Art. 5. 1. Podmiotem kluczowym jest:
1) osoba fizyczna, osoba prawna albo jednostka organizacyjna nieposiadająca osobowości
    prawnej wskazana w załączniku nr 1 do ustawy, która przewyższa wymogi dla średniego
    przedsiębiorstwa określone w art. 2 ust. 1 załącznika I do rozporządzenia
    Komisji (UE) nr 651/2014 z dnia 17 czerwca 2014 r. uznającego niektóre rodzaje pomocy
    za zgodne z rynkiem wewnętrznym w zastosowaniu art. 107 i 108 Traktatu (Dz. Urz. UE L
    187 z 26.06.2014, str. 1, z późn. zm.), zwanego dalej „rozporządzeniem 651/2014/UE";
2) przedsiębiorca komunikacji elektronicznej, który co najmniej spełnia wymogi
    dla średniego przedsiębiorcy określone w art. 2 ust. 1 załącznika I do rozporządzenia
    651/2014/UE lub je przewyższa;
3) dostawca usług zarządzanych w zakresie cyberbezpieczeństwa, który co najmniej spełnia
    wymogi dla małego albo średniego przedsiębiorcy określone w art. 2 ust. 1 załącznika I
    do rozporządzenia 651/2014/UE lub je przewyższa;
4) niezależnie od wielkości podmiotu:
    a) dostawca usług DNS,
    b) kwalifikowany dostawca usług zaufania w rozumieniu art. 3 pkt 20 rozporządzenia
        910/2014,
    c) podmiot krytyczny,
    d) podmiot publiczny wskazany w załączniku nr 1 do ustawy w sektorze podmioty
        publiczne,
    e) podmiot zidentyfikowany jako podmiot kluczowy na podstawie art. 7l ust. 2 pkt 1,
    f) państwowa osoba prawna zidentyfikowana jako podmiot kluczowy na podstawie art. 7m,
    g) podmiot, który nie jest przedsiębiorcą, a jest wskazany w załączniku nr 1 do ustawy
        z nazwy albo przez określenie jego rodzaju,
    h) podmiot będący operatorem obiektu energetyki jądrowej, o którym mowa w art. 2 pkt 2
        ustawy z dnia 29 czerwca 2011 r. o przygotowaniu i realizacji inwestycji
        w zakresie obiektów energetyki jądrowej oraz inwestycji towarzyszących (Dz. U.
        z 2025 r. poz. 1156),
    i) rejestr nazw domen najwyższego poziomu (TLD),
    j) podmiot świadczący usługi rejestracji nazw domen.
        2. Podmiotem ważnym jest:
1) osoba fizyczna, osoba prawna albo jednostka organizacyjna nieposiadająca osobowości
    prawnej wskazana w załączniku nr 1 do ustawy, która spełnia wymogi dla średniego
    przedsiębiorcy określone w art. 2 ust. 1 załącznika I do rozporządzenia 651/2014/UE
    oraz która nie jest podmiotem kluczowym;
2) osoba fizyczna, osoba prawna albo jednostka organizacyjna nieposiadająca osobowości
    prawnej wskazana w załączniku nr 2 do ustawy, która spełnia wymogi dla średniego
    przedsiębiorcy określone w art. 2 ust. 1 załącznika I do rozporządzenia 651/2014/UE
    lub przewyższa te wymogi oraz która nie jest podmiotem kluczowym;
3) niekwalifikowany dostawca usług zaufania będący mikro-, małym lub średnim
    przedsiębiorcą, o którym mowa w art. 2 ust. 1 załącznika I do rozporządzenia
    651/2014/UE;
4) przedsiębiorca komunikacji elektronicznej będący mikro- lub małym przedsiębiorcą,
    o którym mowa w art. 2 ust. 2 i 3 załącznika I do rozporządzenia 651/2014/UE;
5) podmiot będący inwestorem obiektu energetyki jądrowej, o którym mowa w art. 2 pkt 2
    ustawy z dnia 29 czerwca 2011 r. o przygotowaniu i realizacji inwestycji w zakresie
    obiektów energetyki jądrowej oraz inwestycji towarzyszących, który uzyskał decyzję
    zasadniczą, o której mowa w art. 3a ust. 1 tej ustawy – niezależnie od jego wielkości;
6) podmiot zidentyfikowany jako podmiot ważny na podstawie art. 7l ust. 2 pkt 2;
7) podmiot, który nie jest przedsiębiorcą, a jest wskazany w załączniku nr 2 do ustawy
    z nazwy albo przez określenie jego rodzaju;
8) podmiot publiczny, który nie jest podmiotem kluczowym oraz jest samorządową jednostką
    budżetową, samorządowym zakładem budżetowym, samorządową instytucją kultury albo
    spółką wykonującą zadania o charakterze użyteczności publicznej w rozumieniu art. 1
    ust. 2 ustawy z dnia 20 grudnia 1996 r. o gospodarce komunalnej (Dz. U. z 2021 r.
    poz. 679), jeżeli realizuje zadanie publiczne z wykorzystaniem systemów
    informacyjnych.
