B2B czy „przebrany” stosunek pracy? Na co naprawdę patrzy PIP przy kontroli? Jak rozpoznać ryzyko ustalenia istnienia stosunku pracy?

Sprzedaż udziałów w spółce z ograniczoną odpowiedzialnością to transakcja, która na pierwszy rzut oka wydaje się prosta: strony rozmawiają, podpisują umowę i gotowe. W praktyce jednak każdy etap tego procesu kryje pułapki, które mogą spowodować nawet nieważność transakcji.

Nie jest więc sztuką podpisanie jakiejkolwiek umowy, ale umowy realizującej jej cel – prawidłową i sprawną sprzedaż udziałów. Bez turbulencji, bez konieczności wprowadzania planu naprawczego.

Z obserwacji Sawicki Legal wynika, że ta względnie prosta transakcja potrafi zaskoczyć strony, które podejmują się jej przeprowadzenia bez wsparcia profesjonalisty – o własnych siłach i bez odpowiedniego przygotowania. Co więcej, strony zdają sobie z tego sprawę o wiele za późno.

Ten przewodnik ma na celu wskazać, na co warto zwrócić uwagę przygotowując się do sprzedaży udziałów, jak zawrzeć umowę sprzedaży i o czym pamiętać po jej zawarciu. Jest skierowany zarówno do sprzedających, jak i do kupujących – bo choć ich interesy bywają rozbieżne, błędy proceduralne uderzają w obie strony.

Co tak naprawdę sprzedajesz – i czy na pewno masz do tego prawo?

Udziały sprzedaje wspólnik, nie spółka

To rozróżnienie może wydać się oczywistością, ale w praktyce bywa źródłem niepotrzebnych nieporozumień. Przedmiotem transakcji są udziały należące do konkretnego wspólnika. W uproszczeniu można powiedzieć, że umowa sprzedaży powoduje przeniesienie „statusu wspólnika" powiązanego z danymi udziałami. Nie jest natomiast sprzedawany majątek spółki ani jej przedsiębiorstwo – i spółka nie jest stroną umowy sprzedaży udziałów.

Oznacza to, że zanim dojdzie do transakcji, należy precyzyjnie ustalić, kto jest rzeczywistym właścicielem udziałów i czy nie ma przeszkód w ich sprzedaży.

KRS to punkt wyjścia, ale nie zawsze źródło aktualnej prawdy

Rejestr przedsiębiorców KRS zawiera informację o wspólnikach – jednak dane te bywają nieaktualne. Wynika to z faktu, że obowiązek zgłoszenia zmiany wspólnika do KRS spoczywa na zarządzie spółki, a nie na stronach transakcji, i nie zawsze jest realizowany. Zdarzają się przypadki, gdy w KRS figuruje poprzedni właściciel udziałów, podczas gdy faktycznie udziały nabyła już inna osoba.

Dlatego weryfikacja stanu właścicielskiego powinna wykraczać poza sam odpis z KRS. Właściwym podejściem jest prześledzenie historii transakcji na udziałach – tzw. łańcucha tytułu prawnego. Dopiero pełna ścieżka transakcji pozwala ustalić, czy sprzedający jest rzeczywistym właścicielem udziałów.

Czy udziały są wolne od obciążeń?

Udziały mogą być przedmiotem obciążenia – i ten aspekt również wymaga weryfikacji przed przystąpieniem do transakcji. Przed zakupem warto sprawdzić, czy udziały nie są obciążone, np.:

• zastawem rejestrowym lub zwykłym – ustanowionym np. na rzecz banku jako zabezpieczenie kredytu,
• zajęciem komorniczym – w ramach postępowania egzekucyjnego prowadzonego przeciwko wspólnikowi spółki.

Sprawdź ograniczenia, zanim cokolwiek podpiszesz

To etap, który najczęściej komplikuje transakcję – i o którym strony nagminnie zapominają. Ograniczenia w zbywaniu udziałów mogą wynikać z trzech głównych źródeł: umowy spółki, przepisów Kodeksu spółek handlowych oraz innych dokumentów korporacyjnych, takich jak umowy inwestycyjne czy porozumienia wspólników (shareholders' agreement).

Jeśli chcesz dowiedzieć się więcej o porozumieniach wspólników, przewodnik możesz za darmo pobrać tutaj: POROZUMIENIE WSPÓLNIKÓW WORKBOOK

Zgoda spółki na zbycie udziałów

Kodeks spółek handlowych przewiduje w art. 182, że umowa spółki może uzależniać zbycie udziałów od zgody spółki. Zasadą kodeksową jest, że zgody udziela zarząd – chyba że umowa spółki stanowi inaczej (np. że decyzję podejmuje zgromadzenie wspólników albo rada nadzorcza). Przyjmuje się, że brak wymaganej zgody skutkuje bezskutecznością umowy sprzedaży.

Warto sprawdzić nie tylko to, czy zgoda jest wymagana, ale też kto jej udziela, w jakiej formie i w jakim terminie. Jeśli zarząd odmówi zgody, przepisy przewidują mechanizm sądowy umożliwiający zastąpienie tej zgody przez sąd w przypadku ważnych powodów.

Prawo pierwszeństwa

Prawo pierwszeństwa to jedno z częściej stosowanych ograniczeń w umowach spółek z o.o. Polega na tym, że przed zbyciem udziałów osobie trzeciej sprzedający jest zobowiązany zaoferować je najpierw pozostałym wspólnikom.

