Wpis do wykazu KSC nie jest formalnością dotyczącą każdej firmy. Obowiązek obejmuje podmioty kluczowe i podmioty ważne, które spełniają kryteria z ustawy o krajowym systemie cyberbezpieczeństwa i nie są wpisywane do wykazu z urzędu. Organizacje objęte samorejestracją mają czas do 3 października 2026 r. Najpierw trzeba jednak prawidłowo ustalić status firmy, ponieważ sam kod PKD ani przekonanie, że „NIS2 nas nie dotyczy”, nie rozstrzygają sprawy.
Nowelizacja ustawy o krajowym systemie cyberbezpieczeństwa weszła w życie 3 kwietnia 2026 r. i wdrożyła do polskiego prawa zasadniczą część wymagań dyrektywy NIS2. Od 7 maja 2026 r. podmioty objęte samorejestracją mogą składać elektroniczne wnioski do Wykazu podmiotów kluczowych i podmiotów ważnych, nazywanego Wykazem KSC. Zgodnie z aktualnym harmonogramem Ministerstwa Cyfryzacji termin upływa 3 października 2026 r.
Nie warto zaczynać od samego formularza. Największe ryzyko pojawia się wcześniej, gdy organizacja błędnie oceni sektor działalności, nie uwzględni przedsiębiorstw partnerskich lub powiązanych albo pomyli samorejestrację z wpisem z urzędu. Poniższy test i instrukcja pomagają uporządkować ten proces, ale przy niejednoznacznym modelu działalności nie zastępują analizy konkretnych przepisów.
Najważniejsze informacje
- Termin 3 października 2026 r. dotyczy podmiotów kluczowych i ważnych, które powinny złożyć wniosek o wpis, a nie wszystkich przedsiębiorców działających w Polsce.
- O objęciu KSC decydują łącznie rzeczywisty rodzaj działalności, sektor lub podsektor wskazany w ustawie, wielkość organizacji oraz szczególne reguły z art. 5 ustawy.
- Kod PKD jest wskazówką pomocniczą. Nie zastępuje analizy usług faktycznie świadczonych przez organizację.
- Podmioty publiczne, przedsiębiorcy telekomunikacyjni, dostawcy usług zaufania oraz dotychczasowi operatorzy usług kluczowych są co do zasady wpisywani z urzędu. Nie powinni składać drugiego wniosku o samorejestrację.
- Wniosek składa się elektronicznie w aplikacji Wykaz KSC. Powinien go podpisać kierownik podmiotu albo prawidłowo umocowana osoba.
- Rejestracja jest pierwszym etapem. Po wpisie organizację czekają między innymi obowiązki związane z Systemem S46, zarządzaniem ryzykiem, obsługą incydentów, dokumentacją oraz odpowiedzialnością kierownictwa.
Czym jest Wykaz KSC?
Wykaz KSC to elektroniczny wykaz podmiotów kluczowych i podmiotów ważnych prowadzony w ramach Systemu S46. Zgromadzone w nim dane pozwalają identyfikować organizacje należące do krajowego systemu cyberbezpieczeństwa oraz organizować ich współpracę z właściwymi organami i zespołami CSIRT.
Wpis otwiera drogę do korzystania z S46 Cyber Hub. Platforma służy między innymi do zgłaszania i obsługi incydentów, odbierania ostrzeżeń, wymiany informacji o cyberzagrożeniach oraz komunikacji z organami właściwymi do spraw cyberbezpieczeństwa. Według komunikatu Ministerstwa Cyfryzacji z 7 lipca 2026 r. z S46 Cyber Hub korzystało już ponad 2000 podmiotów.
W praktyce wykaz pełni więc funkcję znacznie szerszą niż lista rejestrowa. Tworzy podstawę formalnej i operacyjnej komunikacji organizacji z krajowym systemem cyberbezpieczeństwa. Błąd w danych kontaktowych albo brak przygotowanej obsługi konta może utrudnić reakcję dokładnie wtedy, gdy pojawi się poważny incydent.
Kogo dotyczy wpis do wykazu KSC?
Najpierw trzeba ustalić, czy organizacja jest podmiotem kluczowym albo podmiotem ważnym. Sam fakt prowadzenia działalności gospodarczej, świadczenia usług cyfrowych lub przetwarzania dużej ilości danych nie wystarcza do objęcia ustawą.
