Obowiązki zarządu MŚP w 2026 roku: NIS2, KSeF i jawność wynagrodzeń

W 2026 roku zarządy MŚP muszą równolegle skoordynować obowiązki związane z NIS2, KSeF i jawnością wynagrodzeń. Choć każda regulacja dotyczy innego obszaru firmy, odpowiedzialność za prawidłowe zorganizowanie działań pozostaje po stronie zarządu.

KSeF został przekazany księgowości. Jawnością wynagrodzeń zajmuje się HR. NIS2 trafiło do działu IT albo zewnętrznej firmy informatycznej.

Na pierwszy rzut oka wszystko jest pod kontrolą.

Każdy obszar ma swojego specjalistę, harmonogram i listę zadań. Problem pojawia się wtedy, gdy zarząd próbuje odpowiedzieć na kilka podstawowych pytań:

• Czy wiemy, które obowiązki rzeczywiście dotyczą naszej firmy?

• Czy poszczególne działania są ze sobą spójne?

• Kto odpowiada za obszary znajdujące się pomiędzy finansami, HR i IT?

• Czy zarząd otrzymuje jeden obraz ryzyka, czy trzy niepowiązane raporty?

• Czy wdrażamy przepisy, czy jedynie kompletujemy dokumenty?

W pracy z firmami obserwujemy, że największe ryzyko rzadko powstaje wewnątrz jednego działu. Zwykle pojawia się na styku odpowiedzialności.

Księgowość obsługuje KSeF, ale nie zawsze ma wpływ na proces sprzedaży i moment przekazania danych do faktury.

HR tworzy widełki płacowe, ale nie zawsze dysponuje uporządkowaną architekturą stanowisk.

Firma IT zabezpiecza systemy, ale nie podejmuje za zarząd decyzji dotyczących akceptowalnego poziomu ryzyka, ciągłości działania czy odpowiedzialności dostawców.

Dlatego NIS2, jawność wynagrodzeń i KSeF nie powinny być traktowane jako jeden wspólny projekt merytoryczny. Każdy z tych obszarów wymaga innych kompetencji.

Powinny jednak zostać objęte jednym, skoordynowanym nadzorem zarządczym.

Obowiązki zarządu MŚP w 2026 roku: NIS2, KSeF i jawność wynagrodzeń

Stan prawny i regulacyjny na 20 lipca 2026 roku

NIS2 i ustawa o KSC dotyczą cyberbezpieczeństwa oraz ciągłości działania. Zarząd powinien kontrolować przede wszystkim prawidłowe ustalenie statusu firmy, obowiązek wpisu do Wykazu KSC, wyniki analizy ryzyka, przypisanie odpowiedzialności oraz harmonogram wdrożenia wymaganych zabezpieczeń i procedur.

Jawność wynagrodzeń obejmuje obszar HR, strukturę stanowisk i zasady wynagradzania. Zarząd powinien nadzorować kryteria ustalania płac, wartościowanie stanowisk, analizę różnic wynagrodzeń oraz sposób komunikowania zasad płacowych kandydatom, pracownikom i menedżerom.

KSeF dotyczy finansów, księgowości i obiegu faktur. Zarząd powinien mieć kontrolę nad uprawnieniami w systemie, odpowiedzialnością za wystawianie i odbieranie faktur, procesem korekt, zastępstwami, procedurami awaryjnymi oraz wpływem fakturowania na należności i cash flow.

Dla zarządu kluczowe jest nie tylko to, czy poszczególne zadania zostały przekazane specjalistom. Równie ważne jest sprawdzenie, czy ktoś koordynuje ich wpływ na całą organizację.

NIS2 dla MŚP: kto podlega ustawie o KSC i co powinien zrobić zarząd?

Nowelizacja ustawy o krajowym systemie cyberbezpieczeństwa, wdrażająca dyrektywę NIS2, obowiązuje od 3 kwietnia 2026 roku.

Podmioty spełniające kryteria uznania za podmiot kluczowy albo ważny powinny przeanalizować swoją działalność, dokonać wpisu do Wykazu KSC i przygotować system zarządzania bezpieczeństwem informacji. Termin samorejestracji dla podmiotów objętych takim trybem upływa 3 października 2026 roku.

