Jak zabezpieczyć domenę przed utratą
czytaj więcej
Wpisz w dowolne narzędzie typu „DNS lookup" domenę swojego klienta i zobacz, jakie ma ustawione serwery nazw. Jeśli widnieją tam adresy w Twojej domenie, jesteś w rozumieniu ustawy o krajowym systemie cyberbezpieczeństwa podmiotem kluczowym. Jednoosobowa działalność podlega tu dokładnie tak samo jak spółka z trzystoma pracownikami.
Brzmi to nieprawdopodobnie i dlatego mało kto sprawdza. Tymczasem od kwietnia 2026 roku obowiązuje znowelizowana ustawa, wdrażająca dyrektywę NIS2, a w niej część obowiązków nie ma progu wielkości firmy. Nie da się być na tyle małym, żeby temat zniknął sam.
Poniżej znajdziesz to, czego sami szukaliśmy, gdy zaczęliśmy to porządkować u siebie: tabelę usług z odpowiedzią „podlegasz / nie podlegasz", dwa testy do zrobienia w kwadrans i terminy, które już biegną.
Co się właściwie zmieniło
W kwietniu 2026 roku weszła w życie duża nowelizacja ustawy o krajowym systemie cyberbezpieczeństwa. Wdraża ona europejską dyrektywę znaną jako NIS2. Dla branży hostingowej istotne są dwie rzeczy.
Po pierwsze, ustawa wymienia rodzaje działalności, a nie rodzaje firm. Świadczysz usługę z listy - podlegasz. Po drugie, przy części pozycji z tej listy nie ma progu wielkości. Przy innych jest i wtedy mała firma rzeczywiście zostaje poza zakresem.
Cała sztuka polega więc na tym, żeby sprawdzić, w którym z tych dwóch koszyków jest to, co robisz na co dzień. I tu zaczynają się niespodzianki, bo najczęściej przeoczoną pozycją w całej branży są własne serwery nazw.
Najczęstszy błąd: „nie obsługuję ważnych klientów, więc mnie to nie dotyczy"
To rozumowanie nie działa, bo przepisy patrzą na to, co robisz, a nie na to, kim są Twoi klienci. Warunek w rodzaju „chyba że wśród klientów nie ma banku ani szpitala" w ustawie nie występuje.
Działa to zresztą w obie strony i to bywa pocieszające: firma, która hostuje przychodnię, kancelarię i urząd gminy, nie staje się przez to podmiotem objętym ustawą, jeśli sama nie świadczy żadnej z wymienionych usług. Branża klientów jest bez znaczenia w jedną i w drugą stronę.
Wyjątkiem jest przepis pozwalający organowi dodać firmę do systemu własną decyzją, na przykład gdy jest jedynym dostawcą usługi ważnej dla regionu. Mechanizm działa jednak tylko w jedną stronę: obejmuje, nigdy nie zwalnia.
Tabela: co robię, czy podlegam
Przejdź ją wiersz po wierszu i zaznacz pozycje, które opisują Twoją działalność. „Próg średniego przedsiębiorcy" to firma zatrudniająca co najmniej 50 osób albo z obrotem powyżej 10 mln euro rocznie. Poniżej tego progu przy takich pozycjach nie podlegasz. Przy pozycjach „niezależnie od wielkości" próg nie ma znaczenia.
