Podmiot kluczowy czy ważny? Grupa kapitałowa, przedsiębiorstwa powiązane i partnerskie

Twoja spółka zatrudnia kilkadziesiąt osób, ale należy do grupy albo ma inwestora z dużym pakietem udziałów? Ustawa o krajowym systemie cyberbezpieczeństwa każe ustalać jej wielkość razem z przedsiębiorstwami powiązanymi i partnerskimi. Wyjaśniam, jak to policzyć, kiedy dane grupy można pominąć i od kiedy zmiana wielkości zmienia status.

Status podmiotu kluczowego albo ważnego zależy w większości przypadków od dwóch rzeczy: sektora z załącznika nr 1 albo nr 2 do ustawy i wielkości firmy. W grupie kapitałowej najwięcej błędów dotyczy wielkości. Ten tekst dotyczy właśnie wielkości. Jeśli dopiero sprawdzasz, czy sektor Twojej firmy jest w załącznikach, zacznij od wpisu NIS2 w Polsce. Kogo dotyczy i co musisz wdrożyć.

Skąd ustawa bierze definicję wielkości

Ustawa o krajowym systemie cyberbezpieczeństwa w brzmieniu nadanym ustawą z 23 stycznia 2026 r. (Dz.U. 2026 poz. 252) nie definiuje średniego przedsiębiorcy sama. Odsyła do art. 2 ust. 1 załącznika I do rozporządzenia Komisji (UE) nr 651/2014. Ten załącznik powtarza definicję mikro, małych i średnich przedsiębiorstw z zalecenia Komisji 2003/361/WE.

Z art. 5 ustawy wynika podstawowy podział.

• Firma z sektora z załącznika nr 1, która przewyższa wymogi dla średniego przedsiębiorstwa, jest podmiotem kluczowym (art. 5 ust. 1 pkt 1).
• Firma z sektora z załącznika nr 1, która spełnia wymogi dla średniego przedsiębiorcy, jest podmiotem ważnym (art. 5 ust. 2 pkt 1).
• Firma z sektora z załącznika nr 2, która spełnia wymogi dla średniego przedsiębiorcy albo je przewyższa, jest podmiotem ważnym (art. 5 ust. 2 pkt 2).
• Mikro i małe przedsiębiorstwa z tych sektorów co do zasady ustawie nie podlegają, chyba że działają w jednej z kategorii objętych bez względu na wielkość. O nich niżej.

Gdy firma spełnia jednocześnie przesłanki podmiotu kluczowego i ważnego, jest podmiotem kluczowym (art. 5 ust. 4).

Progi i to, czego zwykle nie widać

Średnie przedsiębiorstwo zatrudnia mniej niż 250 osób, a jego roczny obrót nie przekracza 50 mln euro lub całkowity bilans roczny nie przekracza 43 mln euro (art. 2 ust. 1 załącznika I). Małe przedsiębiorstwo zatrudnia mniej niż 50 osób, a jego obrót lub suma bilansowa nie przekracza 10 mln euro. Mikroprzedsiębiorstwo zatrudnia mniej niż 10 osób, a obrót lub suma bilansowa nie przekracza 2 mln euro.

W tym zdaniu są dwie pułapki.

Pierwsza to słowo „lub” przy kryteriach finansowych. Firma, która zatrudnia 180 osób, ma 60 mln euro obrotu i 35 mln euro sumy bilansowej, nadal jest średnia. Przekracza próg obrotu, ale mieści się w progu bilansowym, a to wystarcza. Dużym przedsiębiorstwem staje się firma, która zatrudnia co najmniej 250 osób albo przekracza jednocześnie oba progi finansowe.

Druga pułapka jest poważniejsza. Liczby nie pochodzą wyłącznie ze sprawozdania Twojej spółki. Przy ustalaniu wielkości dodaje się dane przedsiębiorstw powiązanych i partnerskich (art. 6 ust. 2 do 4 załącznika I, do których ustawa o KSC odsyła wprost w art. 5 ust. 6 i 7). Ministerstwo Cyfryzacji w pytaniach i odpowiedziach do ustawy przypomina, że przedsiębiorstwa powiązane i partnerskie co do zasady się uwzględnia.

Przedsiębiorstwa powiązane i partnerskie

Załącznik I rozróżnia trzy sytuacje.

