Wiele firm, które zajmują się sprzedażą domen, oferuje jednocześnie hosting, DNS, pocztę, strony internetowe, certyfikaty SSL, serwery VPS czy usługi administracyjne.
Po wejściu w życie nowych przepisów dotyczących Krajowego Systemu Cyberbezpieczeństwa (KSC) pojawia się więc praktyczne pytanie:
Czy firma, która jest resellerem domen, ale jednocześnie świadczy inne usługi IT, również podlega KSC z tytułu tych usług?
Nie ma jednej odpowiedzi dla wszystkich usług. Decydujące znaczenie ma rodzaj faktycznie świadczonej usługi oraz to, czy odpowiada ona kategorii wskazanej w ustawie o KSC.
Poniżej przedstawiamy najważniejsze przypadki z perspektywy firmy, która prowadzi sprzedaż domen i dodatkowych usług internetowych.
Najważniejsze wnioski w jednej tabeli
| Usługa / działalność | Kiedy może podlegać KSC? | Znaczenie wielkości firmy |
|---|---|---|
| Rejestracja domen dla klientów | Gdy firma świadczy usługę rejestracji nazw domen | Nie ma progu wielkości – kategoria podmiotu kluczowego |
| Publiczne usługi DNS | Gdy firma świadczy publicznie dostępne rekurencyjne lub autorytatywne usługi DNS w rozumieniu ustawy | Nie ma progu wielkości – kategoria podmiotu kluczowego |
| Hosting | Sam hosting nie oznacza automatycznie KSC; trzeba zbadać, czy usługa spełnia definicję np. chmury obliczeniowej | Zależnie od zakwalifikowania usługi |
| VPS / serwer wirtualny | Sam zakup lub wynajem VPS nie oznacza automatycznie podlegania KSC | Zależnie od charakteru usługi świadczonej klientom |
| Chmura obliczeniowa | Gdy usługa zapewnia dostęp do skalowalnego i elastycznego zbioru zasobów obliczeniowych do wspólnego wykorzystania przez wielu użytkowników | Co najmniej średnie przedsiębiorstwo → podmiot ważny; większy podmiot → podmiot kluczowy, z wyjątkami ustawowymi |
| Centrum danych | Jeżeli firma faktycznie świadczy usługę centrum przetwarzania danych w rozumieniu ustawy | Zależnie od wielkości |
| Tworzenie stron WWW | Samo tworzenie stron internetowych nie stanowi odrębnej kategorii infrastruktury cyfrowej wskazanej w załączniku nr 1 | Sama usługa nie powoduje automatycznie KSC |
| Certyfikaty SSL/TLS | Sama sprzedaż lub odsprzedaż certyfikatów nie oznacza automatycznie świadczenia usług zaufania | Zależy od faktycznej roli firmy |
| Usługi zaufania | Jeżeli firma sama świadczy usługę zaufania objętą przepisami eIDAS/KSC | Szczególne zasady zależne m.in. od tego, czy dostawca jest kwalifikowany |
| Administracja IT / usługi zarządzane | Jeżeli firma świadczy usługi związane z instalacją, eksploatacją lub konserwacją produktów, usług lub procesów ICT poprzez wsparcie lub aktywną administrację | Zależnie od kategorii i wielkości |
Kategorie infrastruktury cyfrowej wymienione w załączniku nr 1 obejmują m.in. dostawców DNS, dostawców chmury obliczeniowej, centra przetwarzania danych, sieci dostarczania treści, usługi zaufania oraz podmioty świadczące usługi rejestracji nazw domen.
1. Reseller domen – najważniejsza kategoria dla Partnerów HRD
Jeżeli firma rejestruje domeny dla swoich klientów jako własną usługę, znajduje się w szczególnej sytuacji.
Ustawa wymienia wprost:
podmiot świadczący usługę rejestracji nazw domen
jako kategorię w sektorze infrastruktury cyfrowej. Co istotne, podmiot świadczący usługę rejestracji nazw domen został wskazany w art. 5 ust. 1 pkt 4 lit. j jako podmiot kluczowy niezależnie od wielkości podmiotu.
