Do upływu terminu na złożenie wniosku o wpis do wykazu podmiotów kluczowych i podmiotów ważnych (Wykazu KSC) zostały dwa dni. Obowiązek dotyczy podmiotów, które 3 kwietnia 2026 r., w dniu wejścia w życie nowelizacji ustawy o krajowym systemie cyberbezpieczeństwa, spełniały przesłanki uznania za podmiot kluczowy lub ważny. Termin upływa w sobotę 3 października 2026 r.
Kogo dotyczy obowiązek?
Wniosek o wpis składa każdy podmiot kluczowy lub ważny w terminie 6 miesięcy od dnia spełnienia przesłanek (art. 7c ust. 1 ustawy). Punktem wyjścia jest samoidentyfikacja. Organizacja sama ocenia, czy działa w sektorze wskazanym w załączniku nr 1 lub 2 do ustawy i czy spełnia kryteria wielkości. Ustawa przewiduje dwie ścieżki:
- Samorejestracja: Dotyczy większości przedsiębiorców. Wniosek można składać od 7 maja 2026 r., a termin upływa 3 października 2026 r. Samodzielnie wniosek składają również spółki zależne od dotychczasowych operatorów usług kluczowych, jeżeli same spełniają przesłanki.
- Wpis z urzędu: Minister Cyfryzacji wpisał do wykazu na podstawie rejestrów publicznych m.in. przedsiębiorców telekomunikacyjnych, dostawców usług zaufania, podmioty publiczne, podmioty krytyczne oraz dotychczasowych operatorów usług kluczowych. Podmioty te nie składają wniosku o wpis. Muszą natomiast uzupełnić brakujące dane w terminie 6 miesięcy od doręczenia wezwania, pod rygorem kary pieniężnej. Uzupełnienie następuje przez wniosek o zmianę wpisu, który powinien objąć również tę działalność podmiotu, której nie uwzględniono we wpisie z urzędu.
Podmioty, które spełnią przesłanki później, np. w wyniku wzrostu zatrudnienia lub rozszerzenia działalności, mają na złożenie wniosku 6 miesięcy od tego dnia.
Czym jest wpis do wykazu?
Wpis ma charakter deklaratoryjny. Nie tworzy statusu podmiotu kluczowego lub ważnego, lecz go potwierdza. Obowiązki wynikające z ustawy powstają więc z chwilą spełnienia przesłanek, niezależnie od tego, czy podmiot złożył wniosek. Wpisu dokonuje się z chwilą złożenia wniosku w systemie teleinformatycznym. Organ nie wydaje w tej sprawie decyzji, a podmiot nie musi czekać na jego rozpatrzenie.
Jak złożyć wniosek?
Wniosek składa się wyłącznie elektronicznie w aplikacji Wykaz KSC (wykaz-ksc.gov.pl), stanowiącej część systemu S46. W praktyce należy:
- Przygotować dane: Wniosek musi zawierać dane wymienione w art. 7 ust. 2 pkt 1–18 ustawy, w szczególności:
- nazwę podmiotu;
- sektor, podsektor i rodzaj działalności;
- adresy siedziby i do korespondencji;
- numery NIP i REGON;
- zakres publicznych adresów IP i domeny internetowe wykorzystywane w sposób ciągły;
- deklarację wielkości przedsiębiorstwa;
- informację o państwach UE, w których podmiot prowadzi działalność;
- informację o umowie z dostawcą usług zarządzanych w zakresie cyberbezpieczeństwa, jeżeli została zawarta.
Podmiot prowadzący kilka rodzajów działalności wykazuje je we wniosku odrębnie.
- Wskazać osoby do kontaktu: Wniosek zawiera dane osób do kontaktu z podmiotami krajowego systemu cyberbezpieczeństwa. Co do zasady podmiot wyznacza co najmniej dwie takie osoby, a mikro- i małe przedsiębiorstwa co najmniej jedną. Dla osoby, która będzie pełnić rolę administratora konta podmiotu w systemie S46, podaje się dodatkowo numer PESEL lub identyfikator środka identyfikacji elektronicznej.
- Złożyć oświadczenie kierownika: Wniosek zawiera oświadczenie kierownika podmiotu, złożone pod rygorem odpowiedzialności karnej za fałszywe oświadczenie (art. 233 § 6 Kodeksu karnego), że dane są zgodne z prawdą. Odpowiedzialność ta nie obejmuje zakresów adresów IP i nazw domenowych.
