Залишилося два дні до кінцевого терміну подання заявки на включення до переліку ключових та важливих суб’єктів (Список KSC). Цей обов’язок поширюється на суб’єкти, які відповідали критеріям визнання ключовими або важливими суб’єктами станом на 3 квітня 2026 року, дату набрання чинності поправкою до Закону про національну систему кібербезпеки. Кінцевий термін закінчується в суботу, 3 жовтня 2026 року.
На кого поширюється зобов'язання?
Заявку на вступ має подати кожна ключова або важлива організація протягом шести місяців після виконання критеріїв (стаття 7c, розділ 1 Закону). Відправною точкою є самоідентифікація. Організація сама оцінює, чи працює вона в секторі, зазначеному в додатку 1 або 2 до Закону, та чи відповідає вона критеріям розміру. Закон передбачає два шляхи:
- Самостійна реєстрація: Стосується більшості підприємств. Заявки можна подавати з 7 травня 2026 року, а кінцевий термін – 3 жовтня 2026 року. Дочірні компанії існуючих постачальників основних послуг також можуть подавати власні заявки, якщо вони відповідають вимогам.
- Запис за посадою: Міністр цифрових справ вніс до реєстру на основі публічних реєстрів телекомунікаційні компанії, постачальників трастових послуг, державні установи, критично важливі установи та існуючих постачальників основних послуг, серед інших. Ці установи не подають заявку на запис. Однак вони повинні надати відсутні дані протягом шести місяців з моменту отримання запиту під загрозою штрафу. Зміна вноситься шляхом подання заяви про внесення змін до запису, яка також повинна охоплювати діяльність установи, не включену до запису за посадою.
Суб'єкти господарювання, які відповідатимуть умовам пізніше, наприклад, в результаті збільшення зайнятості або розширення бізнесу, мають 6 місяців з цієї дати, щоб подати заявку.
Що таке запис у списку?
Запис має декларативний характер. Він не створює статусу ключового чи важливого суб'єкта, а радше підтверджує його. Таким чином, зобов'язання, що випливають із Закону, виникають після виконання умов, незалежно від того, чи подав суб'єкт заяву. Запис вноситься після подання заяви в ІТ-систему. Орган влади не видає рішення з цього питання, і суб'єкту не потрібно чекати на його розгляд.
Як подати заявку?
Заява подається виключно в електронному вигляді через додаток KSC List (wykaz-ksc.gov.pl), який є частиною системи S46. На практиці вам необхідно:
- Підготовка даних: Заява повинна містити дані, перелічені у статті 7, пункті 2, пунктах 1–18 Закону, зокрема:
- назва суб'єкта господарювання;
- сектор, підсектор та вид діяльності;
- зареєстрована адреса та адреса для листування;
- Номери NIP та REGON;
- діапазон публічних IP-адрес та інтернет-доменів, що використовуються безперервно;
- декларація про розмір підприємства;
- інформація про країни ЄС, в яких працює суб'єкт господарювання;
- інформація про договір з постачальником послуг керованої кібербезпеки, якщо він був укладений.
Суб'єкт господарювання, який здійснює кілька видів діяльності, повинен окремо зазначити їх у заяві.
- Призначити контактних осіб: Заявка містить контактні дані суб’єктів господарювання в рамках національної системи кібербезпеки. Як правило, суб’єкт господарювання призначає щонайменше двох таких осіб, а мікро- та малі підприємства – щонайменше одну. Для особи, яка діятиме як адміністратор облікового запису суб’єкта господарювання в системі S46, також необхідно надати номер PESEL або ідентифікатор пристрою електронної ідентифікації.
- Надати декларацію від керівника: Заява містить декларацію від керівника суб’єкта господарювання, зроблену під страхом кримінальної відповідальності за неправдиві свідчення (стаття 233 § 6 Кримінального кодексу), про те, що дані є правдивими. Ця відповідальність не поширюється на діапазони IP-адрес та доменні імена.
