Podlegamy ustawie o KSC, a nie złożyliśmy wniosku o wpis do wykazu. Co teraz?

Sytuacja

Dopiero teraz wyszło na jaw, że Wasza organizacja spełnia kryteria podmiotu kluczowego albo ważnego z ustawy o krajowym systemie cyberbezpieczeństwa, która wdraża dyrektywę NIS2. Zwrócił na to uwagę kontrahent, audytor albo ktoś w zespole przeczytał kryteria. Termin samorejestracji w wykazie podmiotów kluczowych i ważnych minął 3 października 2026 r., a wniosku nikt nie złożył.

Co to naprawdę znaczy

Sytuacja jest do naprawienia, ale nie warto jej odkładać.

• Wniosek można złożyć w każdej chwili. Samorejestracja jest dostępna cały czas, także po terminie (FAQ KSC, pytanie 2.32).
• Wpis następuje z chwilą złożenia wniosku. Nie czekacie na decyzję organu, wpis ma charakter deklaratoryjny (art. 7d ustawy, FAQ 2.48).
• Obowiązki nie zależą od wpisu. Terminy liczą się od dnia, w którym organizacja spełniła przesłanki, a nie od dnia wpisu (FAQ 2.31, 3.32). Jeżeli spełnialiście je 3 kwietnia 2026 r., system zarządzania bezpieczeństwem informacji i pozostałe obowiązki z rozdziału 3 ustawy trzeba wdrożyć do 3 kwietnia 2027 r. (art. 33 ust. 1 ustawy nowelizującej).
• Organ może wpisać Was sam. Organ właściwy do spraw cyberbezpieczeństwa może wpisać z urzędu podmiot, który nie złożył wniosku w terminie, i wezwać go do uzupełnienia danych w ciągu 6 miesięcy (art. 7j). Lepiej, żeby wniosek wyszedł od Was.
• Kara jest możliwa, ale nie automatyczna. Za niezłożenie wniosku w terminie organ może nałożyć karę, jeżeli przemawia za tym waga i znaczenie naruszenia (art. 73 ust. 1a). Kary z ustawy można nakładać dopiero od 3 kwietnia 2028 r. (art. 35 ustawy nowelizującej, FAQ 12.1). Wcześniej organ wysyła ostrzeżenie, a gdy naruszenie jest znikome i zostało zakończone, może odstąpić od kary (FAQ 12.7, 12.12).

Jeśli przesłanki zaczęliście spełniać po 3 kwietnia 2026 r., na przykład po przekroczeniu progu zatrudnienia, macie 6 miesięcy od tego dnia na wniosek i 12 miesięcy na wdrożenie obowiązków (art. 7c ust. 1 i art. 16, FAQ 2.32, 3.32). Wasz termin mógł więc jeszcze nie minąć.

Spóźniony wpis da się nadrobić w jeden dzień. Trudniej nadrobić czas na wdrożenie obowiązków, bo termin 3 kwietnia 2027 r. się nie przesuwa.

Co zrobić w tym tygodniu

1. Potwierdźcie i zapiszcie kwalifikację. Ustalcie, dlaczego podlegacie ustawie: sektor z załącznika nr 1 lub 2, wielkość liczona razem z przedsiębiorstwami powiązanymi i partnerskimi albo rodzaj jednostki publicznej (art. 5). Zapiszcie też datę, od której spełniacie przesłanki. Organ nie wydaje decyzji o kwalifikacji, ocenę robi sam podmiot (FAQ 1.1, 1.12).
2. Sprawdźcie, czy nie jesteście już wpisani z urzędu. Minister wpisywał z urzędu między innymi podmioty publiczne, przedsiębiorców telekomunikacyjnych, dostawców usług zaufania, podmioty krytyczne i dotychczasowych operatorów usług kluczowych (FAQ 2.3). Jeśli Wasza organizacja powinna być wpisana z urzędu, a nie dostała zawiadomienia, napiszcie na adres S46-admin@nask.pl zamiast składać drugi wniosek (FAQ 2.11, 2.48).
3. Złóżcie wniosek. Na stronie wykaz-ksc.gov.pl: logowanie przez login.gov.pl, założenie konta, „Wpisz nowy podmiot” i podpis kwalifikowany, zaufany albo osobisty, ewentualnie pieczęć kwalifikowana (art. 7c ust. 6, FAQ 2.35). Wniosek wypełnia i podpisuje ta sama osoba: kierownik podmiotu albo osoba upoważniona lub pełnomocnik (FAQ 2.24, 2.55). Po wpisie zmiany danych zgłaszacie w ciągu 14 dni (art. 7c ust. 3).
4. Udokumentujcie, co się stało. Zapiszcie, kiedy i na jakiej podstawie ustaliliście, że podlegacie ustawie, i kiedy złożyliście wniosek. Jeśli organ będzie oceniał wagę naruszenia, taka notatka pokaże, że zareagowaliście od razu.
5. Zaplanujcie obowiązki do 3 kwietnia 2027 r. System zarządzania bezpieczeństwem informacji z szacowaniem ryzyka, dokumentacja, osoby do kontaktu (co najmniej dwie, jedna w mikro i małych przedsiębiorstwach oraz w podmiotach publicznych ważnych), zgłaszanie incydentów przez system S46 i szkolenie kierownika raz w roku (art. 8–11, art. 8e). Podmiot kluczowy przechodzi pierwszy audyt do 3 kwietnia 2028 r.

Co robimy w takiej sytuacji

1. Pomagamy potwierdzić kwalifikację, zebrać dane do wniosku i przygotować organizację do pracy w systemie S46.
2. Audyt pokazuje, które obowiązki już spełniacie, czego brakuje i w jakiej kolejności to nadrobić przed 3 kwietnia 2027 r.
3. Jeśli brakuje systemu, wdrażamy SZBI z analizą ryzyka, dokumentacją i przygotowaniem ludzi. Jeśli brakuje osoby, która to poprowadzi, pełnomocnik przejmuje koordynację i kontakt z organami.

Dlatego w FortCyber

Zaczynamy od faktów: od kiedy i w jakim zakresie ustawa Was dotyczy. Spóźniony wpis załatwiamy od razu, a resztę planujemy tak, żeby zdążyć przed kwietniem 2027 r. Odpowiedzialność za wykonanie obowiązków zostaje przy kierowniku podmiotu, dlatego każdy krok jest udokumentowany.

Źródła

• Ustawa z dnia 23 stycznia 2026 r. o zmianie ustawy o krajowym systemie cyberbezpieczeństwa oraz niektórych innych ustaw, Dz.U. 2026 poz. 252.
• FAQ do ustawy o krajowym systemie cyberbezpieczeństwa, cyber.gov.pl, pytania 1.1, 1.12, 2.3, 2.11, 2.24, 2.31, 2.32, 2.35, 2.48, 2.55, 3.32, 12.1, 12.7, 12.12.
• Wykaz podmiotów kluczowych i ważnych.

Stan prawny na 20 października 2026 r. Artykuł nie jest opinią prawną.