Mechanizm działa następująco: sprzedający informuje o zamiarze zbycia udziałów, wskazując cenę i warunki transakcji. Uprawnieni mają określony czas na skorzystanie z prawa pierwszeństwa. Dopiero po bezskutecznym upływie tego terminu sprzedający może swobodnie zbyć udziały osobie trzeciej. Naruszenie prawa pierwszeństwa może prowadzić do bezskuteczności transakcji.

Lock-up – coraz popularniejszy mechanizm blokujący zbycie udziałów

Lock-up to zakaz zbywania udziałów przez określony czas. W odróżnieniu od prawa pierwszeństwa ogranicza możliwość zbycia niezależnie od tego, komu i na jakich warunkach miałyby zostać sprzedane.

Mechanizm ten jest szczególnie popularny w umowach inwestycyjnych (np. po wejściu funduszu VC lub PE do spółki) oraz w umowach wspólników zawieranych przy zakładaniu spółki. Typowy okres lock-up wynosi od 12 do 36 miesięcy. Naruszenie lock-up również może prowadzić do bezskuteczności transakcji.

Praktyczna wskazówka: Jeśli w spółce występuje kilka ograniczeń jednocześnie, należy wziąć pod uwagę wszystkie. Wspólnik chcący sprzedać udziały w takiej spółce powinien zadbać o zgodę spółki, zastosować się do prawa pierwszeństwa, a w ogóle nie dokonywać sprzedaży w okresie obowiązywania lock-up.

W wyjątkowych sytuacjach mogą pojawić się również ograniczenia wynikające z przepisów szczególnych – np. nabycie udziałów przez cudzoziemca w spółce posiadającej nieruchomości może wymagać zezwolenia na podstawie ustawy o nabywaniu nieruchomości przez cudzoziemców, a nabycie udziałów w spółce posiadającej nieruchomości rolne – zastosowania procedury prawa pierwokupu KOWR.

{{widget51}}

Umowa sprzedaży udziałów – w jakiej formie i jakie ma to znaczenie?

Wymóg formy pisemnej z podpisami notarialnie poświadczonymi

Zgodnie z art. 180 Kodeksu spółek handlowych umowa zbycia udziałów w sp. z o.o. musi zostać zawarta w formie pisemnej z podpisami notarialnie poświadczonymi. Nie jest to forma aktu notarialnego – notariusz poświadcza jedynie autentyczność podpisów stron, a nie sporządza dokumentu jako takiego.

Niezachowanie tej formy skutkuje nieważnością umowy. Zwykłe podpisanie umowy bez wizyty u notariusza – nawet jeśli obie strony są zgodne co do wszystkich warunków – nie spowoduje przejścia udziałów na kupującego.

Tryb S24 – podpisanie umowy sprzedaży online

Przepisy dopuszczają zawarcie umowy sprzedaży udziałów za pośrednictwem systemu S24 (Portal Rejestrów Sądowych). W tym trybie umowa jest zawierana elektronicznie, z użyciem kwalifikowanego podpisu elektronicznego, podpisu zaufanego albo podpisu osobistego, na wzorcu generowanym w ramach platformy. Tryb S24 jest szybszy i tańszy – nie wymaga wizyty u notariusza. Ma jednak swoje ograniczenia: nie można swobodnie kształtować treści umowy sprzedaży.

Uwaga! Tryb S24 nie jest dostępny dla wszystkich sprzedających. Jest dopuszczalny wyłącznie wtedy, gdy umowa spółki z o.o. została zawarta w ramach S24 przy wykorzystaniu wzorca umowy i nie była nigdy zmieniana w inny sposób niż przez ten sam wzorzec. Jeśli umowa spółki była kiedykolwiek zmieniana poza S24 – z tego trybu nie należy korzystać.

Co powinna zawierać umowa sprzedaży udziałów?

Dobra umowa to nie umowa jak najdłuższa ani wyglądająca na jak najbardziej profesjonalną. Powinna być dostosowana do rzeczywistych potrzeb i ryzyka konkretnej transakcji – bez zbędnych postanowień, które w danym przypadku są bez znaczenia.

Minimalne elementy umowy to: oznaczenie stron, opis transakcji (kto komu sprzedaje ile udziałów i jakich, za jaką cenę) oraz – dla uniknięcia wątpliwości – postanowienie o jednoczesnym przeniesieniu udziałów na kupującego.

Umowa zawierana przez S24 zawiera jedynie dane identyfikujące strony, liczbę udziałów, spółkę, wartość nominalną udziałów oraz cenę sprzedaży.

Poinformuj spółkę o transakcji – obowiązek, o którym wszyscy zapominają

Obowiązek zawiadomienia spółki o przejściu udziałów

Skuteczne i ważne zawarcie umowy sprzedaży udziałów nie zamyka transakcji. Owszem, dochodzi wówczas do zmiany właściciela udziałów – ale to jeszcze nie wszystko. Zgodnie z art. 187 § 1 Kodeksu spółek handlowych, strony transakcji są zobowiązane zawiadomić spółkę o przejściu udziałów wraz z dowodem tego przejścia. Z tego powodu umowy sprzedaży sporządza się w jednym dodatkowym egzemplarzu – tak, żeby każda strona otrzymała swój egzemplarz, a dodatkowy trafił do spółki wraz z zawiadomieniem.

Do czasu zawiadomienia spółki wobec niej wspólnikiem pozostaje nadal sprzedający. Przeoczenie tego obowiązku prowadzi do sytuacji, w której nabywca płaci za udziały, ale formalnie pozostaje pozbawiony możliwości wykonywania praw wspólnika.

