Polityka prywatności to nie jest całe RODO - co jeszcze musi mieć Twoja firma
czytaj więcej
Zdanie, które słyszę najczęściej, gdy rozmowa schodzi na nowe przepisy o cyberbezpieczeństwie, brzmi: „ja mam małą firmę, moi klienci to zwykłe sklepy i gabinety, to jest przecież dla banków i elektrowni". Mówią to właściciele firm informatycznych, agencji, biur, które przy okazji obsługują komuś stronę albo pocztę. Mówią to w dobrej wierze, bo tak brzmiały nagłówki przez ostatnie dwa lata.
Muszę popsuć ten spokój, bo od kwietnia 2026 roku obowiązuje znowelizowana ustawa o krajowym systemie cyberbezpieczeństwa, wdrażająca dyrektywę NIS2. I jest w niej rzecz, która wymyka się intuicji: część obowiązków dotyczy firm bez względu na ich wielkość. Nie ma progu, poniżej którego jest się bezpiecznym.
Nie ma tu powodu do straszenia. Jest za to powód, żeby własną sytuację sprawdzić, zamiast ją założyć - a da się to zrobić w kwadrans i bez prawnika.
Przepisy pytają, co robisz, a nie kogo obsługujesz
To jest sedno pomyłki. Ustawa wymienia rodzaje działalności: dostawca usług DNS, podmiot świadczący usługi rejestracji nazw domen, dostawca usług chmurowych i tak dalej. Jeżeli firma taką usługę świadczy - podlega. Nigdzie nie ma warunku „chyba że wśród jej klientów nie ma banku ani szpitala". Taka przesłanka po prostu nie istnieje.
Zwykle w tym miejscu pytanie brzmi: „to co, jak hostuję przychodnię, to wpadam?". Nie. I to jest dobra wiadomość, bo ta sama zasada działa w drugą stronę. Firma, która trzyma strony przychodni, kancelarii i urzędu, nie staje się przez to podmiotem objętym ustawą, jeśli sama nie świadczy żadnej z wymienionych usług. Branża klientów nie ma tu znaczenia w żadnym kierunku.
Jest jeden przepis, w którym waga usługi coś zmienia: pozwala organowi dodać firmę do systemu decyzją, na przykład gdy jest jedynym dostawcą usługi istotnej dla regionu. Ale ten mechanizm działa wyłącznie w jedną stronę - można nim kogoś objąć, nie można się nim wypisać.
Czynności, przy których wielkość firmy nie ma znaczenia
To jest lista, którą warto przeczytać uważnie, bo to ona przesądza sprawę w większości przypadków, z jakimi się spotykam.
- Prowadzenie serwerów nazw (DNS), z których korzystają domeny klientów. Wystarczy jeden. Nie ma znaczenia, czy sprzęt jest własny, czy dzierżawiony, ani czy administrację zlecono na zewnątrz - dyrektywa mówi wprost, że obowiązki stosuje się niezależnie od tego, czy podmiot utrzymuje swoje systemy sam, czy zleca to komuś. To pozycja przeoczana najczęściej ze wszystkich.
- Rejestracja domen dla klientów, także jako pośrednik na cudzej akredytacji albo odsprzedawca. Definicja wymienia odsprzedawcę i pośrednika wprost i jest napisana szeroko celowo.
- Rejestracja domen z zasłonięciem danych faktycznego abonenta - tak zwana prywatna rejestracja, przy której w publicznym rejestrze widnieją dane pośrednika. Skoro prawdziwego abonenta zna wyłącznie pośrednik, to na nim ciąży obowiązek prowadzenia i udostępniania tych danych.
- Publiczny serwer DNS odpytujący, dostępny dla każdego, kto wpisze jego adres w ustawieniach.
- Odsprzedaż usług innego odsprzedawcy, czyli drugi i dalszy szczebel łańcucha. Przepis nie ogranicza liczby szczebli.
Przy każdej z tych pozycji jednoosobowa działalność podlega dokładnie tak samo jak spółka zatrudniająca trzysta osób.
A gdzie wielkość firmy jednak ratuje
Nie wszystko jest bezprogowe i to też trzeba powiedzieć, bo inaczej wyjdzie z tego panika bez pokrycia. Próg średniego przedsiębiorcy - co najmniej 50 osób albo obrót powyżej 10 mln euro - działa przy usługach chmurowych, przy prowadzeniu własnego centrum danych i przy sieciach dostarczania treści. Mała firma przy tych pozycjach nie podlega.
Dlatego klasyczny hosting współdzielony zwykle zostaje poza zakresem. Po pierwsze rzadko spełnia definicję chmury, która wymaga samoobsługowego, elastycznego skalowania zasobów na żądanie - sztywny pakiet z limitem miejsca to nie chmura. Po drugie, nawet gdyby spełniał, decydowałaby wielkość firmy.
