Nowelizacja ustawy o krajowym systemie cyberbezpieczeństwa (KSC) 2026: od 7 maja obowiązkowa samoidentyfikacja i wpis do wykazu KSC, czas tylko do 3 października

• Dyrektywa NIS2 wchodzi w życie – a Polska ją implementuje
• Jakich podmiotów dotyczy nowa regulacja o krajowym systemie cyberbezpieczeństwa?
• Trzystopniowy proces samoidentyfikacji – jak sprawdzić, czy podlega się pod przepisy KSC? Instrukcja krok po kroku przygotowana przez Ministerstwo Cyfryzacji
• Tych terminów nie możesz przegapić - to obowiązek z ustawy o krajowym systemie cyberbezpieczeństwa
• Gdzie i w jaki sposób można dokonać wpisu do Wykazu KSC?
• Jakie kary za zignorowanie obowiązku wpisu do Wykazu KSC?
• Cyberbezpieczeństwo to nie formalność - faktycznie należy zadbać o procedury i ich wdrożenie
• Co robić teraz w związku z nowelizacją ustawy o KSC implementującą dyrektywę NIS2?
• Artykuł w pytaniach i odpowiedziach (FAQ) - podsumowanie

Dyrektywa NIS2 wchodzi w życie – a Polska ją implementuje

Ministerstwo Cyfryzacji poinformowało 27 kwietnia 2026 roku, o uruchomieniu procedury samoidentyfikacji dla podmiotów objętych nowelizacją ustawy o krajowym systemie cyberbezpieczeństwa. To bezpośrednia konsekwencja wdrożenia unijnej dyrektywy NIS2, która radykalnie rozszerza katalog firm i instytucji zobowiązanych do przestrzegania rygorystycznych wymogów w zakresie ochrony przed cyberatakami.

Już teraz, 7 maja 2026 roku, została uruchomiona aplikacja umożliwiająca dokonanie wpisu do Wykazu KSC. Przedsiębiorcy i inne podmioty prowadzące działalność w objętych regulacją sektorach będą musieli samodzielnie przeanalizować, czy podlegają nowym przepisom, a następnie dokonać obowiązkowego wpisu w razie pozytywnej weryfikacji tego nowego obowiązku.

Jakich podmiotów dotyczy nowa regulacja o krajowym systemie cyberbezpieczeństwa?

Nowelizacja ustawy o KSC dzieli objęte nią podmioty na dwie kategorie: podmioty kluczowe oraz podmioty ważne. Rozróżnienie to ma fundamentalne znaczenie, ponieważ od statusu podmiotu zależą konkretne obowiązki w zakresie cyberbezpieczeństwa oraz kontrole ze strony organów państwowych.

Co istotne – ustawa nie przewiduje żadnego powiadomienia ze strony administracji. To przedsiębiorcy sami muszą ustalić, czy prowadzona przez nich działalność gospodarcza mieści się w katalogu objętym regulacją. Proces ten, nazywany samoidentyfikacją, opiera się na analizie przepisów ustawy, w szczególności art. 5 oraz załączników nr 1 i 2, które szczegółowo określają sektory, podsektory i rodzaje działalności. Ministerstwo Cyfryzacji wyraźnie podkreśla: brak świadomości nie zwalnia z obowiązku.

Trzystopniowy proces samoidentyfikacji – jak sprawdzić, czy podlega się pod przepisy KSC? Instrukcja krok po kroku przygotowana przez Ministerstwo Cyfryzacji

Resort cyfryzacji opublikował szczegółową instrukcję, która dzieli proces samoidentyfikacji na trzy kluczowe etapy. Poniżej omawiamy ten komunikat ministerstwa, przedstawiając poszczególne kroki, jakie należy wykonać celem samoidentyfikacji.

KROK 1: W jakim sektorze działa podmiot?

Pierwszym krokiem jest sprawdzenie, czy prowadzona działalność mieści się w sektorach lub podsektorach wskazanych w załączniku nr 1 do ustawy (podmioty kluczowe) albo w załączniku nr 2 (podmioty ważne).

KROK 2: Jakiej wielkości jest podmiot?

Drugi etap wymaga ustalenia wielkości przedsiębiorstwa według unijnych kryteriów. Ustawa rozróżnia mikroprzedsiębiorstwa (poniżej 10 pracowników i obrót do 2 mln EUR), małe przedsiębiorstwa (poniżej 50 pracowników i obrót do 10 mln EUR), średnie przedsiębiorstwa (poniżej 250 pracowników i obrót do 50 mln EUR) oraz duże przedsiębiorstwa przekraczające te progi.

Szczególny przypadek stanowią przedsiębiorcy telekomunikacyjni – niezależnie od wielkości, wszyscy bez wyjątku podlegają pod ustawę. Duzi i średni stają się automatycznie podmiotami kluczowymi, natomiast mali i mikroprzedsiębiorcy otrzymują status podmiotów ważnych.

KROK 3: Czy podmiot jest kluczowy czy ważny?