| Co robisz | Podlegasz? | Na czym to polega |
|---|---|---|
| Prowadzisz serwery nazw (DNS) dla domen klientów - choćby jeden, na własnym albo dzierżawionym sprzęcie | TAK, niezależnie od wielkości | Najczęściej przeoczana pozycja w branży. Chodzi o serwer, który udziela odpowiedzi na pytanie „pod jakim adresem jest ta strona", a nie o taki, który tylko odpytuje cudze serwery na potrzeby Twojej sieci. Nazwa serwera nie ma tu znaczenia. Dzierżawa sprzętu i zlecenie administracji na zewnątrz też nie - dyrektywa mówi wprost, że obowiązki stosuje się niezależnie od tego, czy utrzymujesz systemy sam, czy zlecasz to komuś |
| Serwery nazw noszą Twoją nazwę, ale prowadzi je w całości ktoś inny (usługa pod własną marką, nie masz dostępu do konfiguracji) | Prawdopodobnie TAK, ale przepis tego nie rozstrzyga | Sytuacja graniczna i nie ma tu stanowiska urzędu. Za objęciem przemawia to, że usługę sprzedajesz Ty, umowę z klientem masz Ty i Twoja marka widnieje w konfiguracji. Przeciw - że trudno „świadczyć" usługę, nad którą nie masz kontroli. Bezpieczniej założyć, że podlegasz. A jeśli przy okazji sprzedajesz domeny, spór jest bezprzedmiotowy, bo i tak podlegasz z tego drugiego tytułu |
| Klienci wpisują serwery nazw dostawcy pod jego własną nazwą - Ciebie nie ma nigdzie w konfiguracji ani w umowie o DNS | NIE | Skoro klient dostaje serwery nazw od innej firmy i pod jej nazwą, to ona świadczy tę usługę, nie Ty |
| Masz serwery nazw wyłącznie dla własnych domen, bez klientów | NIE | Usługa „dla samego siebie" nie czyni nikogo dostawcą - przepis mówi o usługach do użytku osób trzecich |
| Zmieniasz rekordy DNS klientów w panelu ich dostawcy, na ich koncie i z ich upoważnienia | NIE | Klasyczna obsługa informatyczna. Usługę świadczy nadal ten, do kogo należą serwery. Ty klikasz w cudzym panelu |
| Rejestrujesz domeny dla klientów - również jako pośrednik na cudzej akredytacji, odsprzedawca albo partner większego rejestratora | TAK, niezależnie od wielkości | Definicja jest napisana szeroko celowo: obejmuje nie tylko rejestratorów akredytowanych, ale każdego, kto pośredniczy albo odsprzedaje. Klient zamawia u Ciebie domenę i płaci Tobie? Świadczysz usługę rejestracji, nawet jeśli technicznie klikasz w panelu innej firmy |
| Hostujesz strony klientów (hosting współdzielony, konta w cPanel czy DirectAdmin) | Zwykle NIE | Klasyczny hosting zwykle nie spełnia definicji chmury, która wymaga samoobsługowego, elastycznego skalowania zasobów na żądanie. Sztywny pakiet z limitem miejsca to nie chmura. A nawet gdyby spełniał - ta pozycja ma próg wielkości, więc mała firma i tak zostaje poza |
| Udostępniasz VPS albo serwery dedykowane | Zwykle NIE | To samo rozumowanie. Ale jeśli dajesz klientowi panel, w którym sam, bez udziału Twojego pracownika, tworzy i kasuje maszyny oraz zmienia im parametry, usługa zaczyna wyglądać jak chmura. Wtedy decyduje wyłącznie wielkość firmy |
| Trzymasz własne serwery w kolokacji | NIE | Tu role są odwrotne, niż się wydaje: usługę ośrodka przetwarzania danych świadczy Tobie dostawca kolokacji, bo to on daje budynek, zasilanie, chłodzenie i ochronę. Ty jesteś odbiorcą tej usługi |
| Prowadzisz własne centrum danych i wynajmujesz w nim miejsce innym | TAK, ale od progu średniego przedsiębiorcy | Tu rzeczywiście świadczysz usługę ośrodka przetwarzania danych. Ta pozycja ma jednak próg wielkości |
| Odsprzedajesz certyfikaty SSL | NIE | Odsprzedaż cudzych certyfikatów nie czyni nikogo dostawcą usług zaufania. Jest nim urząd certyfikacji, który certyfikat wystawia. Ty jesteś pośrednikiem handlowym |
| Prowadzisz konta pocztowe w domenach klientów | Wymaga indywidualnej oceny | Poczta dołączona do hostingu zwykle nie jest traktowana jako publicznie dostępna usługa łączności elektronicznej. Ale poczta sprzedawana jako samodzielna usługa dla nieograniczonego kręgu odbiorców to sprawa do rozstrzygnięcia osobno |
| Robisz strony, sklepy, pozycjonujesz | NIE | Usług twórczych i marketingowych nie ma w załącznikach do ustawy |
Jeżeli którakolwiek pozycja z odpowiedzią „TAK, niezależnie od wielkości" opisuje Twoją firmę, jesteś podmiotem kluczowym. Wystarczy jedna. W praktyce firma, która rejestruje klientom domeny i trzyma własne serwery nazw, ma od razu dwie.
