Termin 3 października 2026 r. dla podmiotów, które spełniały przesłanki wpisu już w dniu wejścia w życie nowelizacji ustawy o KSC, minął. Nie oznacza to jednak, że temat rejestracji jest zamknięty: oficjalne FAQ wskazuje, że samorejestracja pozostaje dostępna, a podmioty spełniające przesłanki później mają na wpis 6 miesięcy od dnia ich spełnienia. Poniżej wyjaśniamy, co sprawdzić po terminie i jakie obowiązki następują po wpisie.
Termin minął - co zrobić teraz?
Jeżeli Twoja organizacja spełniała przesłanki uznania za podmiot kluczowy lub ważny 3 kwietnia 2026 r. i nie podlegała wpisowi z urzędu, termin na złożenie wniosku upłynął 3 października 2026 r. W takiej sytuacji nie należy uznawać, że brak wpisu zwalnia z pozostałych obowiązków. W pierwszej kolejności:
- udokumentuj samoidentyfikację - zweryfikuj sektor, faktycznie prowadzoną działalność, wielkość podmiotu oraz wyjątki wskazane w art. 5 ustawy;
- ustal właściwy tryb wpisu - samorejestrację albo wpis z urzędu;
- jeżeli podlegasz samorejestracji, skorzystaj z aplikacji Wykaz KSC, która według oficjalnego FAQ pozostaje dostępna;
- w przypadku wątpliwości prawnych lub spóźnienia skontaktuj się z właściwym organem albo prawnikiem - kwalifikacja podmiotu i konsekwencje konkretnej sytuacji wymagają indywidualnej oceny.
Oficjalne materiały nie przewidują, że samo przekroczenie terminu automatycznie usuwa możliwość złożenia wniosku. Jednocześnie niezłożenie wniosku w ustawowym terminie może stanowić naruszenie, dlatego nie warto odkładać analizy ani dalszych działań.
Dwa tryby wpisu do Wykazu
Ustawa o KSC (Dz.U. 2026 poz. 252), wdrażająca unijną dyrektywę NIS2, przewiduje dwa odrębne tryby wpisu do Wykazu podmiotów kluczowych i ważnych:
- Wpis z urzędu - dotyczy m.in. podmiotów publicznych, przedsiębiorców telekomunikacyjnych, dostawców usług zaufania oraz dotychczasowych operatorów usług kluczowych. Podmioty te nie składają odrębnego wniosku. Po otrzymaniu zawiadomienia i wezwania uzupełniają brakujące dane w terminie 6 miesięcy od doręczenia wezwania.
- Samorejestracja - dotyczy pozostałych podmiotów spełniających kryteria ustawowe. Podmioty, które spełniały je 3 kwietnia 2026 r., powinny były złożyć wniosek do 3 października 2026 r. Jeżeli organizacja zacznie spełniać przesłanki później, ma 6 miesięcy od dnia ich spełnienia. Oficjalne FAQ KSC potwierdza, że samorejestracja jest dostępna przez cały czas.
Jak sprawdzić, czy Twoja firma podlega obowiązkowi rejestracji
Kwalifikacja prawna opiera się na trzech obszarach, które trzeba przeanalizować łącznie:
- Sektor i faktycznie prowadzona działalność - załączniki nr 1 i 2 do ustawy wymieniają konkretne sektory, podsektory oraz rodzaje działalności. Sam kod PKD ma charakter pomocniczy.
- Wielkość podmiotu - co do zasady analizuje się liczbę zatrudnionych oraz obrót lub sumę bilansową zgodnie z unijnymi zasadami kwalifikacji przedsiębiorstw. Ustawa przewiduje również wyjątki od kryterium wielkości.
- Szczególne przesłanki z art. 5 ustawy - w określonych przypadkach podmiot może podlegać ustawie niezależnie od standardowych progów, np. ze względu na znaczenie świadczonej usługi.
Ministerstwo Cyfryzacji opublikowało szczegółową instrukcję samoidentyfikacji. W razie niejednoznacznej działalności, powiązań kapitałowych albo wątpliwości dotyczących wyjątków warto potwierdzić kwalifikację prawną przed złożeniem wniosku.
Co dzieje się po wpisie
Wpis do Wykazu nie kończy przygotowań. Jest formalnym początkiem realizacji obowiązków dotyczących cyberbezpieczeństwa. Podmiot uzyskuje dostęp do Systemu S46, który służy m.in. do komunikacji z właściwymi organami i zespołami CSIRT oraz obsługi zgłoszeń incydentów.
Organizacja powinna równolegle zaplanować zarządzanie ryzykiem, bezpieczeństwo systemów informacyjnych, obsługę incydentów, ciągłość działania, bezpieczeństwo łańcucha dostaw, szkolenia oraz nadzór kierownictwa. Zakres powinien wynikać z rzeczywistych usług, systemów i ryzyk podmiotu, a nie z samego faktu dokonania wpisu.
