PKD 62.20.A – Działalność w zakresie cyberbezpieczeństwa: ryczałt, VAT i kasa fiskalna 2026

PKD 62.20.A, czyli działalność w zakresie cyberbezpieczeństwa, to kod dla firm, które zajmują się szeroko rozumianą ochroną systemów, danych i usług cyfrowych przed zagrożeniami. Dla wielu przedsiębiorców ważne jest nie tylko to, czy ten kod pasuje do ich usług, ale też jak wpływa na wybór formy opodatkowania, obowiązki VAT i ewentualną kasę fiskalną w 2026 r.

Jeśli świadczysz usługi związane z bezpieczeństwem cyfrowym, audytami, monitorowaniem incydentów, doradztwem lub wdrażaniem zabezpieczeń, ten kod może być właściwym punktem wyjścia. Ale uwaga: zależy od faktycznego zakresu usług. W praktyce część działalności może wymagać dodatkowego kodu PKD albo innego, bardziej precyzyjnego przypisania. Dlatego warto spojrzeć na ten temat nie tylko z perspektywy nazwy kodu, ale też realnego modelu biznesu.

Co obejmuje PKD 62.20.A

PKD 62.20.A obejmuje działalność związaną z cyberbezpieczeństwem, czyli usługi nastawione na ochronę środowiska informatycznego, systemów, sieci, danych i procesów cyfrowych. W praktyce może chodzić m.in. o działania techniczne, organizacyjne i doradcze związane z wykrywaniem, ograniczaniem i reagowaniem na zagrożenia cybernetyczne.

Nie należy jednak zakładać, że każda usługa „okołocyber” automatycznie mieści się w tym kodzie. Kluczowy jest faktyczny zakres usług. Jeżeli Twoja działalność wykracza poza cyberbezpieczeństwo i obejmuje na przykład klasyczne tworzenie oprogramowania, administrację systemami, usługi IT niezwiązane bezpośrednio z bezpieczeństwem albo sprzedaż sprzętu, może być potrzebny inny lub dodatkowy kod PKD.

Dla kogo ten kod będzie pasował

PKD 62.20.A może pasować do przedsiębiorcy, który faktycznie działa w obszarze bezpieczeństwa cyfrowego. Dotyczy to przede wszystkim firm, które:

• świadczą usługi ochrony systemów i danych przed cyberatakami,
• wykonują audyty bezpieczeństwa IT, testy podatności lub analizy ryzyka,
• monitorują zdarzenia bezpieczeństwa i reagują na incydenty,
• wdrażają polityki bezpieczeństwa, procedury i rozwiązania ochronne,
• doradzają w zakresie bezpieczeństwa informacji i cyberochrony,
• integrują narzędzia bezpieczeństwa cyfrowego z infrastrukturą klienta.

Ten kod może być odpowiedni zarówno dla jednoosobowej działalności gospodarczej, jak i dla spółki, o ile profil usług rzeczywiście dotyczy cyberbezpieczeństwa. Dla przedsiębiorcy ważne jest, by nie wpisywać kodu tylko „na zapas”, jeśli jego działalność jest w praktyce inna. Zdarza się też odwrotna sytuacja: firma działa w cyberbezpieczeństwie, ale ma wpisany tylko ogólny kod IT. Wtedy warto sprawdzić, czy nie trzeba uzupełnić lub zmienić PKD.

Przykłady działalności

Poniżej przykładowe typy usług, które mogą mieścić się w profilu PKD 62.20.A, ale zawsze trzeba sprawdzić konkretny zakres oferty:

• audyt bezpieczeństwa aplikacji, serwerów lub infrastruktury,
• usługi SOC, monitoring zdarzeń i analiza alertów,
• wykrywanie podatności i rekomendowanie zabezpieczeń,
• wdrażanie uwierzytelniania wieloskładnikowego, szyfrowania i polityk dostępu,
• przygotowanie procedur reagowania na incydenty,
• doradztwo w zakresie bezpieczeństwa informacji dla firm,
• testy odporności systemów na ataki i próby naruszeń,
• wsparcie klientów w budowie bezpiecznych środowisk pracy zdalnej i chmurowej.

Jeżeli obok tych usług sprzedajesz również inne produkty lub usługi, na przykład szkolenia, hosting, wdrożenia ogólnych systemów IT albo licencje, może pojawić się potrzeba użycia dodatkowych kodów PKD. To normalne i często praktyczne rozwiązanie.

PKD 2025/2026 — na co uważać przy aktualizacji kodu

Od 1 stycznia 2025 r. obowiązuje PKD 2025. Przy nowych wpisach i zmianach w rejestrach należy już korzystać z aktualnej klasyfikacji. Dla firm zarejestrowanych wcześniej funkcjonuje okres przejściowy do końca 2026 r. Po tym okresie ma nastąpić automatyczne przeklasyfikowanie kodów, które nie zostały zaktualizowane.

