Dlaczego warto zarejestrować znak towarowy?

Sprzedaż udziałów w spółce z ograniczoną odpowiedzialnością to transakcja, która na pierwszy rzut oka wydaje się prosta: strony rozmawiają, podpisują umowę i gotowe. W praktyce jednak każdy etap tego procesu kryje pułapki, które mogą spowodować nawet nieważność transakcji.

Nie jest więc sztuką podpisanie jakiejkolwiek umowy, ale umowy realizującej jej cel – prawidłową i sprawną sprzedaż udziałów. Bez turbulencji, bez konieczności wprowadzania planu naprawczego.

Z obserwacji Sawicki Legal wynika, że ta względnie prosta transakcja potrafi zaskoczyć strony, które podejmują się jej przeprowadzenia bez wsparcia profesjonalisty – o własnych siłach i bez odpowiedniego przygotowania. Co więcej, strony zdają sobie z tego sprawę o wiele za późno.

Ten przewodnik ma na celu wskazać, na co warto zwrócić uwagę przygotowując się do sprzedaży udziałów, jak zawrzeć umowę sprzedaży i o czym pamiętać po jej zawarciu. Jest skierowany zarówno do sprzedających, jak i do kupujących – bo choć ich interesy bywają rozbieżne, błędy proceduralne uderzają w obie strony.

Co tak naprawdę sprzedajesz – i czy na pewno masz do tego prawo?

Udziały sprzedaje wspólnik, nie spółka

To rozróżnienie może wydać się oczywistością, ale w praktyce bywa źródłem niepotrzebnych nieporozumień. Przedmiotem transakcji są udziały należące do konkretnego wspólnika. W uproszczeniu można powiedzieć, że umowa sprzedaży powoduje przeniesienie „statusu wspólnika" powiązanego z danymi udziałami. Nie jest natomiast sprzedawany majątek spółki ani jej przedsiębiorstwo – i spółka nie jest stroną umowy sprzedaży udziałów.

Oznacza to, że zanim dojdzie do transakcji, należy precyzyjnie ustalić, kto jest rzeczywistym właścicielem udziałów i czy nie ma przeszkód w ich sprzedaży.

KRS to punkt wyjścia, ale nie zawsze źródło aktualnej prawdy

Rejestr przedsiębiorców KRS zawiera informację o wspólnikach – jednak dane te bywają nieaktualne. Wynika to z faktu, że obowiązek zgłoszenia zmiany wspólnika do KRS spoczywa na zarządzie spółki, a nie na stronach transakcji, i nie zawsze jest realizowany. Zdarzają się przypadki, gdy w KRS figuruje poprzedni właściciel udziałów, podczas gdy faktycznie udziały nabyła już inna osoba.

Dlatego weryfikacja stanu właścicielskiego powinna wykraczać poza sam odpis z KRS. Właściwym podejściem jest prześledzenie historii transakcji na udziałach – tzw. łańcucha tytułu prawnego. Dopiero pełna ścieżka transakcji pozwala ustalić, czy sprzedający jest rzeczywistym właścicielem udziałów.

Czy udziały są wolne od obciążeń?

Udziały mogą być przedmiotem obciążenia – i ten aspekt również wymaga weryfikacji przed przystąpieniem do transakcji. Przed zakupem warto sprawdzić, czy udziały nie są obciążone, np.:

• zastawem rejestrowym lub zwykłym – ustanowionym np. na rzecz banku jako zabezpieczenie kredytu,
• zajęciem komorniczym – w ramach postępowania egzekucyjnego prowadzonego przeciwko wspólnikowi spółki.

Sprawdź ograniczenia, zanim cokolwiek podpiszesz

To etap, który najczęściej komplikuje transakcję – i o którym strony nagminnie zapominają. Ograniczenia w zbywaniu udziałów mogą wynikać z trzech głównych źródeł: umowy spółki, przepisów Kodeksu spółek handlowych oraz innych dokumentów korporacyjnych, takich jak umowy inwestycyjne czy porozumienia wspólników (shareholders' agreement).

Jeśli chcesz dowiedzieć się więcej o porozumieniach wspólników, przewodnik możesz za darmo pobrać tutaj: POROZUMIENIE WSPÓLNIKÓW WORKBOOK

Zgoda spółki na zbycie udziałów

Kodeks spółek handlowych przewiduje w art. 182, że umowa spółki może uzależniać zbycie udziałów od zgody spółki. Zasadą kodeksową jest, że zgody udziela zarząd – chyba że umowa spółki stanowi inaczej (np. że decyzję podejmuje zgromadzenie wspólników albo rada nadzorcza). Przyjmuje się, że brak wymaganej zgody skutkuje bezskutecznością umowy sprzedaży.

Warto sprawdzić nie tylko to, czy zgoda jest wymagana, ale też kto jej udziela, w jakiej formie i w jakim terminie. Jeśli zarząd odmówi zgody, przepisy przewidują mechanizm sądowy umożliwiający zastąpienie tej zgody przez sąd w przypadku ważnych powodów.

Prawo pierwszeństwa

Prawo pierwszeństwa to jedno z częściej stosowanych ograniczeń w umowach spółek z o.o. Polega na tym, że przed zbyciem udziałów osobie trzeciej sprzedający jest zobowiązany zaoferować je najpierw pozostałym wspólnikom.

Mechanizm działa następująco: sprzedający informuje o zamiarze zbycia udziałów, wskazując cenę i warunki transakcji. Uprawnieni mają określony czas na skorzystanie z prawa pierwszeństwa. Dopiero po bezskutecznym upływie tego terminu sprzedający może swobodnie zbyć udziały osobie trzeciej. Naruszenie prawa pierwszeństwa może prowadzić do bezskuteczności transakcji.

Lock-up – coraz popularniejszy mechanizm blokujący zbycie udziałów

Lock-up to zakaz zbywania udziałów przez określony czas. W odróżnieniu od prawa pierwszeństwa ogranicza możliwość zbycia niezależnie od tego, komu i na jakich warunkach miałyby zostać sprzedane.

