Nowelizacja ustawy o krajowym systemie cyberbezpieczeństwa (KSC), która weszła w życie 3 kwietnia 2026 r. i wdraża do polskiego prawa unijną dyrektywę NIS2, zmieniła zasadę, która przez lata była wygodna w swojej prostocie. Wcześniej to urząd wskazywał, kto podlega przepisom — firma dostawała decyzję albo nie dostawała nic. Dziś obowiązuje model samoidentyfikacji: to przedsiębiorca samodzielnie ocenia, czy jego firma jest podmiotem kluczowym lub ważnym, i jeśli tak — z własnej inicjatywy wpisuje się do Wykazu KSC. 

Dla zdecydowanej większości firm objętych ustawą termin na złożenie wniosku upływa 3 października 2026 r. Ten przewodnik przeprowadzi Cię przez całą drogę: od ustalenia, czy w ogóle podlegasz, przez rozpoznanie statusu, aż po praktyczne przygotowanie i wypełnienie wniosku w systemie S46. 

Najważniejsze w skrócie 

• Do 3 października 2026 r. firmy, które spełniały kryteria już 3 kwietnia 2026 r., muszą samodzielnie wpisać się do Wykazu KSC. 

• Obowiązuje model samoidentyfikacji — status ocenia firma, a nie urząd. Brak pisma z ministerstwa niczego nie oznacza. 

• Obowiązek dotyczy podmiotów kluczowych i ważnych z sektorów z załącznika nr 1 lub nr 2, spełniających kryteria wielkości. 

• Rejestracja jest wyłącznie elektroniczna — w aplikacji Wykaz KSC (wykaz-ksc.gov.pl), przez Węzeł Krajowy. 

• Wpis to dopiero początek: kolejne terminy to wdrożenie SZBI i raportowanie (do 3 kwietnia 2027 r.) oraz pierwszy audyt dla podmiotów kluczowych (do 3 kwietnia 2028 r.). 

• Kary sięgają 10 mln EUR lub 2% obrotu (podmiot kluczowy) i 7 mln EUR lub 1,4% obrotu (podmiot ważny); odpowiadać mogą też osoby zarządzające. 

Dlaczego nie warto czekać na pismo z urzędu?

Obecnie firmy czekają na pismo, które w modelu samoidentyfikacji po prostu nie przyjdzie. Prawidłowa samoidentyfikacja jest tu kluczowa — jej brak może prowadzić do naruszenia obowiązków ustawowych, a w konsekwencji do sankcji administracyjnych. Najczęściej zawodzi pierwszy krok: firma zakłada, że regulacja „dotyczy tylko dużych korporacji”, nikt nie sprawdza, czy działalność mieści się w załączniku nr 1 lub nr 2, brakuje osoby odpowiedzialnej za temat, a ocena opiera się wyłącznie na kodzie PKD — który nie rozstrzyga sprawy. 

Skutki zaniedbania są odczuwalne na poziomie biznesu i zarządu. Po upływie terminu firma ryzykuje karę pieniężną oraz wpis do wykazu z urzędu, połączony z objęciem jej nadzorem. Co istotne, zwlekanie z wpisem nie daje więcej czasu na przygotowanie — terminy realizacji pozostałych obowiązków biegną od dnia spełnienia przesłanek, a nie od dnia faktycznego złożenia wniosku. 

Kto musi się zarejestrować?

Obowiązek dotyczy podmiotów, które spełniają łącznie trzy warunki: działają w sektorze objętym ustawą (załącznik nr 1 lub nr 2), spełniają kryteria wielkości i nie są wpisywane do wykazu z urzędu. Lista sektorów jest szeroka — dyrektywa NIS2 objęła znacznie więcej branż niż wcześniejsze przepisy. 

Przykłady sektorów kluczowych (załącznik nr 1)

Sektory o wysokim stopniu krytyczności. Duży przedsiębiorca z tej grupy jest podmiotem kluczowym, średni — podmiotem ważnym. Należą tu m.in.: 

• energia — elektryczna, gaz, paliwa i ropa, ciepło; 

• transport — lotniczy, kolejowy, wodny i drogowy; 

• bankowość i infrastruktura rynków finansowych (m.in. instytucje kredytowe, operatorzy systemów obrotu); 

• ochrona zdrowia — podmioty lecznicze, producenci leków i wyrobów medycznych o krytycznym znaczeniu; 

• woda pitna oraz ścieki; 

• infrastruktura cyfrowa — centra danych, chmura obliczeniowa, publiczne sieci łączności elektronicznej; 

• zarządzanie usługami ICT, przestrzeń kosmiczna oraz wybrane podmioty publiczne. 