Dlaczego to ważne? Bo PKD 2025 lepiej odpowiada na zmiany gospodarki, w tym rozwój gospodarki cyfrowej, cyrkularnej i bio-gospodarki. W obszarze cyberbezpieczeństwa oznacza to większą precyzję opisu usług i lepsze dopasowanie klasyfikacji do realiów rynku.

Jeżeli zakładasz firmę w 2026 r. albo zmieniasz zakres działalności, sprawdź, czy kod 62.20.A dobrze odzwierciedla Twoje usługi. Jeśli działasz od dawna, warto zweryfikować wpis przed końcem okresu przejściowego, aby uniknąć późniejszych korekt. Pamiętaj też, że sama nazwa kodu nie wystarcza: liczy się to, co rzeczywiście robisz dla klienta.

Ryczałt 2026 — co sprawdzić przed wyborem formy opodatkowania

Przy wyborze ryczałtu ważne są dwa poziomy sprawdzenia. Po pierwsze, czy Twoja działalność w ogóle może korzystać z tej formy opodatkowania. Po drugie, jaka stawka ryczałtu mogłaby mieć zastosowanie do konkretnych usług. W przypadku cyberbezpieczeństwa to drugie zagadnienie bywa szczególnie istotne, ponieważ stawka zależy od faktycznego zakresu usług, PKWiU i kwalifikacji podatkowej. Nie da się jej bezpiecznie ustalić wyłącznie po samym kodzie PKD.

W 2026 r. limit przychodów uprawniający do ryczałtu ewidencjonowanego za 2025 r. wynosi 2 000 000 euro / 8 517 200 zł. Jeśli rozliczasz ryczałt kwartalnie, limit wynosi 200 000 euro / 851 720 zł. To ważne dla przedsiębiorców, którzy rozwijają działalność szybciej niż zakładali.

Przed wyborem ryczałtu warto sprawdzić:

• czy Twoje usługi nie są wyłączone z tej formy opodatkowania,
• jakie dokładnie czynności wykonujesz w ramach cyberbezpieczeństwa,
• czy nie łączysz usług o różnym charakterze, które mogą być inaczej klasyfikowane,
• czy Twoje przychody nie przekraczają limitów,
• czy sposób rozliczeń z klientami nie sugeruje innej kwalifikacji podatkowej niż zakładasz.

W praktyce wiele firm IT i cyberbezpieczeństwa rozważa ryczałt ze względu na prostotę rozliczeń. Ale przy tej branży szczególnie ważne jest, aby nie opierać się wyłącznie na samym PKD. Ostateczna ocena zależy od faktycznych usług, a czasem także od klasyfikacji PKWiU i interpretacji podatkowej.

VAT 2026 — kiedy może pojawić się obowiązek VAT lub utrata zwolnienia

Od 1 stycznia 2026 r. limit zwolnienia podmiotowego VAT wynosi 240 000 zł. To oznacza, że przedsiębiorcy o niewielkiej skali sprzedaży mogą nadal rozważać zwolnienie, ale zawsze trzeba sprawdzić wyłączenia branżowe i rodzaj sprzedaży. Sam kod PKD nie przesądza automatycznie o prawie do zwolnienia.

W działalności cyberbezpieczeństwa obowiązek VAT lub utrata zwolnienia mogą pojawić się w szczególności wtedy, gdy:

• wartość sprzedaży przekroczy obowiązujący limit,
• świadczysz usługi, dla których zwolnienie nie przysługuje na zasadach szczególnych,
• działalność obejmuje także inne czynności opodatkowane w sposób, który wpływa na status VAT,
• sprzedajesz usługi kontrahentom zagranicznym i trzeba analizować zasady miejsca świadczenia usług.

Warto pamiętać, że w branży cyberbezpieczeństwa często występują usługi B2B, także dla kontrahentów z innych krajów. To może mieć znaczenie dla rozliczeń VAT, ale każdorazowo trzeba analizować konkretną transakcję. Jeśli prowadzisz zarówno doradztwo, jak i wdrożenia, a do tego sprzedajesz licencje lub inne elementy związane z usługą, zależy to od faktycznego zakresu usług/sprzedaży.

Jeżeli nie jesteś pewien, czy Twoja działalność powinna korzystać ze zwolnienia VAT, bezpiecznie jest sprawdzić aktualne przepisy i w razie potrzeby skonsultować rozliczenia z księgową lub doradcą podatkowym. Ten artykuł ma charakter informacyjny i nie stanowi indywidualnej porady.

Kasa fiskalna — kiedy temat jest ważny

Przy działalności w obszarze cyberbezpieczeństwa kasa fiskalna nie zawsze będzie potrzebna, ale temat warto sprawdzić na etapie startu lub zmiany modelu sprzedaży. Kluczowe jest to, komu sprzedajesz i w jaki sposób dokumentujesz sprzedaż.