Mechanizm ten jest szczególnie popularny w umowach inwestycyjnych (np. po wejściu funduszu VC lub PE do spółki) oraz w umowach wspólników zawieranych przy zakładaniu spółki. Typowy okres lock-up wynosi od 12 do 36 miesięcy. Naruszenie lock-up również może prowadzić do bezskuteczności transakcji.

Praktyczna wskazówka: Jeśli w spółce występuje kilka ograniczeń jednocześnie, należy wziąć pod uwagę wszystkie. Wspólnik chcący sprzedać udziały w takiej spółce powinien zadbać o zgodę spółki, zastosować się do prawa pierwszeństwa, a w ogóle nie dokonywać sprzedaży w okresie obowiązywania lock-up.

W wyjątkowych sytuacjach mogą pojawić się również ograniczenia wynikające z przepisów szczególnych – np. nabycie udziałów przez cudzoziemca w spółce posiadającej nieruchomości może wymagać zezwolenia na podstawie ustawy o nabywaniu nieruchomości przez cudzoziemców, a nabycie udziałów w spółce posiadającej nieruchomości rolne – zastosowania procedury prawa pierwokupu KOWR.

{{widget51}}

Umowa sprzedaży udziałów – w jakiej formie i jakie ma to znaczenie?

Wymóg formy pisemnej z podpisami notarialnie poświadczonymi

Zgodnie z art. 180 Kodeksu spółek handlowych umowa zbycia udziałów w sp. z o.o. musi zostać zawarta w formie pisemnej z podpisami notarialnie poświadczonymi. Nie jest to forma aktu notarialnego – notariusz poświadcza jedynie autentyczność podpisów stron, a nie sporządza dokumentu jako takiego.

Niezachowanie tej formy skutkuje nieważnością umowy. Zwykłe podpisanie umowy bez wizyty u notariusza – nawet jeśli obie strony są zgodne co do wszystkich warunków – nie spowoduje przejścia udziałów na kupującego.

Tryb S24 – podpisanie umowy sprzedaży online

Przepisy dopuszczają zawarcie umowy sprzedaży udziałów za pośrednictwem systemu S24 (Portal Rejestrów Sądowych). W tym trybie umowa jest zawierana elektronicznie, z użyciem kwalifikowanego podpisu elektronicznego, podpisu zaufanego albo podpisu osobistego, na wzorcu generowanym w ramach platformy. Tryb S24 jest szybszy i tańszy – nie wymaga wizyty u notariusza. Ma jednak swoje ograniczenia: nie można swobodnie kształtować treści umowy sprzedaży.

Uwaga! Tryb S24 nie jest dostępny dla wszystkich sprzedających. Jest dopuszczalny wyłącznie wtedy, gdy umowa spółki z o.o. została zawarta w ramach S24 przy wykorzystaniu wzorca umowy i nie była nigdy zmieniana w inny sposób niż przez ten sam wzorzec. Jeśli umowa spółki była kiedykolwiek zmieniana poza S24 – z tego trybu nie należy korzystać.

Co powinna zawierać umowa sprzedaży udziałów?

Dobra umowa to nie umowa jak najdłuższa ani wyglądająca na jak najbardziej profesjonalną. Powinna być dostosowana do rzeczywistych potrzeb i ryzyka konkretnej transakcji – bez zbędnych postanowień, które w danym przypadku są bez znaczenia.

Minimalne elementy umowy to: oznaczenie stron, opis transakcji (kto komu sprzedaje ile udziałów i jakich, za jaką cenę) oraz – dla uniknięcia wątpliwości – postanowienie o jednoczesnym przeniesieniu udziałów na kupującego.

Umowa zawierana przez S24 zawiera jedynie dane identyfikujące strony, liczbę udziałów, spółkę, wartość nominalną udziałów oraz cenę sprzedaży.

Poinformuj spółkę o transakcji – obowiązek, o którym wszyscy zapominają

Obowiązek zawiadomienia spółki o przejściu udziałów

Skuteczne i ważne zawarcie umowy sprzedaży udziałów nie zamyka transakcji. Owszem, dochodzi wówczas do zmiany właściciela udziałów – ale to jeszcze nie wszystko. Zgodnie z art. 187 § 1 Kodeksu spółek handlowych, strony transakcji są zobowiązane zawiadomić spółkę o przejściu udziałów wraz z dowodem tego przejścia. Z tego powodu umowy sprzedaży sporządza się w jednym dodatkowym egzemplarzu – tak, żeby każda strona otrzymała swój egzemplarz, a dodatkowy trafił do spółki wraz z zawiadomieniem.

Do czasu zawiadomienia spółki wobec niej wspólnikiem pozostaje nadal sprzedający. Przeoczenie tego obowiązku prowadzi do sytuacji, w której nabywca płaci za udziały, ale formalnie pozostaje pozbawiony możliwości wykonywania praw wspólnika.

Obowiązek zgłoszenia powstania stosunku dominacji

Jeśli kupującym jest spółka handlowa i w wyniku transakcji uzyska większość głosów na zgromadzeniu wspólników, ciąży na niej dodatkowy obowiązek – zgłoszenie spółce faktu powstania stosunku dominacji (art. 6 ust. 1 KSH].Zawiadomienie należy złożyć w terminie dwóch tygodni od dnia powstania stosunku dominacji. Niedopełnienie tego obowiązku skutkuje zawieszeniem prawa głosu z udziałów reprezentujących więcej niż 33% kapitału zakładowego spółki zależnej.

Praktyczna wskazówka: Zawiadomienie spółki o przejściu udziałów i zgłoszenie stosunku dominacji (jeśli dotyczy) najlepiej przygotować równocześnie z umową sprzedaży – tak, żeby móc je złożyć niezwłocznie po podpisaniu dokumentów.