Co to oznacza dla resellera?
Jeżeli firma:
- oferuje domeny swoim klientom,
- dokonuje ich rejestracji,
- obsługuje je jako reseller,
- rozlicza tę usługę z klientem,
to powinna przeanalizować swój status na gruncie KSC właśnie jako podmiot świadczący usługę rejestracji nazw domen.
Nie należy więc przyjmować, że mała firma lub jednoosobowa działalność automatycznie pozostaje poza KSC tylko dlatego, że jest mała.
2. Mam domeny tylko dla własnej firmy
To zupełnie inna sytuacja.
Jeżeli przedsiębiorca:
posiada domenę dla swojej firmy i wykorzystuje ją do prowadzenia własnej strony, poczty lub innych własnych usług,
to samo posiadanie domeny nie oznacza świadczenia usługi rejestracji nazw domen.
Innymi słowy:
własna domena ≠ reseller domen.
Decydujące znaczenie ma świadczenie usługi na rzecz klientów.
3. DNS – tutaj sytuacja jest szczególna
KSC definiuje dostawcę usług DNS jako podmiot świadczący dostępne publicznie:
- rekurencyjne usługi rozpoznawania nazw domen na rzecz ogółu użytkowników końcowych internetu albo
- autorytatywne usługi rozpoznawania nazw domen do użytku ogółu użytkowników końcowych internetu,
z wyłączeniem głównych serwerów nazw.
Dostawca usług DNS został wskazany w art. 5 ust. 1 pkt 4 lit. a jako podmiot kluczowy niezależnie od wielkości przedsiębiorstwa.
Ważne dla resellerów
Nie każde używanie DNS oznacza, że firma jest dostawcą usług DNS.
Przykładowo:
„Mam hosting i moje serwery odpowiadają na zapytania DNS dotyczące domen moich klientów”
nie powinno być automatycznie utożsamiane z:
„jestem dostawcą publicznych usług DNS w rozumieniu KSC”.
Ustawa zawiera konkretną definicję tej kategorii i trzeba ocenić faktyczny charakter usługi.
4. Hosting – czy każdy hosting podlega KSC?
Nie.
To bardzo ważne rozróżnienie.
Samo świadczenie usługi hostingu nie oznacza automatycznie, że firma jest podmiotem kluczowym.
Szczególnej analizy wymaga sytuacja, w której oferowana usługa może zostać zakwalifikowana jako usługa chmury obliczeniowej.
Ustawa definiuje dostawcę chmury obliczeniowej jako podmiot świadczący usługę umożliwiającą dostęp do skalowalnego i elastycznego zbioru zasobów obliczeniowych do wspólnego wykorzystywania przez wielu użytkowników.
Dlatego samo hasło:
„sprzedaję hosting”
nie wystarcza do ustalenia statusu KSC.
Trzeba sprawdzić, jak działa oferowana usługa.
5. Mam VPS i sprzedaję konta cPanel
To jeden z najczęstszych przypadków wśród małych firm IT.
Przykład:
Firma kupuje VPS od dostawcy X.
Instaluje na nim cPanel.
Tworzy 20 kont hostingowych.
Następnie sprzedaje te konta 20 klientom.
Sam taki model nie oznacza automatycznie, że firma jest dostawcą chmury obliczeniowej.
Nie można również przyjąć, że:
VPS + cPanel = KSC.
Trzeba sprawdzić charakter usługi świadczonej klientom i ustalić, czy spełnia ona ustawową definicję konkretnej kategorii objętej KSC.
Samo korzystanie z infrastruktury innego dostawcy również nie oznacza automatycznie, że reseller przejmuje jego status.
6. Chmura obliczeniowa
W przypadku usług chmurowych sytuacja jest bardziej złożona.
Jeżeli firma świadczy usługę zapewniającą dostęp do skalowalnego i elastycznego zbioru zasobów obliczeniowych przeznaczonych do wspólnego wykorzystania przez wielu użytkowników, może wchodzić w kategorię dostawcy chmury obliczeniowej.