Przykłady sektorów ważnych (załącznik nr 2) 

Sektory istotne dla gospodarki. Średni lub duży przedsiębiorca z tej grupy jest podmiotem ważnym. Należą tu m.in.: 

• usługi pocztowe i kurierskie; 

• gospodarka odpadami; 

• produkcja, wytwarzanie i dystrybucja chemikaliów; 

• produkcja, przetwarzanie i dystrybucja żywności; 

• produkcja — w szczególności wyrobów medycznych, komputerów, elektroniki, maszyn, pojazdów i sprzętu transportowego; 

• dostawcy usług cyfrowych — internetowe platformy handlowe, wyszukiwarki, sieci społecznościowe; 

• badania naukowe oraz wybrane podmioty publiczne (m.in. samorządowe). 

Uwaga na kod PKD. O objęciu ustawą decyduje rzeczywisty charakter działalności i faktycznie świadczone usługi, a nie sama treść wpisu w rejestrze. Pełną listę sektorów i rodzajów podmiotów znajdziesz w załącznikach nr 1 i nr 2 do ustawy (linki również na końcu artykułu). Jeśli działasz w jednej z tych branż, sprawdź, czy spełniasz kryteria uznania za podmiot kluczowy lub ważny. 

Dwie drogi wpisu do Wykazu KSC 

Ustawa przewiduje dwie ścieżki trafienia do wykazu, a to, którą z nich obejmie Twoją firmę, przesądza o tym, czy musisz działać sama, czy poczekać na wezwanie. 

Przy wpisie z urzędu minister lub organ właściwy wpisuje podmiot na podstawie danych z rejestrów publicznych – dotyczy to m.in. podmiotów publicznych, przedsiębiorców telekomunikacyjnych i dostawców usług zaufania. Po wpisie otrzymujesz zawiadomienie i wezwanie do uzupełnienia danych (masz na to 6 miesięcy). Jeśli należysz do tej grupy, nie składasz drugiego, własnego wniosku o samorejestrację. 

Jak rozpoznać swój status: podmiot kluczowy czy ważny?

Status wynika z połączenia sektora i wielkości firmy. Wielkość ocenia się według unijnego rozporządzenia 651/2014 (kryteria mikro, małego, średniego i dużego przedsiębiorcy), przy czym w praktyce próg średniego przedsiębiorcy to co do zasady 50 lub więcej pracowników albo roczny obrót lub suma bilansowa powyżej 10 mln euro. Poziom nadzoru i wysokość kar różnią się w zależności od kategorii, dlatego prawidłowa klasyfikacja jest tak istotna. 

Istotna pułapka dotyczy wielkości: przy jej ustalaniu uwzględnia się przedsiębiorstwa powiązane i partnerskie. Spółka zatrudniająca 80 osób, powiązana kapitałowo z inną liczącą kolejnych 200 pracowników, może zostać zakwalifikowana jako duży przedsiębiorca. Dlatego weryfikacja struktury właścicielskiej to krok obowiązkowy przed klasyfikacją. 

Od reguły wielkości są wyjątki — niezależnie od liczby pracowników podmiotami kluczowymi są m.in. dostawcy usług DNS, rejestry nazw domen najwyższego poziomu (TLD), podmioty świadczące usługi rejestracji nazw domen oraz kwalifikowani dostawcy usług zaufania. Ustawa nie zawiera odrębnego katalogu firm zwolnionych – jeśli Twoja działalność nie mieści się w sektorach z załączników i nie spełniasz kryteriów, przepisy po prostu nie mają zastosowania. 

Schemat: czy muszę się wpisać? 

Zanim zalogujesz się do aplikacji, przejdź przez trzy pytania. Poniższy schemat prowadzi wprost do właściwej ścieżki: 

Zanim zaczniesz: zbierz dane do wniosku 

Wpisu nie warto traktować jako szybkiej formalności. Wniosek w aplikacji S46 to uporządkowany zbiór informacji, które trzeba wcześniej zebrać, zweryfikować i przypisać do właściwych kategorii. Część wynika z przeprowadzonej kwalifikacji podmiotu, część wymaga współpracy z działem IT, zarządem, działem prawnym lub dostawcami usług ICT. Najlepszym punktem wyjścia jest udokumentowana analiza podlegania pod ustawę — to z niej wynikają sektor, podsektor, rodzaj działalności i podstawa kwalifikacji. 

Zgodnie z instrukcją Ministerstwa Cyfryzacji, zanim otworzysz formularz, przygotuj: 

• aktywne konto w systemie S46 oraz dane administratora tego konta (w tym PESEL lub identyfikator eID — to dane osobowe, przekazuj bezpiecznie); 

• dane identyfikacyjne podmiotu: nazwa, NIP, REGON (oraz numer w rejestrze działalności regulowanej, jeśli dotyczy); 

• klasyfikację: sektor, podsektor i rodzaj działalności zgodnie z załącznikami do ustawy; 

• deklarację wielkości podmiotu (z uwzględnieniem powiązań kapitałowych); 

• dane techniczne od działu IT: zakresy publicznych adresów IP (IPv4 i IPv6) oraz domeny używane w sposób ciągły; 

• dane co najmniej dwóch osób kontaktowych (imię, nazwisko, służbowy telefon i e-mail); jedna osoba wystarczy m.in. dla mikro- i małego przedsiębiorcy; 

• dane dostawcy usług zarządzanych w zakresie cyberbezpieczeństwa, jeśli korzystasz z takiego outsourcingu — wraz z weryfikacją zakresu umowy; 

• pełnomocnictwo w postaci elektronicznej, jeśli wniosek składa pełnomocnik (nie dotyczy prokurentów z KRS i pełnomocników z CEIDG). 