Obowiązek zgłoszenia powstania stosunku dominacji

Jeśli kupującym jest spółka handlowa i w wyniku transakcji uzyska większość głosów na zgromadzeniu wspólników, ciąży na niej dodatkowy obowiązek – zgłoszenie spółce faktu powstania stosunku dominacji (art. 6 ust. 1 KSH). Zawiadomienie należy złożyć w terminie dwóch tygodni od dnia powstania stosunku dominacji. Niedopełnienie tego obowiązku skutkuje zawieszeniem prawa głosu z udziałów reprezentujących więcej niż 33% kapitału zakładowego spółki zależnej.

Praktyczna wskazówka: Zawiadomienie spółki o przejściu udziałów i zgłoszenie stosunku dominacji (jeśli dotyczy) najlepiej przygotować równocześnie z umową sprzedaży – tak, żeby móc je złożyć niezwłocznie po podpisaniu dokumentów.

Rejestracja zmiany wspólnika w KRS – krok po kroku

Aktualizacja księgi udziałów – pierwszy krok

Księga udziałów to dokument prowadzony przez zarząd, w którym odnotowuje się m.in. liczbę i wartość nominalną udziałów każdego wspólnika oraz wszelkie zmiany w strukturze właścicielskiej. Procedowanie zmian wynikających ze sprzedaży powinno zacząć się od zawiadomienia spółki o przejściu udziałów, co powoduje konieczność aktualizacji księgi udziałów przez zarząd.

Wniosek o wpis zmian do KRS czy tylko złożenie aktualnej listy wspólników?

Sprzedaż udziałów nie zawsze wymaga złożenia do KRS wniosku o wpis zmian – czasami prawidłowe jest samo złożenie zaktualizowanej listy wspólników.

Po aktualizacji księgi udziałów zarząd jest zobowiązany złożyć do KRS podpisaną przez wszystkich członków zarządu aktualną listę wspólników, zawierającą ich dane: imię i nazwisko lub firmę (nazwę) oraz liczbę i wartość nominalną udziałów każdego z nich. Opłata sądowa za złożenie samej listy wynosi 40 zł.

Jeśli transakcja powoduje zmianę ujawnionych w KRS danych któregokolwiek ze wspólników, zamiast samej listy należy złożyć wniosek o zmianę danych w rejestrze (lista będzie wówczas jednym z załączników). Opłata sądowa w takim przypadku wynosi 250 zł.

Praktyczna wskazówka: Podczas aktualizacji danych wspólników zarządy spółek często pomijają [art. 38 pkt 8 lit. c ustawy o KRS], zgodnie z którym ujawnieniu w rejestrze podlegają wspólnicy posiadający samodzielnie co najmniej 10% kapitału zakładowego.

Inne obowiązki po transakcji – o tym też trzeba pamiętać

Podatek od czynności cywilnoprawnych (PCC)

Sprzedaż udziałów podlega podatkowi od czynności cywilnoprawnych w wysokości 1% wartości rynkowej udziałów. Podatek płaci kupujący w terminie 14 dni od dnia zawarcia umowy, składając jednocześnie odpowiednią deklarację PCC we właściwym urzędzie skarbowym.

Podatek dochodowy sprzedającego

Sprzedający powinien sprawdzić, czy w jego przypadku nie powstanie obowiązek zapłaty podatku dochodowego od zysków kapitałowych w wysokości 19%.

Aktualizacja wpisu w CRBR 

Spółka z o.o. jest zobowiązana do aktualizacji danych w Centralnym Rejestrze Beneficjentów Rzeczywistych w terminie 14 dni (nie wlicza się sobót i dni ustawowo wolnych od pracy), jeśli zbycie udziałów wpływa na ustalenie beneficjenta rzeczywistego spółki.

Praktyczna wskazówka: Obowiązek aktualizacji danych w CRBR – podobnie jak aktualizacja danych w KRS – spoczywa na zarządzie spółki, nie na wspólnikach (ani sprzedającym, ani kupującym).

Częste błędy przy sprzedaży udziałów – i jak ich uniknąć

Pominięcie któregokolwiek z opisanych wyżej aspektów transakcji przekłada się na realne błędy, które stoją na przeszkodzie prawidłowej i sprawnej sprzedaży udziałów.

Błąd 1: Pominięcie weryfikacji ograniczeń w zbywaniu udziałów

Strony podpisują umowę z pominięciem wymogu uzyskania zgody spółki, prawa pierwszeństwa, klauzuli lock-up lub innych ograniczeń. → Przed transakcją należy zweryfikować, czy takie ograniczenia w danym przypadku nie występują.

Błąd 2: Błędna forma umowy sprzedaży udziałów

Strony podpisują umowę bez poświadczenia notarialnego lub błędnie stosują tryb S24 w sytuacji, gdy jest on niedopuszczalny. → Przed transakcją należy ustalić właściwą formę zawarcia umowy i upewnić się, że zostanie ona zachowana.

Błąd 3: Brak zawiadomienia spółki o przejściu udziałów

Żadna ze stron nie zawiadamia spółki o transakcji lub nie załącza do zawiadomienia egzemplarza umowy. → Po transakcji należy upewnić się, że prawidłowe zawiadomienie zostało złożone.

Błąd 4: Niezgłoszenie stosunku dominacji

Nabywca, który uzyskał pozycję dominującą, nie zgłasza tego faktu spółce w terminie. → Przed transakcją należy sprawdzić, czy dojdzie do powstania stosunku dominacji, i odpowiednio zaplanować zgłoszenie.

Błąd 5: Zaniedbanie kwestii podatkowych

Kupujący zapomina o PCC, sprzedający nie rozlicza podatku dochodowego od zysku ze sprzedaży. → Kwestie podatkowe warto zweryfikować jeszcze przed transakcją i przygotować dokumenty z wyprzedzeniem.