Rejestracja zmiany wspólnika w KRS – krok po kroku

Aktualizacja księgi udziałów – pierwszy krok

Księga udziałów to dokument prowadzony przez zarząd, w którym odnotowuje się m.in. liczbę i wartość nominalną udziałów każdego wspólnika oraz wszelkie zmiany w strukturze właścicielskiej. Procedowanie zmian wynikających ze sprzedaży powinno zacząć się od zawiadomienia spółki o przejściu udziałów, co powoduje konieczność aktualizacji księgi udziałów przez zarząd.

Wniosek o wpis zmian do KRS czy tylko złożenie aktualnej listy wspólników?

Sprzedaż udziałów nie zawsze wymaga złożenia do KRS wniosku o wpis zmian – czasami prawidłowe jest samo złożenie zaktualizowanej listy wspólników.

Po aktualizacji księgi udziałów zarząd jest zobowiązany złożyć do KRS podpisaną przez wszystkich członków zarządu aktualną listę wspólników, zawierającą ich dane: imię i nazwisko lub firmę (nazwę) oraz liczbę i wartość nominalną udziałów każdego z nich. Opłata sądowa za złożenie samej listy wynosi 40 zł.

Jeśli transakcja powoduje zmianę ujawnionych w KRS danych któregokolwiek ze wspólników, zamiast samej listy należy złożyć wniosek o zmianę danych w rejestrze (lista będzie wówczas jednym z załączników). Opłata sądowa w takim przypadku wynosi 250 zł.

Praktyczna wskazówka: Podczas aktualizacji danych wspólników zarządy spółek często pomijają [art. 38 pkt 8 lit. c ustawy o KRS], zgodnie z którym ujawnieniu w rejestrze podlegają wspólnicy posiadający samodzielnie co najmniej 10% kapitału zakładowego.

Inne obowiązki po transakcji – o tym też trzeba pamiętać

Podatek od czynności cywilnoprawnych (PCC)

Sprzedaż udziałów podlega podatkowi od czynności cywilnoprawnych w wysokości 1% wartości rynkowej udziałów. Podatek płaci kupujący w terminie 14 dni od dnia zawarcia umowy, składając jednocześnie odpowiednią deklarację PCC we właściwym urzędzie skarbowym.

Podatek dochodowy sprzedającego

Sprzedający powinien sprawdzić, czy w jego przypadku nie powstanie obowiązek zapłaty podatku dochodowego od zysków kapitałowych w wysokości 19%.

Aktualizacja wpisu w CRBR 

Spółka z o.o. jest zobowiązana do aktualizacji danych w Centralnym Rejestrze Beneficjentów Rzeczywistych w terminie 14 dni (nie wlicza się sobót i dni ustawowo wolnych od pracy), jeśli zbycie udziałów wpływa na ustalenie beneficjenta rzeczywistego spółki.

Praktyczna wskazówka: Obowiązek aktualizacji danych w CRBR – podobnie jak aktualizacja danych w KRS – spoczywa na zarządzie spółki, nie na wspólnikach (ani sprzedającym, ani kupującym).

Częste błędy przy sprzedaży udziałów – i jak ich uniknąć

Pominięcie któregokolwiek z opisanych wyżej aspektów transakcji przekłada się na realne błędy, które stoją na przeszkodzie prawidłowej i sprawnej sprzedaży udziałów.

Błąd 1: Pominięcie weryfikacji ograniczeń w zbywaniu udziałów

Strony podpisują umowę z pominięciem wymogu uzyskania zgody spółki, prawa pierwszeństwa, klauzuli lock-up lub innych ograniczeń. → Przed transakcją należy zweryfikować, czy takie ograniczenia w danym przypadku nie występują.

Błąd 2: Błędna forma umowy sprzedaży udziałów

Strony podpisują umowę bez poświadczenia notarialnego lub błędnie stosują tryb S24 w sytuacji, gdy jest on niedopuszczalny. → Przed transakcją należy ustalić właściwą formę zawarcia umowy i upewnić się, że zostanie ona zachowana.

Błąd 3: Brak zawiadomienia spółki o przejściu udziałów

Żadna ze stron nie zawiadamia spółki o transakcji lub nie załącza do zawiadomienia egzemplarza umowy. → Po transakcji należy upewnić się, że prawidłowe zawiadomienie zostało złożone.

Błąd 4: Niezgłoszenie stosunku dominacji

Nabywca, który uzyskał pozycję dominującą, nie zgłasza tego faktu spółce w terminie. → Przed transakcją należy sprawdzić, czy dojdzie do powstania stosunku dominacji, i odpowiednio zaplanować zgłoszenie.

Błąd 5: Zaniedbanie kwestii podatkowych

Kupujący zapomina o PCC, sprzedający nie rozlicza podatku dochodowego od zysku ze sprzedaży. → Kwestie podatkowe warto zweryfikować jeszcze przed transakcją i przygotować dokumenty z wyprzedzeniem.

Podsumowanie – lista kontrolna sprzedaży udziałów w sp. z o.o.

Sprzedaż udziałów w spółce z o.o. to proces wieloetapowy, w którym każdy krok ma znaczenie. Poniższa lista kontrolna pozwoli Ci uporządkować działania – niezależnie od tego, czy sprzedajesz, czy kupujesz udziały:

• Krok 1: Zweryfikuj właściciela udziałów – sprawdź KRS, księgę udziałów i historię transakcji (łańcuch tytułu prawnego).
• Krok 2: Sprawdź obciążenia udziałów (np. zastaw, zajęcie komornicze).
• Krok 3: Zidentyfikuj wszystkie ograniczenia w zbywaniu udziałów (prawo pierwszeństwa, lock-up, zgoda spółki).
• Krok 4: Dopełnij procedur wynikających z ograniczeń (np. zaoferuj udziały uprawnionym z prawa pierwszeństwa, uzyskaj zgodę spółki).
• Krok 5: Wybierz właściwą formę umowy (forma pisemna z poświadczeniem notarialnym lub S24 – jeśli dopuszczalny) i zadbaj o treść adekwatną do okoliczności.
• Krok 6: Po zawarciu umowy zawiadom spółkę o przejściu udziałów.
• Krok 7: Zgłoś spółce powstanie stosunku dominacji (jeśli dotyczy).
• Krok 8: Monitoruj aktualizację księgi udziałów i danych wspólników w KRS przez zarząd.
• Krok 9: Zaadresuj PCC (kupujący) i podatek dochodowy (sprzedający).
• Krok 10: Monitoruj aktualizację danych w CRBR przez zarząd spółki.

