Do 3 października część firm musi wpisać się do specjalnego wykazu. Inaczej grozi im kara

Wpis do wykazu podmiotów kluczowych i ważnych: termin mija w sobotę 3 października

Znowelizowana ustawa o KSC, wdrażająca unijną dyrektywę NIS2, obowiązuje od 3 kwietnia 2026 r.; firmy, które już wtedy spełniały kryteria, mają sześć miesięcy na złożenie wniosku o wpis do wykazu krajowego systemu cyberbezpieczeństwa. Ostatni dzień, 3 października, wypada w sobotę — bezpieczniej więc nie liczyć na poniedziałek i zamknąć sprawę do piątku. Termin nie jest przy tym jednakowy dla wszystkich; firma, która dopiero później urosła do rozmiarów średniego przedsiębiorcy albo weszła w sektor objęty ustawą, liczy sześć miesięcy od tego momentu.

Po wpisie do wykazu KSC obowiązków tylko przybędzie

Wpis ma charakter deklaratoryjny, więc firma spełniająca kryteria podlega ustawie niezależnie od tego, czy złożyła wniosek; jeśli tego nie zrobi, może zostać wpisana z urzędu i ukarana. Sam wpis otwiera zresztą dopiero listę zadań — później trzeba wdrożyć system zarządzania bezpieczeństwem informacji, wyznaczyć osoby do obsługi incydentów, a do 3 kwietnia 2027 r. zacząć korzystać z systemu S46.

Kogo obejmuje ustawa o KSC? Główny kod PKD niewiele mówi, decydować może działalność poboczna

Ustawa nie posługuje się kodami PKD, tylko dość szerokimi opisami sektorów; wystarczy zatem, że w załącznikach mieści się choćby marginalna część działalności, by obowiązki objęły całą organizację. Firma montująca i serwisująca dźwigi, formalnie zaliczana do branży budowlanej, może podlegać ustawie tylko dlatego, że zdalnie monitoruje dane przesyłane przez część urządzeń do chmury.

Duża firma handlowa może stać się podmiotem kluczowym przez jedną czy dwie stacje paliw przy centrach dystrybucyjnych albo przez koncesjonowaną produkcję energii z OZE. Z kolei w grupach kapitałowych obowiązek może wynikać z działalności centrum usług wspólnych, które obsługuje IT pozostałych spółek.

Mleczarnie, firmy chemiczne, hotele z ładowarką — kto jeszcze powinien sprawdzić obowiązek

Analizę powinni przeprowadzić również spółdzielczy producenci żywności, firmy chemiczne objęte regulacjami REACH i CLP, producenci maszyn i automatyki, a także hotele czy centra handlowe z punktem ładowania samochodów elektrycznych. W ich przypadku liczy się jednak dopiero zarządzanie takim punktem i sprzedaż usługi ładowania klientom.

Nie każdy sklep internetowy musi się wpisać. Mała spółka też może być poza wykazem

O ile część firm może nie zdawać sobie sprawy z obowiązku, o tyle inne mogą go sobie niepotrzebnie przypisywać. Własny sklep online nie czyni przedsiębiorcy operatorem internetowej platformy handlowej; chodzi tu głównie o serwisy typu marketplace, na których umowy zawierają ze sobą inne podmioty.

Co do zasady poza wykazem pozostają też mikro- i małe firmy (z wyjątkami — np. dostawców usług zarządzanych w zakresie cyberbezpieczeństwa ustawa uznaje za podmioty kluczowe niezależnie od wielkości), choć w grupach kapitałowych przy ustalaniu rozmiaru firmy uwzględnia się zwykle dane spółek powiązanych i partnerskich. Jeśli z kolei przedsiębiorca ma w rejestrze kod PKD pociągający za sobą obowiązek wpisu, ale takiej działalności nie prowadzi, wystarczy poprawić dane rejestrowe — w zależności od formy działalności chodzi o zmianę w CEIDG lub KRS.

Logowanie do S46 bez numeru PESEL od 2 września. Na liście państw brakuje Niemiec

Od początku września do aplikacji S46 Wykaz KSC i S46 Cyber Hub można zalogować się przez login.gov.pl także bez numeru PESEL — po wybraniu „Use eID" wystarczy elektroniczny środek identyfikacji wydany w jednym z 22 obsługiwanych państw, m.in. w Austrii, Czechach, Francji czy we Włoszech.

Zmiana ułatwi sprawę polskim spółkom z zagranicznym zarządem, bo wniosek składa kierownik podmiotu albo osoba przez niego upoważniona. Nie da się jednak ukryć, że na liście zabrakło Niemiec, czyli największego partnera handlowego Polski; w takich przypadkach najprostsze wydaje się upoważnienie osoby, która zaloguje się w standardowy sposób.

Kara za brak wpisu do wykazu KSC nie jest obowiązkowa, ale może być bardzo dotkliwa

Za niezłożenie wniosku w terminie organ może — choć nie musi — nałożyć karę: do 10 mln euro lub 2 proc. rocznego przychodu dla podmiotu kluczowego i do 7 mln euro lub 1,4 proc. przychodu dla ważnego (liczy się wyższa kwota), przy czym nie mniej niż odpowiednio 20 tys. zł i 15 tys. zł. Według nieoficjalnych informacji zarejestrowanych jest już ponad 80 tys. podmiotów, a większość z nich to instytucje publiczne; można się domyślać, że w ostatnich dniach przed terminem wniosków jeszcze przybędzie.

Obserwuj nas w Google Discover

Podobają Ci się nasze treści?

Google Discover

Obserwuj