Podsumowanie – lista kontrolna sprzedaży udziałów w sp. z o.o.

Sprzedaż udziałów w spółce z o.o. to proces wieloetapowy, w którym każdy krok ma znaczenie. Poniższa lista kontrolna pozwoli Ci uporządkować działania – niezależnie od tego, czy sprzedajesz, czy kupujesz udziały:

• Krok 1: Zweryfikuj właściciela udziałów – sprawdź KRS, księgę udziałów i historię transakcji (łańcuch tytułu prawnego).
• Krok 2: Sprawdź obciążenia udziałów (np. zastaw, zajęcie komornicze).
• Krok 3: Zidentyfikuj wszystkie ograniczenia w zbywaniu udziałów (prawo pierwszeństwa, lock-up, zgoda spółki).
• Krok 4: Dopełnij procedur wynikających z ograniczeń (np. zaoferuj udziały uprawnionym z prawa pierwszeństwa, uzyskaj zgodę spółki).
• Krok 5: Wybierz właściwą formę umowy (forma pisemna z poświadczeniem notarialnym lub S24 – jeśli dopuszczalny) i zadbaj o treść adekwatną do okoliczności.
• Krok 6: Po zawarciu umowy zawiadom spółkę o przejściu udziałów.
• Krok 7: Zgłoś spółce powstanie stosunku dominacji (jeśli dotyczy).
• Krok 8: Monitoruj aktualizację księgi udziałów i danych wspólników w KRS przez zarząd.
• Krok 9: Zaadresuj PCC (kupujący) i podatek dochodowy (sprzedający).
• Krok 10: Monitoruj aktualizację danych w CRBR przez zarząd spółki.

Skonsultuj transakcję z Sawicki Legal

Sprzedaż udziałów w sp. z ograniczoną odpowiedzialnością to proces, w którym szczegóły mają ogromne znaczenie. Łatwo o błąd na którymkolwiek etapie – od weryfikacji ograniczeń, przez formę umowy, po rejestrację w KRS.

W Sawicki Legal kompleksowo obsługujemy transakcje zbycia i nabycia udziałów w spółkach z o.o. – od analizy dokumentów korporacyjnych, przez przygotowanie umowy, aż po rejestrację zmiany w KRS i dopełnienie wszystkich obowiązków porejestracyjnych.

Skontaktuj się z nami przed transakcją – nie po tym, jak coś pójdzie nie tak.

Artykuł ma charakter informacyjny i nie stanowi porady prawnej. Stan prawny na dzień publikacji: sierpień 2026 r.

NIS2 to unijna dyrektywa (2022/2555), która w Polsce obowiązuje od 3 kwietnia 2026 r. jako znowelizowana ustawa o krajowym systemie cyberbezpieczeństwa. Nakłada na firmy z kilkunastu sektorów obowiązek wprowadzenia środków zarządzania ryzykiem w cyberbezpieczeństwie, zgłaszania poważnych incydentów w 24 godziny i przewiduje kary do 10 mln EUR dla podmiotu oraz do 300% pensji dla członka zarządu osobiście.

Jest jedna rzecz, którą trzeba powiedzieć na wstępie wprost.

NIS2 to nie jest kolejny temat „dla działu IT”. To temat dla zarządu. Bo za niedostosowanie firmy do przepisów odpowiada finansowo i osobiście nie informatyk, tylko osoba zarządzająca.

Jeżeli dziś w Twojej firmie NIS2 leży wyłącznie na biurku IT – to już jest błąd, który regulacja wprost karze.

Czym jest NIS2 i od kiedy obowiązuje w Polsce?

NIS2 to dyrektywa Parlamentu Europejskiego i Rady (UE) 2022/2555 z 14 grudnia 2022 r. Zastępuje wcześniejszą dyrektywę NIS z 2016 r. i znacząco poszerza krąg firm objętych obowiązkami w zakresie cyberbezpieczeństwa na terytorium unii.

W Polsce do prawa krajowego NIS2 została wdrożona nowelizacją ustawy o krajowym systemie cyberbezpieczeństwa, która weszła w życie 3 kwietnia 2026 r.

To ważne rozróżnienie: przepisy już obowiązują. Etap „poczekamy, aż to wejdzie” się skończył.

Zmieniła się też filozofia. Wcześniej to organy wskazywały, kto podlega obowiązkom. Teraz działa zasada samookreślenia – to firma sama musi ocenić swój status i się zgłosić.

Kto w Polsce podlega NIS2? Podmioty kluczowe i ważne

Ustawa dzieli objęte organizacje na dwie grupy i to właśnie podział na podmioty kluczowe i ważne decyduje o zakresie obowiązków.

Różnica sprowadza się głównie do intensywności nadzoru i wysokości kar. Podmioty kluczowe podlegają ściślejszej kontroli i wyższym sankcjom. Podmioty ważne są nadzorowane bardziej reaktywnie, ale obowiązki merytoryczne mają w dużej mierze takie same.

O objęciu firmy regulacją decydują dwa filtry: sektor i wielkość.

{{widget50}}

Które sektory są objęte?

Do sektorów kluczowych zaliczają się m.in.:

• sektor energetyki,
• transport,
• podmioty finansowe (w tym operatorzy systemów obrotu instrumentami finansowymi),
• ochrona zdrowia,
• zaopatrzenie w wodę pitną,
• ścieki (systemy kanalizacyjne),
• infrastruktura cyfrowa,
• zarządzanie usługami ICT,
• administracja publiczna,
• przestrzeń kosmiczna.

