Nowelizacja ustawy o krajowym systemie cyberbezpieczeństwa (KSC) zastąpiła operatorów usług kluczowych i dostawców usług cyfrowych podmiotami kluczowymi oraz ważnymi. Wkrótce moc stracą też ostatnie przepisy działu VIIA Prawa telekomunikacyjnego, co oznacza objęcie regulacją KSC wszystkich operatorów i redefinicję ich obowiązków.
Status przesądza o nadzorze: podmioty kluczowe podlegają kontroli prewencyjnej ex ante i cyklicznym audytom, a ważne – łagodniejszemu nadzorowi następczemu ex post.
1. Test wielkości (załącznik I do rozporządzenia 651/2014/UE)
Choć komunikację elektroniczną wpisano do załącznika nr 1 do KSC („Sektory kluczowe”), o statusie decyduje skala działalności oceniana według unijnego załącznika I do rozporządzenia (UE) nr 651/2014 (a nie Prawa przedsiębiorców):
- Podmiot kluczowy (art. 5 ust. 1 pkt 2 KSC): przedsiębiorca komunikacji elektronicznej spełniający wymogi co najmniej średniego przedsiębiorcy (od 50 pracowników oraz obrót lub suma bilansowa powyżej 10 mln EUR).
- Podmiot ważny (art. 5 ust. 2 pkt 4 KSC): mikro- lub mały przedsiębiorca (poniżej 50 pracowników oraz obrót lub suma bilansowa do 10 mln EUR).
Zgodnie z art. 5 ust. 3 KSC wyłączono art. 3 ust. 4 załącznika I do rozporządzenia 651/2014/UE – udział podmiotów publicznych powyżej 25% nie wyklucza statusu MŚP.
2. Grupy kapitałowe a niezależność systemowa (art. 5 ust. 6 i 7 KSC)
W grupach kapitałowych sumuje się dane personelu i finansów, ale KSC wprowadza wyjątek: jeśli progi przekroczono wyłącznie przez konsolidację, lecz system informacyjny przedsiębiorcy jest niezależny lub nie świadczy on usług wspólnie z podmiotami powiązanymi/partnerskimi, zachowuje status podmiotu ważnego.
Pojawia się tu jednak problem interpretacyjny: literalnie wyjątek dotyczy przedsiębiorców średnich (w przypadku podmiotów ważnych) oraz podmiotów przekraczających próg średniego przedsiębiorcy (w przypadku kluczowych). Czyli literalnie telekomów nie obejmuje. Praktyka pokaże, czy organy dopuszczą tu wykładnię celowościową.
3. Usługi zbieżne i pierwszeństwo
Istnieją usługi, takie jak np. świadczenie publicznych usług DNS, które wiążą się z automatyczną kwalifikacją jako podmiot kluczowy. Jeżeli podmiot spełnia wymogi zarówno dla podmiotu kluczowego, jak i dla podmiotu ważnego, jest podmiotem kluczowym
4. Dzień weryfikacji i odpowiedzialność
Przesłanki bada się raz w roku – na dzień sporządzenia sprawozdania finansowego (art. 5 ust. 5 KSC).
5. Podsumowanie
Wielkość firmy stała się dziś przepustką do konkretnego reżimu regulacyjnego. Deklaruje się ją w wykazie podmiotów kluczowych i ważnych pod rygorem odpowiedzialności karnej za fałszywe oświadczenie.
Autorka: Kinga Pawłowska-Nojszewska, Dyrektor ds. prawnych KIKE