USTAWA O KRAJOWYM SYSTEMIE CYBERBEZPIECZEŃSTWA A DUE DILIGENCE I WYCENA NIERUCHOMOŚCI KOMERCYJNYCH

3 kwietnia 2026 r. weszła w życie nowelizacja ustawy o krajowym systemie cyberbezpieczeństwa (KSC). Wdraża ona do polskiego prawa unijną dyrektywę NIS2. Wiele osób kojarzy ją wyłącznie z energetyką, bankami czy telekomunikacją. Tymczasem przepisy obejmują także sektory, z którymi rzeczoznawcy mają do czynienia na co dzień przy wycenie obiektów magazynowych, logistycznych czy produkcyjnych.

Kogo obejmuje ustawa?

Ustawa dzieli podmioty na kluczowe i ważne. O kwalifikacji decydują dwa czynniki: rodzaj działalności wymienionej w załącznikach nr 1 i 2 do ustawy oraz wielkość przedsiębiorstwa. Co do zasady chodzi o firmy średnie i duże, czyli zatrudniające co najmniej 50 osób albo takie, których roczny obrót / suma bilansowa przekraczają 10 mln EUR. Do wielkości wlicza się także przedsiębiorstwa powiązane i partnerskie.

Z punktu widzenia najczęściej wycenianych nieruchomości komercyjnych istotne są przede wszystkim:

• przetwórstwo spożywcze i hurtowa dystrybucja żywności, np. zakłady mięsne, rybne, mleczarskie, owocowo-warzywne oraz hurtownie spożywcze (handel detaliczny i gastronomia są wyłączone),
• usługi pocztowe i kurierskie, czyli operatorzy sortowni i hubów kurierskich,
• wybrane podmioty transportu kolejowego, wodnego (w tym porty i obiekty portowe) i drogowego wskazane
• w załączniku nr 1,
• produkcja przemysłowa: maszyny i urządzenia, urządzenia elektryczne, elektronika, pojazdy, przyczepy i naczepy, pozostały sprzęt transportowy, wyroby medyczne,
• produkcja i dystrybucja chemikaliów,
• gospodarowanie odpadami.

Warto podkreślić, że samo magazynowanie nie jest wymienione jako odrębny sektor. Firma logistyczna, która łączy magazynowanie ze spedycją, usługami kurierskimi czy dystrybucją hurtową żywności, musi jednak ocenić każdy z tych segmentów osobno.

Nie ma zamkniętej listy podmiotów. Przedsiębiorca samodzielnie ocenia, czy podlega ustawie, i składa wniosek o wpis do wykazu podmiotów kluczowych i ważnych. Dla podmiotów spełniających kryteria w dniu wejścia ustawy w życie termin upłynął 3 października 2026 r. Wykaz nie jest jednak publiczny. Kupujący nie sprawdzi więc w żadnym rejestrze, czy najemca obiektu jest podmiotem kluczowym lub ważnym. Powinien to zweryfikować w ramach dodatkowych czynności, np. due diligence. To dodatkowe ryzyko, które łatwo przeoczyć.

Na czym polega ryzyko dla kupującego?

Podmioty kluczowe i ważne mają czas do 3 kwietnia 2027 r. na wdrożenie systemu zarządzania bezpieczeństwem informacji (SZBI). Zgodnie z art. 8 ustawy obejmuje on m.in. bezpieczeństwo fizyczne z kontrolą dostępu, regularne aktualizacje oprogramowania zgodnie z zaleceniami producenta, bezpieczeństwo łańcucha dostaw sprzętu i oprogramowania oraz ciągłe monitorowanie systemu. W obiektach magazynowych i produkcyjnych zakresem tym mogą być objęte także instalacje budynkowe: monitoring wizyjny, systemy kontroli dostępu, BMS czy automatyka połączona z siecią. Jeżeli systemy w obiekcie są przestarzałe, nie są już aktualizowane przez producenta albo nie dają się odseparować od sieci najemcy, ich modernizacja lub wymiana może być konieczna.

Dodatkowe ryzyko tworzy procedura uznania dostawcy za dostawcę wysokiego ryzyka. Jeżeli Minister Cyfryzacji wyda taką decyzję, podmioty kluczowe i ważne będą musiały wycofać wskazany w niej sprzęt lub oprogramowanie, co do zasady w ciągu 7 lat. Ustawa nie przewiduje rekompensaty za taką wymianę. Na dziś lista nie istnieje, ale sam mechanizm już obowiązuje.

Co to oznacza dla wyceny?

Przy wycenie metodą DCF obiektu, w którym są najemcy objęci KSC, koszty dostosowania systemów zabezpieczeń należy przeanalizować i, w zależności od zapisów umów najmu, uwzględnić jako nakłady inwestycyjne (CAPEX) w prognozie przepływów. Nawet jeśli umowa przerzuca te koszty na najemcę, pozostaje ryzyko, że najemca nie przedłuży umowy. Wtedy może się to przełożyć na założenia dotyczące pustostanów lub stopy dyskontowej. Dlatego w ramach due diligence lub przed przystąpieniem do wyceny obiektów komercyjnych należy m.in.:

• ustalić profil działalności i wielkość kluczowych najemców,
• sprawdzić wiek, producenta i stan aktualizacji systemów monitoringu, kontroli dostępu i BMS,
• przeanalizować, kto zgodnie z umową najmu odpowiada za modernizację tych instalacji.

Kary administracyjne za większość naruszeń mogą być nakładane dopiero po 3 kwietnia 2028 r. Koszty dostosowania powinny jednak znaleźć się w analizach już dziś, gdyż mogą być wysokie i ostatecznie wpływać na proces finansowania inwestycji.

Źródło:
Ustawa o KSC, art. 8 i załączniki nr 1 i 2; Ministerstwo Cyfryzacji; System S46, wykaz podmiotów;
CERT Polska, FAQ KSC; Poradnik dotyczący definicji MŚP.