Podobnie z kolokacją, przy której intuicja myli role: usługę ośrodka przetwarzania danych świadczy dostawca kolokacji, bo to on zapewnia budynek, zasilanie, chłodzenie i ochronę fizyczną. Firma, która wstawia tam swój sprzęt, jest odbiorcą tej usługi, a nie jej dostawcą. Poza zakresem jest też odsprzedaż certyfikatów SSL oraz tworzenie stron, sklepów i pozycjonowanie.
Dwa pytania, po których zwykle wszystko wiadomo
Nie trzeba do tego prawnika. Wystarczą dwa pytania i kwadrans w panelu.
Pierwsze dotyczy serwerów nazw. Otwórz dowolne narzędzie typu „DNS lookup" i sprawdź, co mają wpisane domeny Twoich klientów. Widnieją tam adresy, które klient dostał od Ciebie, razem z Twoją usługą? Świadczysz usługę DNS i podlegasz. Widnieją adresy innej firmy, pod jej nazwą? Z tego tytułu jesteś poza zakresem.
Drugie dotyczy pieniędzy za domenę. Kto wystawia klientowi fakturę? Jeśli Ty, a rejestrację klikasz w panelu zewnętrznego rejestratora, świadczysz usługę rejestracji nazw domen. Jeśli klient płaci bezpośrednio dostawcy, a Ty dostajesz od niego prowizję, jesteś poza zakresem - łączy Was umowa o usługę reklamową, a dane abonenta nigdy przez Ciebie nie przechodzą.
Granica między jednym a drugim bywa cienka i mało kto zauważa moment jej przekroczenia. Sygnały, że firma przestała tylko polecać, są cztery: wystawia klientowi fakturę zamiast dostawać prowizję, ustala własną cenę, wypełnia formularz zamówienia za klienta i jest stroną umowy z dostawcą. Jeden sygnał to powód do sprawdzenia, wszystkie cztery to już odsprzedaż, niezależnie od tego, że program u dostawcy nazywa się „partnerskim".
Co trzeba zrobić i do kiedy
Jeżeli którakolwiek z bezprogowych pozycji opisuje Twoją firmę, jesteś podmiotem kluczowym w rozumieniu ustawy. Wystarczy jedna. Terminy wyglądają tak:
| Termin | Co trzeba zrobić |
|---|---|
| 3 października 2026 | Złożyć wniosek o wpis do wykazu podmiotów kluczowych. Elektronicznie, przez system prowadzony przez ministerstwo. Wniosek zawiera dane firmy, osobę do kontaktu i oświadczenie kierownika firmy składane pod rygorem odpowiedzialności karnej za podanie nieprawdy. Okno składania otworzyło się 7 maja 2026 |
| 3 kwietnia 2027 | Mieć wdrożony system zarządzania bezpieczeństwem informacji: ocenę ryzyka, zasady postępowania z incydentami, zasady dostępu do systemów, kopie zapasowe, ciągłość działania |
| 3 kwietnia 2027 | Zgłaszać poważne incydenty: wczesne ostrzeżenie w 24 godziny, pełne zgłoszenie w 72 godziny, sprawozdanie końcowe w miesiąc |
| 3 kwietnia 2027 | Przy rejestracji domen dodatkowo: dokładna baza danych abonentów, procedura ich weryfikacji, opublikowane polityki i udostępnianie danych uprawnionym organom w 72 godziny |
| 3 kwietnia 2028 | Pierwszy audyt bezpieczeństwa, kolejne co trzy lata |
Dochodzi do tego wyznaczenie osoby do kontaktu z organami. W firmie mikro i małej może to być jedna osoba, choćby sam właściciel.
Chcę tu uczciwie zdjąć jeden lęk. „System zarządzania bezpieczeństwem informacji" brzmi jak wdrożenie za setki tysięcy złotych, a w małej firmie jest to kilkanaście stron dokumentacji plus kilka nawyków, które naprawdę działają. Większość z nich zresztą już u Ciebie działa, jeśli firma jest prowadzona porządnie: kopie zapasowe się robią, dostępy są rozdzielone, na awarie ktoś reaguje. Nowe jest to, że trzeba te rzeczy opisać i potrafić udowodnić.
Kary są wysokie, ale jest bufor
Górna granica dla podmiotu kluczowego to 10 mln euro albo 2% rocznego obrotu, a w szczególnych przypadkach jeszcze więcej. Osobno odpowiada kierownik firmy, i to własnym portfelem: kara może sięgnąć trzykrotności jego wynagrodzenia, między innymi wtedy, gdy nikt nie złożył wniosku o wpis.
Zanim to jednak przestraszy: ustawa daje moratorium. Pierwsze kary mogą paść dopiero po 3 kwietnia 2028 roku - wcześniej obowiązki wiążą, ale organ nie ma czym uderzyć. Kara za brak wniosku jest przy tym uznaniowa, więc nawet po tej dacie zależy od tego, jak organ oceni wagę naruszenia.
Czytam to jako zaproszenie do spokojnego przygotowania się, a nie do odkładania. Moratorium zawiesza sankcję, nie obowiązek, a wniosek o wpis to sprawa na jedno popołudnie.
