Niedopełnienie obowiązku samooceny to nie jedyne zagadnienie, które musi budzić naszą czujność. Drugim jest nieterminowe lub błędne zgłoszenie organizacji do rejestru KSC. Do 3 października 2026 r. wszystkie podmioty kluczowe i ważne muszą formalnie zawiadomić właściwy organ i złożyć wniosek o wpis w elektronicznym wykazie.
Gdzie i jak złożyć wniosek? Procedura krok po kroku
Zgłoszenie do wykazu podmiotów kluczowych i ważnych odbywa się wyłącznie w formie elektronicznej za pośrednictwem dedykowanego systemu teleinformatycznego (Systemu Informacyjnego KSC / portalu gov.pl).
- Reprezentacja: Wniosek musi zostać opatrzony kwalifikowanym podpisem elektronicznym lub podpisem zaufanym przez osoby uprawnione do reprezentacji podmiotu (zgodnie z KRS lub CEIDG) albo należycie ustanowionego pełnomocnika.
- Uzupełnienie formularza: Wypełnienie wszystkich wymaganych sekcji dotyczących profilu działalności i łączności z systemami cyberbezpieczeństwa.
- Weryfikacja i wysyłka: Przesłanie zgłoszenia do właściwego organu sprawującego nadzór nad danym sektorem.
- Otrzymanie UPO: Pobranie Urzędowego Poświadczenia Odbioru stanowiącego dowód dokonania zgłoszenia w ustawowym terminie.
Wymagane dane w formularzu zgłoszeniowym
Formularz zgłoszeniowy wymaga podania nie tylko podstawowych danych rejestrowych spółki, ale również szczegółowych informacji o charakterze operacyjnym i technicznym:
- Dane identyfikacyjne: Pełna nazwa, NIP, REGON, numer KRS oraz adres siedziby.
- Klasyfikacja prawna: Jednoznaczne określenie statusu (podmiot kluczowy albo ważny) ze wskazaniem konkretnego sektora, podsektora oraz rodzaju świadczonej usługi.
- Punkty kontaktowe (24/7): Dane kontaktowe osób lub komórek organizacyjnych wyznaczonych do utrzymywania stałej łączności z właściwym zespołem CSIRT (NASK, GOV lub DEF) oraz organem sprawującym nadzór.
- Infrastruktura i usługi: Informacje o adresach IP, nazwach domen oraz podstawowej infrastrukturze wykorzystywanej do świadczenia usług kluczowych lub ważnych.
Na co uważać przy rejestracji?
Błędy formalne mogą wydłużyć cały proces lub doprowadzić do pozostawienia wniosku bez rozpoznania:
- Nieprawidłowa reprezentacja i braki w pełnomocnictwach: W przypadku reprezentacji łącznej wniosek muszą podpisać wszystkie wymagane osoby. Jeśli zgłoszenia dokonuje pełnomocnik (np. radca prawny), dokument pełnomocnictwa musi być dołączony w postaci elektronicznej z właściwym podpisem oraz dowodem uiszczenia opłaty skarbowej.
- Ogólne skrzynki e-mail zamiast dedykowanych: Wpisywanie adresów e-mail w stylu biuro@ lub kontakt@ jako punktu kontaktowego do spraw cyberbezpieczeństwa to błąd. Ustawa wymaga podania adresów i numerów telefonów gwarantujących niezwłoczny odbiór komunikatów o incydentach w trybie ciągłym.
- Błędna kwalifikacja podsektora: Zgłoszenie firmy do niewłaściwego sektora skutkuje przekazaniem wniosku do niepoprawnego organu nadzorczego, co rodzi konieczność prostowania wpisu.
Konsekwencje przekroczenia terminu 3 października 2026 r.
Brak złożenia wniosku w 6-miesięcznym terminie od dnia wejścia w życie ustawy (tj. od 3 kwietnia 2026 r.) stanowi bezpośrednie naruszenie przepisów KSC. Konsekwencje obejmują:
- Wpis z urzędu: Organ nadzorczy, po ustaleniu, że dana firma spełnia kryteria podmiotu kluczowego lub ważnego, dokona wpisu do wykazów z urzędu w drodze decyzji administracyjnej.
- Sankcje finansowe: Wszczęcie postępowania w sprawie nałożenia administracyjnej kary pieniężnej za uchylanie się od obowiązku rejestracyjnego.
Rejestracja w wykazie KSC stanowi pierwszy formalny sprawdzian gotowości organizacji na nowe wymogi cyberbezpieczeństwa. Aby uniknąć zwrotów formalnych i presji czasu tuż przed nieprzekraczalnym terminem 3 października 2026 r., warto już teraz zweryfikować uprawnienia reprezentantów, przygotować dane techniczne oraz wyznaczyć odpowiedzialne punkty kontaktowe.
Niniejszy artykuł ma charakter informacyjny i nie jest to porada prawna.
Stan prawny na dzień 20 sierpnia 2026 r.
