KSC i NIS2 po 3 października 2026: jak uporządkować wpis i S46?

01

Fakty: ustawa obowiązuje od 3 kwietnia 2026 r.

Ustawa z 23 stycznia 2026 r. o zmianie ustawy o krajowym systemie cyberbezpieczeństwa oraz niektórych innych ustaw została ogłoszona 2 marca 2026 r. jako Dz.U. 2026 poz. 252 i weszła w życie 3 kwietnia 2026 r. ELI wskazuje jej status jako obowiązujący.

Nowelizacja wdraża do polskiego porządku wymagania NIS2 i wprowadza kategorie podmiotów kluczowych oraz podmiotów ważnych. Obowiązki obejmują między innymi wpis do wykazu, zarządzanie ryzykiem cyberbezpieczeństwa, obsługę i raportowanie incydentów, kontakty z organami oraz korzystanie z Systemu S46.

Materiał zweryfikowano 2 listopada 2026 r. Ma charakter informacyjny i procesowy, a nie indywidualnej porady prawnej. Kwalifikację trzeba potwierdzić dla konkretnej osoby prawnej, sektora, usługi, wielkości przedsiębiorstwa i powiązań kapitałowych.

02

Fakty: wpis zależy od sektora, wielkości i rodzaju usługi

Sama obecność systemów IT albo przetwarzanie ważnych danych nie przesądzają o objęciu ustawą. Analiza rozpoczyna się od art. 5 ustawy oraz sektorów wskazanych w załącznikach. Znaczenie mogą mieć także wielkość przedsiębiorstwa, podmioty partnerskie i powiązane, rodzaj świadczonej usługi oraz przypadki, w których kryterium wielkości nie decyduje.

Wśród sektorów znajdują się między innymi energia, transport, bankowość, ochrona zdrowia, woda, infrastruktura cyfrowa i zarządzanie usługami ICT, a także usługi pocztowe, odpady, żywność, produkcja, dostawcy usług cyfrowych i badania. Lista jest szczegółowa — nazwa branży w KRS nie zastępuje analizy rzeczywistej działalności.

FAQ Ministerstwa Cyfryzacji pomaga w samoidentyfikacji, ale samo wskazuje, że nie ma mocy prawnej i nie jest dokumentem wiążącym. W przypadkach granicznych warto zachować udokumentowaną analizę i uzyskać specjalistyczną ocenę prawną.

03

Fakty: termin 3 października dotyczył podmiotów spełniających kryteria w dniu wejścia ustawy

Podmioty kluczowe i ważne, które 3 kwietnia 2026 r. spełniały ustawowe przesłanki i nie podlegały wpisowi z urzędu, miały sześć miesięcy na samorejestrację — do 3 października 2026 r. Jeżeli organizacja spełni kryteria później, ustawowy termin na wniosek wynosi co do zasady sześć miesięcy od dnia ich spełnienia.

Część podmiotów jest wpisywana z urzędu, między innymi określone podmioty publiczne, przedsiębiorcy telekomunikacyjni, dostawcy usług zaufania i wcześniejsi operatorzy usług kluczowych. Wpis z urzędu nie kończy procesu: po zawiadomieniu podmiot uzupełnia brakujące dane w terminie wskazanym w ustawie i wezwaniu.

Wykaz KSC nie jest publiczną wyszukiwarką firm. Dostęp do danych mają uprawnione organy, zespoły CSIRT oraz przedstawiciel podmiotu w zakresie jego danych.

04

Fakty: oficjalne źródła nie ustanawiają nowego ogólnego terminu po 3 października

Na dzień publikacji urzędowa instrukcja samorejestracji nadal wskazuje obowiązek złożenia wniosku, gdy podmiot spełnia kryteria z art. 5. Nie znalazł się w niej nowy, powszechny okres prolongaty dla organizacji, które kwalifikowały się już 3 kwietnia 2026 r.

Przekroczenie terminu nie powinno więc prowadzić do oczekiwania na wezwanie albo kolejną datę. Bezpieczne podejście procesowe to pilne potwierdzenie zakresu, złożenie prawidłowego wniosku oraz udokumentowanie działań naprawczych. Sposób postępowania w konkretnej sytuacji warto potwierdzić z właściwym organem lub doradcą prawnym.

Ministerstwo wskazuje, że przepisy o karach pieniężnych zaczną obowiązywać 3 kwietnia 2028 r. Nie jest to jednak przesunięcie terminu wpisu ani okresu na wdrożenie obowiązków — nadzór i wymagana gotowość operacyjna mają odrębny harmonogram.

05

Fakty: wniosek podpisuje kierownik albo osoba upoważniona

Wniosek składa się elektronicznie w aplikacji Wykaz KSC. Podpisuje go kierownik podmiotu kluczowego lub ważnego albo osoba przez niego upoważniona. Instrukcja przewiduje Profil Zaufany lub podpis w aplikacji zewnętrznej; w przypadku pełnomocnika może być wymagane elektroniczne pełnomocnictwo.

