До крайнего срока подачи заявки на включение в список ключевых и важных организаций (Список КСО) осталось два дня. Это обязательство распространяется на организации, которые соответствовали критериям признания ключевыми или важными организациями на 3 апреля 2026 года, дату вступления в силу поправок к Закону о национальной системе кибербезопасности. Крайний срок истекает в субботу, 3 октября 2026 года.
На кого распространяется это обязательство?
Заявку на вступление в силу должна подать каждая ключевая или важная организация в течение шести месяцев после соответствия критериям (статья 7c, раздел 1 Закона). Отправной точкой является самоидентификация. Организация сама оценивает, работает ли она в секторе, указанном в Приложении 1 или 2 к Закону, и соответствует ли она критериям размера. Закон предусматривает два пути:
- Самостоятельная регистрация: распространяется на большинство предприятий. Заявки можно подавать с 7 мая 2026 года, а крайний срок — 3 октября 2026 года. Дочерние компании существующих поставщиков основных услуг также могут подавать собственные заявки, если они соответствуют требованиям.
- Внесение данных по собственной инициативе: Министр цифровых технологий вносит в реестр, в частности, телекоммуникационные компании, поставщиков доверительных услуг, государственные организации, организации критической инфраструктуры и действующих поставщиков основных услуг, на основе государственных реестров. Эти организации не подают заявку на внесение данных. Однако они обязаны предоставить недостающие данные в течение шести месяцев с момента получения запроса под угрозой штрафа. Изменения вносятся посредством заявки на внесение изменений в запись, которая должна также охватывать деятельность организации, не включенную в запись по собственной инициативе.
Организации, которые впоследствии выполнят условия, например, в результате увеличения численности персонала или расширения бизнеса, имеют 6 месяцев с этой даты для подачи заявки.
Что представляет собой запись в списке?
Данная запись носит декларативный характер. Она не создает статус ключевого или важного субъекта, а лишь подтверждает его. Следовательно, обязательства, вытекающие из Закона, возникают после выполнения условий, независимо от того, подала ли субъект заявку. Запись вносится после подачи заявки в ИТ-систему. Орган не принимает решения по данному вопросу, и субъекту не нужно ждать его рассмотрения.
Как подать заявку?
Заявка подается исключительно в электронном виде через приложение KSC List (wykaz-ksc.gov.pl), которое является частью системы S46. На практике необходимо:
- Подготовка данных: Заявление должно содержать данные, перечисленные в статье 7, пункте 2, подпунктах 1–18 Закона, в частности:
- название организации;
- сектор, подсектор и вид деятельности;
- Адреса зарегистрированного офиса и корреспонденции;
- Номера NIP и REGON;
- Диапазон постоянно используемых общедоступных IP-адресов и интернет-доменов;
- декларирование размера предприятия;
- информация о странах ЕС, в которых действует данная организация;
- Информация о договоре с поставщиком услуг по управлению кибербезопасностью, если таковой будет заключен.
Организация, осуществляющая несколько видов деятельности, должна указать их отдельно в заявлении.
- Укажите контактных лиц: В заявлении указываются контактные данные организаций, входящих в национальную систему кибербезопасности. Как правило, организация назначает не менее двух таких лиц, а микро- и малые предприятия — не менее одного. Для лица, которое будет выступать в качестве администратора учетной записи организации в системе S46, необходимо также указать номер PESEL или идентификатор электронного идентификационного устройства.
- Необходимо предоставить заявление от руководителя: Заявление включает в себя заявление от руководителя организации, сделанное под страхом наказания за лжесвидетельство (статья 233 § 6 Уголовного кодекса), подтверждающее достоверность данных. Эта ответственность не распространяется на диапазоны IP-адресов и доменные имена.
- Подписание заявления: Заявление должно быть подписано квалифицированной электронной подписью, доверенной подписью или личной подписью руководителя организации или уполномоченного лица. Также может использоваться квалифицированная электронная печать, идентифицирующая лицо, использующее ее.
- Приложите доверенность (если применимо): При действии через доверенное лицо приложите электронную доверенность. Это не требуется для доверенного лица, зарегистрированного в Национальном судебном реестре, или доверенного лица, зарегистрированного в Центральном реестре и информации о предпринимательской деятельности.
Пожалуйста, убедитесь, что ваша заявка заполнена полностью. Заявка не будет принята, если в ней отсутствуют необходимые данные, заявление руководителя или подпись. Несоответствие этим требованиям может привести к пропуску крайнего срока.
Что произойдёт после регистрации?
Эта запись инициирует следующий этап соблюдения требований Закона. После завершения:
- Сертификат: По запросу министр цифровых технологий выдает электронный сертификат регистрации. Это может быть полезно, например, во взаимоотношениях с подрядчиками.
- Обновление данных: О любых изменениях данных, указанных в записи, необходимо сообщить в течение 14 дней.
- Использование системы S46: После регистрации организация начинает использовать систему S46, которая, помимо прочего, используется для сообщения об инцидентах и связи с группами реагирования на инциденты в области компьютерной безопасности (CSIRT). Организации, отвечающие требованиям с 3 апреля 2026 года, должны сделать это не позднее 3 апреля 2027 года.
- Выполнение основных обязательств: К 3 апреля 2027 года организации должны внедрить систему управления информационной безопасностью (СУИБ) и выполнить другие обязательства, предусмотренные главой 3 Закона.
Какие последствия влечет за собой отсутствие регистрации?
Если организация не подает заявку в установленный срок, орган, ответственный за кибербезопасность, может внести ее в реестр по собственной инициативе (статья 7j). Затем он требует от организации дополнить данные в течение шести месяцев. Непредоставление данных, несмотря на запрос, является отдельным основанием для наложения штрафа. Непредставление заявки в установленный срок также является отдельным основанием для наложения штрафа (статья 73, пункт 1а, подпункт 1). Размер штрафа составляет:
- Для ключевого подразделения: до 10 миллионов евро или 2% от выручки от хозяйственной деятельности, полученной в предыдущем финансовом году (в зависимости от того, какая сумма больше), но не менее 20 000 злотых;
- Для крупного предприятия: до 7 миллионов евро или 1,4% от выручки от хозяйственной деятельности, полученной в предыдущем финансовом году (в зависимости от того, какая сумма больше), но не менее 15 000 злотых.
Независимо от штрафа, наложенного на организацию, отдельный штраф может быть наложен лично на руководителя организации (статья 73а). Он составляет до 300% от вознаграждения, рассчитанного по правилам определения отпускных, а в случае руководителя государственного предприятия — как правило, до 100%. В соответствии с переходным положением поправки к закону, эти штрафы могут быть наложены впервые только через два года после его вступления в силу, то есть с 3 апреля 2028 года. Согласно заявлению Министерства цифровых дел, решению о наложении штрафа будет предшествовать предупреждение.
Организации, пропустившие крайний срок 3 октября, должны подать заявку сразу после этой даты. Поздняя регистрация гораздо лучше, чем ее отсутствие.
Вкратце, ближайшие несколько дней — это последняя возможность подтвердить статус вашей организации и подать заявку на внесение в реестр KSC. Процедура полностью электронная, но требует сбора полных данных, включая технические данные, и подписи руководителя организации или уполномоченного лица.
Данная статья носит исключительно информационный характер и не является юридической консультацией.
Законодательство действует по состоянию на 1 октября 2026 года.
