Cyberbezpieczeństwo

Wniosek o wpis do wykazu KSC: kto składa do 3.10.2026?

Wniosek o wpis do wykazu KSC: kto składa do 3.10.2026?

Krajowy System Cyberbezpieczeństwa: Kto musi złożyć wniosek o wpis do wykazu do 3 października 2026 r., a kto nie?

Wniosek o wpis do Wykazu KSC składają podmioty kluczowe i podmioty ważne, które spełniają kryteria ustawy o krajowym systemie cyberbezpieczeństwa i nie zostały wpisane do wykazu z urzędu. Dla podmiotów, które spełniały przesłanki 3 kwietnia 2026 r., czyli w dniu wejścia w życie nowelizacji, termin mija 3 października 2026 r. Wyznacza go harmonogram Ministra Cyfryzacji ogłoszony komunikatem z 8 kwietnia 2026 r. (Dz. Urz. MC poz. 7) na podstawie art. 34 ust. 3 ustawy nowelizującej i odpowiada on sześciomiesięcznemu terminowi z art. 7c ust. 1 ustawy. Podmioty, które przesłanki spełnią później, mają sześć miesięcy liczone od dnia ich spełnienia. Podmioty publiczne, przedsiębiorcy telekomunikacyjni, dostawcy usług zaufania, podmioty krytyczne oraz dotychczasowi operatorzy usług kluczowych idą inną ścieżką: czekają na wezwanie ministra i uzupełniają dane w wykazie.

Najważniejsze pojęcia

Dwie ścieżki wpisu, czyli sprawdź, która dotyczy Twojej organizacji

Rozróżnienie ma praktyczne konsekwencje w obie strony. Organizacja, która błędnie założy, że zostanie wpisana z urzędu, przegapi termin. Organizacja już wpisana nie składa drugiego wniosku, ponieważ tego samego podmiotu nie wpisuje się do wykazu dwukrotnie. Bierność nie oznacza jednak pozostania poza wykazem: organ właściwy do spraw cyberbezpieczeństwa prowadzi bieżącą analizę podmiotów w sektorze i wpisuje z urzędu podmiot, który sam się nie zarejestrował (art. 42 ust. 1 pkt 1 i 2 ustawy).

Samoidentyfikacja w trzech krokach

Ministerstwo Cyfryzacji opisuje proces jako sekwencję trzech analiz. Wykonaj je w tej kolejności. Pominięcie któregokolwiek etapu jest najczęstszym źródłem błędnej kwalifikacji.

Krok 1. Sprawdź sektor działalności

Zweryfikuj, czy Twoja działalność mieści się w sektorach i podsektorach wskazanych w załączniku nr 1 (podmioty kluczowe) albo załączniku nr 2 (podmioty ważne). Decyduje faktyczny zakres świadczonych usług lub wykonywanych zadań.

Kod PKD ma tu znaczenie wyłącznie pomocnicze, co wynika ze stanowiska Ministerstwa Cyfryzacji, a nie z brzmienia ustawy. Organizacja z pozornie neutralnym kodem może podlegać ustawie, jeśli realnie prowadzi działalność objętą załącznikiem. Działa to również w drugą stronę: sam kod z listy jeszcze niczego nie przesądza. To rozróżnienie warto udokumentować, ponieważ w razie kontroli trzeba wykazać zarówno tok rozumowania, jak i jego wynik.

Krok 2. Ustal wielkość podmiotu

Zastosuj progi mikro-, małego i średniego przedsiębiorstwa:

Kluczowa pułapka: przy obliczaniu wielkości uwzględnia się również przedsiębiorstwa powiązane i partnerskie. Spółka zatrudniająca czterdzieści osób, należąca do większej grupy kapitałowej, po zsumowaniu danych może przekroczyć próg średniego przedsiębiorstwa. Zasady liczenia wynikają z załącznika I do rozporządzenia 651/2014/UE, do którego odsyła wprost art. 5 ust. 1 i 2 ustawy. Przy badaniu wielkości nie stosuje się art. 3 ust. 4 tego załącznika (art. 5 ust. 3 ustawy), a przesłanki wielkościowe bada się według stanu na dzień sporządzenia sprawozdania finansowego (art. 5 ust. 5 ustawy).

Pułapka działa też w drugą stronę. Jeżeli podmiot przekracza próg wyłącznie przez zsumowanie danych z przedsiębiorstwami powiązanymi lub partnerskimi, ale jego system informacyjny jest niezależny od ich systemów albo nie świadczy on z nimi usług wspólnie, to nie jest podmiotem kluczowym ani podmiotem ważnym (art. 5 ust. 6 i 7 ustawy).

Krok 3. Przeanalizuj art. 5 ustawy

Ostatni etap to analiza przepisu określającego szczegółowe zasady uznania za podmiot kluczowy albo ważny. Art. 5 wskazuje między innymi przypadki, w których podmiot jest objęty ustawą niezależnie od swojej wielkości. Dobrym przykładem są przedsiębiorcy komunikacji elektronicznej, bo ustawa posługuje się tym pojęciem, szerszym niż przedsiębiorca telekomunikacyjny: wszyscy podlegają ustawie, przy czym duzi i średni są podmiotami kluczowymi (art. 5 ust. 1 pkt 2), a mali i mikro podmiotami ważnymi (art. 5 ust. 2 pkt 4). Niezależnie od wielkości podmiotami kluczowymi są także między innymi dostawcy usług DNS oraz kwalifikowani dostawcy usług zaufania (art. 5 ust. 1 pkt 4). Jeżeli podmiot spełnia wymogi obu kategorii, jest podmiotem kluczowym (art. 5 ust. 4).

