Do 3 października 2026 r. wniosek o wpis muszą złożyć podmioty uznane w ustawie za kluczowe lub ważne, jeśli spełniały kryteria 3 kwietnia 2026 r. i nie zostały wpisane z urzędu do wykazu Krajowego Systemu Cyberbezpieczeństwa. Upływający za miesiąc termin jest konsekwencją wejścia w życie nowelizacji ustawy o KSC, która opiera się na modelu samodzielnej kwalifikacji. Regulator nie ma obowiązku wysyłania indywidualnych wezwań. Ciężar weryfikacji i terminowego zgłoszenia spoczywa w całości na przedsiębiorcach.
Podmioty objęte obowiązkiem rejestracyjnym
Obowiązek złożenia wniosku dotyczy organizacji, które na dzień 3 kwietnia 2026 r. realizowały przesłanki uznania za podmiot kluczowy lub ważny i do tej pory nie zostały ujęte w rejestrze na podstawie indywidualnej decyzji organu nadzorczego. Przepisy obejmują co do zasady średnie i duże przedsiębiorstwa z wyznaczonych sektorów, jednak ocena statusu wymaga uwzględnienia również powiązań kapitałowych i osobowych w ramach grup spółek.
Brak doręczenia pism urzędowych czy przypomnień ze strony właściwych ministerstw nie zwalnia organizacji z odpowiedzialności, a bezczynność może narazić spółkę na dotkliwe konsekwencje.
Procedura i wymogi formalne zgłoszenia
Rejestracja odbywa się wyłącznie w formie elektronicznej za pośrednictwem dedykowanego portalu teleinformatycznego. Aby wniosek został rozpatrzony bez wezwań do uzupełnienia braków formalnych, organizacja musi zapewnić:
- Prawidłową reprezentację: Wniosek musi zostać podpisany kwalifikowanym podpisem elektronicznym lub podpisem zaufanym zgodnie z zasadami reprezentacji ujawnionymi w KRS lub CEIDG. W przypadku korzystania z pełnomocnika konieczne jest dołączenie pełnomocnictwa w postaci elektronicznej wraz z dowodem uiszczenia opłaty skarbowej.
- Punkty kontaktowe: Formularz wymaga wskazania dedykowanych danych kontaktowych (telefon, e-mail) do komórek odpowiedzialnych za łączność z właściwym zespołem CSIRT.
- Precyzyjną kwalifikację usług: Wskazanie właściwego sektora, podsektora oraz rodzaju świadczonych usług wraz z podstawowymi danymi dotyczącymi wykorzystywanej infrastruktury cyfrowej.
Sankcje za niedotrzymanie terminu
Niezłożenie wniosku do 3 października 2026 r. rodzi ryzyko wszczęcia postępowania w sprawie nałożenia administracyjnej kary pieniężnej za uchylanie się od obowiązku ustawowego. Niezależnie od sankcji finansowych, organ nadzorczy po zidentyfikowaniu organizacji dokona wpisu do wykazu z urzędu. Niedopełnienie formalności w terminie może zostać również uznane za naruszenie wymogu należytej staranności w zarządzaniu sprawami spółki przez członków zarządu.
Jak przygotować się na nadchodzący termin
Przedsiębiorstwa, które do tej pory nie zakończyły procedury rejestracji, powinny niezwłocznie dokonać zweryfikowania statusu i zgłoszenia:
- Udokumentować samoocenę: Sporządzić wewnętrzny protokół potwierdzający wskaźniki zatrudnienia i obrotów na dzień 3 kwietnia 2026 r. wraz z analizą powiązań w grupie.
- Zweryfikować publiczny wykaz: Upewnić się, czy firma nie została już ujawniona w rejestrze w ramach wpisu z urzędu.
- Przygotować formularz elektroniczny: Skompletować dane techniczne, zweryfikować ważność podpisów elektronicznych osób reprezentujących oraz złożyć wniosek z odpowiednim wyprzedzeniem, aby uniknąć ewentualnych przeciążeń systemów teleinformatycznych.
Podsumowując, nadchodzący termin 3 października 2026 r. zamyka kluczowy etap wdrażania reformy KSC. Z uwagi na wymogi formalne reprezentacji oraz konieczność precyzyjnego mapowania świadczonych usług, warto niezwłocznie przeanalizować sytuację organizacji i dokonać zgłoszenia przed upływem ustawowego terminu.niczne oraz wyznaczyć odpowiedzialne punkty kontaktowe.
Niniejszy artykuł ma charakter informacyjny i nie jest to porada prawna.
Stan prawny na dzień 3 września 2026 r.
