Wpis do wykazu Krajowego Systemu Cyberbezpieczeństwa (KSC) do 3 października 2026 r. Sprawdź, czy Twoja firma może podlegać nowemu obowiązkowi.

Wpis do wykazu KSC (NIS2) trzeba złożyć do 3 października 2026 r. Sprawdź czy Twoja firma podlega temu obowiązkowi i jakie grożą sankcje.

Nowelizacja ustawy o krajowym systemie cyberbezpieczeństwa, wdrażająca dyrektywę NIS2, weszła w życie 3 kwietnia 2026 r. (ustawa z dnia 23 stycznia 2026 r., Dz. U. poz. 252). Samorejestracja w Wykazie podmiotów kluczowych i podmiotów ważnych ruszyła 7 maja, a termin na złożenie wniosku upływa 3 października 2026 r. Szacuje się, że nowe przepisy obejmą około 38 tysięcy podmiotów, z czego około 11 tysięcy to podmioty niepubliczne. Zgodnie z informacjami, które trafiły do przestrzeni publicznej, w pierwszych dwóch miesiącach funkcjonowania wykazu wpisu dokonało jedynie około dwustu firm.

Rozstrzygnięcie, czy dany podmiot podlega obowiązkowi, wymaga samodzielnego przeprowadzenia dwustopniowego testu, a jego wynik może niejednego zaskoczyć. Przede wszystkim może to dotyczyć firm z sektorów, które dotąd z cyberbezpieczeństwem regulacyjnym nie miały nic wspólnego.

Dlaczego nikt Cię o tym nie zawiadomi?

Model przyjęty w ustawie opiera się na samoidentyfikacji. Część podmiotów Minister Cyfryzacji wpisuje do wykazu z urzędu i są to przede wszystkim podmioty publiczne, przedsiębiorcy telekomunikacyjni, dostawcy usług zaufania oraz dotychczasowi operatorzy usług kluczowych. Pozostali, czyli zdecydowana większość firm prywatnych, musi samodzielnie ocenić swoją sytuację i samodzielnie złożyć właściwy wniosek.

Ciężar prawidłowej kwalifikacji spoczywa zatem na samym przedsiębiorcy. Nie ma co liczyć na otrzymanie wezwania bądź innego rodzaju pisma informującego o wymogu spełnienia opisywanego obowiązku. Co więcej, brak wpisu nie oznacza, że firma nie podlega przepisom. Jeżeli spełnia kryteria ustawowe, obowiązki powstają z mocy prawa, niezależnie od tego, czy rejestracja została faktycznie przeprowadzona.

Warto od razu odnotować, że wniosek o wpis zawiera oświadczenie kierownika podmiotu składane pod rygorem odpowiedzialności karnej za złożenie fałszywego oświadczenia (art. 7c ust. 5 ustawy o KSC).

Krok pierwszy: czy Twoja firma działa w sektorze objętym ustawą?

Ustawa dzieli sektory na „kluczowe" (załącznik nr 1 do ustawy) oraz „ważne" (załącznik nr 2 do ustawy) i od tego podziału zależy późniejsza klasyfikacja podmiotu.

Załącznik nr 1 obejmuje sektory o wysokiej krytyczności: energetykę, transport, bankowość i infrastrukturę rynków finansowych, ochronę zdrowia, zaopatrzenie w wodę pitną i odprowadzanie ścieków, infrastrukturę cyfrową, zarządzanie usługami ICT, administrację publiczną oraz przestrzeń kosmiczną.

Załącznik nr 2 obejmuje sektory ważne, lecz o niższej krytyczności: usługi pocztowe, gospodarowanie odpadami, produkcję i dystrybucję chemikaliów, produkcję, przetwarzanie i dystrybucję żywności, produkcję w wybranych branżach, dostawców usług cyfrowych oraz działalność badawczą.

Opis sektorów bywa szerszy, niż sugeruje sama nazwa. Dobrym przykładem jest żywność: załącznik obejmuje przedsiębiorstwa spożywcze zajmujące się dystrybucją hurtową oraz przemysłowymi produkcją i przetwarzaniem. Objęty może być zatem również podmiot, który nie prowadzi własnej produkcji.

Przy weryfikacji sektora liczy się rzeczywisty rodzaj prowadzonej działalności, a nie wyłącznie kod PKD działalności przeważającej ujawniony we właściwym dla danego podmiotu rejestrze. Warto też pamiętać, że rozbudowany wykaz kodów nie jest podstawą do wyłączenia się z obowiązków. Bywa wręcz odwrotnie: może oznaczać, że firma działa w kilku objętych obowiązkiem sektorach jednocześnie.

