Nowelizacja ustawy o krajowym systemie cyberbezpieczeństwa (KSC), która weszła w życie 3 kwietnia 2026 r., nakłada na podmioty kluczowe i ważne szereg nowych obowiązków. Jednym z nich jest konieczność złożenia wniosku o wpis do Wykazu KSC.
W przypadku podmiotów, które już w dniu wejścia w życie nowelizacji spełniały przesłanki uznania za kluczowe lub ważne, termin na dokonanie zgłoszenia upływa 3 października 2026 r. Warto zatem odpowiednio wcześnie zweryfikować, czy działalność przedsiębiorstwa podlega nowym regulacjom oraz jakie działania należy podjąć w związku z uzyskaniem jednego z tych statusów.
Co należy wiedzieć przed złożeniem wniosku? Poniżej przedstawiono pięć najważniejszych kwestii.
1. Kiedy upływa termin na dokonanie wpisu do Wykazu KSC?
3 października 2026 r. upływa termin na dokonanie wpisu do Wykazu KSC dla przedsiębiorców, którzy spełniali przesłanki uznania za podmiot kluczowy lub ważny już w dniu wejścia w życie nowelizacji ustawy o krajowym systemie cyberbezpieczeństwa.
Termin ten dotyczy przede wszystkim tych, którzy są zobowiązani do samodzielnego zgłoszenia, ponieważ podmioty wpisywane do Wykazu z urzędu nie muszą składać już odrębnego wniosku.
W praktyce oznacza to, że przedsiębiorcy, którzy już 3 kwietnia 2026 r. spełniali ustawowe przesłanki objęcia KSC i nie zostali automatycznie ujęci w Wykazie, powinni dokonać zgłoszenia najpóźniej do 3 października 2026 r.
2. Kogo dotyczy obowiązek wpisu do Wykazu KSC?
Nowelizacja ustawy o krajowym systemie cyberbezpieczeństwa (KSC), wdrażająca unijną dyrektywę NIS2, wprowadza podział objętych nią podmiotów na kluczowe i ważne.
O tym, czy dany przedsiębiorca podlega przepisom KSC, decydują przede wszystkim rodzaj prowadzonej działalności orazprzynależność do jednego z sektorów objętych ustawą. Uwzględnia się także kryteria dotyczące wielkości przedsiębiorstwa, jak i charakteru świadczonych przez niego usług.
Załącznik nr 1 do ustawy o KSC określa sektory i rodzaje podmiotów kluczowych. Obejmuje on obszary o fundamentalnym znaczeniu dla funkcjonowania państwa i gospodarki, m.in. energetykę, transport, bankowość i infrastrukturę rynków finansowych, ochronę zdrowia, produkcję czy dystrybucję produktów leczniczych oraz wyrobów medycznych, zaopatrzenie w wodę pitną, infrastrukturę cyfrową, komunikację elektroniczną, zarządzanie usługami ICT, sektor kosmiczny, a także podmioty publiczne.
Załącznik nr 2 do ustawy wskazuje natomiast obszary działalności podmiotów ważnych. Należą do nich m.in. usługi pocztowe i kurierskie, energetyka jądrowa, gospodarowanie odpadami, produkcja oraz dystrybucja chemikaliów i żywności, wyrób i dostawa niektórych produktów, usług i technologii, usługi cyfrowe, badania naukowe oraz sektor publiczny, w tym jednostki samorządu terytorialnego.
Sama przynależność do danego sektora nie przesądza jednak jeszcze o obowiązku uzyskania wpisu do Wykazu KSC. Należy uwzględnić również kryterium wielkości oraz szczegółowe warunki przewidziane w ustawie. Co do zasady mikro i mali przedsiębiorcy są wyłączeni z zakresu regulacji, z wyjątkami wskazanymi w art. 5 ust. 1 pkt 4 KSC. W przypadku średnich i dużych podmiotów prowadzących działalność w sektorach wskazanych w załączniku nr 1 lub nr 2, należy natomiast ustalić, czy spełniają oni przesłanki uznania odpowiednio za kluczowe lub ważne.