Najczęstszy błąd polega na rozpoczęciu od zakupu audytu NIS2, gotowych procedur albo pakietu wdrożeniowego.

Pierwszym krokiem powinna być samoidentyfikacja NIS2, czyli odpowiedź na pytanie, czy firma rzeczywiście podlega ustawie, a jeżeli tak — w jakiej kategorii i w jakim zakresie.

Nie wystarczy sprawdzić liczby pracowników. Znaczenie mają również:

• sektor działalności,

• charakter świadczonych usług,

• wielkość przedsiębiorstwa,

• powiązania z innymi podmiotami,

• szczególne przesłanki ustawowe,

• znaczenie organizacji w łańcuchu dostaw.

Stwierdzenie „jesteśmy za mali na NIS2” nie jest wynikiem analizy. Jest założeniem, które zarząd powinien potwierdzić albo wykluczyć.

Sama rejestracja w Wykazie KSC również nie kończy projektu. Obowiązki obejmują między innymi zarządzanie ryzykiem cyberbezpieczeństwa, ochronę systemów, reagowanie na incydenty, ciągłość działania, bezpieczeństwo dostawców oraz dokumentowanie decyzji. Podmioty kluczowe i ważne powinny również podłączyć się do systemu S46 do 3 kwietnia 2027 roku.

Z perspektywy zarządu właściwe pytanie nie brzmi więc:

Czy dokonaliśmy wpisu do Wykazu KSC?

Powinno brzmieć:

Czy potrafimy wykazać, że świadomie zarządzamy ryzykiem cyberbezpieczeństwa i wiemy, jak zareagować na incydent?

Szczegółowo opisujemy ten proces w publikacji: NIS2 dla MŚP — czy Twoja firma podlega i co zrobić, zanim zapyta o to Twój klient.

Jawność wynagrodzeń w 2026 roku: jakie obowiązki ma pracodawca i zarząd?

Od 24 grudnia 2025 roku pracodawcy mają obowiązek przekazywania kandydatom informacji o początkowej wysokości wynagrodzenia albo jego przedziale. Informacja powinna zostać przedstawiona z odpowiednim wyprzedzeniem przed zatrudnieniem i obejmować nie tylko wynagrodzenie zasadnicze, ale również inne składniki wynagrodzenia i świadczenia związane z pracą. Obowiązują także wymogi dotyczące neutralnych płciowo nazw stanowisk oraz niedyskryminacyjnego przebiegu rekrutacji.

To jednak nie oznacza, że przygotowanie firmy do jawności wynagrodzeń można ograniczyć do wpisania widełek w ogłoszeniu.

Załóżmy, że pracodawca wskazuje przedział od 8 000 do 14 000 zł.

Zarząd powinien umieć odpowiedzieć:

• Dlaczego dolna granica wynosi 8 000 zł?

• Jakie kompetencje uzasadniają wynagrodzenie 12 000 zł?

• Co decyduje o osiągnięciu górnej granicy?

• Dlaczego osoby wykonujące podobną pracę otrzymują różne wynagrodzenia?

• Czy te same kryteria obowiązują we wszystkich działach?

Jeżeli firma nie potrafi odpowiedzieć na te pytania, nie ma spójnego systemu wynagradzania. Ma zbiór historycznych decyzji płacowych podejmowanych w różnych momentach i według różnych zasad.

Jawność wynagrodzeń nie tworzy takiego problemu. Ona go ujawnia.

Termin transpozycji dyrektywy UE 2023/970 upłynął 7 czerwca 2026 roku. Dyrektywa obejmuje między innymi zasady równego wynagrodzenia za taką samą pracę lub pracę o takiej samej wartości, dostęp do informacji płacowych oraz obowiązki sprawozdawcze określonych grup pracodawców.

Dla firm oznacza to konieczność uporządkowania przede wszystkim:

• architektury i opisów stanowisk,

• kryteriów wartościowania pracy,

• zasad ustalania wynagrodzeń,

• różnic płacowych,

• danych potrzebnych do analizy luki płacowej,

• sposobu komunikowania decyzji płacowych pracownikom.

