Wykaz KSC po 3 października 2026: co zmienia się w planach zarządów

Czy firma jest w Wykazie KSC i w jakiej kategorii

Z danych MC przytaczanych przez „Rzeczpospolitą” (12 października) wynika, że to dwa razy więcej, niż szacowano. Według Askomputera, który powołuje się na te same dane, ok. 62,3 tys. to wpisy z urzędu, a ok. 8,1 tys. samorejestracja (razem ok. 70,4 tys.); podmioty kluczowe stanowią około 13% wpisanych.

Z urzędu minister wpisuje przedsiębiorców telekomunikacyjnych, dostawców usług zaufania, podmioty publiczne i krytyczne (art. 7a ust. 2) oraz dotychczasowych operatorów usług kluczowych (art. 34 nowelizacji), m.in. z rejestrów publicznych. Taka firma ma 6 miesięcy od wezwania na uzupełnienie danych pod rygorem kary (art. 7b ust. 2), błędne dane koryguje w 7 dni (art. 7k ust. 2), a niepodlegającą ustawie organ wykreśla (art. 7f ust. 2).

Pozostałe firmy same oceniają status (art. 5). Decyduje najpierw działalność z załącznika nr 1 (sektory kluczowe) lub nr 2 (sektory ważne), potem rodzaj podmiotu, bo część podlega niezależnie od wielkości (m.in. dostawcy DNS, kwalifikowani dostawcy usług zaufania, podmioty krytyczne), a dopiero na końcu wielkość według załącznika I do rozporządzenia 651/2014.

Podmiotem ważnym jest co najmniej średnie przedsiębiorstwo z sektora, czyli takie, które nie jest małe: zatrudnia 50 lub więcej osób albo ma obrót i sumę bilansową powyżej 10 mln euro. Podmiotem kluczowym z załącznika nr 1 jest przedsiębiorstwo większe niż średnie. Stan bada się na dzień sporządzenia sprawozdania finansowego (art. 5 ust. 5).

W grupie kapitałowej progi liczy się razem ze spółką dominującą, bo dolicza się dane przedsiębiorstw partnerskich i powiązanych (art. 3 i 6 załącznika I). Wyjątek działa osobno dla każdego statusu. Podmiot, który tylko dzięki doliczeniu grupy przewyższa wymogi dla średniego przedsiębiorstwa, ale ma system informacyjny niezależny od systemów przedsiębiorstw powiązanych lub partnerskich albo nie świadczy z nimi usług wspólnie, nie jest z tego tytułu podmiotem kluczowym (art. 5 ust. 6). Podmiot, który tylko dzięki doliczeniu spełnia wymogi dla średniego i spełnia ten sam warunek niezależności systemu lub usług, nie jest z tego tytułu podmiotem ważnym (ust. 7). Inne, samodzielne przesłanki z art. 5 nadal mogą go objąć.

Organ może też decyzją uznać za kluczowy lub ważny podmiot z załącznika nr 1 lub 2, który progów nie przekracza, m.in. gdy jako jedyny świadczy usługę o kluczowym znaczeniu albo jej zakłócenie groziłoby bezpieczeństwu państwa lub ryzykiem systemowym (art. 7l ust. 1).

Co grozi za brak wpisu

Kto spełniał przesłanki 3 kwietnia 2026 r., spełnia je nadal i nie złożył wniosku, naruszył art. 7c ust. 1 (według Grant Thornton MC potwierdziło, że obowiązek nie dotyczył firm, które przestały je spełniać przed terminem). Organ może go wpisać z urzędu z wezwaniem do uzupełnienia danych w 6 miesięcy; na wpis przysługuje skarga do sądu administracyjnego (art. 7j). Termin 3 października zamknął tylko pierwszą turę: obowiązek rejestracji powstaje u każdego, kto spełni przesłanki później (art. 7c).

Kara za brak wniosku jest fakultatywna: organ może ją nałożyć, „jeżeli przemawia za tym waga i znaczenie naruszonych przepisów" (art. 73 ust. 1a), i odstąpić od niej, gdy naruszenie jest znikome, a podmiot zaprzestał naruszania prawa lub naprawił szkodę (art. 76a ust. 9). Karze może podlegać też kierownik, jeżeli przemawia za tym czas, zakres lub charakter naruszenia: do 300% wynagrodzenia, w podmiotach publicznych do 100% (art. 73a ust. 1, 4-5). Pułapy dla podmiotów: 10 mln euro lub 2% przychodów, przy czym zastosowanie ma kwota wyższa, nie mniej niż 20 tys. zł (kluczowy, art. 73 ust. 3) oraz 7 mln euro lub 1,4% przychodów, nie mniej niż 15 tys. zł (ważny, ust. 4); zastrzeżenie o kwocie wyższej ustawa zapisuje wprost tylko dla podmiotu kluczowego.

