Załącznik nr 1 UKSC wymienia dwanaście pozycji sektorowych: energię, transport, bankowość wraz z infrastrukturą rynków finansowych, ochronę zdrowia, produkcję leków i wyrobów medycznych, wodę pitną, ścieki, infrastrukturę cyfrową, komunikację elektroniczną, zarządzanie usługami ICT, przestrzeń kosmiczną i podmioty publiczne. Firma z tego sektora jest podmiotem kluczowym po przekroczeniu progu wielkości.
Załącznik I to pierwsza z dwóch list sektorowych polskiej ustawy o krajowym systemie cyberbezpieczeństwa, która wdraża NIS2. Przynależność do sektora z tej listy to dopiero jeden z dwóch warunków objęcia obowiązkami - drugim jest próg wielkości. Pełny dwustopniowy test rozpisujemy we wpisie czy NIS2 dotyczy mojej firmy; tutaj skupiamy się wyłącznie na tym, co dokładnie kryje noga sektorowa załącznika I i gdzie firmy najczęściej się co do niej mylą.
Dwanaście pozycji załącznika nr 1
Sprawdź, czy Twoja firma działa w jednym z sektorów załącznika nr 1. Poniższa tabela idzie za kolumną “Sektor” tabeli ustawowej, a nie za grupowaniem z dyrektywy - to istotne, bo polska ustawa dzieli niektóre pozycje inaczej. Dyrektywa NIS2 opisuje jedenaście sektorów wysokiej krytyczności, natomiast polski załącznik nr 1 ma dwanaście wierszy: scala bankowość z infrastrukturą rynków finansowych, ale wydziela komunikację elektroniczną z infrastruktury cyfrowej i dodaje osobny sektor produkcji oraz dystrybucji leków i wyrobów medycznych. Przykłady w prawej kolumnie są skrótem; wiążące jest brzmienie samego załącznika.
| Sektor (załącznik nr 1) | Przykładowe rodzaje podmiotów |
|---|---|
| Energia | Wydobywanie kopalin, energia elektryczna, ciepło, ropa i paliwa, gaz, energetyka jądrowa, wodór |
| Transport | Lotniczy, kolejowy, wodny, drogowy - przewoźnicy, zarządcy infrastruktury, porty, lotniska |
| Bankowość i infrastruktura rynków finansowych | Instytucje kredytowe, rynki regulowane, KDPW, administratorzy wskaźników referencyjnych |
| Ochrona zdrowia | Podmioty lecznicze, świadczeniodawcy z SOR i centrami urazowymi, laboratoria referencyjne UE, służba krwi |
| Produkcja i dystrybucja substancji czynnych, produktów leczniczych i wyrobów medycznych | Hurtownie farmaceutyczne, apteki ogólnodostępne, importerzy równolegli, dystrybutorzy substancji czynnych, URPL |
| Zaopatrzenie w wodę pitną i jej dystrybucja | Przedsiębiorstwa wodociągowo-kanalizacyjne |
| Zbiorowe odprowadzanie ścieków | Podmioty odprowadzające lub oczyszczające ścieki |
| Infrastruktura cyfrowa | IXP, dostawcy DNS, rejestry nazw TLD, chmura, centra danych, CDN, usługi zaufania, rejestracja nazw domen |
| Komunikacja elektroniczna | Przedsiębiorcy komunikacji elektronicznej |
| Zarządzanie usługami ICT | Dostawcy usług zarządzanych (MSP) i usług zarządzanych w cyberbezpieczeństwie (MSSP) |
| Przestrzeń kosmiczna | Operatorzy naziemnej infrastruktury wspierającej usługi kosmiczne, Polska Agencja Kosmiczna |
| Podmioty publiczne | Jednostki sektora finansów publicznych i obsługujące je urzędy |
Sektor to nie wszystko: trzy drogi do załącznika I
Firma trafia pod załącznik I na trzy różne sposoby, a nie tylko przez proste “jesteśmy na liście”. Rozróżnienie ich pomaga uniknąć błędnej samooceny.
Droga 1: wprost jako rodzaj podmiotu z listy. Firma prowadzi działalność, która wprost odpowiada jednemu z rodzajów podmiotów w załączniku I - na przykład jest szpitalem, bankiem albo operatorem centrum danych. To najczęstszy i najprostszy przypadek.
Droga 2: przez łańcuch dostaw. Firma sama nie jest w sektorze, ale dostarcza usługi podmiotowi kluczowemu, który na podstawie przepisów o bezpieczeństwie łańcucha dostaw wymaga od niej klauzul bezpieczeństwa w umowie. To nie czyni z niej podmiotu objętego ustawą wprost, ale skutek bywa równie realny - prawo do audytu, uwierzytelnianie wieloskładnikowe, zgłaszanie incydentów po stronie dostawcy.
Droga 3: niezależnie od wielkości. Część podmiotów podlega bez względu na to, czy przekracza próg 50 osób lub 10 mln euro obrotu. Tę grupę opisujemy niżej, bo to najczęstsze źródło pomyłek w sektorze IT.
Kiedy podlegasz niezależnie od wielkości
Nie zakładaj, że mała firma technologiczna jest automatycznie poza zakresem. Dla wybranych rodzajów podmiotów z infrastruktury cyfrowej próg wielkości nie ma zastosowania - podlegają one niezależnie od liczby pracowników i obrotu. Należą do nich dostawcy usług DNS, rejestry nazw domen najwyższego poziomu (TLD), podmioty świadczące usługi rejestracji nazw domen oraz kwalifikowani dostawcy usług zaufania. W zewnętrznych ocenach regularnie spotykamy dostawców IT - operatorów małych centrów danych czy usług zarządzanych - którzy zamykają temat na “mamy 15 osób, jesteśmy poza”, pomijając, że akurat ich rola może być objęta bez progu. Sprawdź nie tylko wielkość firmy, ale też, czy Twoja konkretna usługa nie należy do kategorii objętych niezależnie od niej.