Granica, której prawie nikt nie zauważa: polecanie kontra sprzedaż
Najliczniejsza grupa to nie hostingodawcy, tylko agencje i informatycy, którzy „przy okazji" załatwiają klientowi domenę. Tu wszystko rozstrzyga się na granicy między poleceniem a sprzedażą.
| Twoja sytuacja | Podlegasz? | Dlaczego |
|---|---|---|
| Odsprzedajesz domeny pod własną marką - przyjmujesz zamówienie, przekazujesz je rejestratorowi, wystawiasz klientowi fakturę | TAK, niezależnie od wielkości | Definicja wymienia odsprzedawcę i pośrednika wprost. Nawet jednoosobowa firma sprzedająca kilka domen rocznie jest podmiotem kluczowym |
| Odsprzedajesz tylko hosting, bez domen i bez serwerów nazw | NIE | Sam hosting nie jest osobną kategorią w przepisach, a jako usługa chmurowa miałby próg wielkości |
| Tylko polecasz - dajesz klientowi link albo kod partnerski, klient sam zawiera umowę i sam płaci dostawcy, Ty dostajesz prowizję | NIE | Nie działasz w niczyim imieniu, a Twoja umowa z dostawcą jest umową o usługę reklamową. Dodatkowo przez polecającego nie przechodzą żadne dane abonenta, więc obowiązki wokół prowadzenia ich bazy byłyby fizycznie niewykonalne |
| Kupujesz domenę na dane klienta, z jego upoważnienia - to on jest abonentem i stroną umowy z rejestratorem | NIE, z zastrzeżeniem | Działasz w imieniu klienta, a nie rejestratora. Ale jeśli robisz to masowo przez własne konto resellerskie i sam fakturujesz rejestracje, wracasz do pierwszego wiersza |
| Kupujesz domeny na siebie i refakturujesz klientowi - w publicznym rejestrze widnieje Twoja firma | Istotne ryzyko, że TAK | Funkcjonalnie jest to usługa prywatnej rejestracji, a tę kategorię przepis wymienia wprost. Stan prawny niejednoznaczny, ryzyko realne. Warto rozważyć przepisanie domen na klientów - to zresztą porządkuje też sprawy własnościowe |
| Odsprzedajesz usługi innego odsprzedawcy - jesteś drugim szczeblem łańcucha | TAK, niezależnie od wielkości | Definicja nie ogranicza liczby szczebli. Liczy się, czy uczestniczysz w rejestracji i czy przechodzą przez Ciebie dane abonentów |
Cztery sygnały, że przestałeś być „tylko polecającym"
Nikt nie przechodzi z polecania w odsprzedaż jedną świadomą decyzją. Robi się to stopniowo, przez uprzejmość wobec klienta („zamówię za Pana, będzie szybciej"), i nie zauważa momentu, w którym zmieniła się sytuacja prawna. Sygnały są cztery:
- Wystawiasz klientowi fakturę za domenę albo hosting, zamiast dostawać prowizję od dostawcy.
- Ustalasz własną cenę, inną niż cennik dostawcy.
- Wypełniasz formularz zamówienia za klienta, czyli zbierasz i przekazujesz jego dane.
- To Ty jesteś stroną umowy z dostawcą, a klient rozlicza się wyłącznie z Tobą.
Jeden sygnał to powód, żeby się sprawie przyjrzeć. Wszystkie cztery naraz oznaczają, że jesteś odsprzedawcą, niezależnie od tego, że program u dostawcy nazywa się „partnerskim".
Dwa testy, które zrobisz sam w kwadrans
Test serwerów nazw
Sprawdź w panelu albo dowolnym narzędziem typu „DNS lookup", jakie serwery nazw mają domeny Twoich klientów. Jeśli klient korzysta z serwerów nazw, które dostaje od Ciebie, w ramach Twojej usługi - podlegasz jako dostawca usług DNS i nie ma znaczenia, czyj jest sprzęt ani komu zlecasz obsługę. Jeśli klient ma tam serwery innej firmy i pod jej nazwą, z tego tytułu nie podlegasz.