W praktyce obowiązek używania kasy fiskalnej może pojawić się, gdy sprzedaż jest kierowana do osób fizycznych nieprowadzących działalności gospodarczej lub rolników ryczałtowych, a nie spełniasz warunków zwolnienia. Inaczej może wyglądać sprzedaż wyłącznie B2B, gdzie dokumentowanie odbywa się najczęściej fakturami. Jednak nawet przy usługach dla firm warto pamiętać, że dodatkowe elementy oferty mogą zmieniać ocenę obowiązków ewidencyjnych.

W przypadku PKD 62.20.A najważniejsze pytania brzmią:

• czy świadczysz usługi wyłącznie dla firm,
• czy przyjmujesz płatności od konsumentów,
• czy sprzedajesz także szkolenia, konsultacje lub inne usługi powiązane z działalnością,
• czy twoja sprzedaż mieści się w zakresie zwolnienia z kasy fiskalnej,
• czy nie przekraczasz limitów lub nie wchodzisz w rodzaj sprzedaży wyłączający zwolnienie.

Nie ma jednej odpowiedzi dla wszystkich firm cyberbezpieczeństwa. Obowiązek kasy fiskalnej zależy od faktycznego modelu sprzedaży, a nie wyłącznie od wpisanego kodu PKD.

Najczęstsze błędy przy wyborze tego kodu

Przedsiębiorcy najczęściej popełniają kilka powtarzalnych błędów, które później utrudniają rozliczenia lub aktualizację wpisów:

• Wpisują PKD 62.20.A „na wszelki wypadek”, mimo że ich usługi nie dotyczą cyberbezpieczeństwa.
• Nie dodają innych kodów PKD, chociaż faktycznie prowadzą też działalność szkoleniową, doradczą, programistyczną lub integracyjną.
• Zakładają z góry konkretną stawkę ryczałtu, choć zależy ona od faktycznych usług i ich klasyfikacji.
• Myślą, że sam kod PKD przesądza o VAT, co nie jest prawdą.
• Pomijają okres przejściowy PKD 2025 i odkładają aktualizację do ostatniej chwili.
• Nie weryfikują kasy fiskalnej, mimo że część sprzedaży może trafiać do osób prywatnych.

Jeżeli Twoja oferta łączy kilka obszarów, na przykład cyberbezpieczeństwo, software house, szkolenia i konsulting, warto uporządkować działalność już na początku. Często problemem nie jest sam kod, lecz zbyt wąskie opisanie usług lub brak dopasowania PKD do realnego modelu firmy.

FAQ

1. Czy PKD 62.20.A wystarczy, jeśli robię też audyty IT i doradztwo?

To zależy od faktycznego zakresu usług. Jeżeli audyty i doradztwo są częścią działalności cyberbezpieczeństwa, kod może być trafny, ale czasem potrzebne są także inne kody PKD. Warto sprawdzić, czy oferta nie wykracza poza sam obszar cyberochrony.

2. Czy po samym PKD można ustalić stawkę ryczałtu?

Nie. Stawka ryczałtu zależy od faktycznych usług, ich klasyfikacji i okoliczności działalności. Sam kod PKD nie przesądza o stawce.

3. Czy firma z PKD 62.20.A może korzystać ze zwolnienia z VAT w 2026 r.?

Może, ale tylko jeśli spełnia warunki ustawowe i nie zachodzą wyłączenia. W 2026 r. limit zwolnienia podmiotowego wynosi 240 000 zł, ale trzeba zawsze sprawdzić rodzaj sprzedaży i ewentualne wyjątki.

4. Czy przy usługach cyberbezpieczeństwa muszę mieć kasę fiskalną?

Nie zawsze. To zależy od tego, komu sprzedajesz, jak dokumentujesz sprzedaż i czy spełniasz warunki zwolnienia z kasy. Przy sprzedaży dla firm sytuacja bywa prostsza niż przy sprzedaży dla konsumentów.

5. Czy muszę zmienić PKD na 2025 już teraz, jeśli mam starszy wpis?

Przy nowych wpisach i zmianach należy używać PKD 2025. Dla starszych wpisów działa okres przejściowy do końca 2026 r., po którym ma nastąpić automatyczne przeklasyfikowanie kodów nieaktualizowanych. Mimo tego warto sprawdzić wpis wcześniej.

Podsumowanie

PKD 62.20.A to kod przeznaczony dla działalności w zakresie cyberbezpieczeństwa, ale jego użycie powinno wynikać z rzeczywistego profilu usług. Najważniejsze jest to, czy faktycznie chronisz systemy, dane i procesy cyfrowe, a nie tylko działasz ogólnie w branży IT. W 2026 r. warto dodatkowo zwrócić uwagę na nowe zasady związane z PKD 2025, limity ryczałtu, limit zwolnienia VAT oraz możliwe obowiązki związane z kasą fiskalną.

Jeśli Twoja działalność łączy kilka obszarów, albo nie jesteś pewien, czy ten kod najlepiej opisuje firmę, porównaj go z innymi kodami i sprawdź, co rzeczywiście robisz dla klienta. To często najbezpieczniejsza droga przy wyborze PKD, ryczałtu i obowiązków ewidencyjnych.

Sprawdź powiązane kody PKD w TwojePKD.pl