Których dostawców wpisać do wykazu KSC jako dostawcę usług zarządzanych w zakresie cyberbezpieczeństwa?

Przy składaniu wniosku do wykazu podmiotów kluczowych i ważnychWykaz podmiotów kluczowych i ważnych Rejestr podmiotów kluczowych i ważnych prowadzony w systemie S46. Służy ich identyfikacji, wymianie informacji o incydentach i nadzorowi. najwięcej wątpliwości budzi pole, które wygląda niewinnie: dostawca usług zarządzanych w zakresie cyberbezpieczeństwaDostawca usług zarządzanych w zakresie cyberbezpieczeństwa Firma, która na podstawie umowy prowadzi dla podmiotu działania z zakresu zarządzania ryzykiem, na przykład obsługę incydentów, testy lub audyty. Umowa z nią zastępuje własny zespół.. Wpisać tam firmę od serwerów? Audytora? Kancelarię, która pisała procedury? Spółkę matkę, która prowadzi dla nas SOCCentrum operacji bezpieczeństwa Zespół lub usługa, która całą dobę monitoruje systemy firmy, wykrywa podejrzane zdarzenia i uruchamia reakcję na incydent.?

Do wykazu trafia tylko dostawca, z którym podmiot zawarł umowę na realizację zadań z art. 8 lub art. 11 ustawy o KSC. Jeśli te zadania wykonujesz własnymi siłami, pole zostaje puste.

Tak brzmi art. 7 ust. 2 pkt 16 i tak odpowiedziało Ministerstwo Cyfryzacji w październiku 2026 r. (pytanie 2.51 w FAQ). Poniżej rozkładam ten przepis na test, a potem przechodzę przez przypadki, o które pytają mnie klienci.

Co ustawa nakazuje wpisać?

Art. 7 ust. 2 pkt 16 ustawy o KSCUstawa o KSC Ustawa z dnia 5 lipca 2018 r. o krajowym systemie cyberbezpieczeństwa. Po nowelizacji z 2026 r. wdraża dyrektywę NIS2 i określa obowiązki podmiotów kluczowych i ważnych. wymienia wśród danych w wykazie informację o zawarciu umowy z dostawcą usług zarządzanych w zakresie cyberbezpieczeństwa na realizację zadań, o których mowa w art. 8 i art. 11, wraz z danymi tego dostawcy: nazwą (firmą), adresem siedziby, adresem do korespondencji, numerem telefonu i adresem poczty elektronicznej.

W tym jednym zdaniu są trzy warunki i każdy musi być spełniony:

1. jest umowa;
2. druga strona jest dostawcą usług zarządzanych w zakresie cyberbezpieczeństwa w rozumieniu art. 2 pkt 4j;
3. przedmiotem umowy są zadania z art. 8 (system zarządzania bezpieczeństwem informacjiSystem zarządzania bezpieczeństwem informacji Uporządkowany sposób, w jaki podmiot kluczowy lub ważny zarządza bezpieczeństwem systemu używanego do świadczenia usługi, od szacowania ryzyka po obsługę incydentów.) lub art. 11 (obsługa i zgłaszanie incydentów).

Firma, która spełnia dwa z trzech, nie trafia do wykazu. Dostawca SOC bez podpisanej umowy jeszcze nie; audytor, który nie wykonuje zadań z art. 8, też nie, o czym niżej.

Dwie definicje, które łatwo pomylić

Ustawa rozróżnia dwa rodzaje dostawców i to rozróżnienie rozstrzyga większość przypadków.

Dostawca usług zarządzanych (art. 2 pkt 4i) świadczy „usługi związane z instalacją, eksploatacją lub konserwacją produktów ICT, usług ICT, procesów ICT lub systemów informacyjnych przez wsparcie lub aktywną administrację przeprowadzane u usługobiorcy na miejscu lub zdalnie”. To firma, która utrzymuje systemy.

Dostawca usług zarządzanych w zakresie cyberbezpieczeństwa (art. 2 pkt 4j) świadczy „usługi polegające na realizacji lub wsparciu dla realizacji działań związanych z zarządzaniem ryzykiemZarządzanie ryzykiem To, co podmiot robi z oszacowanym ryzykiem: dobiera zabezpieczenia, a ryzyko, którego nie ogranicza, akceptuje świadomie. w cyberbezpieczeństwie, w tym obsługę incydentów, testów bezpieczeństwa, audytów systemów informacyjnych, doradztwo”. To firma, która zarządza ryzykiem albo w tym pomaga.