Test domen
Jeśli to Ty przyjmujesz zamówienie na domenę i wystawiasz za nią fakturę, a rejestrację realizujesz przez zewnętrznego rejestratora - świadczysz usługi rejestracji nazw domen i podlegasz niezależnie od wielkości firmy. Jeśli tylko polecasz, a klient umawia się z rejestratorem sam - nie podlegasz.
Przy okazji pierwszego testu warto sprawdzić, czy domeny klientów są w ogóle zabezpieczone przed przypadkową utratą. Opisaliśmy to osobno w tekście o tym, jak zabezpieczyć domenę przed utratą.
Terminy, które już biegną
| Termin | Obowiązek | Na czym polega |
|---|---|---|
| 3 października 2026 | Wniosek o wpis do wykazu podmiotów kluczowych | Elektronicznie, przez rządowy system teleinformatyczny. Poza danymi firmy i osobą do kontaktu wniosek zawiera oświadczenie kierownika składane pod rygorem odpowiedzialności karnej za podanie nieprawdy. Wnioski przyjmowane są od 7 maja 2026 |
| 3 kwietnia 2027 | System zarządzania bezpieczeństwem informacji | Spisana i wdrożona ocena ryzyka, zasady postępowania z incydentami, zasady dostępu do systemów, kopie zapasowe, ciągłość działania. W małej firmie to kilkanaście stron dokumentacji i kilka realnie działających nawyków, nie system za setki tysięcy złotych |
| 3 kwietnia 2027 | Zgłaszanie poważnych incydentów | Wczesne ostrzeżenie w 24 godziny, pełne zgłoszenie w 72 godziny, sprawozdanie końcowe w miesiąc |
| 3 kwietnia 2027 | Obowiązki dotyczące danych o domenach (jeśli je rejestrujesz) | Dokładna baza danych abonentów, procedury weryfikacji tych danych, opublikowane polityki na stronie i procedura udostępniania danych uprawnionym organom w 72 godziny |
| 3 kwietnia 2028 | Pierwszy audyt bezpieczeństwa | Kolejne co trzy lata |
Osobno: firma wyznacza osobę do kontaktu z organami. Przy mikro- i małym przedsiębiorcy wystarczy jedna osoba i może to być właściciel.
Obowiązki nie są takie same dla wszystkich
Dwie podstawy z tabeli prowadzą do dwóch różnych zestawów obowiązków i warto wiedzieć, w którym się jest.
Jako dostawca usług DNS podlegasz dodatkowo unijnemu rozporządzeniu wykonawczemu z 2024 roku, które podaje mierzalne progi. Poważnym incydentem, wymagającym zgłoszenia, jest między innymi całkowita niedostępność usługi rozpoznawania nazw dłuższa niż 30 minut albo średni czas odpowiedzi ponad 10 sekund przez ponad godzinę. Te progi liczą się dla całej Twojej usługi, także tej części, którą prowadzi podwykonawca - jego awaria jest Twoim incydentem.
Jeśli podlegasz wyłącznie z tytułu domen, to rozporządzenie Cię nie obejmuje. W zamian dochodzą obowiązki wokół danych abonentów: baza, weryfikacja, opublikowane polityki i 72 godziny na udostępnienie danych organom. Kto spełnia oba warunki naraz, a to typowe, ma jedno i drugie.
Kary i bufor, o którym warto wiedzieć
Widełki są takie, że lepiej ich nie testować: podmiotowi kluczowemu grozi do 10 mln euro albo 2% rocznego obrotu, a w szczególnych przypadkach więcej. Osobno ustawa przewiduje karę uderzającą bezpośrednio w kierownika firmy, sięgającą trzykrotności jego wynagrodzenia, między innymi wtedy, gdy wniosek o wpis nigdy nie zostanie złożony.
Jest jednak bufor, o którym warto wiedzieć: pierwsze kary mogą paść dopiero po 3 kwietnia 2028 roku. Wcześniej obowiązki działają, ale sankcji za nie nie ma. Sama kara za brak wniosku jest do tego uznaniowa - organ może ją nałożyć, patrząc na wagę naruszenia, ale nie ma takiego obowiązku.
