3 kwietnia 2026 roku weszła w życie nowelizacja ustawy o krajowym systemie cyberbezpieczeństwa, wdrażająca unijną dyrektywę NIS2. Dla tysięcy polskich firm oznacza to jeden konkretny obowiązek: sprawdzić, czy podlegają nowym przepisom — i jeśli tak, złożyć wniosek o wpis do Wykazu KSC przed 3 października 2026 roku. Żadnego powiadomienia z urzędu nie dostaniesz. To Ty musisz ocenić swój status.
Jeśli 3 kwietnia 2026 r. Twoja firma działała w sektorze z załącznika nr 1 lub nr 2 do ustawy i była co najmniej średnim przedsiębiorstwem — masz czas do 3 października 2026 r. na samorejestrację na wykaz-ksc.gov.pl. Do 3 kwietnia 2027 r. wdrażasz system zarządzania bezpieczeństwem informacji. Kary sięgają 10 mln euro lub 2% rocznych przychodów.
- Czym jest NIS2 i dlaczego weszła właśnie teraz?
- Podstawy prawne
- Czym jest Wykaz KSC i System S46?
- Kto podlega nowym przepisom? Podmioty kluczowe i ważne
- Sektory kluczowe — załącznik nr 1
- Sektory ważne — załącznik nr 2
- Progi wielkości i wyjątki od progów
- Dwa tryby wpisu — z urzędu i samorejestracja
- Samorejestracja krok po kroku
- Kalendarz terminów
- Obowiązki po wpisie
- Kary — ile ryzykujesz?
- Polskie przepisy wykraczające poza NIS2
- Ciekawostki i najczęstsze błędy
- Co zrobić teraz — plan działania
Czym jest NIS2 i dlaczego weszła właśnie teraz?
NIS2 (Network and Information Security Directive 2) to unijna dyrektywa z 14 grudnia 2022 r., która gruntownie przebudowała unijne ramy cyberbezpieczeństwa. Zastąpiła pierwszą dyrektywę NIS z 2016 roku, która w praktyce objęła zbyt wąski krąg podmiotów i okazała się niewystarczająca wobec rosnącej skali cyberataków na infrastrukturę krytyczną Europy.
NIS2 istotnie rozszerza zakres regulacji. Jej celem jest zwiększenie odporności cybernetycznej podmiotów działających w sektorach istotnych dla funkcjonowania gospodarki i państwa. Regulacja opiera się na założeniu, że bezpieczeństwo sieci i systemów informatycznych nie jest wyłącznie zagadnieniem technicznym, lecz elementem ciągłości działania usług istotnych z perspektywy rynku, administracji i obywateli.
Polska była jednym z ostatnich państw UE, które wdrożyły NIS2. Po długim procesie legislacyjnym ustawa nowelizująca uKSC weszła w życie 3 kwietnia 2026 roku — a to oznacza, że terminy na rejestrację, wdrożenie systemów i realizację obowiązków biegną już od miesięcy. Na złożenie wniosku o wpis do Wykazu KSC zostało mniej niż trzy miesiące.
Podstawy prawne
- Ustawa z dnia 5 lipca 2018 r. o krajowym systemie cyberbezpieczeństwa (t.j. Dz.U. z 2026 r. poz. 20, ze zm.),
- Ustawa z dnia 23 stycznia 2026 r. o zmianie ustawy o krajowym systemie cyberbezpieczeństwa (Dz.U. z 2026 r. poz. 252) — nowelizacja wdrażająca NIS2, w życie od 3 kwietnia 2026 r.,
- Dyrektywa Parlamentu Europejskiego i Rady (UE) 2022/2555 z dnia 14 grudnia 2022 r. (NIS2),
- rozporządzenia wykonawcze ministra właściwego do spraw informatyzacji — w zakresie Systemu S46 i Wykazu KSC.
Czym jest Wykaz KSC i System S46?