Do sektorów, z których wywodzą się przede wszystkim podmioty ważne, należą m.in.:

• usługi pocztowe i kurierskie,
• gospodarka odpadami,
• produkcja i dystrybucja chemikaliów,
• produkcja i dystrybucja żywności,
• przemysł produkcyjny,
• dostawcy usług cyfrowych (platformy internetowe, centra danych),
• badania naukowe.

Od jakiej wielkości firmy NIS2 zaczyna obowiązywać?

Co do zasady regulacja obejmuje średnie i duże firmy, czyli takie, które:

• zatrudniają co najmniej 50 osób, albo
• przekraczają 10 mln EUR rocznego obrotu lub sumy bilansowej.

Ale to nie jest reguła bezwzględna.

Część podmiotów jest objęta ustawą niezależnie od wielkości, ze względu na charakter usług lub rolę w łańcuchu dostaw. Dotyczy to m.in. kwalifikowanych dostawców usług zaufania czy dostawców usług DNS.

Dlatego założenie „jesteśmy za mali, więc nas to nie dotyczy” bywa złudne. To trzeba zweryfikować na podstawie realnego profilu firmy, a nie intuicji.

„Najczęściej rozmowa o NIS2 zaczyna się od zdania: »to chyba nie o nas«. A po dwóch pytaniach o to, komu firma sprzedaje i kto ma dostęp do jej sieci i systemów informatycznych, okazuje się, że jednak o nich. Status podmiotu to fakt do ustalenia, nie kwestia przeczucia.” – Damian Sawicki

Samoocena statusu i 6 miesięcy na zgłoszenie do wykazu

NIS2 opiera się na zasadzie samookreślenia. To organizacja, biorąc pod uwagę sektor, skalę i charakter usług, sama ocenia, czy jest podmiotem kluczowym albo ważnym.

Ciężar wstępnej kwalifikacji nie spoczywa więc na organach publicznych. Leży po stronie przedsiębiorcy.

Z samooceną wiąże się konkretny obowiązek formalny. Podmiot, który kwalifikuje się jako kluczowy albo ważny, ma 6 miesięcy od wejścia ustawy w życie, czyli czas do 3 października 2026 r., na zgłoszenie się do właściwego wykazu.

Warto od razu znać dalszy harmonogram, bo to on wyznacza realne tempo prac:

• 3 października 2026 r. - termin rejestracji w wykazie,
• 3 kwietnia 2027 r. - termin pełnego wdrożenia obowiązków w zakresie zarządzania ryzykiem,
• 3 kwietnia 2028 r. - pierwszy audyt podmiotów kluczowych.

Z tym harmonogramem wiąże się jedno praktyczne ostrzeżenie: obowiązek rejestracji jest pierwszy w kolejności i najłatwiejszy do przeoczenia. Brak zgłoszenia to nie „opóźnienie we wdrożeniu” – to osobne naruszenie.

Jakie obowiązki nakłada NIS2?

Najkrócej: NIS2 wymaga, żeby firma świadomie zarządzała ryzykiem w obszarze cyberbezpieczeństwa i potrafiła to wykazać.

Nie wystarczy mieć antywirusa i backupu. Trzeba mieć system.

W praktyce oznacza to wdrożenie środków technicznych i organizacyjnych obejmujących m.in.:

• politykę analizy ryzyka i bezpieczeństwa sieci,
• procedury obsługi incydentów,
• plany ciągłości działania i odtwarzania po awarii,
• bezpieczeństwo łańcucha dostaw,
• bezpieczeństwo w procesie nabywania, rozwoju i utrzymania sieci,
• mechanizmy oceny skuteczności zastosowanych środków,
• szkolenia personelu,
• stosowanie kryptografii i kontroli dostępu tam, gdzie jest to uzasadnione.

Brzmi jak długa lista, ale chodzi o jedno: firma ma rozumieć, gdzie ma słabe punkty, mieć przygotowane procedury na wypadek incydentu i zarządzać tym w sposób uporządkowany, a nie ad hoc.

Jak szybko trzeba zgłosić incydent w NIS2?

Drugim kluczowym obszarem są obowiązki raportowe.

Incydenty mają różną skalę, od lokalnej awarii, przez błędy w procesach biznesowych, aż po zorganizowany cyberatak. Przepisy rozróżniają incydent poważny oraz incydent na dużą skalę, ale dla większości firm najistotniejsze jest to pierwsze pojęcie: zdarzenie, które powoduje lub może spowodować poważne zakłócenie usług, straty finansowe albo istotne szkody u innych podmiotów.

Jeżeli dojdzie do incydentu podlegającego zgłoszeniu, obowiązuje ścisły harmonogram (zgłoszenia trafiają przez system S46 do właściwego CSIRT-u lub organu nadzorczego):

1. 24 godziny od uzyskania wiedzy o incydencie – wczesne ostrzeżenie.
2. 72 godziny – uzupełnienie zgłoszenia o dalsze informacje.
3. 1 miesiąc – raport końcowy z oceną skutków i zastosowanymi środkami zaradczymi.

Wniosek jest prosty: przy incydencie nie ma czasu na improwizację.

Jeżeli firma nie ma wcześniej przygotowanych procedur i sprawnej ścieżki decyzyjnej, problemem stanie się nie tylko sam incydent, ale również sposób wykonania obowiązków wynikających z ustawy.

NIS2 a łańcuch dostaw – dlaczego same procedury wewnętrzne nie wystarczą

Jedną z najważniejszych zmian jest nacisk na bezpieczeństwo łańcucha dostaw.

Organizacja nie może patrzeć wyłącznie na własne systemy. Musi patrzeć też na dostawców, partnerów i podwykonawców.