- Podpisać wniosek: Wniosek opatruje się kwalifikowanym podpisem elektronicznym, podpisem zaufanym albo podpisem osobistym kierownika podmiotu lub osoby przez niego upoważnionej. Można też użyć kwalifikowanej pieczęci elektronicznej ze wskazaniem osoby, która ją stosuje.
- Załączyć pełnomocnictwo (jeśli dotyczy): Przy działaniu przez pełnomocnika dołącza się elektroniczne pełnomocnictwo. Nie jest ono wymagane dla prokurenta ujawnionego w KRS ani pełnomocnika ujawnionego w CEIDG.
Należy zadbać o kompletność wniosku. Wpisu nie dokonuje się, jeżeli wniosek nie zawiera wymaganych danych, oświadczenia kierownika lub podpisu. Brak wpisu z tego powodu oznacza w praktyce ryzyko niedotrzymania terminu.
Co po dokonaniu wpisu?
Wpis otwiera kolejny etap dostosowania do ustawy. Po jego dokonaniu:
- Zaświadczenie: Na żądanie podmiotu Minister Cyfryzacji wydaje elektroniczne zaświadczenie o wpisie. Może ono być przydatne np. w relacjach z kontrahentami.
- Aktualizacja danych: Każdą zmianę danych objętych wpisem trzeba zgłosić w terminie 14 dni.
- Korzystanie z systemu S46: Po uzyskaniu wpisu podmiot rozpoczyna korzystanie z systemu S46, który służy m.in. do zgłaszania incydentów i komunikacji z zespołami CSIRT. Podmioty spełniające przesłanki od 3 kwietnia 2026 r. powinny to zrobić najpóźniej do 3 kwietnia 2027 r.
- Wdrożenie obowiązków merytorycznych: Do 3 kwietnia 2027 r. podmioty muszą wdrożyć system zarządzania bezpieczeństwem informacji (SZBI) i pozostałe obowiązki z rozdziału 3 ustawy.
Co grozi za brak wpisu?
Jeżeli podmiot nie złoży wniosku w terminie, organ właściwy do spraw cyberbezpieczeństwa może wpisać go do wykazu z urzędu (art. 7j). Następnie wzywa podmiot do uzupełnienia danych w terminie 6 miesięcy. Nieuzupełnienie danych mimo wezwania stanowi odrębną podstawę nałożenia kary. Niezłożenie wniosku w terminie jest również samodzielną podstawą nałożenia kary (art. 73 ust. 1a pkt 1). Wysokość kary to:
- dla podmiotu kluczowego: do 10 mln euro lub 2% przychodów z działalności gospodarczej osiągniętych w poprzednim roku obrotowym (decyduje kwota wyższa), nie mniej niż 20 tys. zł;
- dla podmiotu ważnego: do 7 mln euro lub 1,4% przychodów z działalności gospodarczej osiągniętych w poprzednim roku obrotowym (decyduje kwota wyższa), nie mniej niż 15 tys. zł.
Niezależnie od kary nałożonej na podmiot, odrębna kara może zostać nałożona osobiście na kierownika podmiotu (art. 73a). Wynosi ona do 300% wynagrodzenia, obliczanego według zasad obowiązujących przy ustalaniu ekwiwalentu pieniężnego za urlop, a w przypadku kierownika podmiotu publicznego co do zasady do 100%. Zgodnie z przepisem przejściowym ustawy nowelizującej kary te mogą zostać nałożone po raz pierwszy dopiero po upływie 2 lat od jej wejścia w życie, czyli od 3 kwietnia 2028 r. Według zapowiedzi Ministerstwa Cyfryzacji decyzję o karze poprzedzi ostrzeżenie.
Organizacja, która nie zdąży przed 3 października, powinna złożyć wniosek niezwłocznie po tej dacie. Spóźniony wpis jest znacznie lepszym rozwiązaniem niż jego brak.
Podsumowując, najbliższe dni to ostatni moment na potwierdzenie statusu organizacji i złożenie wniosku o wpis do Wykazu KSC. Procedura jest w pełni elektroniczna, ale wymaga zebrania kompletu danych, w tym technicznych, oraz podpisu kierownika podmiotu lub osoby upoważnionej.
Niniejszy artykuł ma charakter informacyjny i nie jest to porada prawna.
Stan prawny na dzień 1 października 2026 r.