Do wykazu trafia tylko druga kategoria. Ministerstwo w pytaniu 1.34 zalicza helpdesk do pierwszej: wsparcie w instalacji, eksploatacji i konserwacji to usługa zarządzana, nie usługa zarządzana w zakresie cyberbezpieczeństwa. Ta sama logika obejmuje administrowanie serwerami, siecią i stacjami roboczymi, dopóki umowa nie zawiera zadań z art. 8.

Definicja z pkt 4j nie wymaga, żeby usługa była stała. Jednorazowe testy bezpieczeństwa i doradztwo są w niej wymienione z nazwy.

Test w trzech pytaniach

Przy każdym dostawcy zadaję trzy pytania i odpowiadam na nie na podstawie umowy, nie nazwy usługi.

Po pierwsze: czy dostawca realizuje albo wspiera realizację któregoś z zadań z art. 8 ust. 1 lub art. 11 ust. 1? Lista w art. 8 ust. 1 jest długa: szacowanie ryzykaSzacowanie ryzyka Proces, w którym podmiot ustala, co może zagrozić jego systemom, jak bardzo jest to prawdopodobne i jakie byłyby skutki. W praktyce mówi się też „analiza ryzyka”. (pkt 1), polityki i środki z pkt 2, w tym testowanie systemu (lit. b), monitorowanie w trybie ciągłym (lit. g), ocena skuteczności zabezpieczeń (lit. h), zbieranie informacji o cyberzagrożeniach i podatnościachPodatność Słabość produktu lub usługi ICT, którą można wykorzystać do ataku. Znane podatności dostają identyfikatory CVE, a te wykorzystywane w atakach trafiają do katalogu KEV. (pkt 3), zarządzanie incydentami (pkt 4), aktualizacje oprogramowania (pkt 5 lit. b). Art. 11 ust. 1 to obsługa incydentów i ich zgłaszanie.

Po drugie: czy dostawca robi to w systemie informacyjnym objętym art. 8 ust. 1, czyli wykorzystywanym w procesach wpływających na świadczenie usługi, z powodu której podmiot podlega ustawie? Firma utrzymująca wyłącznie system kadrowy, który na świadczenie usługi nie wpływa, nie wykonuje moim zdaniem zadań z art. 8, bo system zarządzania bezpieczeństwem informacji tego systemu nie obejmuje. Trzeba tylko uczciwie sprawdzić, czy naprawdę nie wpływa; system fakturowy u operatora wodociągu zwykle nie, system bilingowy u dostawcy energii bywa inaczej.

Po trzecie: czy jest na to umowa? Umowa ustna też jest umową, ale do wykazu i do kontroli potrzebny jest dokument z zakresem zadań. Jeśli dostawca „przy okazji” zajmuje się bezpieczeństwem bez zapisu w umowie, to jest to problem z art. 8 ust. 1 pkt 2 lit. e (łańcuch dostaw), a nie powód do pominięcia go w wykazie: trzeba umowę uzupełnić i dostawcę wpisać.

Przypadki

Dwa wiersze wymagają komentarza, bo w sieci krąży odwrotna odpowiedź.

Audytor z art. 15 nie trafia do wykazu, choć „audyty systemów informacyjnych” są w definicji dostawcy. Pkt 16 pyta o umowę na zadania z art. 8 lub art. 11, a art. 15 ust. 2a zakazuje audytorowi realizowania w podmiocie zadań z art. 8 w roku poprzedzającym audyt. Audytor, który spełnia ustawę, z definicji nie jest więc wykonawcą zadań z art. 8. Inaczej z firmą, która robi przegląd zabezpieczeń na potrzeby polityki z art. 8 ust. 1 pkt 2 lit. h: ona wspiera zadanie z art. 8 i do wykazu trafia. To moja wykładnia; ministerstwo nie odpowiedziało na to pytanie wprost.

Spółka z grupy jest dostawcą jak każdy inny. Umowa wewnątrzgrupowa jest umową, a to, że usługodawca ma siedzibę za granicą albo obsługuje tylko spółki z grupy, nie zmienia jego kwalifikacji. W pytaniu 3.45 ministerstwo wymaga nawet, żeby taka spółka publikowała informacje z art. 8g na ogólnodostępnej stronie, a nie w intranecie grupy.