Największym ryzykiem nie jest sama różnica w wynagrodzeniach. Różnice mogą wynikać z doświadczenia, kompetencji, odpowiedzialności, jakości pracy czy osiąganych wyników.

Ryzyko powstaje wtedy, gdy firma nie potrafi wykazać, że stosuje obiektywne, neutralne i konsekwentne kryteria.

Więcej o przygotowaniu struktury płac opisujemy w artykule: Jawność wynagrodzeń w MŚP

KSeF w firmie: za co odpowiada zarząd i jak system wpływa na cash flow?

Na dzień 20 lipca 2026 roku KSeF nie jest już projektem, który dopiero ma wejść w życie.

Od 1 lutego 2026 roku obowiązek wystawiania faktur w KSeF objął przedsiębiorców, których sprzedaż wraz z VAT przekroczyła w 2024 roku 200 mln zł. Od 1 kwietnia 2026 roku system objął pozostałych przedsiębiorców i inne podmioty wystawiające faktury, z wyjątkiem najmniejszych firm korzystających z rozwiązania przejściowego.

Do końca 2026 roku wyjątek dotyczy przedsiębiorców, których miesięczna sprzedaż dokumentowana fakturami nie przekracza 10 000 zł brutto. Dla tej grupy pełny obowiązek rozpocznie się 1 stycznia 2027 roku. Obowiązek odbierania faktur w KSeF obowiązuje zasadniczo od 1 lutego 2026 roku.

Wdrożenie programu księgowego albo integracji z KSeF nie oznacza jednak, że proces jest prawidłowo zorganizowany.

System nie odpowie za firmę na pytania:

• kto podejmuje decyzję o wystawieniu faktury,

• kto potwierdza wykonanie usługi,

• kto weryfikuje dane kontrahenta,

• kto posiada uprawnienia w KSeF,

• kto zatwierdza korektę,

• co dzieje się podczas nieobecności pracownika,

• kto kontroluje odebrane dokumenty,

• jak obsługiwany jest tryb awaryjny.

KSeF porządkuje techniczny sposób wystawiania i odbierania faktur. Nie uporządkuje automatycznie procesu sprzedaży, akceptacji dokumentów ani zarządzania należnościami.

Z perspektywy CFO istotny jest cały cykl:

wykonanie usługi → potwierdzenie wykonania → wystawienie faktury → termin płatności → monitoring należności → wpływ środków.

Każdy dzień opóźnienia przed wystawieniem prawidłowej faktury może przesunąć wpływ gotówki. Przy dużej liczbie dokumentów, niskiej marży lub napiętym kapitale obrotowym staje się to realnym ryzykiem płynności finansowej.

Dlatego skuteczne wdrożenie KSeF powinno obejmować nie tylko system, ale także:

• matrycę odpowiedzialności,

• zasady nadawania i odbierania uprawnień,

• procedurę wystawiania oraz korygowania faktur,

• zastępstwa i tryby awaryjne,

• kontrolę kompletności dokumentów,

• powiązanie fakturowania z windykacją i prognozą cash flow.

Dlaczego NIS2, KSeF i jawność wynagrodzeń wymagają wspólnego nadzoru zarządu?

Nie rekomendujemy łączenia NIS2, jawności wynagrodzeń i KSeF w jeden wspólny projekt wdrożeniowy.

Każdy z tych obszarów wymaga innego zespołu, innych narzędzi i innej wiedzy specjalistycznej.

Wspólna powinna być natomiast warstwa zarządcza:

• identyfikacja ryzyka,

• przypisanie właścicieli procesów,

• określenie priorytetów,

• zatwierdzenie budżetu,

• nadzór nad terminami,

• kontrola dostawców,

• raportowanie do zarządu.

Te regulacje spotykają się także na poziomie danych.

Dane płacowe są jednocześnie informacją HR, kosztem finansowym i zasobem wymagającym ochrony. KSeF wymaga zarządzania dostępem do danych finansowych i uprawnieniami. NIS2 obejmuje bezpieczeństwo systemów, dostępów oraz dostawców.

