Wiele organizacji wdrażających NIS2 określa podleganie pod dyrektywę i polskie UKSC przez pryzmat branży. To błąd, który kosztuje – albo niepotrzebną pracą, albo nieświadomością obowiązków.
Skąd bierze się błąd
Ustawa o Krajowym Systemie Cyberbezpieczeństwa (UKSC) określa sektory objęte obowiązkami. Czytając załączniki, wiele osób patrzy na nazwę sektora i porównuje ją z tym „czym się zajmujemy”. To intuicyjne, ale nieprecyzyjne.
Ustawa nie pyta o to jak się określasz. Pyta o dwie rzeczy: co robisz według PKD i jaka jest wielkość Twojego przedsiębiorstwa. Dopiero te dwa parametry razem określają czy jesteś podmiotem kluczowym, ważnym – czy nie podlegasz w ogóle.
Pułapka PKD
PKD – Polska Klasyfikacja Działalności – to nie jest lista „jak się czujemy”. To klasyfikacja tego co faktycznie robimy, zarejestrowana w KRS lub CEiDG. Problem w tym, że wiele firm ma wpisanych kilka kodów PKD – główny i dodatkowe.
UKSC patrzy na całość. Jeśli którykolwiek z Twoich kodów PKD trafia w zakres załącznika – jesteś w kręgu zainteresowania ustawy. Nie tylko główny kod.
Przykład: firma produkująca oprogramowanie (PKD 62.01) ma dodatkowo wpisane usługi telekomunikacyjne (PKD 61.xx) bo obsługuje własną infrastrukturę klientów. Usługi telekomunikacyjne są wprost wymienione w UKSC. Firma może podlegać – nawet jeśli uważa się za „firmę softwarową”.
Pułapka zatrudnienia
Drugą przeszkodą jest liczenie pracowników. UKSC odwołuje się do definicji wielkości przedsiębiorstwa z unijnego rozporządzenia o MŚP. Definicja ta jest precyzyjna i nieoczywista.
Przede wszystkim – nie liczy się głów na etatach. Liczy się Roczne Jednostki Pracy (RJP). Przepis mówi wprost:
„Liczba personelu odpowiada liczbie rocznych jednostek pracy (RJP), to jest liczbie pracowników zatrudnionych w pełnym wymiarze czasu pracy w obrębie danego przedsiębiorstwa lub w jego imieniu w ciągu całego uwzględnianego roku referencyjnego. Praca osób, które nie przepracowały pełnego roku, osób, które pracowały w niepełnym wymiarze godzin, bez względu na długość okresu zatrudnienia, lub pracowników sezonowych jest liczona jako ułamki RJP. W skład personelu wchodzą partnerzy prowadzący regularną działalność w przedsiębiorstwie i czerpiący z niego korzyści finansowe.”
Drugi, częściej pomijany mechanizm to powiązania kapitałowe. Jeśli jesteś częścią grupy kapitałowej, do oceny wielkości przedsiębiorstwa brane są dane całej grupy – nie tylko Twojej spółki. Rozporządzenie precyzuje:
„W przypadku przedsiębiorstwa mającego przedsiębiorstwo partnerskie lub przedsiębiorstwa powiązane dane, w tym dane dotyczące liczby personelu, określa się na podstawie ksiąg rachunkowych i innych danych przedsiębiorstwa lub, jeżeli istnieją, skonsolidowanego sprawozdania finansowego danego przedsiębiorstwa.”
Praktyczny skutek: firma licząca 40 osób, będąca częścią grupy z kolejnymi 200 pracownikami – może być średnio dużym przedsiębiorstwem w rozumieniu ustawy. Powiązania oceniane są nie tylko przez udział kapitałowy, ale również przez osoby fizyczne – jeśli jedna osoba jest właścicielem lub członkiem zarządu w kilku spółkach działających na pokrewnych rynkach, podmioty te mogą być uznane za powiązane.
Co z tym zrobić
Ocena podlegania pod UKSC powinna być dwuetapowa.
Etap pierwszy – weryfikacja PKD. Pobierz aktualny odpis KRS lub wyciąg CEiDG. Sprawdź wszystkie wpisane kody PKD – nie tylko główny. Porównaj z załącznikami do UKSC. Jeśli którykolwiek kod się pokrywa – przechodzisz do etapu drugiego.
Etap drugi – weryfikacja wielkości. Oblicz zatrudnienie w RJP zgodnie z art. 5 Załącznika I do Rozporządzenia 651/2014. Uwzględnij powiązania kapitałowe i osobowe. Sprawdź obrót i sumę bilansową. Dopiero wtedy wiesz czy jesteś podmiotem kluczowym, ważnym – czy nie podlegasz.
Jeśli wynik jest niejednoznaczny – to jest właśnie moment na audyt zgodności. Nie po to, żeby „zaliczyć NIS2”, ale żeby wiedzieć gdzie stoisz przed tym jak urząd to oceni za Ciebie.
Podsumowanie
Podleganie pod UKSC nie wynika z tego jak określasz swoją branżę. Wynika z PKD zarejestrowanego w rejestrze i z wielkości przedsiębiorstwa liczonej według unijnych definicji. Obie te rzeczy wymagają weryfikacji – nie intuicji.
Błąd w ocenie podlegania to nie tylko ryzyko kary. To również ryzyko niepotrzebnego budowania systemów przez organizacje które nie muszą – albo braku systemów przez te, które muszą.