Przedsiębiorstwo samodzielne to takie, które nie ma przedsiębiorstw powiązanych ani partnerskich. Liczysz wtedy tylko własne dane.

Przedsiębiorstwa powiązane to w uproszczeniu relacja kontroli. Zachodzi między innymi wtedy, gdy jedna spółka ma większość praw głosu w drugiej, ma prawo powołać lub odwołać większość członków jej zarządu albo rady nadzorczej, może wywierać na nią dominujący wpływ na podstawie umowy lub umowy spółki albo kontroluje większość głosów na podstawie porozumienia z innymi wspólnikami (art. 3 ust. 3 załącznika I). Powiązanie może iść przez inną spółkę. Może też iść przez osobę fizyczną albo grupę osób działających wspólnie, jeżeli spółki prowadzą działalność na tym samym rynku właściwym lub na rynkach pokrewnych. Dwie spółki tego samego właściciela, z których jedna dostarcza drugiej usługi, mogą więc być powiązane, choć żadna nie ma udziałów w drugiej.

Przedsiębiorstwa partnerskie to relacja słabsza. Jedno przedsiębiorstwo ma co najmniej 25% kapitału lub praw głosu w drugim, ale nie ma nad nim kontroli (art. 3 ust. 2 załącznika I). Próg 25% nie działa wobec niektórych inwestorów, o ile nie są z firmą powiązani: publicznych korporacji inwestycyjnych, spółek venture capital, aniołów biznesu inwestujących w to samo przedsiębiorstwo łącznie mniej niż 1 250 000 euro, uczelni i ośrodków badawczych nienastawionych na zysk, inwestorów instytucjonalnych oraz małych samorządów.

Sposób liczenia jest różny. Dane przedsiębiorstw powiązanych dodajesz w całości. Dane przedsiębiorstw partnerskich dodajesz proporcjonalnie do udziału w kapitale lub w prawach głosu, według wyższej z tych wartości (art. 6 ust. 2 załącznika I). Dane przedsiębiorstwa partnerskiego bierzesz razem z danymi przedsiębiorstw z nim powiązanych (art. 6 ust. 3 załącznika I). Jeżeli grupa sporządza skonsolidowane sprawozdanie finansowe, dane bierze się z niego.

Przykłady liczenia

Liczby w przykładach są umowne.

Spółka zależna w dużej grupie

Spółka X działa w sektorze z załącznika nr 1, zatrudnia 40 osób i ma 8 mln euro obrotu. Sama byłaby małym przedsiębiorstwem i ustawie by nie podlegała. Spółka dominująca ma w niej 70% głosów, a cała grupa zatrudnia 900 osób. X jest powiązana z dominującą, więc liczy dane grupy w całości. Wynik: X przewyższa progi średniego przedsiębiorstwa i co do zasady jest podmiotem kluczowym. Wyjątek z art. 5 ust. 6 opisuję w następnej sekcji.

Inwestor z mniejszościowym pakietem

Spółka Y działa w sektorze z załącznika nr 2, zatrudnia 45 osób i ma 7 mln euro obrotu. Fundusz, który nie jest spółką venture capital ani inwestorem instytucjonalnym w rozumieniu załącznika, ma w niej 30% udziałów i nie kontroluje jej. Fundusz razem ze spółkami, które kontroluje, zatrudnia 20 osób i ma 12 mln euro obrotu. Y dodaje 30% tych danych: 6 osób i 3,6 mln euro. Po zsumowaniu ma 51 osób, więc przestaje być małym przedsiębiorstwem i staje się średnim. W sektorze z załącznika nr 2 oznacza to co do zasady status podmiotu ważnego, chyba że zadziała wyjątek z art. 5 ust. 7 opisany niżej. Przy inwestorze finansowym, który nie dzieli ze spółką systemów ani usług, trzeba go sprawdzić w pierwszej kolejności.

Udział samorządu albo Skarbu Państwa

Zgodnie z art. 3 ust. 4 załącznika I przedsiębiorstwo, w którym podmiot publiczny kontroluje co najmniej 25% kapitału lub praw głosu, nie może być uznane za MŚP. Ustawa o KSC wyłącza stosowanie tego przepisu przy ustalaniu statusu (art. 5 ust. 3). Spółka z udziałem gminy nie staje się więc automatycznie dużym przedsiębiorstwem tylko z powodu struktury właścicielskiej. Jej wielkość ustala się według progów i powiązań. Pamiętaj jednak, że część podmiotów publicznych i komunalnych ustawa obejmuje osobnymi przepisami.