Te kary mogą być nałożone po raz pierwszy dopiero po upływie dwóch lat od wejścia ustawy w życie, czyli po 3 kwietnia 2028 r. (art. 35 nowelizacji). Wyjątkiem jest kara do 100 mln zł za naruszenia powodujące bezpośrednie i poważne cyberzagrożenie dla obronności, bezpieczeństwa państwa, porządku publicznego lub życia i zdrowia ludzi albo zagrożenie poważną szkodą majątkową lub poważnymi utrudnieniami w świadczeniu usług (art. 73 ust. 5).

Odroczenie nie obejmuje nadzoru. Organy właściwe już sprawują nadzór prewencyjny i następczy nad podmiotami kluczowymi, a następczy nad ważnymi. Oznacza to m.in. kontrole, żądanie dowodów wdrożenia zabezpieczeń i możliwość nakazania audytu (art. 53 ust. 3). Przy uzasadnionym podejrzeniu naruszenia organ kieruje ostrzeżenie z terminem (ust. 4) i, także bez ostrzeżenia, może nakazać zaniechanie naruszeń lub zapewnienie zgodności (ust. 5), również podmiotowi ważnemu (ust. 17).

Jeżeli podmiot kluczowy nakazu nie wykona, organ może wstrzymać mu działalność albo zakazać kierownikowi pełnienia funkcji zarządczych do czasu usunięcia uchybień (ust. 9; podmiotów publicznych nie dotyczy, ust. 10). Co do zasady podmiot dostaje wcześniej wstępne ustalenia i 7 dni na stanowisko (ust. 13-14), chyba że utrudniłoby to natychmiastowe zapobieżenie incydentowi lub reakcję na niego albo mogłoby niekorzystnie wpłynąć na bezpieczeństwo państwa lub porządek publiczny (ust. 16). Według Grant Thornton spóźniony wpis nie usuwa naruszenia, ale może działać na korzyść podmiotu.

Co musi działać 3 kwietnia 2027 r.

Odroczenie większości kar nie zawiesza obowiązków, a za ich wykonanie odpowiada kierownik podmiotu (art. 8c). Dla podmiotów spełniających przesłanki w dniu wejścia ustawy w życie terminy liczą się od 3 kwietnia 2026 r. (art. 33 nowelizacji) i spóźniony wpis ich nie przesuwa; firma uznana decyzją z art. 7l liczy je od doręczenia decyzji. Firma, która przesłanki spełni później, np. po przekroczeniu progu wielkości, ma 6 miesięcy na wniosek o wpis (art. 7c ust. 1), 12 miesięcy na obowiązki z rozdziału 3 i, jako podmiot kluczowy, 24 miesiące na pierwszy audyt, liczone od dnia spełnienia przesłanek (art. 16). Dawni operatorzy usług kluczowych zgłaszają incydenty poważne po nowemu już od 3 października 2026 r. (art. 33 ust. 4).

• Wniosek o wpis: 6 miesięcy od spełnienia przesłanek (art. 7c ust. 1); uzupełnienie danych po wpisie z urzędu: 6 miesięcy od wezwania (art. 7b ust. 2).
• Zmiana wpisu: 14 dni od zmiany danych (art. 7c ust. 3).
• 3 kwietnia 2027 r.: obowiązki z rozdziału 3, czyli SZBI, zgłaszanie incydentów, osoby do kontaktów, weryfikacja niekaralności, szkolenie kierownika i S46 (art. 8-12b, art. 33 ust. 1 nowelizacji; komunikat MC z 5.06.2026).
• 3 kwietnia 2028 r.: pierwszy audyt podmiotu kluczowego (art. 33 ust. 2 nowelizacji); od tej daty możliwość nakładania większości kar (art. 35).
• Co 3 lata: kolejne audyty podmiotu kluczowego (art. 15 ust. 1).

Na obowiązki z rozdziału 3 składa się sześć wymagań. Banków i infrastruktury rynków finansowych co do zasady nie dotyczą przepisy ustawy o SZBI i zgłaszaniu incydentów poważnych, ale wpis do Wykazu (art. 7-7m), osoby do kontaktów (art. 9) oraz, stosowane odpowiednio, obowiązki kierownika, jego szkolenie i weryfikacja niekaralności (art. 8c-8f) pozostają (art. 8i ust. 1-2).

Pierwsze wymaganie to system zarządzania bezpieczeństwem informacji w systemie informacyjnym używanym w procesach wpływających na usługę: szacowanie ryzyka i środki do niego proporcjonalne (art. 8 ust. 1). Ustawa nie wymaga certyfikatu ISO 27001; według Askomputera norma jest najczęstszym wzorcem SZBI, ale nie zwalnia z pozostałych wymagań ustawy, a certyfikacja pozostaje opcjonalna.

Drugie to zgłaszanie incydentów poważnych do CSIRT sektorowego: wczesne ostrzeżenie do 24 godzin od wykrycia, zgłoszenie do 72 godzin, sprawozdanie końcowe do miesiąca od zgłoszenia (art. 11 ust. 1 pkt 4-4c). Dostawca usług zaufania zgłasza incydent poważny w 24 godziny (art. 11 ust. 1a), a gdy obsługa trwa dłużej niż miesiąc, składa się sprawozdanie z postępu, a końcowe w miesiąc od zakończenia obsługi (art. 12b). Progi incydentu poważnego określi rozporządzenie Rady Ministrów (art. 11 ust. 4); do tego czasu, nie dłużej niż 12 miesięcy, obowiązują dotychczasowe przepisy wykonawcze (art. 32 nowelizacji).