Co wynika z wpisania dostawcy?

Trzy rzeczy, o których podmioty zapominają po złożeniu wniosku.

Umowa z dostawcą musi zawierać wymagania z zakresu cyberbezpieczeństwa, bo dostawca realizujący zadania z art. 8 jest ogniwem łańcucha dostaw z art. 8 ust. 1 pkt 2 lit. e. Co w niej zapisać, opisałem w tekście o łańcuchu dostaw w ustawie o KSC.

Dostawca sam może być podmiotem kluczowym. Art. 5 ust. 1 pkt 3 uznaje za podmiot kluczowy dostawcę usług zarządzanych w zakresie cyberbezpieczeństwa, który spełnia co najmniej wymogi małego przedsiębiorcy. Warto zapytać dostawcę, czy sam jest w wykazie; jego obowiązki z art. 8 i art. 11 działają wtedy na korzyść klienta.

Zmianę dostawcy zgłasza się w 14 dni. Art. 7c ust. 3 nakazuje złożyć wniosek o zmianę wpisu w zakresie danych z art. 7 ust. 2 pkt 1 do 18 w terminie 14 dni od dnia ich zmiany. Nowa umowa, rozwiązanie starej, zmiana adresu dostawcy: każde z tych zdarzeń uruchamia ten termin. Wniosek składa się w systemie S46 tak samo jak wniosek o wpis.

Od czego zacząć?

Od listy umów. Wypisz każdą firmę, która ma dostęp do systemów wykorzystywanych do świadczenia usługi, i przy każdej odpowiedz na trzy pytania z tego tekstu, z umową w ręku. Te, przy których trzy razy wychodzi „tak”, wpisz do wykazu z danymi z pkt 16. Te, przy których wychodzi „tak, ale nie ma tego w umowie”, odłóż na stos do aneksowania, bo to większy problem niż puste pole w formularzu.

Pojęcia w tym tekście (14)

Wykaz podmiotów kluczowych i ważnych

Rejestr podmiotów kluczowych i ważnych prowadzony w systemie S46. Służy ich identyfikacji, wymianie informacji o incydentach i nadzorowi.

Dostawca usług zarządzanych w zakresie cyberbezpieczeństwa

Firma, która na podstawie umowy prowadzi dla podmiotu działania z zakresu zarządzania ryzykiem, na przykład obsługę incydentów, testy lub audyty. Umowa z nią zastępuje własny zespół.

Centrum operacji bezpieczeństwa

Zespół lub usługa, która całą dobę monitoruje systemy firmy, wykrywa podejrzane zdarzenia i uruchamia reakcję na incydent.

Ustawa o KSC

Ustawa z dnia 5 lipca 2018 r. o krajowym systemie cyberbezpieczeństwa. Po nowelizacji z 2026 r. wdraża dyrektywę NIS2 i określa obowiązki podmiotów kluczowych i ważnych.

System zarządzania bezpieczeństwem informacji

Uporządkowany sposób, w jaki podmiot kluczowy lub ważny zarządza bezpieczeństwem systemu używanego do świadczenia usługi, od szacowania ryzyka po obsługę incydentów.

Incydent

Zdarzenie, które szkodzi albo może zaszkodzić bezpieczeństwu systemów informacyjnych. Zgłaszać trzeba nie każdy incydent, tylko incydent poważny.

Zarządzanie ryzykiem

To, co podmiot robi z oszacowanym ryzykiem: dobiera zabezpieczenia, a ryzyko, którego nie ogranicza, akceptuje świadomie.

Szacowanie ryzyka

Proces, w którym podmiot ustala, co może zagrozić jego systemom, jak bardzo jest to prawdopodobne i jakie byłyby skutki. W praktyce mówi się też „analiza ryzyka”.

Podatność

Słabość produktu lub usługi ICT, którą można wykorzystać do ataku. Znane podatności dostają identyfikatory CVE, a te wykorzystywane w atakach trafiają do katalogu KEV.

Łańcuch dostaw

Dostawcy sprzętu, oprogramowania i usług ICT, od których zależy świadczenie usługi. Ich bezpieczeństwo podmiot uwzględnia w swoim zarządzaniu ryzykiem.

Dyrektywa NIS2

Dyrektywa Parlamentu Europejskiego i Rady (UE) 2022/2555 z dnia 14 grudnia 2022 r. o cyberbezpieczeństwie w Unii. W Polsce wdraża ją ustawa o KSC po nowelizacji z 2026 r.