Skonsultuj transakcję z Sawicki Legal

Sprzedaż udziałów w sp. z ograniczoną odpowiedzialnością to proces, w którym szczegóły mają ogromne znaczenie. Łatwo o błąd na którymkolwiek etapie – od weryfikacji ograniczeń, przez formę umowy, po rejestrację w KRS.

W Sawicki Legal kompleksowo obsługujemy transakcje zbycia i nabycia udziałów w spółkach z o.o. – od analizy dokumentów korporacyjnych, przez przygotowanie umowy, aż po rejestrację zmiany w KRS i dopełnienie wszystkich obowiązków porejestracyjnych.

Skontaktuj się z nami przed transakcją – nie po tym, jak coś pójdzie nie tak.

Artykuł ma charakter informacyjny i nie stanowi porady prawnej. Stan prawny na dzień publikacji: sierpień 2026 r.

Klikasz „akceptuję regulamin" i zaczynasz korzystać z systemu. Tak wygląda zawarcie większości umów SaaS (Software as a Service) – bez czytania, bez negocjacji, bez świadomości, na co się zgadzasz.

Dopóki wszystko działa – nie ma problemu. Problem pojawia się wtedy, gdy funkcjonalności oprogramowania przestają działać, dochodzi do sporu, okazuje się, że Twoje dane biznesowe wyciekły albo od miesięcy trenują cudzy model AI. Wtedy sięgasz po regulamin aplikacji SaaS i zaczynasz czytać. Najczęściej za późno.

W umowie SaaS jest kilka klauzul, które mają znaczenie zawsze – niezależnie od tego, czy sprzedajesz dostęp do oprogramowania, czy z niego korzystasz. To na tych kluczowych elementach warto się skupić weryfikując obowiązki stron.

„Regulamin SaaS jest traktowany jak formalność – coś, co się akceptuje i zapomina. To błąd, który w kancelarii widzimy regularnie. Klienci przychodzą do nas w momencie eskalacji – gdy dane już wyciekły, system przestał działać, a dostawca milczy. Dobry regulamin to nie biurokratyczny obowiązek. To precyzyjne narzędzie, które określa, kto za co odpowiada, co się dzieje gdy coś zawiedzie i jakie środki nacisku przysługują klientowi." — radca prawny Damian Sawicki, Sawicki Legal.

Klauzula 1: SLA – czy zapis „99,9% dostępności" usługi SaaS naprawdę cokolwiek gwarantuje?

SLA (Service Level Agreement) to sekcja określająca gwarantowany poziom dostępności systemu i konsekwencje jego niedotrzymania – i jest to pierwszy zakres, który obie strony umowy powinny zrozumieć.

Dla dostawcy SLA wyznacza granicę zobowiązania. Dla klienta – poziom ochrony, gdy system zawiedzie. Problem zaczyna się wtedy, gdy do SLA dołączona jest lista wyłączeń – i nagle mamy inny skutek.

99,9% dostępności rocznie to w praktyce 8,7 godziny niedostępności. Siła wyższa czy awarie infrastruktury zewnętrznej to standardowe wyłączenia – nikt ich nie kwestionuje. Problem zaczyna się wtedy, gdy lista wyłączeń rozrasta się o pozycje, które trudno już uznać za uzasadnione – np. wszelkie prace serwisowe bez limitu czasu i częstotliwości, niedostępność spowodowana „działaniem użytkownika" zdefiniowanym bardzo szeroko, albo okresy zalegania z płatnością, nawet jednodniowego. W takich przypadkach 99,9% SLA może być gwarancją tylko na papierze.

Dobre SLA zawiera jasne zasady w przedmiocie:

• sposobu liczenia dostępności, w szczególności czy i jakie konkretnie wyłączenia ją pomniejszają,
• procedury zgłaszania, rozpatrywania i  naprawy awarii,
• konsekwencji niedotrzymania SLA (tzw. service credits).

Bez tych elementów SLA jest narzędziem marketingowym, a  nie zabezpieczeniem prawnym. Dostawca nie ma jasnych granic odpowiedzialności, a klient nie ma podstawy do roszczeń.

{{widget49}}

Klauzula 2: Ochrona danych, w tym ochrona danych osobowych – kto i w jakim celu może wykorzystywać dane wprowadzane do aplikacji SaaS?

Co do zasady dane wprowadzone do systemu SaaS należą do klienta. Jednak często regulamin przyznaje dostawcy usługi SaaS określone uprawnienia do tych danych – i to właśnie te uprawnienia warto dokładnie sprawdzić.

Na co zwrócić uwagę:

• czy dostawca może wykorzystywać dane klienta do własnych celów – analityki, benchmarkingu, ulepszania produktu?
• kto poza dostawcą ma dostęp do danych – jakich podwykonawców i podmiotów trzecich dostawca angażuje i na jakich zasadach?
• jakie środki bezpieczeństwa dostawca stosuje, żeby chronić dane przed nieuprawnionym dostępem osób trzecich?
• jakie sankcje zostały przewidziane na wypadek naruszenia poufności?
• co dzieje się z danymi po zakończeniu umowy – są zwracane, usuwane, czy pozostają na serwerach dostawcy?

Równie ważnym elementem jest ochrona danych osobowych. Należy zastanowić się jakie kategorie danych są przetwarzane w aplikacji. Jeśli w systemie SaaS przetwarzane są dane osobowe klientów lub pracowników, dostawca staje się podmiotem przetwarzającym w rozumieniu RODO. W takiej sytuacji, zgodnie z wymogami prawnymi, obowiązkowe jest zawarcie umowy powierzenia przetwarzania danych (DPA) zgodnie z art. 28 RODO.