Wykaz podmiotów kluczowych i podmiotów ważnych (Wykaz KSC) to oficjalny rejestr prowadzony przez ministra właściwego do spraw informatyzacji. Pełni trzy funkcje: identyfikuje podmioty kluczowe i ważne w poszczególnych sektorach, stanowi podstawę wymiany informacji między podmiotami a CSIRT i organami właściwymi oraz jest punktem wyjścia dla działań nadzorczych.
System S46 to dedykowany system teleinformatyczny, w ramach którego prowadzony jest Wykaz. Służy do rejestracji podmiotów (aplikacja webowa wykaz-ksc.gov.pl), raportowania incydentów do właściwych CSIRT i bezpiecznej komunikacji z organami. Wykaz nie jest publiczny — dostęp do danych mają wyłącznie uprawnione organy, CSIRT-y oraz dany podmiot w zakresie własnych informacji.
Kto podlega nowym przepisom? Podmioty kluczowe i ważne
Nowelizacja zastąpiła dotychczasowy podział na „operatorów usług kluczowych" i „dostawców usług cyfrowych" strukturą dwóch kategorii. O przynależności decydują dwa czynniki łącznie: sektor działalności i wielkość podmiotu.
Podmiot kluczowy
Działa w sektorze z załącznika nr 1 (m.in. energetyka, transport, bankowość, ochrona zdrowia, infrastruktura cyfrowa) i jest dużym przedsiębiorstwem — zatrudnia co najmniej 250 osób albo przekracza 50 mln euro rocznego obrotu (lub 43 mln euro sumy bilansowej).
Podmiot ważny
Firma z załącznika nr 1 lub nr 2 spełniająca progi średniego przedsiębiorcy — 50–249 pracowników albo obrót 10–50 mln euro.
Różnice w praktyce
| Cecha | Podmiot kluczowy | Podmiot ważny |
|---|---|---|
| Sektory | Załącznik nr 1 | Załącznik nr 1 lub nr 2 |
| Wielkość (co do zasady) | Duże przedsiębiorstwo | Średnie przedsiębiorstwo |
| Nadzór | Prewencyjny (kontrole regularne) | Następczy (kontrole po incydencie) |
| Audyt bezpieczeństwa | Obowiązkowy co najmniej raz na 3 lata | Mniej restrykcyjny |
| Maksymalna kara pieniężna | 10 mln EUR lub 2% rocznych przychodów | 7 mln EUR lub 1,4% rocznych przychodów |
| Minimalna kara pieniężna | 20 000 zł | 15 000 zł |
Sektory kluczowe — załącznik nr 1
| Sektor | Przykłady podmiotów |
|---|---|
| Energia | Operatorzy sieci elektroenergetycznych, gazowych, ropy, ciepłownictwa, energetyki jądrowej, wodoru |
| Transport | Linie lotnicze, zarządcy lotnisk, kolej, transport drogowy, żegluga, porty |
| Bankowość | Instytucje kredytowe, banki |
| Infrastruktura rynków finansowych | Operatorzy systemów obrotu, centralni kontrahenci |
| Ochrona zdrowia | Szpitale, producenci leków i wyrobów medycznych, laboratoria referencyjne |
| Woda pitna | Przedsiębiorstwa wodociągowe |
| Ścieki | Operatorzy systemów kanalizacyjnych (nowy sektor) |
| Infrastruktura cyfrowa | Dostawcy DNS, rejestry TLD, usługi chmurowe, CDN, centra danych |
| Zarządzanie usługami ICT | Dostawcy usług zarządzanych i zarządzanych usług bezpieczeństwa (nowy sektor) |
| Administracja publiczna | Administracja rządowa i samorządowa (wybrane podmioty) |
| Przestrzeń kosmiczna | Operatorzy naziemnej infrastruktury systemów kosmicznych (nowy sektor) |
Sektory ważne — załącznik nr 2
| Sektor | Przykłady podmiotów |
|---|---|
| Usługi pocztowe i kurierskie | Operatorzy pocztowi, firmy kurierskie |
| Gospodarka odpadami | Zakłady zagospodarowania odpadów, recykling |
| Chemikalia | Produkcja, wytwarzanie i dystrybucja chemii przemysłowej |
| Żywność | Duże zakłady produkcji, przetwórstwa i dystrybucji żywności |
| Produkcja | Producenci elektroniki, maszyn, pojazdów, wyrobów medycznych |
| Dostawcy usług cyfrowych | Internetowe platformy handlowe, wyszukiwarki, media społecznościowe |
| Badania naukowe | Wybrane jednostki badawcze |
Progi wielkości i wyjątki od progów
Sama przynależność do sektora nie wystarczy. Co do zasady przepisy dotyczą podmiotów co najmniej średnich. Mikro- i małe przedsiębiorstwa (poniżej 50 pracowników i poniżej 10 mln euro obrotu) są — co do zasady — wyłączone.
