o zmianę wpisu w zakresie danych z art. 7 ust. 2 pkt 1 do 18 w terminie 14 dni od dnia ich zmiany, a instrukcja S46 wśród przykładów zmian podaje „zmianę zakresu działalności”. Ustawa nie mówi, kiedy nowy rynek staje się zmianą danych. Liczyłbym 14 dni od otwarcia oddziału albo od podpisania pierwszej umowy zakładającej stałe świadczenie w danym państwie. Mechanikę wniosku opisałem w tekście o [rejestracji w systemie S46](https://pelnomocnikcyber.pl/artykuly/jak-zarejestrowac-sie-w-systemie-s46-i-zglaszac-incydenty/). ## Od czego zacząć? Od jednej strony z tabelą: państwo, rodzaj działalności, kto zawiera umowę z klientem, jak często tam sprzedajesz lub świadczysz, kto odpowiada wobec klienta. Dane o sprzedaży dostaniesz z księgowości, a o strukturze umów z działu handlowego. Pod tabelą dopisz decyzję dla każdego państwa, jej uzasadnienie i datę, a potem wpisz do kalendarza coroczny przegląd oraz sprawdzenie przy każdym nowym oddziale i każdym nowym rynku. Gdy tabela nie rozstrzyga sprawy, zapytaj organ właściwy dla swojego sektora i zachowaj odpowiedź razem z tą notatką. ## Pojęcia w tym tekście - [Wykaz podmiotów kluczowych i ważnych](https://pelnomocnikcyber.pl/slownik/wykaz-podmiotow-kluczowych-i-waznych/): Rejestr podmiotów kluczowych i ważnych prowadzony w systemie S46. Służy ich identyfikacji, wymianie informacji o incydentach i nadzorowi. - [System S46](https://pelnomocnikcyber.pl/slownik/system-s46/): System teleinformatyczny ministra właściwego do spraw informatyzacji, przez który zgłasza się incydenty i prowadzi wykaz podmiotów. Nazwa S46 jest potoczna, od numeru artykułu. - [Ustawa o KSC](https://pelnomocnikcyber.pl/slownik/ustawa-o-ksc/): Ustawa z dnia 5 lipca 2018 r. o krajowym systemie cyberbezpieczeństwa. Po nowelizacji z 2026 r. wdraża dyrektywę NIS2 i określa obowiązki podmiotów kluczowych i ważnych. - [Podmiot kluczowy](https://pelnomocnikcyber.pl/slownik/podmiot-kluczowy/): Podmiot z sektorów ustawy o KSC, który ze względu na wielkość albo rodzaj działalności ma najszersze obowiązki, w tym audyt bezpieczeństwa co najmniej raz na trzy lata. - [Podmiot ważny](https://pelnomocnikcyber.pl/slownik/podmiot-wazny/): Podmiot z sektorów ustawy o KSC, który spełnia jej kryteria, ale nie jest podmiotem kluczowym. Wdraża SZBI i zgłasza incydenty poważne tak jak podmiot kluczowy. - [Dyrektywa NIS2](https://pelnomocnikcyber.pl/slownik/nis2/): Dyrektywa Parlamentu Europejskiego i Rady (UE) 2022/2555 z dnia 14 grudnia 2022 r. o cyberbezpieczeństwie w Unii. W Polsce wdraża ją ustawa o KSC po nowelizacji z 2026 r. - [Incydent](https://pelnomocnikcyber.pl/slownik/incydent/): Zdarzenie, które szkodzi albo może zaszkodzić bezpieczeństwu systemów informacyjnych. Zgłaszać trzeba nie każdy incydent, tylko incydent poważny. - [Podatność](https://pelnomocnikcyber.pl/slownik/podatnosc/): Słabość produktu lub usługi ICT, którą można wykorzystać do ataku. Znane podatności dostają identyfikatory CVE, a te wykorzystywane w atakach trafiają do katalogu KEV. - [Wczesne ostrzeżenie](https://pelnomocnikcyber.pl/slownik/wczesne-ostrzezenie/): Pierwsze zgłoszenie incydentu poważnego do CSIRT sektorowego, niezwłocznie i najpóźniej w ciągu 24 godzin od wykrycia. Pełne zgłoszenie idzie w ciągu 72 godzin. - [Kierownik podmiotu](https://pelnomocnikcyber.pl/slownik/kierownik-podmiotu/): Osoba albo organ kierujący podmiotem kluczowym lub ważnym, na przykład zarząd spółki. Odpowiada za cyberbezpieczeństwo podmiotu także wtedy, gdy zadania powierzył innej osobie. ## Najczęściej zadawane pytania ### Czy firma działająca wyłącznie w Polsce wypełnia informację o państwach członkowskich? Art. 7 ust. 2 pkt 14 ustawy o KSC należy do danych, które zawiera wniosek o wpis (art. 7c ust. 2), a Polska jest państwem członkowskim. Moim zdaniem taki podmiot wskazuje więc Polskę i rodzaj wykonywanej działalności. ### Czy spółkę zależną za granicą wpisuje się we wniosku spółki matki? Moim zdaniem nie. Pkt 14 pyta o działalność podmiotu, który składa wniosek, a Ministerstwo Cyfryzacji traktuje spółki z grupy jako odrębne podmioty (FAQ 2.9 i 3.34). Inaczej jest z oddziałem, który należy do tej samej osoby prawnej. ### Ile czasu jest na dopisanie nowego państwa do wpisu? Art. 7c ust. 3 ustawy o KSC nakazuje złożyć wniosek o zmianę wpisu w zakresie danych z art. 7 ust. 2 pkt 1 do 18 w terminie 14 dni od dnia ich zmiany. Pkt 14 mieści się w tym zakresie. ## Źródła 1. [Ustawa z dnia 5 lipca 2018 r. o krajowym systemie cyberbezpieczeństwa, tekst jednolity Dz.U. 2026 poz. 20, ze zmianami](https://eli.gov.pl/eli/DU/2026/20/ogl) 2. [Ustawa z dnia 23 stycznia 2026 r. o zmianie ustawy o krajowym systemie cyberbezpieczeństwa oraz niektórych innych ustaw, Dz.U. 2026 poz. 252](https://eli.gov.pl/eli/DU/2026/252/ogl) 3. [Dyrektywa Parlamentu Europejskiego i Rady (UE) 2022/2555 (NIS2)](https://eur-lex.europa.eu/legal-content/PL/TXT/?uri=CELEX:32022L2555) 4. [Ministerstwo Cyfryzacji, pytania i odpowiedzi do ustawy o KSC, aktualizacja z października 2026 r. (pkt 1.14, 2.9, 2.10, 2.41 i 3.34)](https://cyber.gov.pl/faq) 5. [System S46, „Samorejestracja (wpis do Wykazu KSC)”](https://www.gov.pl/web/system-s46/wpis-do-wykazu-ksc) 6. [System S46, „Jak złożyć wniosek o zmianę wpisu”](https://www.gov.pl/web/system-s46/jak-zlozyc-wniosek-o-zmiane-wpisu) Stan prawny sprawdzony: 30.10.2026. Wpis jest informacją ogólną, nie poradą prawną ([zasady publikacji](https://pelnomocnikcyber.pl/zasady-publikacji/)).