        3. Przy określaniu wymogów dla podmiotów, o których mowa w ust. 1 pkt 1–3, ust. 2 pkt 1–4, nie stosuje się przepisu art. 3 ust. 4 załącznika I do rozporządzenia 651/2014/UE.
        4. Jeżeli podmiot, o którym mowa w ust. 1, spełnia wymogi zarówno dla podmiotu kluczowego, jak i dla podmiotu ważnego, to jest podmiotem kluczowym.
        5. Jeżeli status podmiotu kluczowego lub podmiotu ważnego zależy od wielkości podmiotu, to przesłanki uznania za podmiot kluczowy lub podmiot ważny bada się według stanu na dzień sporządzenia sprawozdania finansowego.
        6. Jeżeli podmiot spełnia wymogi do uznania za podmiot kluczowy, ponieważ przewyższa kryteria dla średniego przedsiębiorstwa zgodnie z art. 6 ust. 2–4 załącznika I do rozporządzenia 651/2014/UE, ale jego system informacyjny jest niezależny od systemów informacyjnych jego przedsiębiorstw powiązanych lub przedsiębiorstw partnerskich lub nie świadczy on usług wspólnie z jego przedsiębiorstwami powiązanymi lub przedsiębiorstwami partnerskimi, to nie jest podmiotem kluczowym.
        7. Jeżeli podmiot spełnia wymogi do uznania za podmiot ważny, ponieważ spełnia kryteria dla średniego przedsiębiorstwa zgodnie z art. 6 ust. 2–4 załącznika I do rozporządzenia 651/2014/UE, ale jego system informacyjny jest niezależny od systemów informacyjnych jego przedsiębiorstw powiązanych lub przedsiębiorstw partnerskich lub nie świadczy on usług wspólnie z jego przedsiębiorstwami powiązanymi lub przedsiębiorstwami partnerskimi, to nie jest podmiotem ważnym.
        8. Podmiot leczniczy, który nie jest przedsiębiorcą:
1) jest podmiotem ważnym, jeżeli zatrudnia od 50 do 249 osób;
2) jest podmiotem kluczowym, jeżeli zatrudnia co najmniej 250 osób.
        9. Podmiot, o którym mowa w ust. 1 pkt 4 lit. h, staje się podmiotem kluczowym z dniem:
1) uzyskania zezwolenia na eksploatację, o której mowa w art. 4 ust. 1 pkt 3 ustawy
    z dnia 29 listopada 2000 r. – Prawo atomowe (Dz. U. z 2026 r. poz. 1) – w przypadku
    operatora składowiska odpadów promieniotwórczych;
2) uzyskania zezwolenia na eksploatację, o której mowa w art. 4 ust. 1 pkt 2 ustawy
    z dnia 29 listopada 2000 r. – Prawo atomowe, lub uzyskania koncesji na wytwarzanie
    energii elektrycznej lub ciepła, o których mowa w art. 32 ust. 1 pkt 1 ustawy z dnia
    10 kwietnia 1997 r. – Prawo energetyczne (Dz. U. z 2026 r. poz. 43), w zależności
    od tego, które zostanie uzyskane pierwsze – w przypadku operatora elektrowni jądrowej;
3) uzyskania zezwolenia na eksploatację, o której mowa w art. 4 ust. 1 pkt 2 ustawy
    z dnia 29 listopada 2000 r. – Prawo atomowe, lub uzyskania koncesji na wydobywanie
    kopalin, o której mowa w art. 22 ust. 1 pkt 2 ustawy z dnia 9 czerwca 2011 r. – Prawo
    geologiczne i górnicze (Dz. U. z 2026 r. poz. 69), w zależności od tego, które
    zostanie uzyskane pierwsze – w przypadku operatora zakładu do wydobywania rud uranu
    i toru ze złóż i do ich wstępnego przetwarzania;
4) uzyskania zezwolenia na eksploatację, o której mowa w art. 4 ust. 1 pkt 2 ustawy
    z dnia 29 listopada 2000 r. – Prawo atomowe – w przypadku operatorów pozostałych
    obiektów energetyki jądrowej.
        10. Do podmiotów kluczowych lub podmiotów ważnych nie zalicza się służb specjalnych w rozumieniu art. 11 ustawy z dnia 24 maja 2002 r. o Agencji Bezpieczeństwa Wewnętrznego oraz Agencji Wywiadu (Dz. U. z 2025 r. poz. 902 i 1366 oraz z 2026 r. poz. 26), a także podmiotów podległych lub nadzorowanych przez Ministra Obrony Narodowej.
        11. Minister Obrony Narodowej wskaże, w drodze decyzji niepodlegającej ogłoszeniu, jednostki jemu podległe lub przez niego nadzorowane, które uznaje się za podmioty kluczowe lub podmioty ważne, oraz określi sektor lub sektory, a także w razie potrzeby podsektor, do jakiego przypisuje dany podmiot.