Jeśli firma przekracza próg w jednym kryterium (np. zatrudnia ponad 250 osób, ale ma obrót poniżej 50 mln euro) — i tak może zostać zakwalifikowana. Liczy się przekroczenie progu zatrudnienia lub progu finansowego, nie obu jednocześnie.
Pewne kategorie podmiotów podlegają regulacji niezależnie od wielkości:
- przedsiębiorcy telekomunikacyjni (wpisywani z urzędu),
- dostawcy usług zaufania (kwalifikowani i niekwalifikowani),
- dostawcy usług DNS i rejestry nazw TLD,
- dostawcy publicznych sieci łączności elektronicznej,
- podmioty krytyczne w rozumieniu przepisów o odporności podmiotów krytycznych,
- dotychczasowi operatorzy usług kluczowych (OUK) z poprzedniej wersji ustawy.
Dwa tryby wpisu do Wykazu KSC — z urzędu i samorejestracja
Tryb 1 — wpis z urzędu (Minister Cyfryzacji)
W okresie do 6 maja 2026 r. minister wpisał z urzędu m.in.: dotychczasowych operatorów usług kluczowych, podmioty publiczne, przedsiębiorców telekomunikacyjnych, dostawców usług zaufania i podmioty krytyczne. Podmioty wpisane z urzędu otrzymują zawiadomienie oraz wezwanie do uwierzytelnienia się w Systemie S46 i uzupełnienia danych — mają na to 6 miesięcy od doręczenia wezwania.
Tryb 2 — samorejestracja (pozostałe podmioty)
Samorejestracja została uruchomiona 7 maja 2026 r., a termin na złożenie wniosku upływa 3 października 2026 r.
Status podmiotu kluczowego lub ważnego wynika z ustawy, a nie z samego faktu wpisu. Jeżeli firma spełnia przesłanki ustawowe, jest podmiotem kluczowym lub ważnym także bez wpisu — tylko że bez wpisu narusza obowiązek ustawowy.
Jak przebiega samorejestracja krok po kroku?
- Samoidentyfikacja. To firma sama ocenia, czy spełnia kryteria — państwo nie przyśle wezwania. Sprawdź kody PKD względem załączników nr 1 i nr 2, progi wielkości oraz to, czy nie kwalifikujesz się do wpisu z urzędu.
- Przygotowanie danych do wniosku. Dane identyfikacyjne (nazwa, siedziba, NIP, REGON, sektor i rodzaj podmiotu, wielkość przedsiębiorstwa), dane techniczne (zakresy publicznych adresów IP, domeny używane w sposób ciągły, państwa UE prowadzenia działalności) oraz dane kontaktowe (osoby do kontaktu z organami KSC, telefon, informacje o umowach z dostawcami usług zarządzanych i porozumieniach o wymianie informacji).
- Oświadczenie kierownika podmiotu. Do wniosku obowiązkowo dołącza się oświadczenie o zgodności danych ze stanem faktycznym, składane pod rygorem odpowiedzialności karnej za złożenie fałszywego oświadczenia (art. 233 § 6 Kodeksu karnego — zagrożenie karą pozbawienia wolności do lat 8). Wyjątek: rygor nie obejmuje zakresów adresów IP i nazw domen, ze względu na ich częste zmiany operacyjne.
