Aktualizacja z 15 sierpnia 2026 r. Pierwotna wersja tego artykułu (kwiecień 2026) opisywała samoidentyfikację jako obowiązek każdego podmiotu. Od tego czasu Minister Cyfryzacji dokonał wpisów z urzędu (13 kwietnia - 6 maja 2026 r.), które objęły m.in. urzędy JST i pozostałe podmioty publiczne. Artykuł został zaktualizowany: opisuje obie ścieżki wpisu i właściwe dla nich terminy.
3 października 2026 roku to data, która zaskoczy część polskich firm i instytucji. Do tego dnia podmiot objęty ustawą o krajowym systemie cyberbezpieczeństwa (wdrażającą dyrektywę NIS2), którego nie wpisano do wykazu z urzędu, musi sam złożyć wniosek o wpis do wykazu podmiotów kluczowych i ważnych (wykaz KSC, aplikacja wykaz-ksc.gov.pl). Bez urzędowego zaproszenia - wystarczy, że podmiot spełnia kryteria, a obowiązek powstaje z mocy prawa.
Druga ścieżka dotyczy podmiotów wpisanych z urzędu przez Ministra Cyfryzacji między 13 kwietnia a 6 maja 2026 r. - to m.in. urzędy gmin i miast, starostwa oraz inne podmioty publiczne, a także dotychczasowi operatorzy usług kluczowych. Te podmioty nie składają wniosku o wpis. Otrzymują natomiast wezwanie do uzupełnienia danych i mają na to 6 miesięcy od dnia doręczenia wezwania - termin liczony indywidualnie dla każdego podmiotu (wezwanie doręczone 15 maja oznacza termin do 15 listopada 2026 r.).
Zaniechanie któregokolwiek z tych obowiązków to nie tylko ryzyko sankcji administracyjnej dla podmiotu, ale i osobista odpowiedzialność kierownika podmiotu - w polskiej ustawie reguluje ją art. 8c, a przepisy o karach przewidują karę pieniężną także dla samego kierownika.
Cztery terminy, które trzeba znać
Polska ustawa o krajowym systemie cyberbezpieczeństwa po nowelizacji uchwalonej 23 stycznia 2026 r. wprowadziła następujący harmonogram:
- 3 kwietnia 2026 - znowelizowana ustawa o KSC wchodzi w życie.
- 13 kwietnia 2026 - Ministerstwo Cyfryzacji uruchamia wykaz podmiotów kluczowych i ważnych; do 6 maja trwają wpisy z urzędu.
- 3 października 2026 - upływa termin złożenia wniosku o wpis dla podmiotów, które spełniały przesłanki 3 kwietnia 2026 r., a nie zostały wpisane z urzędu. Podmioty wpisane z urzędu mają zamiast tego 6 miesięcy na uzupełnienie danych, liczone od doręczenia wezwania.
- 3 kwietnia 2027 - koniec okresu dostosowawczego: wdrożony system zarządzania bezpieczeństwem informacji (SZBI) i operacyjne korzystanie z systemu S46.
Ustawa objęła ponad 10 tysięcy podmiotów (wobec ok. 400 dotychczasowych operatorów usług kluczowych) w kilkunastu sektorach - znaczna część z nich dotąd nie miała żadnych ustawowych obowiązków cyberbezpieczeństwa.
Kogo dotyczy NIS2 - 18 sektorów do sprawdzenia
Lista sektorów jest podzielona na dwa załączniki dyrektywy: Załącznik I - sektory kluczowe (ang. essential), Załącznik II - sektory ważne (ang. important). Różnica nie jest jedynie semantyczna - przekłada się na progi sankcji i intensywność nadzoru.
Do sektorów kluczowych (Załącznik I) należą:
- energetyka (elektryczność, ropa, gaz, wodór);
- transport (lotniczy, kolejowy, morski, drogowy);
- bankowość, w zakresie nieobjętym DORA;
- infrastruktura rynków finansowych, w zakresie nieobjętym DORA;
- ochrona zdrowia (szpitale, laboratoria, producenci leków);
- woda pitna i ścieki;
- infrastruktura cyfrowa (chmura, IXP, DNS, TLD, CDN);
- ICT B2B, czyli dostawcy usług zarządzanych;
- administracja publiczna;
- przestrzeń kosmiczna.