Praktycznie oznacza to spokojne tempo, a nie wolne. Terminy wdrożeniowe biegną własnym rytmem, moratorium ich nie przesuwa, a sam wniosek o wpis da się załatwić od ręki.
Czy da się po prostu nie podlegać
Uczciwie: przepisów się nie przeinterpretuje. Jedyna realna droga to zmiana tego, co firma robi, i są dokładnie dwie.
- Przeniesienie serwerów nazw do zewnętrznego dostawcy. Klient wskazuje wtedy serwery nazw innej firmy, a Ty przestajesz świadczyć usługę DNS.
- Rezygnacja z pośrednictwa w rejestracji domen. Klient kupuje domenę bezpośrednio u rejestratora, a Ty tylko konfigurujesz ją na hostingu.
Za każdą z nich się płaci: traci się kontrolę nad usługą, klient jest słabiej związany z firmą, a marża na domenach znika z rachunku. Rachunek zwykle wychodzi na korzyść wdrożenia, bo znaczna część wymagań to czynności wykonywane i tak przez każdą porządnie prowadzoną firmę: kopie zapasowe, kontrola dostępu, reagowanie na incydenty. Dochodzi tylko obowiązek zapisania ich i wykazania na żądanie.
Czego jesteśmy pewni, a czego nie
Pozycje w tabelach nie mają tego samego ciężaru i lepiej powiedzieć to wprost, niż udawać, że wszystko jest przesądzone.
Czytamy wprost z przepisu cztery rzeczy: własne serwery nazw obejmują firmę, odsprzedaż domen obejmuje firmę, przy obu nie ma progu wielkości, a partner afiliacyjny oraz firma, której klienci korzystają z cudzych serwerów nazw, zostają poza zakresem.
Zostaje trochę niepewności tam, gdzie przepis milczy: usługa pod własną marką na cudzej infrastrukturze, dokładna granica między odsprzedawcą a polecającym i przypadek agencji, która rejestruje domeny na siebie, a potem refakturuje je klientom.
Nie pomaga tu też sam urząd. W opublikowanych przez Ministerstwo Cyfryzacji odpowiedziach na pytania o nowe przepisy nie znaleźliśmy ani jednego pytania o domeny, serwery nazw czy odsprzedawców - a to akurat te tematy, na których branża się zatrzymuje. Sami dostawcy hostingu tymczasem informują swoich odsprzedawców, że są podmiotami kluczowymi bez względu na skalę. Dopóki urząd się nie wypowie, ostrożniejszy wariant kosztuje mniej niż pomyłka w drugą stronę.
Co zrobić w tym tygodniu
- Przejdź obie tabele i zaznacz pozycje opisujące Twoją działalność, ze szczególną uwagą na dwie pierwsze.
- Zrób test serwerów nazw. Jeśli w konfiguracji domen klientów widnieją adresy w Twojej domenie, pozycja pierwsza dotyczy Twojej firmy.
- Jeśli którakolwiek pozycja wypadła na „TAK", zaplanuj złożenie wniosku o wpis i wdrożenie na najbliższe miesiące.
Piszemy o tym, bo sami jesteśmy po tej samej stronie: prowadzimy hosting i rejestrujemy domeny dla klientów, więc te same pozycje z tabeli dotyczą nas.
Jeżeli nie masz pewności, w którym koszyku jesteś, albo chcesz przenieść obsługę domen i serwerów nazw tam, gdzie ktoś już się tym zajmuje - napisz do nas. Odpiszemy, co wychodzi z obu testów w Twoim przypadku, i powiemy wprost, jeśli akurat u Ciebie temat nie występuje. Jeśli wolisz najpierw poczytać, jak działa warstwa, o której mówi ta ustawa, zacznij od tekstu o tym, czym jest hosting, i od nawyków, które realnie chronią dane.
Tekst ma charakter informacyjny i nie zastępuje indywidualnej analizy prawnej. Podstawa: ustawa z dnia 5 lipca 2018 r. o krajowym systemie cyberbezpieczeństwa w brzmieniu nadanym nowelizacją z dnia 23 stycznia 2026 r. (Dz.U. 2026 poz. 252), wdrażającą dyrektywę (UE) 2022/2555 (NIS2).
Nikt jeszcze nie skomentował. Bądź pierwszy! Dodaj komentarz