Jeżeli organizacja spełnia kryteria podmiotu kluczowego lub ważnego na gruncie ustawy o KSC, to po jej stronie leży obowiązek ustalenia tego statusu i dokonania wpisu do Wykazu KSC. Dla podmiotów, które spełniały ustawowe przesłanki w dniu wejścia w życie nowych przepisów, termin na złożenie wniosku upływa 3 października 2026 r.
Ta data nie jest jednak jednorazowym „oknem rejestracyjnym”. Zasadą jest złożenie wniosku w ciągu 6 miesięcy od dnia spełnienia przesłanek uznania organizacji za podmiot kluczowy lub ważny. Obowiązek może więc powstać także później, np. po zmianie skali działalności albo wejściu firmy w nowy zakres usług.
Wpis odbywa się przez Wykaz KSC będący częścią Systemu S46. Samo złożenie wniosku nie kończy jednak prac związanych z KSC. To pierwszy formalny krok, po którym pojawiają się kolejne obowiązki organizacyjne i operacyjne.
Poniżej pokazujemy, jak wstępnie sprawdzić, czy obowiązek może dotyczyć Twojej organizacji, kiedy stosuje się samorejestrację, co przygotować przed wypełnieniem wniosku i kto może go podpisać.
Czy Twoja organizacja musi wpisać się do Wykazu KSC?
Obowiązek wpisu nie zaczyna się od pisma z urzędu. To organizacja powinna samodzielnie ustalić, czy spełnia przesłanki uznania jej za podmiot kluczowy albo ważny.
Trzy elementy wstępnej weryfikacji
Na początku trzeba sprawdzić trzy rzeczy:
sektor działalności – czy organizacja działa w jednym z sektorów lub podsektorów wskazanych w załącznikach nr 1 i 2 do ustawy,
wielkość przedsiębiorstwa – czy spełnia odpowiednie kryteria wielkościowe,
szczególne przesłanki z art. 5 KSC – w niektórych przypadkach status może wynikać z innych kryteriów niż sama wielkość firmy.
Nie ma potrzeby powtarzać tutaj pełnych zasad kwalifikacji. Zostały one omówione szerzej w materiale dotyczącym tego, kogo obejmują nowe obowiązki KSC. Na tym etapie najważniejszy jest wynik analizy. Jeżeli wskazuje, że organizacja podlega KSC, trzeba ustalić właściwy tryb wpisu.
Podmiot kluczowy czy ważny?
Trzeba też ustalić, czy organizacja jest podmiotem kluczowym, czy ważnym. Ma to znaczenie dla dalszych obowiązków i odpowiedzialności, dlatego nie warto odkładać tej decyzji do momentu wypełniania formularza.
Dobrze jest od razu udokumentować podstawę przyjętej kwalifikacji. Ułatwia to pracę compliance, CISO i zarządu, a później pozwala sprawniej przejść do kolejnych obowiązków wynikających z KSC.
Samorejestracja czy wpis z urzędu – którą ścieżkę zastosować?
Ustawa przewiduje dwa tryby wpisu do Wykazu KSC: samorejestrację oraz wpis z urzędu. Organizacje objęte obowiązkami KSC, które nie zostały wpisane na podstawie danych z rejestrów publicznych, powinny złożyć wniosek samodzielnie przez System S46.
Tryb
Kiedy ma zastosowanie?
Co robi organizacja?
Samorejestracja
Gdy organizacja spełnia przesłanki podmiotu kluczowego lub ważnego i nie została wpisana z urzędu
Przygotowuje dane i składa wniosek w S46
Wpis z urzędu
Dotyczy m.in. wskazanych podmiotów publicznych, przedsiębiorców telekomunikacyjnych i dostawców usług zaufania
Uzupełnia wymagane dane po otrzymaniu informacji o wpisie
Przed rozpoczęciem nowego wniosku dobrze sprawdzić, czy organizacja nie znajduje się już w Wykazie KSC. Jeżeli została wpisana z urzędu, nie należy składać kolejnego zgłoszenia „na wszelki wypadek”. W takiej sytuacji trzeba uzupełnić dane wymagane po wpisie.
Znaczenie ma również zgodność danych identyfikacyjnych. Jeżeli informacje we wniosku nie zgadzają się z danymi znajdującymi się już w systemie, np. w zakresie NIP lub REGON, wniosek może trafić do dodatkowej weryfikacji.
Najpierw więc ustal status organizacji i sprawdź, czy wpis już istnieje. Dopiero potem wybieraj właściwą ścieżkę.
Dlaczego data 3 października 2026 r. jest ważna?
Dla organizacji, które spełniały przesłanki uznania za podmiot kluczowy lub ważny 3 kwietnia 2026 r., termin na złożenie wniosku o wpis do Wykazu KSC upływa 3 października 2026 r.
Nie oznacza to, że po tej dacie obowiązek znika. Jeżeli organizacja zacznie spełniać ustawowe przesłanki później, nadal obowiązuje ją termin 6 miesięcy od dnia ich spełnienia.
Z perspektywy zarządu i compliance istotne jest więc nie tylko to, czy firma zdąży do 3 października. Trzeba przede wszystkim ustalić, od kiedy dokładnie organizacja spełnia wymagane kryteria i od jakiej daty liczyć sześciomiesięczny termin.
Ustawa przewiduje sankcje finansowe dla podmiotów kluczowych i ważnych oraz osobistą odpowiedzialność kierownika podmiotu. Ogólne minimalne poziomy kar wynoszą 20 tys. zł dla podmiotu kluczowego i 15 tys. zł dla podmiotu ważnego. Kara dla kierownika może sięgać 300% wynagrodzenia w sektorze prywatnym lub 100% w sektorze publicznym.