Bo nawet dobrze zabezpieczona firma może paść ofiarą incydentu, jeśli słabym ogniwem okaże się podmiot zewnętrzny: dostawca chmury, software house, zewnętrzny helpdesk, operator infrastruktury, integrator albo podwykonawca z dostępem do danych i systemów.

NIS2 wymaga uporządkowania przede wszystkim trzech obszarów:

• wskazania dostawców krytycznych,
• określenia wymagań bezpieczeństwa w umowach,
• wdrożenia zasad weryfikacji i monitorowania dostawców.

Oceniać trzeba nie sam fakt korzystania z dostawcy, ale jego podatności, praktyki cyberbezpieczeństwa, jakość usług i znaczenie dla ciągłości działania. Szczególnie w przypadku dostawców ICT, chmury, oprogramowania i przetwarzania danych.

I tu cyberbezpieczeństwo przestaje być tematem czysto technicznym. Wchodzi w obszar prawny, zakupowy i compliance.

Bo narzędzia nie wystarczą, jeżeli umowy z dostawcami:

• nie określają konkretnych obowiązków w zakresie bezpieczeństwa,
• nie przewidują zasad współpracy w razie incydentu,
• nie dają prawa do audytu ani do uzyskania niezbędnych informacji,
• nie nakładają obowiązku zgłaszania naruszeń,
• nie regulują odpowiedzialności stron.

„Widzę to na umowach nieustannie: firma inwestuje w zabezpieczenia u siebie, a jednocześnie oddaje dostęp do swoich systemów kontraktem na dwie strony, w którym o bezpieczeństwie nie ma ani słowa. NIS2 nie pozwala już traktować dostawcy jako cudzego problemu.” – Damian Sawicki

Dodatkowo na ocenę zgodności firmy z NIS2 mogą wpływać szersze analizy ryzyka prowadzone na poziomie unijnym lub krajowym. Jeśli konkretny dostawca, technologia czy usługa zostaną uznane za szczególnie ryzykowne, firma musi to uwzględnić w swoim podejściu do ryzyka.

Dlatego w wielu organizacjach największym wyzwaniem nie będzie wdrożenie narzędzi, lecz zbudowanie realnej kontroli nad tym, kto ma dostęp do danych, systemów i procesów i na jakich zasadach.

NIS2 a odpowiedzialność zarządu – czym ryzykujesz osobiście?

To jest sedno, które trzeba wybrzmieć najmocniej.

Zgodnie z NIS2 i polskimi przepisami cyberbezpieczeństwo staje się obszarem bezpośredniej odpowiedzialności osób zarządzających. Dotyczy to nie tylko członków zarządu, ale także komplementariuszy czy wspólników uprawnionych do prowadzenia spraw spółki.

Konsekwencje działają na dwóch poziomach.

Po pierwsze sankcje wobec organizacji:

• podmiot kluczowy: kara finansowa co najmniej 10 mln EUR albo 2% całkowitego rocznego światowego obrotu - w zależności od tego, która wartość jest wyższa,
• podmiot ważny: kara co najmniej 7 mln EUR albo 1,4% obrotu,
• dodatkowo w przypadkach powodujących poważne zagrożenie dla porządku lub bezpieczeństwa publicznego, polska ustawa przewiduje karę pieniężną do 100 mln zł.

Po drugie konsekwencje osobiste wobec osób zarządzających:

• kara pieniężna - do 300% miesięcznego wynagrodzenia danej osoby (w sektorze publicznym 100%),
• czasowy zakaz pełnienia funkcji kierowniczych - w przypadku poważnych lub powtarzających się naruszeń (dotyczy podmiotów kluczowych),
• ryzyko reputacyjne - organ może nakazać publiczne ujawnienie informacji o naruszeniu, a w określonych przypadkach także wskazanie osób odpowiedzialnych.

Ważne zastrzeżenie co do dat: pełne obowiązki zarządzania ryzykiem obowiązują od 3 kwietnia 2027 r., a pierwsze audyty podmiotów kluczowych zaplanowano na 2028 r. To nie jest jednak powód do zwłoki, to okno na przygotowanie, które właśnie się zamyka.

Jak przeprowadzić gap analysis krok po kroku?

Najgorsza strategia to wdrażanie wszystkiego naraz, w panice i bez priorytetów.

Sensowny start to gap analysis – rzetelne porównanie tego, gdzie firma jest dziś, z tym, czego wymaga prawo.

1. Ustalenie statusu podmiotu. Najpierw sprawdź, czy firma w ogóle podlega przepisom i czy jest podmiotem kluczowym, czy ważnym.

2. Identyfikacja procesów i sektorów krytycznych. Ustal, które procesy, systemy, dane i usługi są kluczowe dla działalności. Bez tego nie da się rzetelnie ocenić ryzyka.

3. Przegląd istniejących procedur i środków bezpieczeństwa. Sprawdź, co już działa — technicznie i organizacyjnie: reagowanie na incydenty, ciągłość działania, zarządzanie dostępami, szkolenia, dokumentacja.

4. Analiza dostawców i gotowości do raportowania incydentów. Oceń bezpieczeństwo łańcucha dostaw, zapisy umowne z kluczowymi partnerami oraz zdolność firmy do wykrywania, kwalifikowania i terminowego zgłaszania incydentów.

5. Plan działań i przypisanie odpowiedzialności. Ułóż wyniki w konkretny plan wdrożenia: najważniejsze luki, priorytety, osoby odpowiedzialne i realne terminy.

Od czego zacząć?

Jeżeli dziś w firmie nie ma pewności, czy NIS2 ma zastosowanie i co konkretnie trzeba zrobić, sam ten brak pewności jest już sygnałem do działania.