Bez koordynacji może powstać sytuacja, w której każdy specjalista prawidłowo realizuje swój zakres, ale całość nadal pozostaje niespójna.

Najbardziej ograniczonym zasobem w MŚP nie zawsze jest budżet.

Często jest nim uwaga zarządu.

Trzy odrębne procesy zakupowe, trzy zespoły doradcze i trzy sposoby raportowania oznaczają dodatkowe spotkania, decyzje oraz konieczność samodzielnego łączenia informacji przez prezesa albo właściciela.

Co zarząd powinien zrobić w ciągu najbliższych 90 dni?

Pierwsze 30 dni: ustalić stan faktyczny

Należy potwierdzić:

• czy firma podlega NIS2 i w jakiej kategorii,

• czy procesy rekrutacyjne spełniają aktualne wymogi,

• czy struktura stanowisk i wynagrodzeń umożliwia obronę różnic płacowych,

• czy uprawnienia i procesy KSeF odpowiadają rzeczywistemu modelowi działania firmy.

Efektem powinien być jeden dokument przedstawiający obowiązki, luki, terminy i właścicieli poszczególnych tematów.

Dni 31–60: zabezpieczyć najważniejsze ryzyka

Na tym etapie firma powinna wykonać najpilniejsze obowiązki formalne, usunąć nieaktualne uprawnienia, poprawić najbardziej ryzykowne procesy i przypisać odpowiedzialność.

Nie chodzi jeszcze o rozbudowane wdrożenie. Chodzi o ograniczenie ryzyka, że krytyczne zadanie nie ma właściciela albo nie zostanie wykonane w terminie.

Dni 61–90: przyjąć plan docelowy

Zarząd powinien zatwierdzić:

• harmonogram działań,

• odpowiedzialność poszczególnych osób,

• potrzebny budżet,

• sposób raportowania,

• mierniki realizacji,

• zakres wsparcia zewnętrznego.

Po 90 dniach wszystkie projekty nie muszą być zakończone.

Zarząd powinien jednak wiedzieć, co pozostaje do wykonania, kto za to odpowiada, ile to będzie kosztować i jakie ryzyko pozostaje w organizacji.

Pięć pytań na najbliższe posiedzenie zarządu

1. Czy mamy udokumentowaną ocenę, czy firma podlega NIS2?

2. Czy potrafimy uzasadnić różnice w wynagrodzeniach osób wykonujących porównywalną pracę?

3. Czy wiemy, kto może wystawiać, odbierać i korygować faktury w KSeF?

4. Czy każdy z tych obszarów ma właściciela biznesowego, a nie tylko wykonawcę technicznego?

5. Czy zarząd otrzymuje jeden obraz ryzyk, terminów i postępu działań?

Jeżeli odpowiedź na kilka pytań brzmi „nie wiemy”, problemem nie jest jeszcze brak zakończonego wdrożenia.

Problemem jest brak kontroli nad punktem wyjścia.

Nie zaczynaj od trzech pakietów. Zacznij od diagnozy

Dokumenty nie zastąpią decyzji. System informatyczny nie zastąpi właściciela procesu. Zewnętrzny specjalista nie przejmie odpowiedzialności zarządu za sposób zorganizowania firmy.

Dlatego właściwa kolejność wygląda następująco:

diagnoza → decyzja → odpowiedzialność → harmonogram → wdrożenie.

W Cedepe Consulting łączymy kompetencje zewnętrznego CFO, ekspertów HR i vCISO. Każdy obszar analizujemy oddzielnie, ale przedstawiamy zarządowi jeden spójny obraz ryzyka, kosztów i kolejności działań.

Podczas pierwszej konsultacji ustalamy:

• które obowiązki dotyczą firmy,

• gdzie znajdują się najważniejsze luki,

• co wymaga pilnego działania,

• które elementy można wdrażać etapami,

• czy potrzebny jest pełny projekt, czy tylko uporządkowanie wybranych procesów.

Zacznij od diagnozy, nie od zakupu pakietu

Umów bezpłatną konsultację. W trakcie pierwszej rozmowy uporządkujemy punkt wyjścia i wskażemy racjonalną kolejność działań.