Analizę należy oprzeć przede wszystkim na art. 5 oraz załącznikach nr 1 i 2 do ustawy o krajowym systemie cyberbezpieczeństwa. Znaczenie mają trzy elementy:
- faktyczny rodzaj działalności prowadzonej przez organizację;
- wielkość podmiotu, ustalana z uwzględnieniem odpowiednich reguł dotyczących przedsiębiorstw partnerskich i powiązanych;
- szczególne przesłanki ustawowe, które w określonych przypadkach mogą przesądzić o objęciu regulacją niezależnie od typowego progu wielkości.
Jakie sektory obejmuje KSC?
Zakres ustawy jest szeroki. Wśród sektorów i rodzajów działalności wskazanych w załącznikach znajdują się między innymi energia, transport, bankowość, infrastruktura rynków finansowych, ochrona zdrowia, woda pitna i ścieki, infrastruktura cyfrowa, zarządzanie usługami ICT, administracja publiczna oraz przestrzeń kosmiczna.
Regulacja obejmuje również określone podmioty z obszaru usług pocztowych i kurierskich, gospodarowania odpadami, produkcji i dystrybucji chemikaliów, produkcji oraz przetwarzania żywności, wybranych gałęzi produkcji przemysłowej, usług cyfrowych i badań naukowych. To zestawienie ma charakter orientacyjny. O wyniku analizy decyduje konkretna działalność opisana w ustawie, a nie samo podobieństwo firmy do nazwy sektora.
Jeżeli organizacja świadczy kilka usług, każdą z nich warto ocenić oddzielnie. Firma może zostać objęta KSC przez jeden istotny fragment działalności, nawet jeśli jej podstawowy produkt jest kojarzony z inną branżą.
Wielkość firmy ma znaczenie, ale nie zawsze rozstrzyga
Ministerstwo Cyfryzacji wskazuje następujące progi stosowane podczas samoidentyfikacji:
| Kategoria | Liczba pracowników | Roczny obrót lub suma bilansowa |
|---|---|---|
| Mikroprzedsiębiorca | mniej niż 10 | nie więcej niż 2 mln euro |
| Mały przedsiębiorca | mniej niż 50 | nie więcej niż 10 mln euro |
| Średni przedsiębiorca | mniej niż 250 | obrót nie większy niż 50 mln euro lub suma bilansowa nie większa niż 43 mln euro |
| Duży przedsiębiorca | powyżej progów dla średniego przedsiębiorcy | ocena zgodnie z właściwymi regułami |
Nie należy odczytywać tej tabeli w oderwaniu od art. 5 ustawy. Status zależy również od sektora i szczególnych przesłanek. Dobrym przykładem są przedsiębiorcy telekomunikacyjni, których regulacja obejmuje niezależnie od wielkości, przy czym ich klasyfikacja jako podmiotów kluczowych albo ważnych zależy między innymi od kategorii wielkościowej.
Grupa kapitałowa może zmienić wynik
Jednym z najczęstszych źródeł błędu jest ocenianie wyłącznie pojedynczej spółki. Przy ustalaniu wielkości mogą mieć znaczenie dane przedsiębiorstw partnerskich i powiązanych. Dotyczy to nie tylko klasycznej grupy kapitałowej, ale także innych relacji właścicielskich i kontrolnych przewidzianych w regułach dotyczących statusu przedsiębiorstwa.
W praktyce dział finansowy powinien przygotować dane o zatrudnieniu, obrocie i sumie bilansowej, a dział prawny lub osoba odpowiedzialna za compliance powinna przeanalizować strukturę powiązań. Dopiero połączenie tych informacji daje podstawę do wiarygodnej kwalifikacji.
Szybka weryfikacja przed wpisem do Wykazu KSC
Poniższy test służy do wstępnej samoidentyfikacji. Odpowiedź „tak” na jedno pytanie nie zawsze oznacza automatyczny obowiązek rejestracji. Pokazuje jednak, że dany obszar trzeba sprawdzić w ustawie i udokumentować.
Czy rzeczywista działalność mieści się w załączniku nr 1 lub 2 do ustawy?