Nie oznacza to jednak, że nawet krótkie przekroczenie terminu automatycznie prowadzi do nałożenia minimalnej kary. Dlatego bezpieczniej nie upraszczać tego do komunikatu „jeden dzień spóźnienia = 20 tys. zł”.
Najlepiej ustalić datę powstania obowiązku, udokumentować podstawę kwalifikacji i nie zostawiać rejestracji na ostatni możliwy moment.
nasza usługa
Wpis do Wykazu KSC to dopiero początek. Sprawdź, gdzie masz luki
Podmioty objęte KSC od 3 kwietnia 2026 r. mają czas do 3 kwietnia 2027 r. na wdrożenie wymaganych procesów, dokumentacji i zabezpieczeń. W ramach bezpłatnego, 4-godzinnego audytu nasi inżynierowie ocenią Twoją infrastrukturę IT, ochronę danych i gotowość na incydenty. Otrzymasz raport z listą luk i priorytetowymi rekomendacjami – punkt wyjścia do roadmapy zgodności.
Najwięcej czasu można zaoszczędzić jeszcze przed otwarciem formularza. Wniosek obejmuje nie tylko podstawowe dane rejestrowe, ale także informacje o klasyfikacji podmiotu, osobach kontaktowych i części infrastruktury.
Przed rozpoczęciem samorejestracji przygotuj:
dane organizacji – nazwę, NIP, REGON, adres oraz właściwy sektor, podsektor i rodzaj działalności,
ustaloną kwalifikację – podmiot kluczowy lub ważny wraz z podstawą tej kwalifikacji,
osobę odpowiedzialną za cały proces – kogoś, kto zbierze informacje od compliance, IT i osób reprezentujących spółkę,
osoby kontaktowe – w tym osoby odpowiedzialne za kontakt z właściwym CSIRT,
administratora konta w S46,
dane dotyczące reprezentacji – tak aby przed wysłaniem wniosku było jasne, kto może go podpisać i czy potrzebne jest pełnomocnictwo,
informacje techniczne – m.in. publiczne zakresy adresów IP i domeny internetowe,
pozostałe dane wymagane w formularzu – np. dotyczące przedstawiciela, dostawców usług zarządzanych czy wymiany informacji związanych z cyberbezpieczeństwem.
Nie warto zostawiać całego zadania jednej osobie. Compliance może odpowiadać za kwalifikację i podstawę prawną, CISO lub IT za dane techniczne i kontaktowe, a osoba uprawniona do reprezentacji za podpisanie wniosku lub udzielenie odpowiedniego umocowania.
Jednocześnie dobrze wyznaczyć jednego właściciela procesu. To on powinien pilnować terminu, kompletności danych i tego, żeby informacje z różnych działów faktycznie trafiły do formularza.
Kto może podpisać i jak złożyć wniosek?
Wniosek o wpis do Wykazu KSC składa i podpisuje kierownik podmiotu albo osoba przez niego upoważniona. Jeżeli działa pełnomocnik, trzeba wcześniej sprawdzić, czy jego umocowanie wynika z właściwego rejestru, czy potrzebne będzie odrębne pełnomocnictwo.
Przed wysłaniem wniosku przejdź przez trzy kroki:
Ustal, kto formalnie reprezentuje organizację. Sprawdź KRS lub CEIDG oraz wewnętrzne zasady reprezentacji. Jeżeli wniosek ma podpisać osoba upoważniona, przygotuj odpowiednie umocowanie.
Przygotuj sposób podpisu. Wniosek można podpisać m.in. za pomocą Profilu Zaufanego albo podpisu elektronicznego używanego w zewnętrznej aplikacji.
Sprawdź dane przed wysłaniem. Kierownik podmiotu składa oświadczenie pod rygorem odpowiedzialności karnej za fałszywe oświadczenie, więc końcowa weryfikacja nie powinna być traktowana jak zwykła formalność.
Problemy z reprezentacją często wychodzą dopiero na końcu, kiedy wszystkie dane są już zebrane. Lepiej ustalić te kwestie równolegle z przygotowaniem wniosku.
Co dzieje się po złożeniu wniosku?
Po wysłaniu wniosku trzeba sprawdzić jego status w S46. Status „Zatwierdzony” oznacza dokonanie wpisu do Wykazu KSC. „Oczekuje na weryfikację” może pojawić się wtedy, gdy system wykryje rozbieżność w danych, np. dotyczącą NIP lub REGON.
Po wpisie trzeba również upewnić się, że administrator ma dostęp do dalszych funkcji S46 Cyber Hub.
Na tym etapie zaczyna się kolejna część pracy. Wpis do Wykazu KSC nie oznacza, że organizacja osiągnęła zgodność z ustawą. Trzeba jeszcze uporządkować dalsze obowiązki, przypisać odpowiedzialności, przygotować się do obsługi i zgłaszania incydentów oraz zaplanować kolejne działania.
Jeżeli nie masz pewności, czy organizacja prawidłowo określiła swój status albo co powinna zrobić po wpisie, kolejnym krokiem jest weryfikacja zakresu obowiązków i przygotowanie roadmapy zgodności.
Zweryfikuj status swojej organizacji w KSC i przygotuj roadmapę kolejnych obowiązków z Tenesys.
Łukasz Ratajczyk
Łukasz Ratajczyk
CTO
CTO z 12-letnim doświadczeniem w różnych branżach. Specjalizuje się w optymalizacji środowisk chmurowych i modernizacji infrastruktury. Certyfikowany architekt chmury, w Tenesys kieruje zespołem doświadczonych inżynierów DevOps. Prywatnie podróżnik i rowerzysta górski.