Rozsądny start to cztery rzeczy:

• potwierdzenie statusu firmy wobec nowych przepisów,
• wskazanie osoby odpowiedzialnej po stronie zarządu (lub osoby jemu bezpośrednio podległej), a nie wyłącznie po stronie IT,
• przeprowadzenie gap analysis, która pokaże faktyczne luki,
• ułożenie planu wdrożenia według rzeczywistych ryzyk, a nie przypadkowych priorytetów.

Najgorszy scenariusz to firma, która robi wiele rzeczy naraz, bez ładu, w przekonaniu, że „już się tym zajmuje”. Przy incydencie albo kontroli ten chaos staje się widoczny w ciągu kilku godzin.

NIS2 nie ocenia intencji. Ocenia, czy firma realnie zarządza ryzykiem i potrafi to wykazać.

Chcesz sprawdzić, czy Twoja firma podlega NIS2 i jakie obowiązki ciążą na niej po 3 kwietnia 2026 r.? Dobrym punktem startu jest analiza statusu i luk – zajmuje zwykle kilka tygodni i kończy się konkretnym planem działania. W Sawicki Legal wspieramy zarządy w tym procesie od strony prawnej, kontraktowej i organizacyjnej, tak żeby wdrożenie było realne, a nie pozorne.

Napisz do nas i umów rozmowę – zanim zrobi to za Ciebie regulator.

Wprowadzenie

W praktyce gospodarczej przedsiębiorcy regularnie zlecają tworzenie utworów chronionych prawem autorskim - logo, stron internetowych, materiałów marketingowych czy oprogramowania. Powszechne jest przekonanie, że zapłata wynagrodzenia automatycznie przenosi na zamawiającego wszystkie prawa do zamówionego dzieła. To błędne założenie może prowadzić do poważnych konsekwencji prawnych i finansowych.

Według naszych szacunków, około 70% polskich przedsiębiorstw nie posiada prawidłowo uregulowanych praw autorskich do wykorzystywanych utworów. Problem ujawnia się zazwyczaj w sytuacji konfliktu z twórcą lub przy due diligence podczas transakcji sprzedaży przedsiębiorstwa.

Podstawy prawne przeniesienia praw autorskich

Zgodnie z art. 41 ust. 1 pkt 1 ustawy o prawie autorskim i prawach pokrewnych, majątkowe prawa autorskie mogą przejść na inne osoby wyłącznie w drodze dziedziczenia lub na podstawie umowy. Kluczowe znaczenie ma art. 53 tej ustawy, który stanowi, że umowa o przeniesienie autorskich praw majątkowych wymaga zachowania formy pisemnej pod rygorem nieważności.

Sama zapłata wynagrodzenia, nawet udokumentowana fakturą, nie skutkuje przeniesieniem praw autorskich.

Rozróżnienie praw osobistych i majątkowych

W kontekście prawa autorskiego należy rozróżnić dwa rodzaje praw:

1. Autorskie prawa osobiste - niezbywalne i nieograniczone w czasie, obejmują m.in. prawo do:

• autorstwa utworu,
• oznaczenia utworu nazwiskiem lub pseudonimem twórcy albo do udostępnienia go anonimowo,
• nienaruszalności treści i formy utworu,
• decydowania o pierwszym udostępnieniu utworu publiczności,
• nadzoru nad sposobem korzystania z utworu.

2. Autorskie prawa majątkowe - zbywalne, ograniczone w czasie, obejmują prawo do:

• korzystania z utworu,
• rozporządzania utworem,
• pobierania wynagrodzenia za korzystanie z utworu.

Przedmiotem przeniesienia mogą być wyłącznie prawa majątkowe. Prawa osobiste zawsze pozostają przy twórcy.

Elementy skutecznej umowy przenoszącej prawa autorskie

Prawidłowo sporządzona umowa o przeniesienie praw autorskich musi zawierać następujące elementy:

1. Określenie stron umowy - precyzyjne wskazanie zbywcy i nabywcy praw, wraz z danymi identyfikacyjnymi.

2. Określenie przedmiotu umowy - dokładny opis utworu, którego dotyczą przenoszone prawa.

3. Oświadczenie o przysługiwaniu praw - twórca musi oświadczyć, że przysługują mu autorskie prawa majątkowe do utworu w pełnym zakresie oraz że utwór nie narusza praw osób trzecich.

4. Zakres przenoszonych praw - umowa może przewidywać przeniesienie:

• wszystkich praw majątkowych,
• praw tylko na określonych polach eksploatacji,
• praw z ograniczeniami czasowymi lub terytorialnymi.

5. Pola eksploatacji - zgodnie z art. 41 ust. 2 i 4 ustawy, umowa obejmuje pola eksploatacji wyraźnie w nich wymienione i może dotyczyć tylko pól znanych w chwili jej zawarcia. Przykładowy katalog pól eksploatacji określa art. 50 ustawy, jednak nie jest on zamknięty.

Kluczowe pola eksploatacji dla utworów wykorzystywanych w działalności gospodarczej

Należy uwzględnić:

• wytwarzanie określoną techniką egzemplarzy utworu, w tym techniką drukarską, reprograficzną, zapisu magnetycznego oraz techniką cyfrową,
• wprowadzanie do obrotu,
• publiczne wykonanie, wystawienie, wyświetlenie, odtworzenie oraz nadawanie i reemitowanie, a także publiczne udostępnianie utworu w taki sposób, aby każdy mógł mieć do niego dostęp w miejscu i w czasie przez siebie wybranym.