Dopiero po tej analizie można stwierdzić, czy organizacja jest podmiotem kluczowym, podmiotem ważnym, czy pozostaje poza zakresem przepisów. W grupach międzynarodowych trzeba dodatkowo sprawdzić art. 5a ustawy, który wiąże obowiązki z miejscem zamieszkania lub prowadzeniem działalności na terytorium Rzeczypospolitej Polskiej.

Jak złożyć wniosek

  1. Wejdź na wykaz-ksc.gov.pl i zaloguj się przez Węzeł Krajowy, korzystając z Profilu Zaufanego, aplikacji mObywatel, e-dowodu, bankowości elektronicznej albo kwalifikowanego certyfikatu. Przy pierwszym logowaniu rejestrujesz konto użytkownika.
  2. Wybierz opcję wpisania nowego podmiotu i wypełnij formularz: dane podmiotu, klasyfikację sektorową, dane kontaktowe.
  3. Podpisz wniosek elektronicznie.

Wniosek składa i podpisuje kierownik podmiotu albo osoba przez niego upoważniona, a w razie potrzeby dołącza się pełnomocnictwo. Jeśli podpisać ma pełnomocnik, dokument trzeba przygotować z wyprzedzeniem. Wniosek zawiera oświadczenie kierownika podmiotu składane pod rygorem odpowiedzialności karnej za złożenie fałszywego oświadczenia z art. 233 § 6 Kodeksu karnego, przy czym odpowiedzialność ta nie obejmuje podania zakresów adresów IP oraz zakresów nazw domenowych (art. 7c ust. 5 ustawy).

Najczęstsze błędy przed 3 października

Co się dzieje po wpisie

Wpis do wykazu jest formalnym początkiem realizacji obowiązków ustawowych. Po nim organizacja wdraża środki zarządzania ryzykiem, zgłasza incydenty oraz przygotowuje się do nadzoru i audytu. Ustawa przewiduje okresy przejściowe: podmioty, które spełniały przesłanki 3 kwietnia 2026 r., realizują obowiązki z rozdziału 3 do 3 kwietnia 2027 r., a pierwszy audyt przeprowadzają do 3 kwietnia 2028 r. (art. 33 ust. 1 i 2 ustawy nowelizującej). Kolejne audyty odbywają się co najmniej raz na 3 lata.

Istotne jest też to, że sześciomiesięczny termin na wniosek działa również w przyszłości. Organizacja, która dopiero za rok przekroczy próg wielkościowy albo zmieni profil działalności, będzie miała sześć miesięcy od dnia spełnienia przesłanek. Niezależnie od tego zmianę danych objętych wpisem zgłasza się w terminie 14 dni od dnia ich zmiany (art. 7c ust. 3 ustawy). Samoidentyfikacja powinna więc stać się elementem stałych procedur wewnętrznych, powtarzanym przy każdej istotnej zmianie w organizacji.

Jak utrzymać to w organizacji

Największym wyzwaniem jest utrzymanie stanu, w którym organizacja w każdej chwili wie, jaki ma status, kto za co odpowiada i czym może to wykazać. Wymaga to uporządkowanych rejestrów, przypisanej odpowiedzialności, zebranych dowodów oraz harmonogramu terminów w jednym, dostępnym dla zespołu miejscu.

Quantifier.ai łączy platformę GRC z doradztwem ekspertów właśnie w tym układzie: technologia porządkuje powtarzalną pracę, ewidencję obowiązków i raportowanie do zarządu, a eksperci wspierają tam, gdzie potrzebna jest interpretacja przepisów i decyzja o kwalifikacji. Sama kwalifikacja podmiotu pozostaje oceną prawną i odpowiedzialnością organizacji, której nie zastąpi żadne narzędzie.

FAQ — najczęściej zadawane pytania

Czy każda firma musi złożyć wniosek o wpis do Wykazu KSC? Nie. Obowiązek dotyczy wyłącznie podmiotów kluczowych i ważnych w rozumieniu ustawy, które spełniają kryteria sektorowe i wielkościowe oraz nie zostały wpisane z urzędu.

Podlegamy ustawie, ale nie zdążymy do 3 października. Co robić? Należy jak najszybciej potwierdzić kwalifikację i złożyć wniosek. Obowiązek złożenia wniosku istnieje niezależnie od tego, czy podmiot figuruje już w wykazie. Obowiązki merytoryczne z rozdziału 3 objęte są natomiast okresami przejściowymi: 3 kwietnia 2027 r. dla wdrożenia i 3 kwietnia 2028 r. dla pierwszego audytu (art. 33 ust. 1 i 2 ustawy nowelizującej).

Jesteśmy jednostką samorządową. Składamy wniosek? Podmioty publiczne co do zasady podlegają wpisowi z urzędu. Po otrzymaniu wezwania uzupełnia się dane w wykazie w terminie sześciu miesięcy od doręczenia.

Czy status podmiotu kluczowego i ważnego może się zmienić w czasie? Tak. Zmiana profilu działalności lub przekroczenie progów wielkościowych może przenieść organizację do innej kategorii albo objąć ją ustawą po raz pierwszy. Dlatego status wymaga cyklicznej weryfikacji.

Kto w organizacji powinien odpowiadać za wniosek? Formalnie kierownik podmiotu albo osoba przez niego upoważniona. W praktyce warto, by analizę przygotował zespół compliance lub bezpieczeństwa, a decyzję o kwalifikacji zaakceptowało kierownictwo, ponieważ to ono ponosi odpowiedzialność za realizację zadań z zakresu cyberbezpieczeństwa.

Autor: Weronika Czaplewska 

Konsultacja merytoryczna: Ekspert ds. NIS2 i KSC

Źródła