Trzecie to wyznaczenie co najmniej dwóch osób do kontaktów z podmiotami krajowego systemu cyberbezpieczeństwa; mikro i mały przedsiębiorca wyznacza co najmniej jedną (art. 9 ust. 1 pkt 1 i ust. 2).

Czwarte to coroczne, udokumentowane szkolenie kierownika i osoby, której powierzono jego obowiązki w zakresie cyberbezpieczeństwa (art. 8e).

Piąte dotyczy niekaralności. Informację z KRK o niekaralności za przestępstwa przeciwko ochronie informacji przedstawia przed podjęciem zadań tylko osoba wyznaczona do zadań z art. 8 (SZBI) lub art. 11 (incydenty); zastępuje ją poświadczenie bezpieczeństwa „poufne” lub wyższe (art. 8f).

Szóste to audyt co najmniej raz na 3 lata dla podmiotów kluczowych; podmiot ważny przeprowadza go tylko na nakaz organu po incydencie poważnym lub innym naruszeniu (art. 15 ust. 1 i 1b).

Lista działań dla zarządu

Najpilniejsze są trzy sprawdzenia. Pierwsze: czy firma jest wpisana w wykaz-ksc.gov.pl i w jakiej kategorii, oraz czy w skrzynkach, w tym w e-Doręczeniach, nie czeka wezwanie. Drugie: jeśli firma spełnia przesłanki i nie jest wpisana, wniosek z oświadczeniem kierownika pod rygorem odpowiedzialności karnej (art. 7c ust. 5). Trzecie: jeśli wpis z urzędu ma błędną kategorię, wniosek o zmianę wpisu.

W kolejnych dniach zarząd powinien wyznaczyć osoby do kontaktów (co najmniej dwie, w mikro i małej firmie co najmniej jedną) z dostępem do S46, ustalić, kto realizuje zadania z art. 8 i 11, i pozyskać dla tych osób informacje z KRK. Warto w tym samym czasie zlecić analizę luk wobec art. 8 (ryzyko, ciągłość, incydenty, łańcuch dostaw, dostęp, kryptografia), sprawdzić obowiązujące progi incydentu poważnego i przygotować listę kontaktową dostępną całodobowo. Podmioty kluczowe ustalają już teraz termin, zakres i budżet pierwszego audytu.

Do 3 kwietnia 2027 r. potrzebny jest budżet i harmonogram SZBI z punktami kontrolnymi; środki planuje kierownik (art. 8d). W tym samym terminie kierownik odbywa pierwsze udokumentowane szkolenie, potem co rok kalendarzowy (art. 8e, art. 33 ust. 1 nowelizacji). Do przeglądu są też umowy z dostawcami ICT: ocena ryzyka dostawcy (obowiązuje mimo braku listy dostawców wysokiego ryzyka, jak podało MC 6 sierpnia 2026 r.), incydenty, audyt, podwykonawcy i plan wyjścia.

Do 3 kwietnia 2028 r. podmioty kluczowe przeprowadzają pierwszy audyt cyberbezpieczeństwa (art. 15, art. 33 ust. 2 nowelizacji).

Pytania, na które zarząd powinien znać odpowiedź

1. Czy jesteśmy w Wykazie KSC, w jakiej kategorii i kto to zweryfikował, licząc spółki powiązane?
2. Kto przyjmuje zgłoszenie incydentu poza godzinami pracy i czy ma dostęp do S46?
3. Kto realizuje zadania z art. 8 i 11 i czy ma informację z KRK?
4. Które z wymagań art. 8 mamy udokumentowane, a które wykonujemy bez dokumentacji?
5. Jeśli jesteśmy podmiotem kluczowym: kiedy i za ile planujemy audyt?

Źródła

• Ustawa z 23 stycznia 2026 r. o zmianie ustawy o krajowym systemie cyberbezpieczeństwa, Dz.U. 2026 poz. 252
• Rozporządzenie Komisji (UE) nr 651/2014, załącznik I - definicja MŚP
• Ministerstwo Cyfryzacji, nowelizacja ustawy o KSC zaczyna obowiązywać, 2.04.2026
• Ministerstwo Cyfryzacji, uruchamiamy samorejestrację w Wykazie KSC, 7.05.2026
• Ministerstwo Cyfryzacji, obowiązki podmiotów kluczowych i ważnych, 5.06.2026
• Ministerstwo Cyfryzacji, procedura dotycząca listy dostawców wysokiego ryzyka, 6.08.2026
• Rzeczpospolita, „Cyberbezpieczeństwo i AI. Prawie 70,5 tys. firm objętych nowymi przepisami", 12.10.2026