KSC i NIS2: sprawdź, czy Twoja firma musi zgłosić się do Wykazu KSC
Nowelizacja ustawy o krajowym systemie cyberbezpieczeństwa wdraża dyrektywę NIS2 i nakłada na firmy z wybranych sektorów obowiązek samodzielnego zgłoszenia się do Wykazu KSC. Nikt o tym nie przypomni, a za spóźnienie odpowiada kierownictwo. Na tej stronie zebraliśmy wszystko, co trzeba zrobić, w kolejności, w jakiej trzeba to zrobić.
Szacunek Ministerstwa Cyfryzacji. Każdy z nich sam musi ustalić swój status i zgłosić się do Wykazu, nikt tego nie zrobi za niego.
Kalendarz obowiązków
Ustawa rozkłada wymagania na kilka lat. Zgłoszenie do Wykazu było pierwsze, ale nie ostatnie.
- 3 kwietnia 2026Za nami
Nowelizacja weszła w życie
Ustawa o krajowym systemie cyberbezpieczeństwa w nowym brzmieniu zaczęła obowiązywać. Od tego dnia liczy się status podmiotu.
- 13 kwietnia - 6 maja 2026Za nami
Wykaz ruszył, wpisy z urzędu
Wykaz KSC został uruchomiony 13 kwietnia. Do 6 maja Minister Cyfryzacji wpisał z urzędu dotychczasowych operatorów usług kluczowych, dostawców usług zaufania i przedsiębiorców telekomunikacyjnych.
- 12 czerwca 2026Za nami
System S46 otwarty dla nowych podmiotów
Od tego dnia nowe podmioty mogą korzystać z systemu do raportowania incydentów.
- 3 października 2026Za nami
Koniec okna na samorejestrację
Ostatni dzień na złożenie wniosku o wpis do Wykazu KSC. Okno otworzyło się 7 maja 2026. Kto nie zdążył, powinien złożyć wniosek jak najszybciej. Spóźnienie nie jest powodem odmowy wpisu.
- 3 kwietnia 2027Teraz
Koniec okresu dostosowawczego
System zarządzania bezpieczeństwem informacji, procedury obsługi incydentów i mechanizmy ciągłości działania mają być wdrożone i działające, a podmiot ma korzystać z systemu S46.
- 3 kwietnia 2028
Pierwszy audyt i początek kar
Podmioty kluczowe muszą mieć za sobą audyt bezpieczeństwa systemu informacyjnego. Po tej dacie organy nadzoru mogą też nakładać kary pieniężne, wcześniej nie.
Pozostałe terminy
- 3 października 2026
- Do tego dnia dotychczasowi operatorzy usług kluczowych musieli przejść na zgłaszanie incydentów poważnych według nowych zasad.
- 14 dni
- Na zgłoszenie każdej zmiany danych we wpisie do Wykazu, np. adresów IP, nazw domen albo osób do kontaktu. Liczy się od dnia zmiany.
- 24 h, 72 h, 1 miesiąc
- Wczesne ostrzeżenie do 24 h i zgłoszenie incydentu poważnego do 72 h od jego wykrycia, a sprawozdanie końcowe do miesiąca od zgłoszenia.
- 3 kwietnia 2027
- Koniec terminu na obowiązki z rozdziału 3 ustawy dla firm objętych od 3 kwietnia 2026, m.in.: system zarządzania bezpieczeństwem informacji, coroczne szkolenie kierownika, co najmniej dwie osoby do kontaktu (w mikro- i małej firmie jedna), dokumentacja bezpieczeństwa, obsługa i zgłaszanie incydentów oraz korzystanie z S46.
- 6, 12 i 24 miesiące
- Dla firm, które spełnią kryteria później: wniosek o wpis w 6 miesięcy, obowiązki i korzystanie z S46 w 12, a pierwszy audyt podmiotu kluczowego w 24. Terminy liczy się od dnia spełnienia kryteriów.
Czy to dotyczy Twojej firmy?