Kiedy danych grupy nie doliczasz

Ustawa przewiduje wyjątek od zasady liczenia całej grupy. Jeżeli firma przewyższa kryteria dla średniego przedsiębiorstwa tylko dzięki doliczeniu powiązanych i partnerów, ale jej system informacyjny jest niezależny od systemów tych przedsiębiorstw lub nie świadczy ona usług wspólnie z nimi, nie jest podmiotem kluczowym (art. 5 ust. 6). Analogicznie firma, która staje się średnia dopiero po doliczeniu grupy, w takiej sytuacji nie jest podmiotem ważnym (art. 5 ust. 7).

Ministerstwo Cyfryzacji wyjaśnia w pytaniach i odpowiedziach, że niezależność systemu informacyjnego zachodzi na przykład wtedy, gdy do świadczenia usług nie są potrzebne przedsiębiorstwa powiązane lub partnerskie albo gdy wykorzystywane sieci i systemy można zastąpić równoważnymi w akceptowalnym czasie i koszcie. Jeżeli kilka spółek dzieli między sobą świadczenie tej samej usługi, podział zadań warto udokumentować.

Spółka X z pierwszego przykładu może nie być podmiotem kluczowym, jeżeli ma własną infrastrukturę, własne systemy i nie świadczy usług razem z innymi spółkami grupy. Trudniej o to, gdy grupa ma wspólne centrum usług IT, wspólne konto chmurowe, wspólną domenę i wspólny dział bezpieczeństwa. Ustawa nie przesądza wprost, jaki status ma wtedy spółka liczona tylko według własnych danych. Moim zdaniem trzeba ją wówczas ocenić jak przedsiębiorstwo samodzielne, ale to kwestia do sprawdzenia w konkretnej sprawie.

Wniosek o wpis do wykazu zawiera deklarację wielkości (art. 7c ust. 2 w związku z art. 7 ust. 2 pkt 13), a kierownik podmiotu podpisuje oświadczenie o zgodności danych z prawdą pod rygorem odpowiedzialności karnej (art. 7c ust. 5). Powołanie się na niezależność systemów powinno mieć oparcie w dokumentach: architekturze systemów, umowach wewnątrzgrupowych i opisie podziału usług.

Podmioty objęte bez względu na wielkość

Liczenie wielkości nie ma znaczenia dla części firm, bo ustawa obejmuje je niezależnie od wielkości albo przy niższych progach. Podmiotami kluczowymi bez względu na wielkość są między innymi dostawcy usług DNS, kwalifikowani dostawcy usług zaufania, podmioty krytyczne, rejestry nazw domen najwyższego poziomu i podmioty świadczące usługi rejestracji nazw domen (art. 5 ust. 1 pkt 4).

Przy niższych progach ustawa obejmuje między innymi:

• Dostawca usług zarządzanych w zakresie cyberbezpieczeństwa jest podmiotem kluczowym już wtedy, gdy spełnia wymogi dla małego przedsiębiorcy (art. 5 ust. 1 pkt 3).
• Przedsiębiorca komunikacji elektronicznej jest podmiotem kluczowym, gdy jest co najmniej średni (art. 5 ust. 1 pkt 2), a podmiotem ważnym, gdy jest mikro albo małym przedsiębiorcą (art. 5 ust. 2 pkt 4).
• Niekwalifikowany dostawca usług zaufania będący mikro, małym lub średnim przedsiębiorcą jest podmiotem ważnym (art. 5 ust. 2 pkt 3).

Ministerstwo Cyfryzacji w pytaniach i odpowiedziach wskazuje też, że spółka IT obsługująca wyłącznie własną grupę kapitałową podlega ustawie, jeżeli jest co najmniej małym przedsiębiorstwem. Wewnętrzne centrum usług IT warto więc sprawdzić osobno.

Na jaki dzień liczysz i kiedy status się zmienia

Jeżeli status zależy od wielkości, przesłanki bada się według stanu na dzień sporządzenia sprawozdania finansowego (art. 5 ust. 5). Załącznik I posługuje się danymi z ostatniego zatwierdzonego okresu obrachunkowego, obliczanymi w skali rocznej (art. 4 ust. 1 załącznika I). Nowo utworzona firma, która nie ma jeszcze zatwierdzonych ksiąg, opiera się na szacunkach dokonanych w dobrej wierze w trakcie roku obrotowego (art. 4 ust. 3 załącznika I).

