Срок подачи заявки на включение в список ключевых и важных организаций (список КСЦ) истек в субботу, 3 октября 2026 года. Этот срок распространялся на организации, отвечавшие критериям признания ключевыми или важными организациями на дату вступления в силу поправок к Закону о национальной системе кибербезопасности, 3 апреля 2026 года. Однако пропуск крайнего срока не препятствует включению в список, а разумные корректирующие действия могут значительно снизить риск, связанный с задержками.
Проверка статуса
Прежде чем организация сочтет, что она пропустила крайний срок, ей следует убедиться, что она действительно его выполнила. На практике стоит проверить три вещи:
- Закон определяет сектор и вид фактической хозяйственной деятельности, как указано в Приложениях 1 и 2 к Закону, а также, как правило, размер предприятия. Учитывается именно фактическая деятельность, а не сам код PKD. При определении размера, как правило, учитываются данные партнерских и аффилированных предприятий. Однако Закон предусматривает исключение для независимых от них организаций в отношении информационных систем. По данным Министерства цифровых дел, данные таких предприятий не включаются, если предоставление услуг организацией не требует их деятельности или если они не предоставляют услуги, подпадающие под действие Закона. Компаниям, входящим в состав групп капитала, следует особенно тщательно проанализировать этот вопрос.
- Министр цифровых технологий официально внес в реестр, среди прочих, государственные учреждения, телекоммуникационные компании, поставщиков доверительных услуг и действующих операторов основных услуг. Эти организации не подавали заявку на внесение в реестр. Однако они обязаны дополнить свои данные в течение шести месяцев с момента получения запроса, а также сообщить о любой деятельности, не охваченной официальным внесением в реестр.
- Крайний срок 3 октября применялся только к организациям, которые соответствовали критериям по состоянию на 3 апреля 2026 года. Если организация впоследствии стала ключевым или важным субъектом, например, в результате увеличения численности персонала, приобретения или начала нового бизнеса, у нее есть шесть месяцев с этой более поздней даты. В таком случае крайний срок может еще не истечь.
Подайте заявку немедленно!
Если анализ подтвердит, что организация должна была подать заявку до 3 октября, ей следует сделать это как можно скорее. Заявка подается в электронном виде через приложение KSC Register (wykaz-ksc.gov.pl), которое является частью системы S46. Процедура та же, что и до крайнего срока. Регистрация происходит после подачи полной и надлежащим образом подписанной заявки, и орган власти не принимает решения по этому вопросу.
Документирование ситуации
Наложение штрафа за несвоевременную подачу заявления является необязательным. Орган власти может наложить штраф, если этого требуют серьезность и значимость нарушенных положений. Директива NIS2 (статья 34, пункт 2) также гласит, что при принятии решения о наложении штрафа учитываются, среди прочего, продолжительность нарушения, принятые организацией меры и степень ее сотрудничества с органом власти. Поэтому целесообразно подготовить документацию, которая позволит в будущем подтвердить добросовестный подход организации. Эта документация должна включать:
- Описание того, когда и как организация определила свой статус, а также обоснование принятой классификации.
- Фактическое объяснение обстоятельств, например, сомнения в толковании того, подпадает ли конкретная деятельность под действие Закона.
- Дата подачи заявления и предпринятые шаги по внесению изменений.
Закон не обязывает самостоятельно информировать орган власти о причинах задержки. Однако подготовленная заранее документация будет ценным материалом, если орган власти заинтересуется этим вопросом.
Дальнейшие действия
Подача заявки после установленного срока исправляет лишь один недостаток. Заявка носит декларативный характер, и обязательства, вытекающие из Закона, применяются к организации с даты выполнения условий, независимо от регистрации. Организации, которые опаздывают с регистрацией, имеют меньше времени для последующих шагов. К 3 апреля 2027 года они должны начать использовать систему S46 и внедрить систему управления информационной безопасностью (СУИБ), а также выполнить оставшиеся обязательства в соответствии с главой 3 Закона. Дорожную карту внедрения СУИБ мы обсуждали в предыдущей статье этой серии.
Какие последствия влечет за собой отсутствие регистрации?
Если организация по-прежнему не подает заявку, орган по кибербезопасности может внести ее в реестр по собственной инициативе (статья 7j Закона). Затем он запрашивает у организации дополнительную информацию в течение шести месяцев. Невыполнение запроса является отдельным основанием для наложения штрафа. Простое непредставление заявки в установленный срок наказывается штрафом (статья 73, пункт 1а, подпункт 1) в размере:
- Для ключевого подразделения: до 10 миллионов евро или 2% от выручки от хозяйственной деятельности, полученной в предыдущем финансовом году (в зависимости от того, какая сумма больше), но не менее 20 000 злотых;
- Для крупного предприятия: до 7 миллионов евро или 1,4% от выручки (в зависимости от того, что больше), но не менее 15 000 злотых.
Согласно переходным положениям поправки к закону, эти штрафы могут быть наложены впервые только с 3 апреля 2028 года. Однако переходный период лишь откладывает наложение штрафов. Он не освобождает от обязательств и не означает, что задержки будут незначительными. Регистрация по собственной инициативе, даже с задержкой, ставит организацию в гораздо более выгодное положение, чем ожидание официальной регистрации.
Вкратце, крайний срок 3 октября не означает, что ситуация в организации решена. Сейчас самое важное — действовать быстро и систематически: подтвердить статус, оперативно подать достоверную заявку, задокументировать обстоятельства задержки и привлечь к процессу правление. Параллельно организация должна продолжать подготовку к внедрению системы управления информационной безопасностью (СУИБ), поскольку до апреля 2027 года осталось чуть более шести месяцев.
Данная статья носит исключительно информационный характер и не является юридической консультацией.
Законодательство действует по состоянию на 8 октября 2026 года.