O szczegółach dot. DPA przeczytasz tutaj: RODO w praktyce - czy jest umowa przetwarzania danych osobowych

Klauzula 3: Zasady odpowiedzialności – za co i do jakiej wysokości odpowie dostawca w modelu SaaS?

Klauzula ograniczenia odpowiedzialności (liability cap) określa maksymalną kwotę, do której dostawca odpowiada za szkody wyrządzone klientowi – i jest to jedno z postanowień, które warto przeczytać szczególnie uważnie. Warto zwrócić uwagę nie tylko na sam limit kwotowy, ale również na to, jakiego rodzaju szkody są nim objęte. W regulaminach SaaS powszechne jest wyłączenie zakresu odpowiedzialności za utracone korzyści – czyli korzyści, których klient nie osiągnął wskutek niedostępności systemu, np. kontrakty, których nie udało się zawrzeć. Odpowiedzialność dostawcy ograniczona jest wtedy wyłącznie do szkody rzeczywistej.

Standardowy zapis brzmi: „Łączna odpowiedzialność dostawcy nie przekroczy kwoty opłat uiszczonych przez klienta w ciągu 12 miesięcy przed wyrządzeniem szkody."

Przykład: subskrypcja kosztuje 500 PLN miesięcznie. Awaria systemu powoduje rzeczywistą szkodę w wysokości 150 000 PLN – utracone dane, koszty odtworzenia, przestój operacyjny. Dostawca odpowiada maksymalnie do 6 000 PLN. Resztę pokrywa klient.

W relacjach B2B takie postanowienie może być legalne – ale tylko wtedy, gdy jest prawidłowo skonstruowane.

Klauzula wyłączenia odpowiedzialności nie działa m.in. w sytuacjach, gdy:

• szkoda wynikła z winy umyślnej (art. 473 par 2 k.c.),
• kontrakt jest zawierany z konsumentem (art. 385 (3) k.c.).

Dla dostawcy liability cap eliminuje ryzyko, w którym jednorazowa awaria generuje roszczenia nieproporcjonalne do wartości umowy i realnych możliwości odszkodowawczych firmy. Dla klienta liability cap to maksymalna kwota, jaką może odzyskać od dostawcy – nawet jeśli rzeczywista szkoda wielokrotnie tę kwotę przekracza. Im bardziej ciągłość działania systemu przekłada się bezpośrednio na przychód, tym bardziej wysokość capu powinna być przedmiotem negocjacji, a nie elementem akceptowanym bez analizy.

Klauzula 4: AI i dane treningowe – czy Twoje dane uczą cudzy model?

Dane wprowadzane przez użytkowników do systemu są dla dostawcy czymś więcej niż logami aktywności – to materiał treningowy, który bezpośrednio podnosi wartość jego modelu AI. W wielu przypadkach może dziać się to legalnie.

Od 2023 roku większość dostawców SaaS wbudowuje funkcje AI w swoje produkty. Asystenci w CRM, automatyczne podsumowania w narzędziach projektowych, analityka predyktywna w ERP. Brzmi użytecznie. Problem zaczyna się w regulaminie, gdzie standardowo pojawia się postanowienie: „Możemy używać danych wprowadzonych do systemu w celu ulepszania naszych usług i modeli."

W praktyce klient płaci za subskrypcję i przy okazji finansuje cudzy model AI własną przewagą konkurencyjną. Dane handlowe, bazy kontaktów, strategie sprzedażowe, wewnętrzna korespondencja, prawa autorskie (co może wiązać się z naruszeniem IP) – bezpłatnie i najczęściej nieświadomie.

Klauzula 5: Prawo właściwe i jurysdykcja – przed jakim sądem będzie toczył się spór z dostawcą SaaS?

Prawo właściwe i jurysdykcja to postanowienia określające, prawo którego kraju stosuje się do umowy i przed którym sądem rozstrzygane są spory. Poniższe uwagi dotyczą relacji B2B – w przypadku konsumentów zasady są odmienne i znacznie bardziej restrykcyjne wobec dostawcy.

W kontekście zagranicznego dostawcy SaaS jest to klauzula, która może całkowicie przekreślić możliwość dochodzenia roszczeń.

Standardowy regulamin amerykańskiego dostawcy SaaS wskazuje prawo stanu Delaware i jurysdykcję tamtejszych sądów. Koszty obsługi prawnej w USA sprawiają, że dochodzenie nawet uzasadnionych roszczeń jest dla polskiej firmy ekonomicznie nieopłacalne – niezależnie od tego, czy ma rację.

Na co zwrócić uwagę:

• czy kontrakt wskazuje prawo polskie lub prawo innego państwa UE?
• czy przewiduje arbitraż jako alternatywę dla postępowania sądowego?
• czy dostawca zagraniczny ma europejską spółkę, z którą faktycznie zawierasz umowę?

„W Sawicki Legal często spotykamy firmy, które zgłaszają się do nas w momencie, gdy system jest już niedostępny albo doszło do naruszenia danych. Na tym etapie pole manewru jest ograniczone. Tymczasem wcześniejsza analiza umowy – identyfikacja red flagów i wynegocjowanie właściwych postanowień – może albo skutecznie ograniczyć ryzyko, albo dać podstawę do rezygnacji ze współpracy, zanim problem w ogóle powstanie.”  — radca prawny Damian Sawicki, Sawicki Legal.

Więcej o tym, co powinien zawierać regulamin SaaS od strony dostawcy, przeczytasz tutaj: Co powinien zawierać regulamin SaaS? 15 niezbędnych elementów

FAQ

Czy regulamin SaaS to to samo co umowa SaaS?

Tak. Regulamin pełni funkcję umowy – jego akceptacja przez kliknięcie „zgadzam się" jest prawnie wiążącym zawarciem umowy o takiej samej mocy jak podpisany kontrakt.