Sprawdź konkretne usługi, produkty i procesy, a nie tylko przedmiot działalności wpisany w rejestrze. Jeśli odpowiedź brzmi „tak” albo „nie jesteśmy pewni”, przejdź do analizy wielkości oraz art. 5.
Czy organizacja spełnia kryterium średniego lub dużego przedsiębiorcy?
W wielu przypadkach właśnie ten próg, połączony z działalnością w sektorze objętym ustawą, prowadzi do statusu podmiotu kluczowego albo ważnego. Obliczenie powinno uwzględniać wymagane dane podmiotów partnerskich i powiązanych.
Czy ustawa obejmuje daną organizację niezależnie od typowego progu wielkości?
Art. 5 przewiduje reguły szczególne. Nie można więc zakończyć analizy stwierdzeniem, że firma zatrudnia mniej niż 50 osób. Trzeba sprawdzić, czy rodzaj działalności, status podmiotu lub znaczenie świadczonej usługi nie prowadzą do objęcia KSC mimo mniejszej skali.
Czy firma jest przedsiębiorcą telekomunikacyjnym, dostawcą usług zaufania, podmiotem publicznym albo dotychczasowym operatorem usługi kluczowej?
Jeżeli tak, najpierw zweryfikuj wpis z urzędu. Te grupy co do zasady nie dokonują samorejestracji. Po otrzymaniu zawiadomienia i wezwania uzupełniają dane w terminie wskazanym dla tej procedury.
Czy organizacja otrzymała zawiadomienie o wpisie z urzędu?
Sprawdź właściwe skrzynki i kanały komunikacji urzędowej. Ministerstwo Cyfryzacji rozpoczęło wysyłkę zawiadomień oraz wezwań po dokonaniu wpisów z urzędu. Podmiot ma 6 miesięcy od doręczenia wezwania na uzupełnienie danych.
Czy organizacja spełniała przesłanki podmiotu kluczowego lub ważnego 3 kwietnia 2026 r.?
To pytanie ma znaczenie dla terminów przejściowych. Podmioty spełniające kryteria w dniu wejścia nowelizacji w życie powinny złożyć wniosek do 3 października 2026 r. oraz przygotować się do kolejnych terminów wdrożeniowych.
Czy w grupie jedna spółka centralnie świadczy usługi IT, chmurowe lub zarządzane dla innych podmiotów?
Taki model wymaga osobnej analizy roli spółki usługowej. Nie można automatycznie przenieść kwalifikacji jednej spółki na całą grupę ani założyć, że centralny dostawca pozostaje poza zakresem KSC.
Czy wynik analizy został zapisany i zatwierdzony?
Ustna ocena nie wystarcza z perspektywy zarządczej. Przygotuj krótką notatkę wskazującą analizowane usługi, właściwe pozycje załączników, dane wielkościowe, powiązania, zastosowane wyjątki oraz ostateczny wniosek. Zachowaj źródła danych i wskaż osobę zatwierdzającą.
Jeżeli nie masz pewności, czy organizacja spełnia kryteria podmiotu kluczowego albo ważnego, przeprowadź szczegółowy test kwalifikacyjny NIS2.
Samorejestracja czy wpis z urzędu?
To rozróżnienie trzeba ustalić przed otwarciem formularza.
| Tryb | Kogo zasadniczo dotyczy | Co powinien zrobić podmiot |
|---|---|---|
| Samorejestracja | Przede wszystkim prywatne podmioty objęte ustawą, które nie są wpisywane z urzędu | Złożyć elektroniczny wniosek najpóźniej 3 października 2026 r. |
| Wpis z urzędu | Podmioty publiczne, przedsiębiorcy telekomunikacyjni, dostawcy usług zaufania i dotychczasowi operatorzy usług kluczowych | Nie składać drugiego wniosku. Oczekiwać na zawiadomienie i wezwanie, następnie uzupełnić dane |
Próba samodzielnego wpisania organizacji, która znajduje się już w wykazie, może zakończyć się błędem. Nie oznacza to awarii systemu. Najpierw trzeba sprawdzić, czy Minister Cyfryzacji dokonał wpisu z urzędu.
Jak złożyć wniosek o wpis do wykazu KSC krok po kroku?