- Podpisanie i złożenie wniosku. Wniosek składa się elektronicznie przez aplikację wykaz-ksc.gov.pl (logowanie przez Węzeł Krajowy: profil zaufany, mObywatel, e-dowód). Podpisuje go kierownik podmiotu lub osoba upoważniona — profilem zaufanym albo kwalifikowanym podpisem elektronicznym.
- Aktualizacja danych. Każdą zmianę danych objętych wpisem zgłaszasz w terminie 14 dni od jej zaistnienia.
Kalendarz terminów — co i kiedy musisz zrobić?
| Data | Zdarzenie |
|---|---|
| 3 kwietnia 2026 r. | Wejście w życie nowelizacji uKSC — od tej daty biegną terminy |
| kwiecień – 6 maja 2026 r. | Wpisy z urzędu dla wybranych kategorii podmiotów |
| 7 maja 2026 r. | Uruchomienie samorejestracji (wykaz-ksc.gov.pl) |
| 12 czerwca 2026 r. | Uruchomienie Systemu S46 dla nowych podmiotów (raportowanie incydentów) |
| 3 października 2026 r. | Ostateczny termin samorejestracji dla podmiotów spełniających kryteria 3 kwietnia 2026 r. |
| 3 kwietnia 2027 r. | Koniec okresu dostosowawczego — wdrożony SZBI i pozostałe obowiązki |
| 3 kwietnia 2028 r. | Termin pierwszego audytu dla nowych podmiotów kluczowych; początek stosowania większości administracyjnych kar pieniężnych |
Ministerstwo Cyfryzacji podkreśla wprost: brak świadomości nie zwalnia z obowiązku. Żadnego powiadomienia nie dostaniesz — to Ty musisz ocenić, czy podlegasz.
Nie trzymaj tych terminów w głowie — zapisz je w Moim kalendarzu
Bezpłatne narzędzie smartapki na terminy firmowe i domowe: wpisujesz jedno zdanie, a kalendarz pilnuje reszty — rano widzisz, co masz dziś i jutro, a zaległe sprawy same wracają na wierzch.
- „Rejestracja w Wykazie KSC" — na 3 października 2026 r. (i przypomnienie tydzień wcześniej),
- „Wdrożenie SZBI" — na 3 kwietnia 2027 r.,
- „Aktualizacja danych w Wykazie" — seria kontrolna albo przypomnienie co miesiąc,
- „Szkolenie kierownictwa z cyberbezpieczeństwa" — co roku.
Obowiązki po wpisie — co czeka podmiot kluczowy i ważny?
Rejestracja to dopiero początek. Wpis uruchamia obowiązki wdrażane etapami.
Do 3 kwietnia 2027 r. — wdrożenie SZBI
System zarządzania bezpieczeństwem informacji obejmuje w szczególności: analizę ryzyka, polityki bezpieczeństwa, zarządzanie incydentami, ciągłość działania, bezpieczeństwo łańcucha dostaw, kontrolę dostępu i szyfrowanie.
Raportowanie incydentów — model wieloetapowy
Poważne incydenty zgłaszasz przez System S46: wczesne ostrzeżenie w 24 godziny, właściwe zgłoszenie w 72 godziny, a następnie raport końcowy z opisem działań i wniosków.
Audyty bezpieczeństwa
Podmioty kluczowe przeprowadzają audyt bezpieczeństwa systemu informacyjnego co najmniej raz na 3 lata; dla nowych podmiotów kluczowych termin pierwszego audytu upływa 3 kwietnia 2028 r.
Coroczne szkolenia kierownictwa
Dokumentowane, cykliczne szkolenia zarządu i kierownictwa z cyberbezpieczeństwa to wymóg specyficznie polski. Kierownictwo odpowiada osobiście za wdrożenie obowiązków. Dokumentację szkoleń pracowników i kadry wygodnie poprowadzisz w narzędziu Teczka pracownika.