W przypadku podmiotów z załącznika nr 1 standardowo znaczenie ma wielkość przedsiębiorstwa:
- podmiot spełniający kryteria średniego przedsiębiorstwa może być podmiotem ważnym,
- podmiot przekraczający kryteria średniego przedsiębiorstwa może być podmiotem kluczowym,
o ile nie zachodzi szczególna przesłanka ustawowa.
7. Tworzę strony internetowe
Samo:
- projektowanie stron,
- tworzenie stron WWW,
- wdrażanie WordPressa,
- projektowanie sklepów internetowych,
- tworzenie stron na zamówienie,
nie oznacza automatycznie podlegania KSC.
W załączniku nr 1 do ustawy nie ma odrębnej kategorii:
„firma tworząca strony internetowe”.
Inaczej może wyglądać sytuacja, jeżeli wraz z tworzeniem stron firma świadczy dodatkowo inne usługi objęte KSC, np. określone usługi chmurowe, DNS albo usługi zarządzane.
Dlatego należy analizować poszczególne usługi, a nie sam przedmiot działalności gospodarczej.
8. Certyfikaty SSL – ważne rozróżnienie
Tutaj również łatwo o błędną interpretację.
Firma może:
kupować certyfikaty SSL od dostawcy i odsprzedawać je swoim klientom.
Samo pośrednictwo lub sprzedaż certyfikatów SSL nie oznacza automatycznie, że firma jest dostawcą usług zaufania.
KSC posługuje się kategorią dostawcy usług zaufania, a przepisy rozróżniają m.in. kwalifikowanych i niekwalifikowanych dostawców usług zaufania. Kwalifikowany dostawca usług zaufania jest objęty szczególną regulacją niezależnie od wielkości podmiotu.
Dlatego:
„sprzedaję certyfikaty SSL” ≠ automatycznie „jestem dostawcą usług zaufania”.
Kluczowe jest ustalenie, jaką usługę firma faktycznie świadczy i jaka jest jej rola wobec dostawcy certyfikatu.
9. Administracja serwerami i usługi zarządzane
Inny przypadek może wystąpić, gdy firma nie tylko sprzedaje hosting, ale również świadczy usługę administracji infrastrukturą klienta.
Ustawa definiuje dostawcę usług zarządzanych jako podmiot świadczący usługi związane m.in. z instalacją, eksploatacją lub konserwacją produktów ICT, usług ICT, procesów ICT lub systemów informacyjnych poprzez wsparcie lub aktywną administrację — lokalnie albo zdalnie.
Dlatego firma IT oferująca np.:
- administrację serwerami klienta,
- bieżące zarządzanie infrastrukturą,
- utrzymanie systemów IT,
- zdalną administrację,
powinna osobno sprawdzić, czy jej model działalności odpowiada definicji dostawcy usług zarządzanych.
10. Nie patrz tylko na PKD
Jednym z najczęstszych błędów jest próba odpowiedzi na pytanie:
„Czy podlegam KSC?”
wyłącznie na podstawie kodu PKD.
W praktyce ważniejsze jest to, jaką usługę przedsiębiorca rzeczywiście świadczy.
Firma może mieć w swoim zakresie działalności:
- domeny,
- hosting,
- strony WWW,
- serwery,
- DNS,
- SSL,
- administrację IT,
ale każdą z tych usług należy analizować osobno.
Ministerstwo Cyfryzacji wskazuje, że podmioty powinny przeanalizować swoją działalność pod kątem sektorów wskazanych w załącznikach, kryteriów wielkościowych oraz pozostałych przesłanek wynikających z ustawy.
11. Prosty schemat dla resellera
Można przyjąć następujący schemat:
KROK 1
Czy świadczysz usługę rejestracji domen dla klientów?
→ Tak → sprawdź status jako podmiot świadczący usługę rejestracji nazw domen.