Krok 1. Zatwierdź kwalifikację organizacji
Przed rozpoczęciem rejestracji ustal, czy organizacja jest podmiotem kluczowym albo ważnym i na jakiej podstawie. W notatce kwalifikacyjnej wskaż właściwy sektor, rodzaj działalności, kategorię wielkościową oraz analizę art. 5.
Jest to ważne nie tylko dla formularza. Przyjęta kwalifikacja wpływa na dalsze obowiązki, zakres nadzoru i przygotowanie organizacji do audytu.
Krok 2. Wyznacz osobę prowadzącą sprawę
Proces powinien mieć właściciela. W praktyce może nim być przedstawiciel działu prawnego, compliance, bezpieczeństwa informacji lub osoba koordynująca projekt NIS2. Właściciel procesu zbiera dane i pilnuje spójności, ale nie zawsze będzie osobą podpisującą wniosek.
Wniosek podpisuje kierownik podmiotu albo osoba posiadająca odpowiednie umocowanie. Jeśli działa pełnomocnik, przygotuj dokument potwierdzający umocowanie w formie wymaganej dla elektronicznej procedury.
Krok 3. Zbierz i zweryfikuj dane
Przygotuj dane identyfikacyjne organizacji, informacje potrzebne do określenia sektora i statusu oraz aktualne dane kontaktowe. Osoby wskazane do kontaktu powinny wiedzieć, jaka jest ich rola i kto zapewni zastępstwo podczas urlopu, choroby lub incydentu poza standardowymi godzinami pracy.
Porównaj dane z rejestrami publicznymi i dokumentami korporacyjnymi. Literówka w adresie lub nieaktualny sposób reprezentacji może zatrzymać proces albo wywołać późniejsze problemy z dostępem.
Krok 4. Załóż konto i zaloguj się do aplikacji
Wejdź na stronę wykaz-ksc.gov.pl i zarejestruj konto użytkownika. Logowanie odbywa się przez Węzeł Krajowy, z wykorzystaniem dostępnej metody identyfikacji elektronicznej, na przykład Profilu Zaufanego, aplikacji mObywatel, e-dowodu, bankowości elektronicznej albo kwalifikowanego certyfikatu.
Po zalogowaniu wybierz funkcję „Wpisz nowy podmiot”. Jeśli system wskazuje, że podmiot już istnieje, nie twórz alternatywnego zgłoszenia. Zweryfikuj możliwość wpisu z urzędu i odebrane zawiadomienia.
Krok 5. Uzupełnij formularz i podpisz wniosek
Wprowadź dane podmiotu, właściwą klasyfikację sektorową oraz wymagane dane kontaktowe. Sprawdź zgodność formularza z notatką kwalifikacyjną. Osoba uprawniona powinna następnie podpisać wniosek elektronicznie i dołączyć dokument umocowania, jeżeli jest potrzebny.
Nie zostawiaj podpisu na ostatnią godzinę. W dużej organizacji uzyskanie pełnomocnictwa, dostępności członka zarządu i właściwego narzędzia do podpisu może zająć więcej czasu niż wypełnienie formularza.
Krok 6. Zachowaj potwierdzenia i uruchom dalsze działania
Zapisz kopię wniosku, potwierdzenie złożenia, dokument umocowania, notatkę kwalifikacyjną oraz wersję danych przekazanych do wykazu. Ustal, kto monitoruje korespondencję i odpowiada za aktualizowanie wpisu, gdy zmienią się dane organizacji.
Wpis powinien od razu uruchomić kolejny etap projektu. Szerszy plan zgodności, obejmujący odpowiedzialność kierownictwa, zarządzanie ryzykiem i gotowość incydentową, opisuje poradnik BPPZ dotyczący NIS2 w Polsce.
Najczęstsze błędy przy wpisie do wykazu KSC
Oparcie kwalifikacji wyłącznie na kodzie PKD
Kod PKD pomaga uporządkować analizę, ale decydujące znaczenie ma rzeczywisty zakres działalności. Szczególnie w grupach kapitałowych i firmach technologicznych opis rejestrowy może nie oddawać usług wykonywanych na co dzień.