Kary — ile ryzykujesz, ignorując przepisy?
Większość administracyjnych kar pieniężnych może być nakładana dopiero po dwóch latach od wejścia ustawy w życie, czyli od 3 kwietnia 2028 r. — ten okres ma dać podmiotom czas na rzetelne przygotowanie. Nie zwalnia to jednak z obowiązku rejestracji w terminie.
| Kategoria | Maksymalna kara | Minimalna kara |
|---|---|---|
| Podmiot kluczowy | 10 mln EUR lub 2% rocznych przychodów (wyższa z kwot) | 20 000 zł |
| Podmiot ważny | 7 mln EUR lub 1,4% rocznych przychodów | 15 000 zł |
Za naruszenie przepisów powodujące bezpośrednie i poważne cyberzagrożenie dla obronności, bezpieczeństwa państwa, porządku publicznego albo życia i zdrowia ludzi organ może nałożyć karę do 100 000 000 zł — już od dnia wejścia ustawy w życie, bez karencji.
Do tego dochodzi odpowiedzialność osobista: podanie nieprawdy w oświadczeniu do wniosku o wpis zagrożone jest karą pozbawienia wolności do lat 8 (art. 233 § 6 KK).
Polskie przepisy, które wykraczają poza NIS2
Polska implementacja nie jest czystą kopią dyrektywy. Najbardziej charakterystyczne krajowe rozwiązania:
- Oświadczenie pod rygorem karnym — wniosek o wpis wymaga oświadczenia kierownika podmiotu pod groźbą odpowiedzialności karnej; taki rygor nie wynika z samej dyrektywy,
- mechanizm „dostawcy wysokiego ryzyka" — minister może uznać dostawcę sprzętu lub oprogramowania za dostawcę wysokiego ryzyka, z konsekwencjami dla podmiotów korzystających z jego produktów,
- coroczne szkolenia kierownictwa — dokumentowany, cykliczny obowiązek szkoleniowy,
- weryfikacja niekaralności osób pełniących kluczowe funkcje w obszarze cyberbezpieczeństwa.
Ciekawostki i najczęstsze błędy przy samoidentyfikacji
Ustawa nie wymaga, aby działalność z załącznika nr 1 lub 2 była działalnością przeważającą. Firma budowlana, która przy okazji eksploatuje sieć energetyczną, może podlegać przepisom jako podmiot z sektora energii — nawet jeśli to nie jest jej główne PKD.
Niektóre kategorie — dostawcy usług DNS, firmy telekomunikacyjne, podmioty krytyczne — podlegają przepisom niezależnie od wielkości. Sprawdź swoją kategorię, zanim odetchniesz z ulgą.
Brak rejestracji nie zmienia statusu podmiotu kluczowego czy ważnego — zmienia natomiast ekspozycję na sankcję.
RODO chroni dane osobowe; ustawa KSC dotyczy bezpieczeństwa systemów i sieci — niezależnie od tego, czy płyną przez nie dane osobowe. W praktyce często się nakładają: cyberatak z wyciekiem danych uruchamia jednocześnie obowiązki z RODO (zgłoszenie do UODO w 72 godziny) i z KSC (zgłoszenie incydentu do CSIRT).
Nowelizacja rozszerzyła sektor energetyczny o nowe podsektory — obok energetyki elektrycznej, gazu i ropy do podmiotów kluczowych zaliczani są również producenci i dystrybutorzy wodoru.