Czy mogę negocjować warunki umowy SaaS z dużym dostawcą?

Przy małych subskrypcjach – zazwyczaj nie. Przy kontraktach enterprise negocjacje są możliwe i warto z nich korzystać, szczególnie w zakresie liability cap, SLA i klauzul dotyczących danych.

Co zrobić, gdy dostawca SaaS kończy działalność i mam dane w jego systemie?

Działaj natychmiast – samodzielnie, a jeżeli jest to niemożliwe, zażądaj eksportu danych. Jeśli kontrakt precyzuje procedurę zakończenia usługi, postępuj zgodnie z nią.

Czy mały dostawca SaaS musi mieć regulamin?

Tak – niezależnie od wielkości. Brak regulaminu nie oznacza braku zobowiązań. Oznacza odpowiedzialność bez żadnych ograniczeń i brak jakiejkolwiek ochrony prawnej.

Czym różni się DPA od umowy SaaS?

Umowa SaaS reguluje zasady korzystania z rozwiązania. DPA reguluje kwestie RODO – czyli sposób, w jaki dostawca przetwarza dane osobowe klientów lub pracowników użytkownika. Jeśli w systemie SaaS przechowujesz jakiekolwiek dane osobowe, DPA jest obowiązkowa.

Co zrobić teraz?

Niezależnie od tego, czy korzystasz z oprogramowania SaaS, czy je dostarczasz – wróć do umowy i sprawdź te 5 klauzul. Jeśli ich nie ma albo są napisane tak, że nic z nich nie wynika – to właśnie jest moment na niezbędne zmiany i rozmowę z prawnikiem.

👉 Umów się na konsultację z Sawicki Legal – przeanalizujemy Twoją umowę SaaS, odpowiemy na Twoje pytania lub pomożemy Ci przygotować regulamin SaaS, który rzeczywiście działa:
Konsultacja z radcą prawnym Damianem Sawickim
Wypełnij formularz kontaktowy

Akty prawne:
Ustawa z dnia 23 kwietnia 1964 r. Kodeks cywilny

Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych)

Ustawa z dnia 16 kwietnia 1993 r. o zwalczaniu nieuczciwej konkurencji

Ustawa z dnia 18 lipca 2002 r. o świadczeniu usług drogą elektroniczną

NIS2 to unijna dyrektywa (2022/2555), która w Polsce obowiązuje od 3 kwietnia 2026 r. jako znowelizowana ustawa o krajowym systemie cyberbezpieczeństwa. Nakłada na firmy z kilkunastu sektorów obowiązek wprowadzenia środków zarządzania ryzykiem w cyberbezpieczeństwie, zgłaszania poważnych incydentów w 24 godziny i przewiduje kary do 10 mln EUR dla podmiotu oraz do 300% pensji dla członka zarządu osobiście.

Jest jedna rzecz, którą trzeba powiedzieć na wstępie wprost.

NIS2 to nie jest kolejny temat „dla działu IT”. To temat dla zarządu. Bo za niedostosowanie firmy do przepisów odpowiada finansowo i osobiście nie informatyk, tylko osoba zarządzająca.

Jeżeli dziś w Twojej firmie NIS2 leży wyłącznie na biurku IT – to już jest błąd, który regulacja wprost karze.

Czym jest NIS2 i od kiedy obowiązuje w Polsce?

NIS2 to dyrektywa Parlamentu Europejskiego i Rady (UE) 2022/2555 z 14 grudnia 2022 r. Zastępuje wcześniejszą dyrektywę NIS z 2016 r. i znacząco poszerza krąg firm objętych obowiązkami w zakresie cyberbezpieczeństwa na terytorium unii.

W Polsce do prawa krajowego NIS2 została wdrożona nowelizacją ustawy o krajowym systemie cyberbezpieczeństwa, która weszła w życie 3 kwietnia 2026 r.

To ważne rozróżnienie: przepisy już obowiązują. Etap „poczekamy, aż to wejdzie” się skończył.

Zmieniła się też filozofia. Wcześniej to organy wskazywały, kto podlega obowiązkom. Teraz działa zasada samookreślenia – to firma sama musi ocenić swój status i się zgłosić.

Kto w Polsce podlega NIS2? Podmioty kluczowe i ważne

Ustawa dzieli objęte organizacje na dwie grupy i to właśnie podział na podmioty kluczowe i ważne decyduje o zakresie obowiązków.

Różnica sprowadza się głównie do intensywności nadzoru i wysokości kar. Podmioty kluczowe podlegają ściślejszej kontroli i wyższym sankcjom. Podmioty ważne są nadzorowane bardziej reaktywnie, ale obowiązki merytoryczne mają w dużej mierze takie same.

O objęciu firmy regulacją decydują dwa filtry: sektor i wielkość.

{{widget50}}

Które sektory są objęte?

Do sektorów kluczowych zaliczają się m.in.:

• sektor energetyki,
• transport,
• podmioty finansowe (w tym operatorzy systemów obrotu instrumentami finansowymi),
• ochrona zdrowia,
• zaopatrzenie w wodę pitną,
• ścieki (systemy kanalizacyjne),
• infrastruktura cyfrowa,
• zarządzanie usługami ICT,
• administracja publiczna,
• przestrzeń kosmiczna.

Do sektorów, z których wywodzą się przede wszystkim podmioty ważne, należą m.in.:

• usługi pocztowe i kurierskie,
• gospodarka odpadami,
• produkcja i dystrybucja chemikaliów,
• produkcja i dystrybucja żywności,
• przemysł produkcyjny,
• dostawcy usług cyfrowych (platformy internetowe, centra danych),
• badania naukowe.

Od jakiej wielkości firmy NIS2 zaczyna obowiązywać?

Co do zasady regulacja obejmuje średnie i duże firmy, czyli takie, które:

• zatrudniają co najmniej 50 osób, albo
• przekraczają 10 mln EUR rocznego obrotu lub sumy bilansowej.

Ale to nie jest reguła bezwzględna.