- Підпишіть заявку: Заявка має бути підписана кваліфікованим електронним підписом, довіреним підписом або особистим підписом керівника суб’єкта господарювання чи уповноваженої особи. Також може використовуватися кваліфікована електронна печатка, що ідентифікує особу, яка її використовує.
- Додайте довіреність (за наявності): Якщо ви дієте через довірену особу, додайте електронну довіреність. Це не потрібно для довіреної особи, зазначеної в Національному судовому реєстрі, або довіреної особи, зазначеної в Центральній реєстраційній та інформаційній системі бізнесу.
Будь ласка, переконайтеся, що ваша заявка повна. Заявка не буде прийнята, якщо в ній не буде необхідних даних, заяви керівника або підпису. Невиконання цих вимог може призвести до пропуску кінцевого терміну.
Що відбувається після моєї реєстрації?
Цей запис розпочинає наступний етап дотримання Закону. Після завершення:
- Сертифікат: На запит Міністр цифрових технологій видає електронний сертифікат про реєстрацію. Це може бути корисним, наприклад, у відносинах з підрядниками.
- Оновлення даних: Про будь-які зміни даних, що охоплюються заявкою, необхідно повідомити протягом 14 днів.
- Використання системи S46: Після реєстрації організація починає використовувати систему S46, яка використовується, серед іншого, для звітування про інциденти та зв'язку з CSIRT. Організації, що відповідають вимогам з 3 квітня 2026 року, повинні зробити це не пізніше 3 квітня 2027 року.
- Виконання основних зобов'язань: До 3 квітня 2027 року суб'єкти господарювання повинні впровадити систему управління інформаційною безпекою (СУІБ) та інші зобов'язання згідно з Розділом 3 Закону.
Які наслідки відсутності реєстрації?
Якщо суб’єкт господарювання не подає заявку у встановлений термін, орган, відповідальний за кібербезпеку, може додати її до реєстру за власною ініціативою (стаття 7j). Потім він вимагає від суб’єкта господарювання доповнити дані протягом шести місяців. Недоповнення даних, незважаючи на запит, є окремою підставою для накладення штрафу. Неподання заявки у встановлений термін також є окремою підставою для накладення штрафу (стаття 73, пункт 1a, пункт 1). Розмір штрафу становить:
- для ключового суб’єкта господарювання: до 10 мільйонів євро або 2% від доходів від господарської діяльності, досягнутих за попередній фінансовий рік (залежно від того, що більше), але не менше 20 000 злотих;
- для великого суб’єкта господарювання: до 7 мільйонів євро або 1,4% від доходів від господарської діяльності, отриманих за попередній фінансовий рік (залежно від того, що більше), але не менше 15 000 злотих.
Незалежно від штрафу, накладеного на суб'єкт господарювання, окремий штраф може бути накладено особисто на керівника суб'єкта господарювання (стаття 73a). Він становить до 300% від винагороди, розрахованої відповідно до правил, що застосовуються до визначення відпускних, а у випадку керівника публічної установи, як правило, до 100%. Відповідно до перехідного положення закону про внесення змін, ці штрафи можуть бути накладені вперше лише через два роки після набрання ним чинності, тобто з 3 квітня 2028 року. Згідно з оголошенням Міністерства цифрових технологій, рішення про штраф прийматиметься після попередження.
Організації, які пропустили крайній термін 3 жовтня, повинні подати свої заявки одразу після цієї дати. Пізня реєстрація набагато краща, ніж її відсутність.
Підсумовуючи, наступні кілька днів – це остання можливість підтвердити статус вашої організації та подати заявку на внесення до реєстру KSC. Процедура повністю електронна, але вимагає збору повних даних, включаючи технічні дані, та підпису керівника організації або уповноваженої особи.
Ця стаття призначена лише для ознайомлення та не є юридичною консультацією.
Закон чинний станом на 1 жовтня 2026 року.