Kolejne terminy
Zgodnie z harmonogramem Ministerstwa Cyfryzacji:
- 3 kwietnia 2027 r. - dla podmiotów, które spełniały przesłanki już w dniu wejścia w życie nowelizacji, upływa okres na rozpoczęcie korzystania z S46 oraz wdrożenie obowiązków wynikających z ustawy, w tym odpowiedniego systemu zarządzania bezpieczeństwem informacji.
- 3 kwietnia 2028 r. - upływa termin pierwszego audytu dla podmiotów kluczowych, które wcześniej nie były operatorami usług kluczowych. Dotychczasowi operatorzy zachowują swój cykl audytowy.
- 3 kwietnia 2028 r. - zgodnie z oficjalnym harmonogramem od tego dnia mają być stosowane przepisy dotyczące kar pieniężnych; postępowanie ma być poprzedzone ostrzeżeniem i informacją o wstępnych ustaleniach.
Dla podmiotu, który zaczął spełniać przesłanki później, terminy należy liczyć zgodnie z ustawą od właściwego zdarzenia, a nie automatycznie od dat granicznych przewidzianych dla organizacji objętych regulacją 3 kwietnia 2026 r.
Czy brak wpisu może prowadzić do kary?
Art. 73 ustawy przewiduje możliwość nałożenia kary za niezłożenie wniosku w wymaganym terminie, jeżeli przemawia za tym waga i znaczenie naruszenia. Nie oznacza to automatycznej kary za każdy przypadek spóźnienia. Oficjalny harmonogram Ministerstwa Cyfryzacji wskazuje 3 kwietnia 2028 r. jako początek stosowania przepisów o karach oraz przewiduje wcześniejsze ostrzeżenie podmiotu.
Jeżeli termin został przekroczony, najbezpieczniej nie ograniczać się do oczekiwania na kontakt organu: trzeba ustalić swój status, zachować dowody przeprowadzonej analizy i podjąć odpowiednie działania formalne. Ten artykuł ma charakter informacyjny i nie zastępuje indywidualnej porady prawnej.
KSC, SZBI i ISO 27001 - trzy różne pojęcia
Obowiązek wpisu do Wykazu KSC, obowiązek wdrożenia systemu zarządzania bezpieczeństwem informacji zgodnego z ustawą oraz dobrowolna certyfikacja ISO 27001 to trzy odrębne kwestie. ISO 27001 może dostarczyć uporządkowanych ram dla budowy SZBI, ale sam certyfikat nie zastępuje wpisu ani nie potwierdza automatycznie spełnienia wszystkich wymagań ustawy.
Relację między regulacją a normą omawiamy szerzej w artykule ISO 27001 a NIS2 - czy firma musi się certyfikować. Jeżeli chcesz uporządkować sam system zarządzania bezpieczeństwem informacji, zacznij od praktycznego przewodnika po ISO 27001.
Najczęściej zadawane pytania
Czy po 3 października 2026 r. nadal można złożyć wniosek?
Oficjalne FAQ wskazuje, że samorejestracja jest dostępna przez cały czas. Dla podmiotów spełniających przesłanki 3 kwietnia 2026 r. ustawowy termin już jednak minął, dlatego dalszego działania nie należy odkładać.
Czy 3 października był terminem dla każdej firmy?
Nie. Dotyczył podmiotów zobowiązanych do samorejestracji, które spełniały przesłanki już 3 kwietnia 2026 r. Podmioty wpisywane z urzędu działają po otrzymaniu zawiadomienia, a organizacje spełniające przesłanki później mają co do zasady 6 miesięcy od dnia ich spełnienia.
Czy spóźniona rejestracja przesuwa termin wdrożenia pozostałych obowiązków?
Nie. Oficjalne FAQ wyjaśnia, że terminy realizacji obowiązków są co do zasady związane z momentem spełnienia przesłanek uznania za podmiot kluczowy lub ważny, a nie z dniem faktycznego wpisu.
Czy certyfikat ISO 27001 zwalnia z obowiązków KSC?
Nie. Certyfikacja może wspierać uporządkowanie SZBI, ale nie zastępuje wpisu do Wykazu ani pozostałych obowiązków ustawowych.
Gdzie potwierdzić sposób postępowania w indywidualnej sytuacji?
W pierwszej kolejności należy korzystać z Wykazu KSC, aktualnego FAQ na Cyber.gov.pl oraz informacji właściwego organu do spraw cyberbezpieczeństwa. W sprawach kwalifikacji prawnej lub możliwych konsekwencji spóźnienia właściwa jest konsultacja prawna.
Podstawa: ustawa o krajowym systemie cyberbezpieczeństwa (Dz.U. 2026 poz. 252), materiały Ministerstwa Cyfryzacji oraz FAQ KSC na Cyber.gov.pl. Stan źródeł zweryfikowany 9 października 2026 r.