Moment przeniesienia praw

Umowa powinna precyzyjnie określać moment, w którym następuje przeniesienie praw. Możliwe warianty to:

• z chwilą podpisania umowy,
• z chwilą zapłaty wynagrodzenia (w całości lub określonej części),
• z chwilą wydania utworu,
• w określonym terminie.

Brak takiego postanowienia może prowadzić do wątpliwości interpretacyjnych.

Wynagrodzenie za przeniesienie praw

Przeniesienie majątkowych praw autorskich może nastąpić odpłatnie lub nieodpłatnie. W przypadku umowy odpłatnej należy określić:

• wysokość wynagrodzenia,
• sposób i termin zapłaty.

Warto rozważyć klauzulę o wynagrodzeniu za niewymienione pola eksploatacji, które mogą powstać w przyszłości.

Problematyka utworów stworzonych z wykorzystaniem materiałów licencjonowanych

Szczególnej uwagi wymaga sytuacja, gdy twórca wykorzystuje elementy pochodzące z banków zdjęć (stock photos) lub inne materiały objęte licencjami. W takim przypadku umowa powinna zawierać:

• oświadczenie twórcy o posiadaniu odpowiednich licencji,
• zobowiązanie do przekazania informacji o wykorzystanych materiałach,
• klauzulę o odpowiedzialności za naruszenie praw osób trzecich.

Zamawiający powinien zweryfikować, czy licencje na wykorzystane materiały pozwalają na planowany sposób eksploatacji utworu.

Zgoda na wykonywanie praw zależnych

Kluczowa kwestia często pomijana przez przedsiębiorców: jeżeli planujesz w przyszłości modyfikować logo lub rozwijać stronę internetową, musisz dysponować zgodą na dokonywanie zmian w utworze.

Zgodnie z art. 46 ustawy o prawie autorskim i prawach pokrewnych, jeżeli umowa nie stanowi inaczej, twórca zachowuje wyłączne prawo zezwalania na wykonywanie zależnego prawa autorskiego, mimo że w umowie postanowiono o przeniesieniu całości autorskich praw majątkowych.

W praktyce oznacza to, że bez odpowiedniego zapisu w umowie, nie będziesz mógł:

• modyfikować logo,
• zlecić innemu grafikowi odświeżenia projektu,
• tworzyć wariantów kolorystycznych,
• adaptować utworu do nowych mediów.

Konsekwencje braku prawidłowego przeniesienia praw

Wykorzystywanie utworu bez skutecznego nabycia praw autorskich może skutkować:

1. Roszczeniami cywilnoprawnymi twórcy:

• o zaprzestanie naruszeń,
• o usunięcie skutków naruszeń,
• o naprawienie szkody,
• o wydanie uzyskanych korzyści.

2. Konsekwencjami biznesowymi:

• koniecznością rebrandingu,
• utratą inwestycji w marketing,
• problemami przy transakcjach M&A,
• utratą reputacji,
• unieważnieniem zarejestrowanego znaku towarowego.

Działania naprawcze w przypadku braku umowy

Gdy przedsiębiorca wykorzystuje utwór bez prawidłowej umowy, możliwe są następujące rozwiązania:

1. Zawarcie umowy przenoszącej prawa lub odpowiednio szerokiej licencji wyłącznej - najprostsze rozwiązanie, o ile twórca jest dostępny i skłonny do współpracy.

2. Postępowanie sądowe – w przypadku braku możliwości polubownego rozwiązania.

Rekomendacje praktyczne

1. Wdrożenie procedur compliance w zakresie praw autorskich

Przedsiębiorstwa powinny wprowadzić wewnętrzne procedury weryfikacji statusu prawnego wszystkich wykorzystywanych utworów. Obejmuje to zarówno audyt materiałów już funkcjonujących w obrocie, jak i ustanowienie procesu weryfikacji dla nowych zleceń.

2. Standaryzacja dokumentacji

Opracowanie wzorów umów dostosowanych do specyfiki działalności przedsiębiorstwa, uwzględniających wszystkie typowe scenariusze wykorzystania utworów. Pozwoli to uniknąć pominięcia istotnych pól eksploatacji.

3. Zarządzanie ryzykiem prawnym

W przypadku utworów o kluczowym znaczeniu dla działalności przedsiębiorstwa (logo, nazwa handlowa, oprogramowanie) wskazane jest uzyskanie opinii prawnej potwierdzającej skuteczność nabycia praw.

4. Dokumentowanie procesu twórczego

Należy archiwizować całość dokumentacji związanej z procesem powstawania utworu - od briefu twórczego, przez kolejne wersje projektu, po finalną akceptację. Dokumentacja ta może mieć kluczowe znaczenie dowodowe w przypadku sporu.

Podsumowanie

Faktura nie wystarcza do przeniesienia praw autorskich - niezbędna jest pisemna umowa zawierająca wszystkie wymagane elementy. To nie kwestia nadmiernej ostrożności, ale podstawowa higiena prawna w biznesie.

Przedsiębiorcy często nie zdają sobie sprawy z problemu, dopóki współpraca z twórcą układa się dobrze. Jednak gdy relacje zaczynają się komplikować, każda strona wykorzystuje dostępne środki prawne. A twórca bez odpowiedniej umowy nadal pozostaje właścicielem praw do utworu.

Inwestycja w profesjonalne przygotowanie dokumentacji na etapie nawiązywania współpracy to nie koszt, ale zabezpieczenie przed znacznie większymi wydatkami w przyszłości. Przedsiębiorcy, którzy dotychczas nie uregulowali kwestii majątkowych praw autorskich, powinni jak najszybciej podjąć działania naprawcze.

Pamiętaj: im dłużej problem pozostaje nierozwiązany, tym trudniejsze i kosztowniejsze staje się jego rozwiązanie.