Część podmiotów jest objęta ustawą niezależnie od wielkości, ze względu na charakter usług lub rolę w łańcuchu dostaw. Dotyczy to m.in. kwalifikowanych dostawców usług zaufania czy dostawców usług DNS.

Dlatego założenie „jesteśmy za mali, więc nas to nie dotyczy” bywa złudne. To trzeba zweryfikować na podstawie realnego profilu firmy, a nie intuicji.

„Najczęściej rozmowa o NIS2 zaczyna się od zdania: »to chyba nie o nas«. A po dwóch pytaniach o to, komu firma sprzedaje i kto ma dostęp do jej sieci i systemów informatycznych, okazuje się, że jednak o nich. Status podmiotu to fakt do ustalenia, nie kwestia przeczucia.” – Damian Sawicki

Samoocena statusu i 6 miesięcy na zgłoszenie do wykazu

NIS2 opiera się na zasadzie samookreślenia. To organizacja, biorąc pod uwagę sektor, skalę i charakter usług, sama ocenia, czy jest podmiotem kluczowym albo ważnym.

Ciężar wstępnej kwalifikacji nie spoczywa więc na organach publicznych. Leży po stronie przedsiębiorcy.

Z samooceną wiąże się konkretny obowiązek formalny. Podmiot, który kwalifikuje się jako kluczowy albo ważny, ma 6 miesięcy od wejścia ustawy w życie, czyli czas do 3 października 2026 r., na zgłoszenie się do właściwego wykazu.

Warto od razu znać dalszy harmonogram, bo to on wyznacza realne tempo prac:

• 3 października 2026 r. - termin rejestracji w wykazie,
• 3 kwietnia 2027 r. - termin pełnego wdrożenia obowiązków w zakresie zarządzania ryzykiem,
• 3 kwietnia 2028 r. - pierwszy audyt podmiotów kluczowych.

Z tym harmonogramem wiąże się jedno praktyczne ostrzeżenie: obowiązek rejestracji jest pierwszy w kolejności i najłatwiejszy do przeoczenia. Brak zgłoszenia to nie „opóźnienie we wdrożeniu” – to osobne naruszenie.

Jakie obowiązki nakłada NIS2?

Najkrócej: NIS2 wymaga, żeby firma świadomie zarządzała ryzykiem w obszarze cyberbezpieczeństwa i potrafiła to wykazać.

Nie wystarczy mieć antywirusa i backupu. Trzeba mieć system.

W praktyce oznacza to wdrożenie środków technicznych i organizacyjnych obejmujących m.in.:

• politykę analizy ryzyka i bezpieczeństwa sieci,
• procedury obsługi incydentów,
• plany ciągłości działania i odtwarzania po awarii,
• bezpieczeństwo łańcucha dostaw,
• bezpieczeństwo w procesie nabywania, rozwoju i utrzymania sieci,
• mechanizmy oceny skuteczności zastosowanych środków,
• szkolenia personelu,
• stosowanie kryptografii i kontroli dostępu tam, gdzie jest to uzasadnione.

Brzmi jak długa lista, ale chodzi o jedno: firma ma rozumieć, gdzie ma słabe punkty, mieć przygotowane procedury na wypadek incydentu i zarządzać tym w sposób uporządkowany, a nie ad hoc.

Jak szybko trzeba zgłosić incydent w NIS2?

Drugim kluczowym obszarem są obowiązki raportowe.

Incydenty mają różną skalę, od lokalnej awarii, przez błędy w procesach biznesowych, aż po zorganizowany cyberatak. Przepisy rozróżniają incydent poważny oraz incydent na dużą skalę, ale dla większości firm najistotniejsze jest to pierwsze pojęcie: zdarzenie, które powoduje lub może spowodować poważne zakłócenie usług, straty finansowe albo istotne szkody u innych podmiotów.

Jeżeli dojdzie do incydentu podlegającego zgłoszeniu, obowiązuje ścisły harmonogram (zgłoszenia trafiają przez system S46 do właściwego CSIRT-u lub organu nadzorczego):

1. 24 godziny od uzyskania wiedzy o incydencie – wczesne ostrzeżenie.
2. 72 godziny – uzupełnienie zgłoszenia o dalsze informacje.
3. 1 miesiąc – raport końcowy z oceną skutków i zastosowanymi środkami zaradczymi.

Wniosek jest prosty: przy incydencie nie ma czasu na improwizację.

Jeżeli firma nie ma wcześniej przygotowanych procedur i sprawnej ścieżki decyzyjnej, problemem stanie się nie tylko sam incydent, ale również sposób wykonania obowiązków wynikających z ustawy.

NIS2 a łańcuch dostaw – dlaczego same procedury wewnętrzne nie wystarczą

Jedną z najważniejszych zmian jest nacisk na bezpieczeństwo łańcucha dostaw.

Organizacja nie może patrzeć wyłącznie na własne systemy. Musi patrzeć też na dostawców, partnerów i podwykonawców.

Bo nawet dobrze zabezpieczona firma może paść ofiarą incydentu, jeśli słabym ogniwem okaże się podmiot zewnętrzny: dostawca chmury, software house, zewnętrzny helpdesk, operator infrastruktury, integrator albo podwykonawca z dostępem do danych i systemów.

NIS2 wymaga uporządkowania przede wszystkim trzech obszarów:

• wskazania dostawców krytycznych,
• określenia wymagań bezpieczeństwa w umowach,
• wdrożenia zasad weryfikacji i monitorowania dostawców.

Oceniać trzeba nie sam fakt korzystania z dostawcy, ale jego podatności, praktyki cyberbezpieczeństwa, jakość usług i znaczenie dla ciągłości działania. Szczególnie w przypadku dostawców ICT, chmury, oprogramowania i przetwarzania danych.

I tu cyberbezpieczeństwo przestaje być tematem czysto technicznym. Wchodzi w obszar prawny, zakupowy i compliance.