Do sektorów ważnych (Załącznik II) należą:
- usługi pocztowe i kurierskie;
- gospodarka odpadami;
- produkcja i dystrybucja chemikaliów;
- produkcja, przetwórstwo i dystrybucja żywności;
- produkcja maszyn, pojazdów i innych urządzeń;
- dostawcy usług cyfrowych, którzy obejmują marketplace, wyszukiwarki oraz sieci społecznościowe;
- badania naukowe.
Próg wielkości - filtr dla firm, nie dla sektora publicznego
W sektorze prywatnym obowiązki powstają co do zasady u podmiotów działających w sektorach z załączników, które spełniają co najmniej jedno z dwóch kryteriów wielkościowych:
- podmiot zatrudnia co najmniej 50 pracowników;
- podmiot osiąga roczny obrót lub sumę bilansową powyżej 10 mln EUR.
Uwaga: podmioty publiczne kwalifikują się inną ścieżką - o ich statusie przesądza charakter podmiotu, a nie progi obrotowe. Dlatego urzędy JST znalazły się w wykazie niezależnie od budżetu.
To oznacza, że nowa ustawa o KSC obejmuje znacznie szerszy krąg niż jej poprzednia wersja. Średnie firmy energetyczne, mniejsze szpitale powiatowe, gminne zakłady wodociągowe, regionalni operatorzy transportu, producenci żywności średniej skali - wszyscy mogą podlegać ustawie i nie mieć tego świadomości.
Najczęstszy błąd: „czekamy na pismo z urzędu”
Z perspektywy konsultingu prawniczego obserwujemy zaskakująco częstą reakcję: „skoro NIS2 nas dotyczy, to państwo nas zawiadomi i wyznaczy termin”. W sektorze prywatnym to błąd, który może kosztować kierownictwo osobiście - wpisy z urzędu objęły podmioty publiczne i dotychczasowych operatorów usług kluczowych, ale zwykła firma z sektorów załącznikowych żadnego pisma nie dostanie.
Jeżeli podmiotu nie wpisano z urzędu, to on sam ma obowiązek ustalić swój status i złożyć wniosek. W praktyce oznacza to:
- Sprawdzić przynależność do któregokolwiek z sektorów Załącznika I lub II.
- Zweryfikować progi wielkości: liczbę pracowników, obrót i sumę bilansową.
- Ustalić status, kluczowy albo ważny - od tego zależą progi sankcji i obowiązek audytu.
- Złożyć wniosek o wpis do wykazu KSC (wykaz-ksc.gov.pl) do 3 października 2026 roku; wpis następuje z chwilą złożenia kompletnego wniosku.
- Zgłaszać każdą zmianę danych w wykazie w terminie 14 dni.
Podmiot wpisany z urzędu wykonuje zamiast tego jeden obowiązek: uzupełnia dane wskazane w wezwaniu w ciągu 6 miesięcy od jego doręczenia - m.in. zakresy publicznych adresów IP, domeny, osobę kontaktową i administratora konta w systemie S46.
Konsekwencje zaniechania
Sankcje w ustawie o KSC są wielowarstwowe, przy czym ustawodawca przewidział dwuletni okres ochronny - kary pieniężne mogą być nakładane najwcześniej od 3 kwietnia 2028 r.:
- Sankcje administracyjne dla podmiotu: dla podmiotów kluczowych do 10 mln EUR lub 2% przychodu, dla podmiotów ważnych - do 7 mln EUR lub 1,4% przychodu.
- Kara pieniężna dla kierownika podmiotu - co do zasady do wysokości rocznego wynagrodzenia, a w określonych ustawą przypadkach do jego trzykrotności; obowiązki kierownika reguluje art. 8c ustawy o KSC i nie zdejmuje ich powierzenie zadań innej osobie.
Do tego dochodzi odpowiedzialność karna za złożenie fałszywego oświadczenia przy wpisie do wykazu, a organ może publicznie ujawnić naruszenie.