Ostatni, najważniejszy etap to szczegółowa analiza artykułu 5 ustawy o KSC. Ten przepis określa precyzyjne zasady uznawania podmiotów za kluczowe lub ważne i wskazuje przypadki, w których podmiot może zostać objęty regulacją niezależnie od swojej wielkości.

Po dokładnej analizie tego przepisu możliwe jest ostateczne ustalenie, czy dany podmiot jest podmiotem kluczowym, podmiotem ważnym, czy też w ogóle nie podlega przepisom ustawy. Ministerstwo nie pozostawia wątpliwości: spełnienie przesłanek z art. 5 jednoznacznie oznacza objęcie podmiotu przepisami ustawy.

Tych terminów nie możesz przegapić - to obowiązek z ustawy o krajowym systemie cyberbezpieczeństwa

Kalendarz wdrażania nowej regulacji jest niezwykle napięty. 6 maja 2026 roku minął termin, w którym Minister Cyfryzacji dokonał z urzędu wpisów do Wykazu KSC wybranych kategorii podmiotów. Dotyczyło to podmiotów publicznych, przedsiębiorców telekomunikacyjnych, dostawców usług cyfrowych oraz podmiotów, które wcześniej miały status operatorów usług kluczowych.

Dzień później, 7 maja 2026 roku, została uruchomiona aplikacja webowa umożliwiająca samorejestrację pozostałym podmiotom. Okno czasowe na dokonanie samorejestracji zamyka się 3 października 2026 roku. To już niceałe pięć miesięcy, a biorąc pod uwagę konieczność wcześniejszego przeprowadzenia trzystopniowej samoidentyfikacji, przygotowania dokumentacji oraz wdrożenia odpowiednich procedur cyberbezpieczeństwa, czas ten może okazać się wbrew pozorom bardzo krótki.

Gdzie i w jaki sposób można dokonać wpisu do Wykazu KSC?

Wykaz KSC jest prowadzony w ramach Systemu S46, ale stanowi osobną aplikację webową dostępną pod adresem https://wykaz-ksc.gov.pl. Wnioski o wpis, zmianę wpisu oraz wykreślenie podmiotu z wykazu będą wypełniane i składane wyłącznie w formie elektronicznej za pośrednictwem tej aplikacji.

Każdy wniosek musi być opatrzony kwalifikowanym podpisem elektronicznym. Ministerstwo podkreśla, że proces będzie w pełni zdigitalizowany – nie ma możliwości składania dokumentów w formie papierowej.

Jakie kary za zignorowanie obowiązku wpisu do Wykazu KSC?

Ministerstwo Cyfryzacji w swoim komunikacie skupiło się na procedurze samoidentyfikacji i rejestracji, nie precyzując wprost sankcji za niedopełnienie obowiązku. Jednak brak wpisu do wykazu pomimo spełnienia ustawowych przesłanek będzie traktowany jako naruszenie przepisów ustawy o krajowym systemie cyberbezpieczeństwa. A za takie naruszenia grożą naprawdę wysokie kary:

• dla podmiotów kluczowych - od 20 tys. zł do 10 mln euro,
• dla podmiotów ważnych - od 15 tys. zł do 7 mln euro,
• za najpoważniejsze naruszenia – do 100 mln zł,
• za niezastosowanie się do nakazu organu cyberbezpieczeństwa - od 500 zł do 100 tys. zł za każdy dzień opóźnienia,
• dla kierownika jednostki - do 300 proc. miesięcznego wynagrodzenia.

Cyberbezpieczeństwo to nie formalność - faktycznie należy zadbać o procedury i ich wdrożenie

Nowelizacja ustawy o KSC to nie jest jedynie kolejny papierowy obowiązek. To odpowiedź na realnie rosnące zagrożenia w cyberprzestrzeni. Ataki ransomware, wycieki danych osobowych, sabotaż infrastruktury krytycznej – to już nie abstrakcyjne scenariusze, ale codzienność firm działających w kluczowych sektorach gospodarki.

Dyrektywa NIS2, którą Polska wdraża poprzez nowelizację KSC, powstała na bazie gorzkich doświadczeń państw członkowskich UE. Wcześniejsze regulacje okazały się niewystarczające – obejmowały zbyt wąski katalog podmiotów, a wymogi były zbyt ogólne. Nowa regulacja stawia na kompleksowość, precyzję i rzeczywiste podniesienie poziomu bezpieczeństwa.

Co robić teraz w związku z nowelizacją ustawy o KSC implementującą dyrektywę NIS2?

Ministerstwo Cyfryzacji apeluje, aby podmioty potencjalnie objęte regulacją nie zwlekały z analizą swojej sytuacji. Zalecane działania to:

W przypadku stwierdzenia objęcia regulacją konieczne jest rozpoczęcie przygotowań do wdrożenia wymaganych procedur cyberbezpieczeństwa. Kluczowe jest podejście proaktywne. Czekanie na wyjaśnienia, wytyczne czy – co gorsza – na kontrolę organów nadzoru może oznaczać poważne konsekwencje prawne i finansowe.

Artykuł w pytaniach i odpowiedziach (FAQ) - podsumowanie

Źródło: Ministerstwo Cyfryzacji