Otwarte pozostaje pytanie o regułę dwóch lat. Zgodnie z art. 4 ust. 2 załącznika I przekroczenie progów albo spadek poniżej nich zmienia status MŚP dopiero wtedy, gdy powtórzy się w dwóch kolejnych okresach obrachunkowych. Ustawa o KSC odsyła do art. 2, art. 3 ust. 4 (wyłączając go) i art. 6 ust. 2 do 4 załącznika, a o art. 4 nie mówi. Ministerstwo Cyfryzacji w październikowej aktualizacji pytań i odpowiedzi dodało pytanie o przedsiębiorcę, który w 2026 r. po raz pierwszy osiągnął próg średniego przedsiębiorcy. Przed decyzją przeczytaj aktualną odpowiedź ministerstwa i udokumentuj przyjęte stanowisko.

Praktyczny wniosek dotyczy sprawozdań za 2026 rok. Gdy po ich sporządzeniu okaże się, że firma zmieniła kategorię wielkości, sprawdź status w wykazie. Wpis w zakresie danych z art. 7 ust. 2 pkt 1 do 18, w tym deklaracji wielkości, zmieniasz wnioskiem złożonym w terminie 14 dni od dnia zmiany danych (art. 7c ust. 3). Wzrost może zmienić status z podmiotu ważnego na kluczowy. Spadek może oznaczać, że firma przestała spełniać przesłanki, i wtedy właściwy jest wniosek o wykreślenie, który opisuję we wpisie Wpisany do wykazu KSC, a nie podlegasz?. W grupie zmianę może wywołać nie tylko wynik Twojej spółki, ale też przejęcie, sprzedaż spółki zależnej albo wejście inwestora.

Co zrobić teraz

1. Narysuj strukturę właścicielską: kto ma w Twojej spółce co najmniej 25% kapitału lub głosów, w jakich spółkach Twoja spółka ma takie udziały i czy wspólnicy będący osobami fizycznymi mają inne firmy na tym samym rynku.
2. Podziel te podmioty na powiązane i partnerskie. Sprawdź, czy któryś inwestor mieści się w wyjątkach od progu 25%.
3. Zbierz dane o zatrudnieniu, obrocie i sumie bilansowej z ostatniego zatwierdzonego okresu.
4. Policz wielkość i porównaj ją z deklaracją w wykazie.
5. Jeżeli status zależy od danych grupy, opisz, czy systemy informacyjne Twojej spółki są niezależne i czy spółka świadczy usługi wspólnie z innymi spółkami grupy.
6. Zapisz wynik i dokumenty w aktach spółki, a po sporządzeniu sprawozdań za 2026 rok powtórz ten przegląd.

Jeśli chcesz najpierw sprawdzić kwalifikację sam, Kwalifikacja NIS2 w około pięć minut przechodzi przez osiem obszarów i pokazuje wynik od razu. Jeśli status Twojej spółki zależy od grupy albo deklaracja w wykazie wymaga zmiany, zobacz usługę Status w wykazie KSC albo opisz sprawę. Pierwsza rozmowa jest bezpłatna.

FAQ

Czy spółka zależna liczy dane całej grupy?

Co do zasady tak. Dane przedsiębiorstw powiązanych dodaje się w całości. Wyjątek dotyczy spółki, której system informacyjny jest niezależny od systemów grupy albo która nie świadczy usług wspólnie z innymi spółkami grupy.

Inwestor ma 20% udziałów. Czy doliczam jego dane?

Jeżeli nie ma kontroli nad spółką i udział jest niższy niż 25%, zwykle nie. Sprawdź jednak, czy inwestor nie jest powiązany ze spółką w inny sposób, na przykład przez prawo powoływania członków zarządu.

Kiedy zmieniam deklarację wielkości w wykazie?

W terminie 14 dni od dnia zmiany danych.

Tekst ma charakter informacyjny i nie stanowi porady prawnej w indywidualnej sprawie. Przykłady liczbowe są umowne. Ocena wielkości w grupie wymaga analizy struktury właścicielskiej, sprawozdań i powiązań między spółkami. Stan prawny na 20 października 2026 r.