Krok drugi: czy przekraczasz progi wielkości?

Kryterium wielkości opiera się na definicjach z prawa unijnego, a konkretnie na art. 2 ust. 1 załącznika I do rozporządzenia Komisji (UE) nr 651/2014. Uproszczony test wygląda następująco: obowiązek powstaje, jeżeli firma zatrudnia co najmniej 50 pracowników albo osiąga roczny obrót przekraczający 10 mln euro, albo jej suma bilansowa przekracza 10 mln euro. Wystarczy spełnienie jednego z tych warunków.

Połączenie sektora i wielkości daje status podmiotu. Podmiotem kluczowym jest co do zasady przedsiębiorca z sektora z załącznika nr 1, który przewyższa wymogi przewidziane dla średniego przedsiębiorstwa. Podmiotem ważnym jest przedsiębiorca z sektora z załącznika nr 1, który wymogi te jedynie spełnia, a także przedsiębiorca z sektora z załącznika nr 2, który je spełnia lub przewyższa. Przynależność do sektora kluczowego nie przesądza więc automatycznie o statusie podmiotu kluczowego. Różnica nie jest przy tym wyłącznie nominalna: podmioty kluczowe podlegają nadzorowi prewencyjnemu i obowiązkowi cyklicznego audytu, a granice kar są dla nich wyższe.

Sytuacja podmiotów powiązanych

Jest to zagadnienie, przy którym firmy najczęściej popełniają błąd, przyjmując, że w ich przypadku obowiązek wpisu nie zaistniał.

Progi wielkości ocenia się według reguł znanych z unijnej definicji małych i średnich przedsiębiorstw. Reguły te nakazują uwzględniać nie tylko dane samego podmiotu, ale również dane przedsiębiorstw partnerskich i powiązanych. Przy przedsiębiorstwie powiązanym, czyli takim, w którym inny podmiot dysponuje większością głosów, do danych spółki dolicza się dane podmiotu dominującego.

Konsekwencja jest daleko idąca. Spółka o przychodach rzędu kilku milionów złotych, zatrudniająca kilkanaście osób, oceniana w izolacji nie przekracza żadnego progu. Jeżeli jednak np. wchodzi w skład grupy kapitałowej i podmiot dominujący posiada w niej większościowy udział, progi mogą zostać przekroczone z dużym zapasem. Dotyczy to w szczególności spółek celowych czy „joint venture" powoływanych przez większe grupy do obsługi konkretnej marki lub linii biznesowej.

Praktyczny wniosek jest taki, że kwalifikacji nie należy przeprowadzać wyłącznie na podstawie własnego sprawozdania finansowego i audytu zatrudnienia. Trzeba ustalić strukturę właścicielską i sięgnąć po dane podmiotów powiązanych, przede wszystkim z poziomu właścicielskiego.

Kiedy obowiązek może powstać mimo niespełnienia progów?

Poza opisanym testem ustawa przewiduje odrębny mechanizm. Zgodnie z art. 7l ustawy o KSC organ właściwy do spraw cyberbezpieczeństwa może, w drodze decyzji, uznać podmiot za kluczowy albo ważny mimo niespełnienia standardowych przesłanek, jeżeli prowadzi on działalność określoną w załączniku nr 1 lub 2 i spełnia co najmniej jedną z przesłanek szczególnych.

Należą do nich sytuacje, w których podmiot jako jedyny świadczy usługę mającą kluczowe znaczenie dla krytycznej działalności społecznej lub gospodarczej, zakłócenie świadczonej przez niego usługi spowodowałoby poważne zagrożenie dla bezpieczeństwa państwa, porządku publicznego, obronności lub zdrowia publicznego albo ryzyko systemowe zaprzestania świadczenia usług przez inne podmioty kluczowe lub ważne, a także sytuacje, w których świadczona usługa ma istotne znaczenie na poziomie wojewódzkim lub krajowym bądź znaczenie dla dwóch lub więcej sektorów.

Nie jest to zatem element samooceny, lecz kompetencja organu. Decyzja podlega natychmiastowemu wykonaniu, a organ wzywa w niej podmiot do uzupełnienia danych w wykazie w terminie 6 miesięcy, pod rygorem nałożenia kary pieniężnej.

Weryfikacja umów i kontrahentów

Nawet negatywny wynik testu nie kończy sprawy. Podmioty kluczowe i ważne mają obowiązek zarządzania bezpieczeństwem łańcucha dostaw, co obejmuje ocenę dostawców i wprowadzanie wymagań bezpieczeństwa do zawieranych umów.