Najczęstsze błędy przy samoidentyfikacji
| Błąd | Konsekwencja | Jak uniknąć |
|---|---|---|
| „To dotyczy tylko dużych firm" | Pominięcie obowiązku rejestracji | Sprawdź progi — ale też wyjątki od progów |
| Ocenianie tylko głównego PKD | Pominięcie działalności ubocznej w sektorze regulowanym | Przeanalizuj wszystkie kody PKD i faktyczną działalność |
| Czekanie na powiadomienie z urzędu | Brak powiadomienia = brak rejestracji = naruszenie | Sam dokonaj samoidentyfikacji |
| Mylenie NIS2 z RODO | Błędne określenie obowiązków | Traktuj je jako odrębne, równoległe regulacje |
| Podpisanie wniosku przez nieuprawnioną osobę | Wniosek niekompletny lub nieważny | Wniosek podpisuje kierownik podmiotu lub osoba upoważniona |
| Brak właściwego podpisu elektronicznego | Wniosek nie zostanie skutecznie złożony | Podpisz profilem zaufanym albo kwalifikowanym podpisem elektronicznym |
| Brak aktualizacji danych w 14 dni | Naruszenie obowiązku aktualizacji | Ustaw wewnętrzne przypomnienie o monitorowaniu zmian danych |
Co zrobić teraz — rekomendowana kolejność działań
- Sprawdź kody PKD względem sektorów z załącznika nr 1 i nr 2.
- Zweryfikuj wielkość — liczba pracowników i roczny obrót (lub suma bilansowa) za ostatni rok obrotowy.
- Ustal kategorię — podmiot kluczowy, ważny albo poza zakresem. Przy wątpliwościach skonsultuj się z prawnikiem.
- Sprawdź, czy podlegasz wpisowi z urzędu — jeśli tak, uwierzytelnij się w S46 po otrzymaniu zawiadomienia i uzupełnij dane.
- Złóż wniosek do 3 października 2026 r. przez wykaz-ksc.gov.pl.
- Zapisz terminy w kalendarzu — rejestrację, wdrożenie SZBI, coroczne szkolenia i 14-dniowe aktualizacje danych dodasz w minutę do Mojego kalendarza, a plan dnia zobaczysz przy swoich narzędziach.
- Zaplanuj wdrożenie SZBI do 3 kwietnia 2027 r. — audyt gotowości (gap analysis), mapa drogowa według ryzyka i kosztów, budżet i harmonogram.
Podsumowanie — najważniejsze zasady w pigułce
- Nowe przepisy obowiązują od 3 kwietnia 2026 r. (ustawa z 23.01.2026, Dz.U. 2026 poz. 252).
- Samorejestracja na wykaz-ksc.gov.pl trwa do 3 października 2026 r. — wpis jest deklaratoryjny, a samoidentyfikacja to Twój obowiązek.
- Wniosek podpisuje kierownik podmiotu (profil zaufany lub kwalifikowany podpis elektroniczny), z oświadczeniem pod rygorem odpowiedzialności karnej.
- Zmiany danych zgłaszasz w 14 dni; SZBI wdrażasz do 3 kwietnia 2027 r.; pierwszy audyt podmiotu kluczowego — do 3 kwietnia 2028 r.
- Kary: do 10 mln EUR lub 2% przychodów (podmiot kluczowy), do 7 mln EUR lub 1,4% (ważny), a kara ekstraordynaryjna do 100 mln zł obowiązuje bez karencji.
Artykuł ma charakter informacyjny i nie stanowi porady prawnej ani z zakresu cyberbezpieczeństwa. W sprawach indywidualnych dotyczących kwalifikacji podmiotu i zakresu obowiązków zalecamy konsultację z radcą prawnym lub specjalistą ds. cyberbezpieczeństwa.
Podstawy prawne: ustawa z dnia 5 lipca 2018 r. o krajowym systemie cyberbezpieczeństwa (t.j. Dz.U. z 2026 r. poz. 20 ze zm.); ustawa z dnia 23 stycznia 2026 r. o zmianie ustawy o krajowym systemie cyberbezpieczeństwa (Dz.U. z 2026 r. poz. 252); dyrektywa Parlamentu Europejskiego i Rady (UE) 2022/2555 z dnia 14 grudnia 2022 r. (NIS2). Źródła: gov.pl/web/cyfryzacja, gov.pl/web/system-s46, gov.pl/web/baza-wiedzy — stan na 15 lipca 2026 r.