KROK 2
Czy świadczysz usługę DNS odpowiadającą ustawowej definicji dostawcy usług DNS?
→ Tak → sprawdź status jako dostawca usług DNS.
KROK 3
Czy świadczysz hosting?
→ Tak → sprawdź, czy konkretny model usługi spełnia definicję jednej z kategorii KSC, w szczególności chmury obliczeniowej.
KROK 4
Czy tworzysz strony WWW?
→ Sama usługa tworzenia stron nie oznacza automatycznie objęcia KSC.
KROK 5
Czy sprzedajesz SSL?
→ Sama odsprzedaż certyfikatów nie oznacza automatycznie statusu dostawcy usług zaufania.
KROK 6
Czy administrujesz infrastrukturą klientów?
→ Sprawdź, czy zakres usługi odpowiada definicji dostawcy usług zarządzanych.
12. Co z małą firmą lub jednoosobową działalnością?
To szczególnie ważne dla resellerów.
Nie można przyjąć jednej zasady:
„Mam małą firmę, więc KSC mnie nie dotyczy”.
W przypadku dostawcy usług DNS oraz podmiotu świadczącego usługę rejestracji nazw domen ustawa przewiduje status podmiotu kluczowego niezależnie od wielkości podmiotu.
Natomiast przy innych kategoriach z załącznika nr 1 wielkość przedsiębiorstwa może mieć znaczenie dla tego, czy podmiot jest kluczowy, ważny czy nie spełnia przesłanek wpisu.
Dlatego przed złożeniem wniosku warto najpierw ustalić:
1. Jaką usługę faktycznie świadczę?
2. Do jakiej kategorii KSC może należeć ta usługa?
3. Jakie kryteria wielkościowe dotyczą tej kategorii?
4. Czy spełniam pozostałe przesłanki ustawowe?
13. Kiedy trzeba dokonać wpisu?
Jeżeli podmiot spełnia ustawowe kryteria i nie jest wpisywany do wykazu z urzędu, dokonuje samorejestracji w Wykazie KSC.
Ministerstwo Cyfryzacji wskazuje, że samorejestracja została uruchomiona 7 maja 2026 r., a dla podmiotów spełniających przesłanki w dniu wejścia w życie nowych przepisów termin wskazano do 3 października 2026 r.
Wniosek składa się elektronicznie w aplikacji Wykaz KSC.
Podsumowanie – sprawdź swoją sytuację
| Jeżeli jesteś firmą, która… | Co należy sprawdzić? |
|---|---|
| Rejestruje domeny dla klientów | Usługa rejestracji nazw domen – szczególna kategoria KSC |
| Tylko posiada własne domeny | Samo posiadanie domeny nie oznacza świadczenia usługi rejestracji domen |
| Świadczy publiczne usługi DNS | Kategoria dostawcy DNS – szczególne zasady |
| Sprzedaje zwykły hosting | Sprawdź faktyczny charakter usługi |
| Ma VPS i tworzy konta cPanel | Sam VPS/cPanel nie przesądza o KSC |
| Świadczy usługę chmurową | Sprawdź definicję chmury i kryteria wielkościowe |
| Tworzy strony WWW | Sama usługa tworzenia stron nie jest odrębną kategorią KSC |
| Odsprzedaje SSL | Sama odsprzedaż certyfikatów nie przesądza o statusie dostawcy usług zaufania |
| Administruje infrastrukturą klientów | Sprawdź kategorię dostawcy usług zarządzanych |
Ważne
Powyższe informacje mają charakter informacyjny i pomagają uporządkować najczęstsze modele działalności resellerów. Ostateczna ocena zależy od faktycznie świadczonych usług oraz spełnienia wszystkich przesłanek ustawy o KSC.
Ministerstwo Cyfryzacji zaleca podmiotom samodzielną analizę działalności pod kątem sektorów, kryteriów wielkościowych i pozostałych przesłanek ustawowych.
Aktualne informacje dotyczące samorejestracji i Wykazu KSC są dostępne na portalu Ministerstwa Cyfryzacji – System S46.