Obowiązek pojawia się, gdy spełnione są dwa warunki naraz: działalność mieści się w jednym z sektorów z załączników do ustawy, a firma osiąga próg wielkości. Sektory z załącznika nr 1 dają status podmiotu kluczowego, z załącznika nr 2 status podmiotu ważnego.
Czy Twoja działalność jest w załączniku nr 1 albo nr 2 do ustawy
Czy firma osiąga próg, licząc też przedsiębiorstwa powiązane
Art. 5 rozstrzyga, czy jesteś podmiotem kluczowym, ważnym, czy poza zakresem
Podmioty kluczowe
- 01Energia
- 02Transport
- 03Bankowość
- 04Infrastruktura rynków finansowych
- 05Ochrona zdrowia
- 06Zaopatrzenie w wodę pitną
- 07Ścieki
- 08Infrastruktura cyfrowa
- 09Zarządzanie usługami ICT
- 10Przestrzeń kosmiczna
- 11Podmioty administracji publicznej
Podmioty ważne
- 01Usługi pocztowe i kurierskie
- 02Gospodarowanie odpadami
- 03Produkcja i dystrybucja chemikaliów
- 04Produkcja i dystrybucja żywności
- 05Produkcja wyrobów medycznych
- 06Produkcja komputerów i elektroniki
- 07Produkcja maszyn i urządzeń
- 08Produkcja pojazdów i przyczep
- 09Dostawcy usług cyfrowych
- 10Badania naukowe
Próg wielkości
Ustawa odsyła do unijnej definicji MŚP, a próg zaczyna się od średniego przedsiębiorstwa, czyli orientacyjnie od 50 pracowników albo od 10 mln euro obrotu. Do wyliczenia wchodzą też przedsiębiorstwa powiązane i partnerskie, więc spółka z niewielką własną załogą, ale w większej grupie, potrafi próg przekroczyć. Dokładne przeliczenie zrobi za Ciebie rządowa ankieta.
Mniejsi też bywają objęci
Próg wielkości nie chroni automatycznie. Niezależnie od wielkości ustawie podlegają m.in. dostawcy usług DNS, kwalifikowani dostawcy usług zaufania, podmioty krytyczne i wybrane podmioty publiczne. Rozstrzyga art. 5 ustawy, dlatego warto przejść rządową ankietę zamiast zgadywać.
Przejdź rządową ankietę samooceny
Ministerstwo Rozwoju i Technologii udostępnia na Biznes.gov.pl bezpłatną ankietę „Pre-weryfikacja zgodności z zaleceniami NIS2". Nie wymaga logowania, a wynik można zapisać na Koncie Przedsiębiorcy. Odpowiada na pytanie, czy jesteś podmiotem kluczowym, ważnym, czy poza zakresem.
Wynik jest orientacyjny. Sam serwis zaznacza, że nie stanowi porady prawnej ani podstawy do niewykonania obowiązków. Traktuj go jako pierwsze rozpoznanie, nie jako rozstrzygnięcie.
Przygotuj to przed otwarciem ankiety
Ankieta nie zapisuje postępu bez logowania. Zbierz dane wcześniej, przejdziesz ją raz i bez zgadywania.
- Gdzie prowadzicie działalność
Siedziba, miejsce świadczenia usług, ewentualny status podmiotu krytycznego.
- Sektor i podsektor
Ankieta pyta o branżę w podziale z załączników do ustawy. Miej pod ręką kod PKD i opis tego, co faktycznie robicie, bo PKD bywa nieaktualne.
- Wielkość firmy
Liczba zatrudnionych, roczny obrót oraz suma bilansowa. Dane za ostatni zamknięty rok obrotowy.
- Świadczone usługi
Szczególnie usługi cyfrowe i komunikacyjne, bo one potrafią wciągnąć firmę do zakresu niezależnie od głównej branży.
