Przepisy ustawy wdrażającej dyrektywę NIS2 kwalifikują określony podmiot jako kluczowy lub ważny ze względu na status mikro-, małego lub średniego przedsiębiorstwa. Jak jednak liczyć wielkość przedsiębiorstwa pod kątem NIS2? Czy wystarczy wziąć pod uwagę liczbę zatrudnionych na etacie oraz obrót firmy? Zapraszam na nieco pogłębioną analizę, która może przydać się na początku rzetelnego samookreślenia się podmiotu.
Ustawa o krajowym systemie cyberbezpieczeństwa zalicza poszczególne podmioty do podmiotów kluczowych lub ważnych nie tylko ze względu na sektor, podsektor i rodzaj podmiotu, ale też skalę prowadzonej działalności. Innymi słowy to samo przedsiębiorstwo raz może być traktowane jako podmiot kluczowy — np. dostawca usług zarządzanych, który przewyższa wymogi dla średniego przedsiębiorstwa według rozporządzenia Komisji 651/2014 — a innym razem jako podmiot ważny (taka sama firma świadcząca usługi outsourcingu ICT, o ile spełnia wymogi średniego przedsiębiorstwa). Czasem jest jeszcze inaczej, bo przecież każdy rejestr nazw domen TLD i każdy podmiot świadczący usługi rejestracji nazw domen to podmiot kluczowy, niezależnie od jego wielkości, ale już w przypadku niekwalifikowanych dostawców usług zaufania lub przedsiębiorców komunikacji elektronicznej status podmiotu ważnego zaczyna się od poziomu mikroprzedsiębiorstwa.
Podstawowy błąd, z którym najczęściej można się spotkać: NIS2 nas nie interesuje, ponieważ nasza spółka zatrudnia poniżej 50 / 250 osób. Tymczasem wielkość przedsiębiorstwa w/g przepisów o MŚP — bo to one mają znaczenie w zakresie dyrektywy NIS2 — oblicza się w dalece bardziej skomplikowany sposób.
Na początek wszystko wydaje się proste: mikroprzedsiębiorstwo zatrudnia poniżej 10 pracowników i zarabia relatywnie niewiele, pułap dla małego przedsiębiorstwa to mniej niż 50 pracowników i trochę więcej pieniędzy, a średnie przedsiębiorstwo to 250 pracowników i znacznie większa kasa. Czy to oznacza, że podmioty prowadzące działalność w sektorach „dotkniętych” NIS2 mogą przeliczyć zatrudnienie i momentalnie zakończyć self-assessment?
Zaczynając od propedeutyki prawa: w Polsce (i nie tylko w Polsce) mamy system prawa, a nie federację luźno powiązanych przepisów, toteż jeśli np. ogólna definicja podmiotu ważnego odsyła do „art. 2 ust. 1 załącznika I do rozporządzenia Komisji (UE) nr 651/2014”, to przecież nie oznacza, że badanie należy ograniczyć wyłącznie do tej normy.
art. 5 ust. 1 pkt 1 ustawy o krajowym systemie cyberbezpieczeństwa
Podmiotem kluczowym jest:
1) osoba fizyczna, osoba prawna albo jednostka organizacyjna nieposiadająca osobowości prawnej wskazana w załączniku nr 1 do ustawy, która przewyższa wymogi dla średniego przedsiębiorstwa określone w art. 2 ust. 1 załącznika I do rozporządzenia Komisji (UE) nr 651/2014 z dnia 17 czerwca 2014 r. uznającego niektóre rodzaje pomocy za zgodne z rynkiem wewnętrznym w zastosowaniu art. 107 i 108 Traktatu, zwanego dalej „rozporządzeniem 651/2014/UE”;
art. 2 załącznika I do rozporządzenia 651/2014
1. Do kategorii mikroprzedsiębiorstw oraz małych i średnich przedsiębiorstw („MŚP”) należą przedsiębiorstwa, które zatrudniają mniej niż 250 pracowników i których roczny obrót nie przekracza 50 milionów EUR, lub roczna suma bilansowa nie przekracza 43 milionów EUR.
2. W kategorii MŚP małe przedsiębiorstwo definiuje się jako przedsiębiorstwo, które zatrudnia mniej niż 50 pracowników i którego roczny obrót lub roczna suma bilansowa nie przekracza 10 milionów EUR.
3. W kategorii MŚP mikroprzedsiębiorstwo definiuje się jako przedsiębiorstwo, które zatrudnia mniej niż 10 pracowników i którego roczny obrót lub roczna suma bilansowa nie przekracza 2 milionów EUR.