Sektory graniczne - gdzie firmy się mylą
Kilka pozycji załącznika I ma nieostre krawędzie i to tam samoocena najczęściej się wykłada. Ochrona zdrowia obejmuje podmioty lecznicze, ale klinika medycyny estetycznej zwykle nie świadczy “świadczeń zdrowotnych” w rozumieniu ustawy o działalności leczniczej, więc najczęściej stoi poza tą definicją. Infrastruktura cyfrowa to nie każdy, kto ma serwer - chodzi o konkretne role jak IXP, DNS czy rejestr TLD, a nie o zwykły hosting strony firmowej. Najwięcej nieporozumień budzi branża farmaceutyczna i medyczna, bo ustawa przecina ją na pół. Produkcja i dystrybucja substancji czynnych, produktów leczniczych oraz wyrobów medycznych jest osobnym sektorem załącznika nr 1 - mieszczą się tam między innymi hurtownie farmaceutyczne, importerzy równolegli, a nawet apteki ogólnodostępne. Za to zwykła produkcja wyrobów medycznych i wyrobów do diagnostyki in vitro trafia do załącznika nr 2, z wyraźnym wyjątkiem dla wyrobów uznanych za krytyczne w stanie zagrożenia zdrowia publicznego, które wracają do załącznika nr 1. Podobnie rozdzielona jest komunikacja elektroniczna: ustawa wyjmuje ją z infrastruktury cyfrowej i czyni osobnym sektorem kluczowym.
Nie rozstrzygaj tych przypadków z pamięci. Wiążące jest brzmienie załączników nr 1 i 2 do ustawy o krajowym systemie cyberbezpieczeństwa, opublikowanej w Dzienniku Ustaw (Dz.U. 2026 poz. 252); rządowe omówienie zakresu znajdziesz też na portalu biznes.gov.pl. Jeśli sektor lub rodzaj podmiotu są niejednoznaczne, sprawdź to przed terminem, a nie po nim. Gdy już ustalisz, że jesteś w zakresie, procedurę wpisu do Wykazu KSC rozpisujemy krok po kroku, a warstwę techniczną obowiązków weryfikuje zewnętrzna ocena podatności. Pełny obraz obowiązków i terminów daje przewodnik po NIS2 i UKSC.
FAQ: najczęstsze pytania o sektory załącznika I
Ile sektorów liczy załącznik nr 1 do UKSC?
Tabela załącznika nr 1 ma dwanaście pozycji w kolumnie “Sektor”: energię, transport, bankowość wraz z infrastrukturą rynków finansowych, ochronę zdrowia, produkcję i dystrybucję leków oraz wyrobów medycznych, wodę pitną, ścieki, infrastrukturę cyfrową, komunikację elektroniczną, zarządzanie usługami ICT, przestrzeń kosmiczną i podmioty publiczne. Dyrektywa NIS2 grupuje te same obszary jako jedenaście sektorów, więc obie liczby krążą po internecie - polska ustawa dzieli je po prostu inaczej.
Czym różni się załącznik nr 1 od załącznika nr 2?
Załącznik nr 1 to sektory kluczowe, załącznik nr 2 to sektory ważne - usługi pocztowe, inwestycje energetyki jądrowej, gospodarowanie odpadami, chemikalia, żywność, produkcja, dostawcy usług cyfrowych, badania naukowe i samorządowe podmioty publiczne. Różnica nie sprowadza się do listy: podmiot ważny ma niższy pułap kar i podlega nadzorowi następczemu, a nie bieżącemu. Kategoria zależy od sektora i wielkości firmy.
Czy firma IT zawsze podlega NIS2?
Nie. Znaczenie ma konkretna rola, a nie sama branża IT. Zwykły hosting czy tworzenie oprogramowania nie musi mieścić się w infrastrukturze cyfrowej załącznika I. Za to dostawcy DNS, rejestry TLD i kwalifikowani dostawcy usług zaufania podlegają niezależnie od wielkości firmy.
Czy mały dostawca DNS podlega mimo małej wielkości?
Tak. Dostawcy usług DNS, rejestry nazw domen TLD, podmioty rejestracji nazw domen i kwalifikowani dostawcy usług zaufania należą do grupy objętej niezależnie od liczby pracowników i obrotu. Próg 50 osób lub 10 mln euro nie wyłącza ich z zakresu.
Gdzie znaleźć oficjalną listę sektorów?
Wiążącą listę zawierają załączniki nr 1 i 2 do ustawy o krajowym systemie cyberbezpieczeństwa, ogłoszonej w Dzienniku Ustaw (Dz.U. 2026 poz. 252). Rządowe omówienie zakresu, kategorii i progów udostępnia portal biznes.gov.pl prowadzony dla przedsiębiorców.
Nie masz pewności, czy Twoja firma jest w zakresie NIS2 po stronie technicznej - niezależnie od klasyfikacji sektorowej? Zamów bezpłatny PreScan: w 24 godziny pokażemy zewnętrzną powierzchnię ataku domeny Twojej firmy i luki, które warto zamknąć w pierwszej kolejności.
Materiał informacyjny, nie jest to porada prawna. Stan prawny na październik 2026 roku. O tym, czy firma podlega UKSC i do którego sektora się kwalifikuje, decyduje indywidualna analiza w oparciu o brzmienie załączników do ustawy - w razie wątpliwości skonsultuj się z radcą prawnym lub Inspektorem Ochrony Danych.