W efekcie wymogi ustawy w pewien sposób mogą dotknąć firmy formalnie nieobjęte ustawą. Jeżeli jesteś dostawcą, podwykonawcą albo usługodawcą dla podmiotu podlegającego przepisom, możesz spotkać się z próbą np. renegocjacji umów, właśnie w celu wprowadzenia rozwiązań i wymagań związanych z zapewnieniem cyberbezpieczeństwa.

Co grozi za brak wpisu?

Niezłożenie wniosku o wpis jest naruszeniem obowiązku ustawowego. Ustawa wymienia je wprost wśród naruszeń, za które karze pieniężnej podlegać może kierownik podmiotu kluczowego lub ważnego (art. 73a ust. 1 pkt 1 w związku z art. 7c ust. 1). Kara ta może zostać wymierzona w kwocie nie większej niż 300 procent wynagrodzenia ukaranego, a w podmiotach publicznych do 100 procent.

Kary wobec samych podmiotów są zróżnicowane według statusu. Wobec podmiotu kluczowego mogą sięgnąć 10 mln euro albo 2 procent rocznego obrotu, przy czym stosuje się kwotę wyższą, a kara minimalna wynosi 20 tys. zł. Wobec podmiotu ważnego jest to odpowiednio 7 mln euro albo 1,4 procent obrotu, z karą minimalną 15 tys. zł. Ustawa przewiduje też karę sięgającą 100 mln zł, gdy naruszenie powoduje bezpośrednie i poważne cyberzagrożenie dla obronności, bezpieczeństwa państwa, bezpieczeństwa i porządku publicznego lub życia i zdrowia ludzi, albo zagrożenie wywołania poważnej szkody majątkowej lub poważnych utrudnień w świadczeniu usług.

Istotne jest jednak zastrzeżenie przejściowe, o którym mówi się rzadko. Zgodnie z art. 35 nowelizacji kary pieniężne przewidziane w art. 73 ust. 1-4 oraz w art. 73a-73c mogą zostać nałożone po raz pierwszy dopiero po upływie 2 lat od dnia wejścia ustawy w życie, a więc po 3 kwietnia 2028 r. Poza tym zastrzeżeniem pozostawiono natomiast karę sięgającą 100 mln zł, przewidzianą w art. 73 ust. 5. Okres przejściowy nie oznacza przy tym zawieszenia nadzoru, ponieważ kontrole, wystąpienia i nakazy pozostają dostępne od razu.

Osobno uregulowano odpowiedzialność kierownictwa. Ustawa wprowadza osobistą odpowiedzialność kierownika podmiotu kluczowego lub ważnego za wykonywanie obowiązków z zakresu cyberbezpieczeństwa, w tym za złożenie wniosku o wpis. Dwa rozwiązania zasługują tu na szczególną uwagę. Po pierwsze, jeżeli kierownikiem jest organ wieloosobowy i nie wskazano osoby odpowiedzialnej, odpowiedzialność ponoszą wszyscy członkowie tego organu. Po drugie, kierownik ponosi odpowiedzialność także wtedy, gdy obowiązki zostały powierzone innej osobie za jej zgodą. Powierzenie zadań własnemu działowi IT albo zewnętrznemu dostawcy nie zwalnia zatem z odpowiedzialności.

Od czego zacząć?

Zacznij od zestawienia rzeczywistego profilu działalności z załącznikami nr 1 i nr 2 do ustawy, uwzględniając wszystkie prowadzone rodzaje działalności, a nie tylko przeważający. Następnie ustal wielkość przedsiębiorstwa, koniecznie z uwzględnieniem struktury właścicielskiej i danych podmiotów powiązanych. Jeżeli działasz w sektorze objętym załącznikiem, ale progów nie przekraczasz, miej na uwadze możliwość objęcia obowiązkiem decyzją organu na podstawie art. 7l ustawy.

Jeżeli wynik jest pozytywny, wniosek składasz w postaci elektronicznej przez aplikację Wykaz KSC, stanowiącą część systemu S46. Rejestracja jest bezpłatna i ma charakter formalny. Pamiętaj także o obowiązku zgłaszania zmian danych ujawnionych w wykazie, na co ustawa przewiduje 14 dni.

Termin 3 października dotyczy czynności najprostszej z całego pakietu obowiązków, a mimo to pozostaje niewykonany przez zdecydowaną większość zobowiązanych. Warto potraktować go nie jako formalność do „odhaczenia". Zwłaszcza że w razie sporu o kwalifikację korzystniejsza jest sytuacja podmiotu wpisanego niż takiego, który musi tłumaczyć, dlaczego uznał, że przepisy go nie dotyczą, a tym samym naraził się, wraz z osobami odpowiedzialnymi za zgłoszenie, na poniesienie określonych konsekwencji.