Bo narzędzia nie wystarczą, jeżeli umowy z dostawcami:

• nie określają konkretnych obowiązków w zakresie bezpieczeństwa,
• nie przewidują zasad współpracy w razie incydentu,
• nie dają prawa do audytu ani do uzyskania niezbędnych informacji,
• nie nakładają obowiązku zgłaszania naruszeń,
• nie regulują odpowiedzialności stron.

„Widzę to na umowach nieustannie: firma inwestuje w zabezpieczenia u siebie, a jednocześnie oddaje dostęp do swoich systemów kontraktem na dwie strony, w którym o bezpieczeństwie nie ma ani słowa. NIS2 nie pozwala już traktować dostawcy jako cudzego problemu.” – Damian Sawicki

Dodatkowo na ocenę zgodności firmy z NIS2 mogą wpływać szersze analizy ryzyka prowadzone na poziomie unijnym lub krajowym. Jeśli konkretny dostawca, technologia czy usługa zostaną uznane za szczególnie ryzykowne, firma musi to uwzględnić w swoim podejściu do ryzyka.

Dlatego w wielu organizacjach największym wyzwaniem nie będzie wdrożenie narzędzi, lecz zbudowanie realnej kontroli nad tym, kto ma dostęp do danych, systemów i procesów i na jakich zasadach.

NIS2 a odpowiedzialność zarządu – czym ryzykujesz osobiście?

To jest sedno, które trzeba wybrzmieć najmocniej.

Zgodnie z NIS2 i polskimi przepisami cyberbezpieczeństwo staje się obszarem bezpośredniej odpowiedzialności osób zarządzających. Dotyczy to nie tylko członków zarządu, ale także komplementariuszy czy wspólników uprawnionych do prowadzenia spraw spółki.

Konsekwencje działają na dwóch poziomach.

Po pierwsze sankcje wobec organizacji:

• podmiot kluczowy: kara finansowa co najmniej 10 mln EUR albo 2% całkowitego rocznego światowego obrotu - w zależności od tego, która wartość jest wyższa,
• podmiot ważny: kara co najmniej 7 mln EUR albo 1,4% obrotu,
• dodatkowo w przypadkach powodujących poważne zagrożenie dla porządku lub bezpieczeństwa publicznego, polska ustawa przewiduje karę pieniężną do 100 mln zł.

Po drugie konsekwencje osobiste wobec osób zarządzających:

• kara pieniężna - do 300% miesięcznego wynagrodzenia danej osoby (w sektorze publicznym 100%),
• czasowy zakaz pełnienia funkcji kierowniczych - w przypadku poważnych lub powtarzających się naruszeń (dotyczy podmiotów kluczowych),
• ryzyko reputacyjne - organ może nakazać publiczne ujawnienie informacji o naruszeniu, a w określonych przypadkach także wskazanie osób odpowiedzialnych.

Ważne zastrzeżenie co do dat: pełne obowiązki zarządzania ryzykiem obowiązują od 3 kwietnia 2027 r., a pierwsze audyty podmiotów kluczowych zaplanowano na 2028 r. To nie jest jednak powód do zwłoki, to okno na przygotowanie, które właśnie się zamyka.

Jak przeprowadzić gap analysis krok po kroku?

Najgorsza strategia to wdrażanie wszystkiego naraz, w panice i bez priorytetów.

Sensowny start to gap analysis – rzetelne porównanie tego, gdzie firma jest dziś, z tym, czego wymaga prawo.

1. Ustalenie statusu podmiotu. Najpierw sprawdź, czy firma w ogóle podlega przepisom i czy jest podmiotem kluczowym, czy ważnym.

2. Identyfikacja procesów i sektorów krytycznych. Ustal, które procesy, systemy, dane i usługi są kluczowe dla działalności. Bez tego nie da się rzetelnie ocenić ryzyka.

3. Przegląd istniejących procedur i środków bezpieczeństwa. Sprawdź, co już działa — technicznie i organizacyjnie: reagowanie na incydenty, ciągłość działania, zarządzanie dostępami, szkolenia, dokumentacja.

4. Analiza dostawców i gotowości do raportowania incydentów. Oceń bezpieczeństwo łańcucha dostaw, zapisy umowne z kluczowymi partnerami oraz zdolność firmy do wykrywania, kwalifikowania i terminowego zgłaszania incydentów.

5. Plan działań i przypisanie odpowiedzialności. Ułóż wyniki w konkretny plan wdrożenia: najważniejsze luki, priorytety, osoby odpowiedzialne i realne terminy.

Od czego zacząć?

Jeżeli dziś w firmie nie ma pewności, czy NIS2 ma zastosowanie i co konkretnie trzeba zrobić, sam ten brak pewności jest już sygnałem do działania.

Rozsądny start to cztery rzeczy:

• potwierdzenie statusu firmy wobec nowych przepisów,
• wskazanie osoby odpowiedzialnej po stronie zarządu (lub osoby jemu bezpośrednio podległej), a nie wyłącznie po stronie IT,
• przeprowadzenie gap analysis, która pokaże faktyczne luki,
• ułożenie planu wdrożenia według rzeczywistych ryzyk, a nie przypadkowych priorytetów.

Najgorszy scenariusz to firma, która robi wiele rzeczy naraz, bez ładu, w przekonaniu, że „już się tym zajmuje”. Przy incydencie albo kontroli ten chaos staje się widoczny w ciągu kilku godzin.

NIS2 nie ocenia intencji. Ocenia, czy firma realnie zarządza ryzykiem i potrafi to wykazać.

Chcesz sprawdzić, czy Twoja firma podlega NIS2 i jakie obowiązki ciążą na niej po 3 kwietnia 2026 r.? Dobrym punktem startu jest analiza statusu i luk – zajmuje zwykle kilka tygodni i kończy się konkretnym planem działania. W Sawicki Legal wspieramy zarządy w tym procesie od strony prawnej, kontraktowej i organizacyjnej, tak żeby wdrożenie było realne, a nie pozorne.

Napisz do nas i umów rozmowę – zanim zrobi to za Ciebie regulator.