Nieuwzględnienie przedsiębiorstw powiązanych i partnerskich
Ocena pojedynczej spółki może zaniżyć jej wielkość. Przed zatwierdzeniem statusu trzeba przeanalizować strukturę właścicielską i prawidłowo zebrać dane finansowe oraz zatrudnienie.
Pomylenie samorejestracji z wpisem z urzędu
Nie każdy podmiot składa wniosek. Organizacja należąca do grupy wpisywanej z urzędu powinna sprawdzić zawiadomienie i wykonać procedurę uzupełnienia danych, zamiast tworzyć nowy wpis.
Wyznaczenie przypadkowej osoby kontaktowej
Kontakt w wykazie nie powinien prowadzić do skrzynki, której nikt regularnie nie monitoruje. Należy określić właściciela, zastępstwo, zasady eskalacji i sposób postępowania poza godzinami pracy.
Brak pełnomocnictwa albo niewłaściwa reprezentacja
Osoba technicznie przygotowująca formularz nie zawsze może skutecznie podpisać wniosek. Uprawnienie do działania trzeba potwierdzić przed wysłaniem dokumentu.
Potraktowanie wpisu jako zakończenia wdrożenia
Rejestracja potwierdza obecność organizacji w systemie, ale nie zapewnia zgodności z KSC. Organizacja nadal musi wdrożyć wymagane środki, procesy, dokumentację, szkolenia, raportowanie oraz nadzór kierownictwa.
Co trzeba zrobić po wpisie do Wykazu KSC?
Podmioty, które spełniały kryteria w dniu 3 kwietnia 2026 r., powinny do 3 kwietnia 2027 r. rozpocząć korzystanie z Systemu S46 i wdrożyć obowiązki wynikające z nowych przepisów. Ministerstwo Cyfryzacji wskazuje między innymi na przygotowanie i wdrożenie systemu zarządzania bezpieczeństwem informacji, obsługę oraz zgłaszanie incydentów, wyznaczenie osób do kontaktu i wymagane działania wobec personelu.
Podmioty kluczowe, które wcześniej nie były operatorami usług kluczowych, powinny również uwzględnić termin pierwszego obowiązkowego audytu cyberbezpieczeństwa przypadający na 3 kwietnia 2028 r. Kolejne audyty przeprowadza się co najmniej raz na trzy lata. Szczegółowy harmonogram trzeba jednak ustalić z uwzględnieniem statusu i historii konkretnego podmiotu.
Nie oznacza to, że prace można odłożyć do wiosny 2027 r. Analiza ryzyka, inwentaryzacja usług i systemów, przypisanie odpowiedzialności, przygotowanie obsługi incydentów oraz ocena dostawców wymagają czasu. Wsparcie obejmujące kwalifikację, dokumentację i operacyjne wdrożenie NIS2/KSC warto zaplanować jako jeden program, a nie serię niepowiązanych dokumentów.
Kto powinien uczestniczyć w samoidentyfikacji i rejestracji?
Kierownictwo powinno zatwierdzić kwalifikację, zapewnić zasoby i otrzymywać informacje o ryzyku. Nie jest to zadanie, które można w całości przekazać administratorowi IT.
Dział prawny lub compliance interpretuje zakres ustawy, analizuje art. 5, reprezentację i podstawę wpisu. Finanse oraz HR dostarczają dane niezbędne do oceny wielkości. Osoby odpowiedzialne za strukturę korporacyjną pomagają ustalić przedsiębiorstwa partnerskie i powiązane.
IT i bezpieczeństwo informacji opisują faktycznie świadczone usługi, systemy, model operacyjny i zależności technologiczne. Właściciele biznesowi potwierdzają, jak działalność wygląda w praktyce, kto korzysta z usług oraz jakie byłyby skutki ich przerwania.
Końcowym rezultatem powinien być spójny pakiet dowodowy: notatka kwalifikacyjna, dane źródłowe, decyzja kierownictwa, kopia wniosku, potwierdzenie złożenia oraz plan dalszego wdrożenia. Taki materiał porządkuje odpowiedzialność i ułatwia późniejszą aktualizację statusu.
