Od maja 2026 roku do urzędów gmin, miast i starostw trafiają wezwania do uzupełnienia danych w wykazie podmiotów kluczowych i ważnych (wykazie KSC). W wielu jednostkach pismo leży w sekretariacie z pytaniem „co z tym właściwie zrobić i do kiedy”. Odpowiadamy — krok po kroku, z terminami liczonymi na przykładach.
Czym jest wykaz KSC
Wykaz podmiotów kluczowych i ważnych to rejestr prowadzony przez Ministra Cyfryzacji, uruchomiony 13 kwietnia 2026 r. w aplikacji Wykaz KSC (wykaz-ksc.gov.pl), działającej w ramach systemu S46. Wpis do wykazu jest pierwszym formalnym obowiązkiem każdego podmiotu objętego znowelizowaną ustawą o krajowym systemie cyberbezpieczeństwa — zanim jeszcze zacznie się wdrażanie zabezpieczeń.
Do wykazu prowadzą dwie różne ścieżki — i z każdej wynika inny termin:
| Ścieżka | Kogo dotyczy | Termin |
|---|---|---|
| Wpis z urzędu | m.in. urzędy JST i inne podmioty publiczne, dotychczasowi operatorzy usług kluczowych, przedsiębiorcy telekomunikacyjni, dostawcy usług zaufania (wpisy 13.04–6.05.2026) | uzupełnienie danych w 6 miesięcy od dnia doręczenia wezwania |
| Wniosek własny | podmioty spełniające przesłanki ustawy, których nie wpisano z urzędu (m.in. część spółek komunalnych i firm prywatnych) | wniosek o wpis do 3 października 2026 r. |
Jak policzyć swój termin — na przykładzie
Dla podmiotów wpisanych z urzędu termin nie jest wspólny — biegnie indywidualnie, od dnia doręczenia wezwania (a nie od wejścia ustawy w życie):
- wezwanie doręczone 15 maja 2026 → dane trzeba uzupełnić do 15 listopada 2026,
- wezwanie doręczone 20 czerwca 2026 → termin upływa 20 grudnia 2026,
- wezwanie doręczone 1 sierpnia 2026 → termin upływa 1 lutego 2027.
Datę doręczenia zna zwykle sekretariat albo osoba obsługująca doręczenia elektroniczne. Jeżeli wezwanie jeszcze nie dotarło — termin nie biegnie, ale warto monitorować skrzynkę do doręczeń, bo wezwania wysyła sukcesywnie NASK-PIB.
Co konkretnie trzeba uzupełnić
Minister wpisał z urzędu tylko te dane, które państwo ma w rejestrach publicznych (nazwa, NIP, REGON, adres, sektor). Formularz jest więc częściowo wypełniony, a jednostka dodaje przede wszystkim dane, których żaden rejestr nie zawiera. Pełny katalog danych wykazu obejmuje 18 pozycji; braki wyszczególnia doręczone wezwanie. W praktyce urzędy uzupełniają najczęściej:
- zakresy publicznych adresów IP wykorzystywanych w sposób ciągły,
- nazwy domen internetowych jednostki,
- osobę do kontaktu z krajowym systemem cyberbezpieczeństwa (imię, nazwisko, e-mail, telefon),
- administratora konta w systemie S46,
- adres do doręczeń elektronicznych, e-mail i telefon podmiotu,
- deklarację wielkości podmiotu,
- informację o usługach świadczonych w innych państwach UE,
- informację o umowach z dostawcami usług cyberbezpieczeństwa.
Sens tych danych jest operacyjny: adresy IP i domeny pozwalają zespołom CSIRT powiązać obserwowane zagrożenie z konkretnym urzędem, a osoba kontaktowa i administrator konta otwierają kanał zgłaszania incydentów. To zadanie administracyjne na godziny, nie projekt wdrożeniowy — projekt (SZBI) ma osobny termin: 3 kwietnia 2027 r.
Procedura w aplikacji Wykaz KSC — krok po kroku
- Zaloguj się w aplikacji Wykaz KSC (wykaz-ksc.gov.pl).
- Wybierz opcję „Wprowadź kod wezwania” i wpisz kod z doręczonego pisma.
- Kliknij „Rozpocznij uzupełnianie” i wypełnij brakujące pola.
- Przejdź do podsumowania i podpisz wniosek.
Rząd opublikował oficjalną instrukcję wpisu (7 maja 2026, m.in. na samorzad.gov.pl) oraz odrębną instrukcję uzupełniania danych po wezwaniu (na stronie systemu S46).
Czym jest system S46 (i S46 Cyber Hub)
S46 to rządowy system teleinformatyczny krajowego systemu cyberbezpieczeństwa — służy do zgłaszania incydentów, wymiany informacji o zagrożeniach i komunikacji z organami oraz CSIRT-ami. Aplikacja Wykaz KSC jest jego częścią rejestrową; moduł operacyjny (S46 Cyber Hub) jest udostępniany podmiotom z wykazu — nowym podmiotom od 12 czerwca 2026 r.
Kolejność jest więc taka: najpierw wpis i komplet danych w wykazie, potem konto i dostęp do modułu operacyjnego, a pełne, operacyjne korzystanie z S46 — najpóźniej do 3 kwietnia 2027 r., razem z wdrożonym SZBI.
Po uzupełnieniu danych — o czym pamiętać
- Zmiany danych zgłasza się w 14 dni (dotyczy m.in. zmiany osoby kontaktowej czy domen).
- Podmiot przekonany, że nie spełnia przesłanek ustawy, może w ciągu miesiąca złożyć wniosek o wykreślenie z wykazu.
- Za niewykonanie obowiązków rejestrowych ustawa przewiduje kary pieniężne dla podmiotu i kierownika — nakładane najwcześniej od 3 kwietnia 2028 r. Za złożenie fałszywego oświadczenia grozi odpowiedzialność karna — dlatego dane warto uzupełnić rzetelnie, nie „byle było”.
Najczęstsze pytania
Kto powinien być osobą do kontaktu z KSC? Osoba realnie dostępna i zorientowana w systemach jednostki — najczęściej informatyk albo sekretarz. Ustawa nie narzuca stanowiska; ważne, żeby dane były aktualne (zmiana = zgłoszenie w 14 dni).
Urząd nie wie, czy dostał wezwanie. Co robić? Sprawdzić skrzynkę do doręczeń elektronicznych i sekretariat, a w razie wątpliwości zalogować się do aplikacji Wykaz KSC — status wpisu jednostki będzie tam widoczny. Od ustalenia daty doręczenia zależy termin.
Czy spółka komunalna też jest w wykazie? Nie zawsze z urzędu. Jeżeli spółki nie wpisano, a spełnia przesłanki ustawy (np. wod-kan — sektor wody pitnej i ścieków), składa wniosek o wpis do 3 października 2026 r. To najczęstszy przypadek „przegapienia” terminu w samorządach.
Czy uzupełnienie danych kończy temat? Nie — to pierwszy z obowiązków. Do 3 kwietnia 2027 r. jednostka musi mieć wdrożony SZBI i działać w S46, a kierownik przechodzi coroczne szkolenie.
Nie wiesz, którą ścieżką idzie Twoja jednostka i który termin ją wiąże? Sprawdź w teście statusu — wynik od razu na ekranie. Wdrożenie można sfinansować ze środków zewnętrznych — przegląd aktualnych programów.