Jak przebiega rejestracja krok po kroku 

Rejestracja odbywa się wyłącznie elektronicznie, w aplikacji Wykaz KSC (wykaz-ksc.gov.pl), będącej częścią systemu S46. Logujesz się przez Węzeł Krajowy — Profilem Zaufanym, aplikacją mObywatel, e-Dowodem, bankowością elektroniczną lub certyfikatem kwalifikowanym. Ścieżki papierowej nie ma. Sam proces w systemie wygląda następująco: 

1. Uruchom formularz. Na stronie powitalnej kliknij „Wpisz nowy podmiot”. Po wpisaniu NIP lub REGON system podpowie część danych z rejestrów publicznych. 

2. Wypełnij sekcje. Formularz dzieli się na sekcje, m.in.: informacje podstawowe, klasyfikacja (sektor, podsektor, rodzaj działalności), dane adresowe, osoby kontaktowe, specyfikacja sieci (IP i domeny), przedstawiciel, dostawcy usług zarządzanych, wymiana informacji, załączniki oraz oświadczenie prawne. Każdą sekcję zapisujesz osobno; wniosek można zostawić jako szkic i wrócić później. 

3. Przejdź do podsumowania. Sprawdź dokładnie wszystkie dane — możesz wrócić i poprawić każdą sekcję. Jeśli prowadzisz kilka rodzajów działalności objętej ustawą, wykazujesz je w jednym wniosku, w sekcji „Klasyfikacja”. 

4. Podpisz i złóż wniosek. Podpisujesz Profilem Zaufanym albo pobierasz plik XML i podpisujesz w aplikacji zewnętrznej (podpis kwalifikowany, zaufany, osobisty lub pieczęć kwalifikowana). Wniosek zawiera oświadczenie kierownika składane pod rygorem odpowiedzialności karnej za fałszywe oświadczenie (art. 233 §6 KK) — odpowiedzialność ta nie obejmuje zakresów IP i domen. 

5. Sprawdź status. Po złożeniu zobaczysz status „Zatwierdzony” (wpis dokonany, dostajesz potwierdzenie e-mail i możesz pobrać zaświadczenie) albo „Oczekuje na weryfikację” (gdy np. NIP lub REGON jest już w systemie — sprawdź, czy nie zostałeś już wpisany z urzędu lub czy ktoś nie złożył wniosku wcześniej). 

Wpis do wykazu następuje z chwilą złożenia wniosku i jest czynnością materialno-techniczną o charakterze deklaratoryjnym — nie ma tu decyzji administracyjnej ani oczekiwania na jej wydanie.

Co grozi za brak wpisu i naruszenie przepisów?

Zaniedbanie obowiązku nie zwalnia z przestrzegania wymogów ustawy, a dodatkowo naraża firmę na wpis z urzędu i objęcie nadzorem. Podmioty kluczowe podlegają nadzorowi stałemu, a podmioty ważne — nadzorowi następczemu (np. po incydencie). Zanim organ nałoży karę, może wydać zalecenia, zobowiązać do wdrożenia konkretnych środków, przeprowadzić kontrolę lub audyt i wyznaczyć termin usunięcia naruszeń. 

Wysokość kar różni się w zależności od kategorii: 

Maksymalna kara administracyjna w systemie krajowym może sięgać 100 mln zł. Co istotne, nowe przepisy przewidują również kary pieniężne dla osób zarządzających — zarząd powinien nadzorować wdrożenie środków cyberbezpieczeństwa, a brak działań w tym zakresie może mieć konsekwencje prawne.

Wpis to dopiero początek – kolejne terminy 

Rejestracja to jeden z pierwszych kroków dostosowania organizacji do NIS2, a nie jego zakończenie. Dla firm, które spełniały kryteria już 3 kwietnia 2026 r., harmonogram wygląda następująco: 

Warto pamiętać, że po wpisie pojawiają się obowiązki bieżące, m.in. zgłaszanie poważnych incydentów do właściwego CSIRT: wczesne ostrzeżenie w ciągu 24 godzin, pełne zgłoszenie w ciągu 72 godzin i sprawozdanie końcowe co do zasady w ciągu miesiąca. Terminy te biegną od dnia spełnienia przesłanek, dlatego zwlekanie z wpisem realnie skraca czas na przygotowanie reszty. 

Źródła

https://bppz.pl/wpis-do-wykazu-ksc-2026

https://www.biznes.gov.pl/pl/portal/005120

https://www.gov.pl/web/system-s46/wpis-do-wykazu-ksc

https://isap.sejm.gov.pl/isap.nsf/download.xsp/WDU20180001560/U/D20181560Lj.pdf