Pełnomocnik ds. cyberbezpieczeństwa

Osoba, której kierownik podmiotu powierza zadania z zakresu cyberbezpieczeństwa. To nazwa praktyki: ustawa o KSC nie tworzy takiej funkcji ani nie określa jej zadań.

Podmiot kluczowy

Podmiot z sektorów ustawy o KSC, który ze względu na wielkość albo rodzaj działalności ma najszersze obowiązki, w tym audyt bezpieczeństwa co najmniej raz na trzy lata.

System S46

System teleinformatyczny ministra właściwego do spraw informatyzacji, przez który zgłasza się incydenty i prowadzi wykaz podmiotów. Nazwa S46 jest potoczna, od numeru artykułu.

Najczęściej zadawane pytania

Kiedy w wykazie KSC wypełnia się pole o dostawcy usług zarządzanych w zakresie cyberbezpieczeństwa?

Tylko wtedy, gdy podmiot zawarł z zewnętrzną firmą umowę na realizację zadań z art. 8 albo art. 11 ustawy o KSC (art. 7 ust. 2 pkt 16). Ministerstwo Cyfryzacji w pytaniu 2.51 swojego FAQ dodaje wprost, że podmiot, który wykonuje te zadania własnymi siłami, zostawia pole puste.

Czy firmę od helpdesku i serwerów trzeba wpisać do wykazu?

Helpdesk to według Ministerstwa Cyfryzacji (pytanie 1.34) usługa zarządzana z art. 2 pkt 4i, a nie usługa zarządzana w zakresie cyberbezpieczeństwa z art. 2 pkt 4j, więc sam helpdesk do wykazu nie trafia. Jeśli ta sama firma ma w umowie także zadania z art. 8, na przykład monitorowanie, zarządzanie podatnościami albo obsługę incydentów, wtedy trafia.

Co zrobić, gdy dostawca się zmieni?

Złożyć w systemie S46 wniosek o zmianę wpisu. Art. 7c ust. 3 ustawy o KSC nakazuje zgłosić zmianę danych z art. 7 ust. 2 pkt 1 do 18, a więc także danych dostawcy, w terminie 14 dni od dnia jej zmiany.

Źródła

1. Ustawa z dnia 5 lipca 2018 r. o krajowym systemie cyberbezpieczeństwa, tekst jednolity Dz.U. 2026 poz. 20, ze zmianami
2. Ustawa z dnia 23 stycznia 2026 r. o zmianie ustawy o krajowym systemie cyberbezpieczeństwa oraz niektórych innych ustaw, Dz.U. 2026 poz. 252
3. Ministerstwo Cyfryzacji, pytania i odpowiedzi do ustawy o KSC, aktualizacja z października 2026 r. (pkt 1.34, 1.37, 1.40, 1.50, 2.51 i 3.45)
4. System S46, „Wykaz KSC. Wprowadzenie”

Stan prawny na dzień publikacji: 09.10.2026. Wpis nie był od tego czasu weryfikowany pod kątem zmian w przepisach. Wpis jest informacją ogólną, nie poradą prawną (zasady publikacji).

Powiązane artykuły

• 14.10.202612 min czytania

  Szkoła w ustawie o KSC. Co musi zrobić dyrektor i jak ująć e-dziennik i Classroom w SZBI?

  Publiczna szkoła samorządowa jest podmiotem ważnym. Co z tego wynika dla dyrektora do 3 kwietnia 2027 r. i co zrobić z e-dziennikiem i platformą w chmurze.

• 23.09.20265 min czytania

  Czy moja organizacja podlega ustawie o KSC i w jakiej roli?

  Jak sprawdzić od strony podmiotu, czy jest podmiotem kluczowym, ważnym, czy żadnym z nich: załączniki, wielkość przedsiębiorstwa, wyjątki i terminy.

• 19.10.202615 min czytania

  Plan do 3 kwietnia 2027 r. dla zarządu. Co wynika z rekomendacji Pełnomocnika rządu ds. cyberbezpieczeństwa?

  Rekomendacja 2026-67a-9 to katalog środków. Które z nich są obowiązkiem z ustawy o KSC, co musi istnieć 3 kwietnia 2027 r. i jak ułożyć pięć miesięcy pracy?