Czy da się nie podlegać
Zgodnie z prawdą: przepisów się nie przeinterpretuje. Realne są dwie drogi i obie polegają na zmianie tego, co firma robi. Pierwsza to przeniesienie serwerów nazw do zewnętrznego dostawcy - klient wskazuje wtedy serwery innej firmy, a Ty przestajesz świadczyć usługę DNS. Druga to rezygnacja z pośrednictwa w rejestracji domen, czyli klient kupuje domenę bezpośrednio u rejestratora.
Obie mają koszt: mniej kontroli nad usługą, słabsze związanie klienta, utrata marży. W większości firm, z którymi rozmawiam, tańsze okazuje się wdrożenie obowiązków niż rezygnacja z tych usług.
Gdzie kończy się pewność
Nie wszystkie pozycje mają ten sam ciężar i wolę powiedzieć to wprost, niż udawać, że wszystko jest rozstrzygnięte.
Twardy grunt mamy tam, gdzie przepis mówi wprost: własne serwery nazw obejmują firmę, odsprzedaż domen obejmuje firmę, w obu przypadkach bez progu wielkości, a poza zakresem zostają partner afiliacyjny i firma, której klienci korzystają z cudzych serwerów nazw.
Grunt miękki zaczyna się tam, gdzie przepis milczy: usługa sprzedawana pod własną marką, ale prowadzona w całości na cudzej infrastrukturze, dokładne miejsce granicy między odsprzedawcą a polecającym oraz agencja rejestrująca domeny na siebie i refakturująca je klientom. W tych trzech sprawach mam argumenty, a nie pewność - i mówię to klientom wprost.
Liczyłam, że rozstrzygnie to urząd. Ministerstwo Cyfryzacji wydało obszerny zestaw odpowiedzi na pytania o nowe przepisy, ale nie pada w nim ani jedno pytanie o domeny, serwery nazw czy odsprzedawców. Do czasu, aż taka wypowiedź się pojawi, ostrożniejsze założenie jest po prostu tańsze w skutkach.
Jak to się ma do RODO
To dwa odrębne reżimy i jeden nie zastępuje drugiego. RODO chroni dane osobowe konkretnych ludzi i pyta, czy wolno je przetwarzać i czy są bezpieczne. Przepisy o cyberbezpieczeństwie chronią ciągłość i bezpieczeństwo usług cyfrowych jako takich, także tam, gdzie żadnych danych osobowych nie ma.
W trzech miejscach się jednak zazębiają i warto to wykorzystać, zamiast prowadzić dwa równoległe segregatory:
- Dokumentacja się nakłada. Ocena ryzyka, zasady dostępu, kopie zapasowe i procedura reagowania na incydenty są potrzebne w obu reżimach. Można je prowadzić jako jeden zestaw dokumentów.
- Incydenty zgłasza się osobno i w innych terminach. Naruszenie ochrony danych do Prezesa UODO w 72 godziny, poważny incydent do właściwego zespołu reagowania wstępnie w 24 godziny. Jedno zdarzenie może wymagać obu zgłoszeń.
- Obowiązek prowadzenia bazy danych o domenach zmienia podstawę prawną w RODO. Skoro prowadzenie tej bazy nakazuje ustawa, przetwarzanie danych abonentów opiera się także na obowiązku prawnym, a nie wyłącznie na umowie z klientem.
Jeśli chcesz najpierw zrozumieć sam mechanizm nowych przepisów, opisałam go szerzej w tekście o tym, kogo dotyczy dyrektywa NIS2, jakie nakłada obowiązki i jakie grożą kary.
Jak mogę pomóc
Najczęściej zaczynamy od rozstrzygnięcia samej kwalifikacji, bo to ona decyduje o wszystkim dalej: przechodzimy listę usług, sprawdzamy serwery nazw i sposób sprzedaży domen, i wychodzi z tego jedno zdanie - podlegasz albo nie, a jeśli tak, to z którego tytułu. Dopiero potem ma sens rozmowa o dokumentacji.
Zajmuję się wdrożeniem obowiązków wynikających z NIS2, prowadzę audyty bezpieczeństwa IT i przygotowuję dokumentację RODO tak, żeby oba reżimy opierały się na jednym zestawie dokumentów, a nie dwóch. Stawki są w cenniku. Firmom, które wolą oddać temat na dłużej, proponuję stałą opiekę w roli inspektora ochrony danych.
Jeżeli po lekturze nie masz pewności, po której stronie granicy jesteś - napisz do mnie. Wystarczy, że opiszesz, co dokładnie sprzedajesz klientom i czyje serwery nazw mają ich domeny. Odpowiem, czy sprawa Cię dotyczy, i powiem wprost, jeśli nie dotyczy - to też bywa wynikiem.
Artykuł ma charakter informacyjny i nie stanowi porady prawnej w indywidualnej sprawie. Podstawa: ustawa z dnia 5 lipca 2018 r. o krajowym systemie cyberbezpieczeństwa w brzmieniu nadanym nowelizacją z dnia 23 stycznia 2026 r. (Dz.U. 2026 poz. 252), wdrażającą dyrektywę (UE) 2022/2555 (NIS2).