Wpis do wykazu KSC 2026. Podsumowanie
Wpis do wykazu KSC do 3 października 2026 r. powinny przeprowadzić podmioty kluczowe i ważne, które podlegają samorejestracji. Termin nie oznacza powszechnego obowiązku rejestrowego dla każdej firmy, ale wymaga od organizacji działających w objętych sektorach świadomej samoidentyfikacji.
Najbezpieczniejsza kolejność jest prosta. Najpierw sprawdź rzeczywisty zakres działalności, następnie ustal wielkość z uwzględnieniem powiązań, przeanalizuj art. 5, wybierz prawidłowy tryb wpisu i udokumentuj decyzję. Dopiero potem wypełnij elektroniczny wniosek.
Nie odkładaj procesu na koniec września. Wątpliwości zwykle dotyczą nie samej obsługi formularza, lecz klasyfikacji działalności, struktury grupy, umocowania osoby podpisującej i organizacji dalszych obowiązków. Wpis jest początkiem wdrożenia KSC, a nie jego zakończeniem.
Wpis do wykazu KSC. FAQ
Nie. Obowiązek dotyczy podmiotów kluczowych i podmiotów ważnych spełniających kryteria ustawy. Firma powinna przeanalizować rzeczywistą działalność, właściwy sektor, wielkość, powiązania oraz szczególne przesłanki z art. 5.
Dla podmiotów spełniających kryteria w dniu wejścia nowelizacji w życie i objętych samorejestracją termin upływa 3 października 2026 r. Samorejestracja jest dostępna od 7 maja 2026 r.
Nie powinien składać drugiego wniosku. Podmioty publiczne, przedsiębiorcy telekomunikacyjni, dostawcy usług zaufania i dotychczasowi operatorzy usług kluczowych są co do zasady wpisywani z urzędu. Po otrzymaniu wezwania uzupełniają dane.
Trzeba zestawić faktyczny rodzaj działalności z załącznikami nr 1 i 2, ustalić wielkość przedsiębiorstwa oraz przeanalizować art. 5 ustawy. Sama nazwa sektora albo kod PKD nie dają pewnego wyniku.
Nie. Ministerstwo Cyfryzacji traktuje PKD jako narzędzie pomocnicze. Decydujące znaczenie ma rzeczywisty zakres usług i zadań wykonywanych przez organizację.
Tak. Chociaż kryterium wielkości jest ważne, ustawa przewiduje przypadki objęcia regulacją niezależnie od typowego progu. Szczególne zasady dotyczą między innymi przedsiębiorców telekomunikacyjnych. Każdy przypadek trzeba ocenić według art. 5 i właściwego sektora.
Wniosek podpisuje kierownik podmiotu albo prawidłowo umocowana osoba. Jeżeli działa pełnomocnik, do wniosku należy dołączyć wymagany dokument potwierdzający umocowanie.
Wniosek składa się elektronicznie w aplikacji dostępnej pod adresem wykaz-ksc.gov.pl. Użytkownik loguje się przez Węzeł Krajowy, uzupełnia formularz i opatruje wniosek podpisem elektronicznym.
Należy jak najszybciej potwierdzić kwalifikację i wykonać obowiązek, a następnie udokumentować przyczynę opóźnienia oraz działania naprawcze. Potencjalne konsekwencje trzeba oceniać na podstawie aktualnego brzmienia ustawy i sytuacji konkretnego podmiotu. Brak wpisu nie usuwa pozostałych obowiązków KSC.
Nie. Wpis jest jednym z pierwszych obowiązków. Organizacja musi również przygotować zarządzanie ryzykiem, środki bezpieczeństwa, obsługę incydentów, ciągłość działania, nadzór nad dostawcami, szkolenia, dokumentację i odpowiedzialność kierownictwa.
Zobacz również
Źródła:
- Ustawa z 23 stycznia 2026 r. – o zmianie ustawy o krajowym systemie cyberbezpieczeństwa oraz niektórych innych ustaw, Dz.U. z 2026 r. poz. 252.
- Ministerstwo Cyfryzacji – Uruchamiamy samorejestrację w Wykazie podmiotów kluczowych i podmiotów ważnych.
- System S46 – harmonogram i informacje o platformie.
- Dyrektywa Parlamentu Europejskiego i Rady – (UE) 2022/2555, NIS2.
- Komisja Europejska – NIS2 Directive FAQs.