Otóż zgodnie z rozporządzeniem KE liczbę personelu ustala się na podstawie liczby pracowników zatrudnianych w pełnym wymiarze czasu pracy, zaś osoby, które pracują w niepełnym wymiarze godzin lub przez niecały rok, bierze się pod uwagę proporcjonalnie (liczba rocznych jednostek pracy, RJP). Zarazem do personelu zaliczani są:
- pracownicy — czyli osoby zatrudnione na umowę o pracę, na podstawie powołania, wyboru, mianowania, etc.;
- osoby pracujące dla przedsiębiorstwa, podlegające mu i uważane za pracowników na mocy prawa krajowego — i tu jest taka wykładania, ze do liczby zatrudnionych wlicza się osoby stale świadczące na rzecz przedsiębiorstwa usługi na podstawie umów cywilnoprawnych, w tym B2B, ale nie wlicza się współpracowników ad hoc;
- właściciele-kierownicy — ten przypadek obejmuje w szczególności zarząd podmiotu, niezależnie od formalnej podstawy jego powołania;
- partnerzy prowadzący regularną działalność w przedsiębiorstwie i czerpiący z niego korzyści finansowe.
Już tylko dla porządku dodać należy, iż zatrudnionymi w rozumieniu rozporządzenia nie są praktykanci lub studenci na praktyce lub szkoleniu zawodowym, zaś do RJP nie wlicza się urlopów macierzyńskich i wychowawczych — i to jest chyba najlepsze podsumowanie wątpliwości.
Ale to przecież nie wszystko, ponieważ to samo rozporządzenie KE określa warunki i zasady, na których ustalenie statusu przedsiębiorstwa jako mikro-, małego lub średniego zależy od zsumowania liczby personelu zatrudnionego przez przedsiębiorstwa powiązane (m.in. ze względów właścicielskich, prawo powołania członków zarządu, dominację oraz przedsiębiorstwa partnerskie (tj. przedsiębiorstwa powiązane z… przedsiębiorstwem powiązanym), etc.,etc.
Napisałem: liczby personelu, ale te analogiczne dotyczą obliczania „kwot finansowych” — co nie tylko oznacza, że spółka zatrudniająca poniżej 50 osób i mająca obrót poniżej 10 mln € może kwalifikować się jako element KSC, ale też może się zdarzyć, że pracodawca, który ma mniej niż 10 pracowników i obrót niższy niż 2 mln € wcale nie jest mikroprzedsiębiorcą.
Dołóżmy do tego przepis wyłączający spod zastosowania NIS2 podmioty, które warunek „rozmiaru” spełniają, ale ich system informacyjny jest niezależny od systemów przedsiębiorstw powiązanych i partnerskich (art. 5 ust. 6-7 uksc)… to się okazuje, że tej łamigłówki bez kwantowego suwaka logarytmicznego nie razbieriosz.
(Ale już na bazie rozporządzenia DORA to jest bardzo proste: małe przedsiębiorstwo to podmiot finansowy zatrudniający co najmniej 10 osób, ale mniej niż 50 osób, którego roczny obrót lub bilans roczny przekracza 2 mln EUR, ale nie przekracza 10 mln EUR, średnie zatrudnia mniej niż 250 osób i jego roczny obrót nie przekracza 50 mln EUR lub bilans roczny nie przekracza 43 mln EUR — o tyle zabawne, że DORA i NIS2 dotyczą tej samej materii.)
Wychodzi chyba na to, że najłatwiej podmiot lecznicy nie będący przedsiębiorcą, który jest traktowany jako podmiot ważny, jeśli zatrudnia od 50 do 249 osób oraz jako podmiot kluczowy, jeśli zatrudnia co najmniej 250 osób — jak też te podmioty, które załapały się na NIS2 nie ze względu na wielkość prowadzonego przedsiębiorstwa, lecz po prostu z nazwy (np. Wody Polskie, Urząd Dozoru Technicznego, Polska Agencja Prasowa, etc.,etc.).
Podsumowując: samodzielna weryfikacja podmiotu potencjalnie wchodzącego w obszar krajowego systemu cyberbezpieczeństwa nie powinna sprowadzać się do sprawdzenia, czy jego działalność mieści się w sektorze i podsektorze przywołanym w ustawie i nie może ograniczać się do porównania liczby zatrudnionych z pułapami MŚP. Niuansów, które łatwo zignorować, jest znacznie więcej — a ryzyko sankcji na tyle duże, że nie warto ryzykować.