Procedura incydentów - trzy progi raportowania
Gdy podmiot zostanie już zidentyfikowany i zarejestrowany, kluczową obowiązkową procedurą jest raportowanie incydentów cyberbezpieczeństwa zgodnie z art. 23 NIS2 i polską ustawą UKSC. Obowiązują trzy progi czasowe:
| Termin | Co należy zgłosić | Komu |
|---|---|---|
| 24 godziny | Notyfikacja wstępna o incydencie | Właściwy CSIRT (NASK / GOV / MON) |
| 72 godziny | Raport pośredni z oceną wpływu | Właściwy CSIRT |
| 1 miesiąc | Sprawozdanie końcowe z analizą i działaniami naprawczymi | Właściwy CSIRT |
W Polsce zgłoszenia odbywają się przez system S46 prowadzony przez Ministerstwo Cyfryzacji (moduł operacyjny S46 Cyber Hub udostępniany jest podmiotom z wykazu od 12 czerwca 2026 r.). Trzy CSIRT-y krajowe (CSIRT NASK, CSIRT GOV przy ABW, CSIRT MON) odbierają zgłoszenia w zależności od sektora - dla JST właściwy jest CSIRT NASK. Brak terminowego zgłoszenia podlega karze pieniężnej (nakładanej najwcześniej od 3 kwietnia 2028 r.).
10 obszarów cyberbezpieczeństwa z art. 21 NIS2
Pełna zgodność wymagana do 3 kwietnia 2027 obejmuje politykę cyberbezpieczeństwa pokrywającą wszystkie 10 obszarów wymienionych w art. 21 dyrektywy:
- analiza ryzyka i bezpieczeństwo systemów informacyjnych,
- obsługa incydentów,
- ciągłość działania: zarządzanie kryzysowe, kopie zapasowe, plany odzyskiwania,
- bezpieczeństwo łańcucha dostaw, w tym dostawców i ICT B2B,
- bezpieczeństwo nabywania, rozwoju i utrzymania systemów informatycznych,
- ocena skuteczności środków zarządzania ryzykiem,
- podstawowa cyberhigiena i szkolenia,
- kryptografia i szyfrowanie,
- bezpieczeństwo zasobów ludzkich, kontrola dostępu, zarządzanie aktywami,
- uwierzytelnianie wieloskładnikowe (MFA) oraz bezpieczna komunikacja głosowa i tekstowa.
Każdy z tych obszarów to osobny dokument operacyjny, nie deklaracja. Generyczne polityki bez tej granulacji nie spełniają wymogów dyrektywy.
Jak wygląda pełen pakiet NIS2 w Kancelarii Kozłowski
Kompletny pakiet dokumentacji obejmuje wszystkie obszary art. 21 NIS2 oraz pełną integrację z polskim systemem zgłoszeń S46 i trzema CSIRT-ami. Wdrażamy w trzech etapach:
Etap 1 - status i wykaz: ustalenie statusu (kluczowy/ważny), wniosek o wpis albo uzupełnienie danych po wezwaniu - z terminem właściwym dla Państwa ścieżki Etap 2 - pełna polityka cyber (do 03.04.2027): 10 obszarów art. 21, BCP, DRP, bezpieczeństwo łańcucha dostaw, polityka kryptografii Etap 3 - operacjonalizacja (ciągle): procedury incydentów S46, plan szkoleń cyber, audyty wewnętrzne, raporty dla kierownictwa
Przygotowanie obejmuje strukturalną analizę działalności klienta z biblioteki 230+ ankiet branżowych - energetyka, ochrona zdrowia, JST, telekomunikacja, ICT, dostawcy chmury, marketplace mają zupełnie różne profile ryzyka cybernetycznego. Dokumentacja jest dostosowana do każdej branży osobno.
Sześć poziomów weryfikacji + podpis radcy prawnego z OC 10 mln PLN. 12 miesięcy aktualizacji w cenie - gdy ukażą się dalsze RTS / wytyczne MC, klient otrzymuje zaktualizowane dokumenty automatycznie.
Nie wiedzą Państwo, którą ścieżką idzie Wasz podmiot i który termin go wiąże? Odpowiedź daje test statusu: kilka pytań, wynik od razu na ekranie.
Wstępny audyt zgodności prowadzimy nieodpłatnie. W 7 dni roboczych rozstrzyga, czy podmiot podlega ustawie o KSC, czy jest kluczowy, czy ważny, oraz co zrobić w pierwszej kolejności.