Co musisz mieć, żeby złożyć wniosek
- 1Kod PKD i opis profilu prowadzonej działalności
- 2Liczba zatrudnionych pracowników
- 3Roczny obrót albo suma bilansowa
- 4Dane o przedsiębiorstwach powiązanych i partnerskich
- 5Oświadczenie kierownika, że dane we wniosku są zgodne z prawdą
- 6Podpis kierownika albo osoby przez niego upoważnionej
Wniosek składa się elektronicznie. Podpisuje go kierownik podmiotu albo osoba przez niego upoważniona: kwalifikowanym podpisem elektronicznym, podpisem zaufanym albo podpisem osobistym. Firma bez podpisu kwalifikowanego może więc użyć bezpłatnego podpisu zaufanego. Ustawa dopuszcza też kwalifikowaną pieczęć elektroniczną z informacją, kto ją złożył. Oświadczenie kierownika składa się pod rygorem odpowiedzialności karnej, która nie obejmuje podanych zakresów adresów IP i nazw domen.
Złóż wniosek o wpis do Wykazu KSC
Wykaz prowadzony jest w systemie S46, ale wniosek składa się w osobnej aplikacji webowej pod adresem wykaz-ksc.gov.pl. Okno samorejestracji otworzyło się 7 maja 2026 i zamknęło 3 października 2026.
Jeśli Twój podmiot trafił do Wykazu z urzędu do 6 maja 2026, wniosku nie składasz. Dotyczy to podmiotów publicznych, przedsiębiorców telekomunikacyjnych, dostawców usług cyfrowych oraz dotychczasowych operatorów usług kluczowych.
Co, jeśli firma się spóźniła?
- Wniosek nadal trzeba złożyć, najlepiej jak najszybciej. Wpis następuje z chwilą złożenia wniosku, a spóźnienie nie jest powodem odmowy wpisu.
- Organ może sam wpisać firmę do Wykazu i wezwać ją do uzupełnienia brakujących danych w ciągu 6 miesięcy od otrzymania zawiadomienia, pod rygorem kary pieniężnej.
- Za niezłożenie wniosku w terminie organ może nałożyć karę, także na kierownika, ale dopiero po 3 kwietnia 2028.
Czym grozi zaniechanie
Ustawa przewiduje kary dla podmiotu i osobną odpowiedzialność dla kierownictwa. Ta druga jest nowością, o której najczęściej się zapomina. Organy nadzoru mogą nakładać kary dopiero po 3 kwietnia 2028, co nie znaczy, że do tego czasu obowiązków nie ma.
albo 2% przychodu z roku poprzedzającego karę, zależnie od tego, która kwota jest wyższa. Dolna granica widełek to 20 000 zł.
albo 1,4% przychodu z roku poprzedzającego karę, zależnie od tego, która kwota jest wyższa. Dolna granica widełek to 15 000 zł.
W podmiocie publicznym do 100%. Odpowiedzialność osobista, liczona według zasad ustalania ekwiwalentu pieniężnego za urlop.
Kierownik podmiotu publicznego odpowiada do 300% wynagrodzenia, jeśli podmiot podlega ustawie także z tytułu innego sektora z załącznika nr 1 lub 2.
Nie wiesz, czy Cię dotyczy? Zapytaj.
Umów bezpłatną konsultację. Przejdziemy przez Wasz profil działalności, ustalimy, czy obowiązek Was obejmuje i który termin jest dla Was najbliższy. Jeśli okaże się, że jesteście poza zakresem, powiemy to wprost i na tym skończymy.
Oficjalne źródła
Wszystkie informacje na tej stronie pochodzą z poniższych źródeł. Zaglądaj do nich bezpośrednio, bo stan prawny i komunikaty resortów się zmieniają.
Ministerstwo Cyfryzacji, procedura w trzech krokach
Ministerstwo Cyfryzacji, listy sektorów z załączników 1 i 2
Ministerstwo Cyfryzacji, zakres wymagań
Aplikacja, w której składa się wniosek o wpis
Biznes.gov.pl, bezpłatna ankieta samooceny
Biznes.gov.pl, przewodnik dla przedsiębiorcy
Cyberpolicy NASK, omówienie merytoryczne
NASK, praktyczny przewodnik po nowelizacji ustawy o KSC z września 2026
Ten materiał ma charakter informacyjny i nie stanowi porady prawnej. Stan prawny na 30 września 2026. O status podmiotu i zakres obowiązków rozstrzyga treść ustawy oraz indywidualna analiza działalności.