Dla kogo bezpośrednio: podmioty kluczowe i ważne wg ustawy o KSC (Dz.U. 2026 poz. 20, nowelizacja poz. 252). Terminy dla objętych: samoidentyfikacja i wpis do wykazu do 3.10.2026, SZBI do 3.04.2027, pierwsze audyty od 3.04.2028. Nie wiesz, czy podlegasz? Przejdź checklistę kwalifikacji KSC.
Dla kogo pośrednio — i to jest sedno: obowiązek zarządzania bezpieczeństwem łańcucha dostaw leży po stronie odbiorcy (art. 21 ust. 2 lit. d NIS2 i odpowiedniki w ustawie o KSC), ale rachunek dostaje dostawca. Duży klient kaskaduje wymagania kontraktowo: kwestionariusze bezpieczeństwa, klauzule umowne, prawo do audytu dostawcy.
Ustawa nie wymienia Twojej firmy. Twój klient — tak. I to on przyśle Ci wymagania.
Kary (dla podmiotów objętych): osobista kara pieniężna kierownika do 300% wynagrodzenia (art. 73a ust. 4 ustawy o KSC), niezależnie od kar na firmę. Podajemy wyłącznie wartości z tekstu ustawy.