3. Wpis z urzędu czy samodzielna rejestracja?
Nie wszystkie podmioty objęte KSC muszą samodzielnie zgłaszać się do Wykazu. Część z nich jest wpisywana z urzędu przez ministra właściwego do spraw cyfryzacji, czyli bez konieczności składania osobnego wniosku. Dotyczy to w szczególności podmiotów publicznych, przedsiębiorców telekomunikacyjnych, dostawców usług zaufania oraz tych, którzy przed wejściem w życie nowelizacji posiadali już status operatora usługi kluczowej.
Pozostałe podmioty, które spełniają przesłanki objęcia KSC, a nie podlegają jeszcze tej procedurze, są zobowiązane do samodzielnego dokonania zgłoszenia za pośrednictwem systemu S46. Oznacza to, że muszą one same podjąć odpowiednie działania, bez oczekiwania na wezwanie ze strony administracji. W praktyce obowiązek ten dotyczy przede wszystkim organizacji prywatnych.
4. Jak dokonać wpisu do Wykazu KSC?
Zgłoszenia do Wykazu składa się elektronicznie za pośrednictwem systemu S46. Podmiot zobowiązany do samodzielnej rejestracji powinien zalogować się na platformie, wypełnić formularz oraz przekazać wszystkie wymagane dane.
Formularz składa i podpisuje osoba uprawniona do reprezentowania podmiotu, a w przypadku reprezentacji łącznej czynności te muszą dokonać wszystkie uprawnione osoby. Jeżeli zgłoszenia dokonuje pełnomocnik lub prokurent, należy natomiast zweryfikować zakres i podstawę jego umocowania.
Po prawidłowym zakończeniu rejestracji podmiot zostaje wpisany do Wykazu jako podmiot kluczowy albo ważny, stosownie do spełnionych przesłanek ustawowych.
5. Co oznacza wpis do Wykazu KSC dla przedsiębiorców?
Wpis do Wykazu KSC potwierdza status przedsiębiorcy jako podmiotu kluczowego albo ważnego na podstawie znowelizowanych przepisów. Wiąże się z tym konieczność spełnienia określonych wymogów w zakresie cyberbezpieczeństwa.
Ma on charakter deklaratywny, co oznacza, że obowiązki wynikają zespełnienia przesłanek określonych w ustawie, w szczególności tych dotyczących rodzaju prowadzonej działalności, sektora oraz wielkości podmiotu, a nie samej rejestracji.
Podmioty kluczowe i ważne są zobowiązane m.in. do wdrożenia odpowiednich środków zarządzania ryzykiem w cyberbezpieczeństwie, ustanowienia i utrzymywania Systemu Zarządzania Bezpieczeństwem Informacji (SZBI), monitorowania zagrożeń, prowadzenia wymaganej dokumentacji oraz obsługi i zgłaszania incydentów właściwemu zespołowi CSIRT (Zespół Reagowania na Incydenty Bezpieczeństwa Komputerowego).
Wpis do Wykazu umożliwia również korzystanie z systemu S46 Cyber Hub, który wspiera realizację tych zadań, w szczególności przesyłanie takich zgłoszeń oraz wymianę wiedzy o cyberzagrożeniach.
Przed zgłoszeniem wniosku przedsiębiorca powinien zweryfikować prawidłowość przekazywanych danych, ponieważ podanie nieprawdziwych informacji wiąże się z odpowiedzialnością karną.
Podsumowanie
Nowelizacja KSC nakłada na przedsiębiorców nowe obowiązki w zakresie cyberbezpieczeństwa, dlatego warto odpowiednio wcześnie zweryfikować, czy prowadzona działalność podlega tym regulacjom oraz czy wpisdo Wykazu nastąpi z urzędu, czy wymaga samodzielnego zgłoszenia.
Dla podmiotów, które spełniały ustawowe przesłanki już w dniu wejścia w życie nowelizacji i są zobowiązane do samodzielnej rejestracji, termin na złożenie wniosku upływa 3 października 2026 r. Dopełnienie tej formalności nie zastępuje jednak bieżącej dbałości obezpieczeństwo systemów i informacji, dlatego niezbędne jest również wdrożenie wymaganych środków ochrony oraz regularna ocena ich skuteczności.