Do przygotowania potrzebne są między innymi dane identyfikacyjne podmiotu, dane administratora konta S46, informacje o działalności objętej ustawą oraz zakresy adresów IP i nazw domenowych. Wniosek zawiera oświadczenie kierownika składane pod rygorem odpowiedzialności karnej za fałszywe oświadczenie, z ustawowym wyjątkiem dotyczącym zakresów IP i domen.

Dane nie powinny powstawać dopiero w formularzu. Osoby z IT, bezpieczeństwa, prawne i zarząd powinny wcześniej uzgodnić jeden zakres podmiotu, usług, infrastruktury oraz reprezentacji.

06

Fakty: wpis otwiera dostęp do S46, ale nie zastępuje wdrożenia SZBI

Po dokonaniu wpisu administrator wskazany w Wykazie KSC otrzymuje dostęp do S46 Cyber Hub — nie składa się odrębnego wniosku o tę platformę. S46 służy między innymi do raportowania incydentów, odbierania ostrzeżeń, wymiany informacji i współpracy z właściwym CSIRT oraz organem.

Dla podmiotów, które spełniały kryteria 3 kwietnia 2026 r., 3 kwietnia 2027 r. kończy się okres na rozpoczęcie korzystania z S46 i wdrożenie obowiązków, w tym Systemu Zarządzania Bezpieczeństwem Informacji. Podmioty spełniające kryteria później powinny liczyć terminy od swojej daty kwalifikacji zgodnie z ustawą.

Dla określonych nowych podmiotów kluczowych pierwszy obowiązkowy audyt przypada do 3 kwietnia 2028 r. Zakres i termin audytu trzeba ocenić według statusu organizacji oraz wcześniejszej roli w KSC.

07

Fakty: proces incydentowy musi obsłużyć terminy 24 i 72 godzin

Oficjalna instrukcja S46 wskazuje trzy podstawowe kroki dla poważnego incydentu: wczesne ostrzeżenie do 24 godzin od wykrycia, zgłoszenie poważnego incydentu do 72 godzin oraz sprawozdanie końcowe do miesiąca od zgłoszenia. Dostawcy usług zaufania mają szczególny 24-godzinny termin dla zgłoszenia incydentu poważnego.

Termin zaczyna biec przed zakończeniem pełnej analizy technicznej. Firma potrzebuje zatem całodobowej lub adekwatnej do ryzyka detekcji, jednoznacznej kwalifikacji, zastępstwa, danych kontaktowych i osoby uprawnionej do uruchomienia zgłoszenia. Raport końcowy nie może być pierwszym momentem, w którym organizacja porządkuje fakty.

Zgłoszenie do S46 nie zastępuje innych możliwych obowiązków, na przykład zawiadomienia organu ochrony danych, klientów albo partnerów. Każdy kanał powinien mieć odrębną podstawę, właściciela i termin.

08

Rekomendacja WEBee: wykonaj 48-godzinną weryfikację zakresu

Jeżeli firma nie ma formalnego wyniku kwalifikacji, zbierz w jednym miejscu usługę, sektor, wielkość, powiązania kapitałowe, klientów i systemy wspierające świadczenie. Wynik powinien wskazywać nie tylko „tak” albo „nie”, lecz także źródła, założenia, osobę zatwierdzającą i datę kolejnego przeglądu.

Oddziel analizę osoby prawnej od analizy grupy. Spółka może nie świadczyć usługi objętej ustawą, nawet jeśli robi to inny podmiot w grupie — albo odwrotnie. Jednocześnie powiązania mogą mieć znaczenie dla kryterium wielkości.

• osoba prawna, NIP, REGON i sposób reprezentacji;
• usługi świadczone faktycznie, a nie tylko kody działalności;
• sektor i podsektor z właściwego załącznika;
• wielkość przedsiębiorstwa oraz podmioty partnerskie i powiązane;
• przypadki objęcia niezależnie od wielkości;
• status wpisu z urzędu, samorejestracji albo braku wpisu.

09

Rekomendacja WEBee: przygotuj wniosek jak kontrolowany rekord

Wyznacz właściciela danych, osobę podpisującą i zastępstwo. Przed podpisem zastosuj kontrolę dwóch osób: jedna kompletuje dane, druga porównuje je z rejestrami, architekturą i analizą zakresu. Zapisz wersję wniosku, pełnomocnictwo, potwierdzenie złożenia i zaświadczenie o wpisie.

Zakresy IP i domeny powinny pochodzić z aktualnego rejestru aktywów, nie z pamięci administratora. Jeśli rejestr nie istnieje, brak jest jednocześnie informacji potrzebnej do wpisu, obsługi podatności i incydentu — warto usunąć przyczynę, nie tylko uzupełnić formularz.

10

Rekomendacja WEBee: podziel drogę do 3 kwietnia 2027 r. na pięć strumieni

Sam wpis nie potwierdza zgodności. Plan wdrożenia powinien łączyć zarządzanie, technologię i operacje. Dla podmiotów z pierwotnej grupy każdy strumień potrzebuje właściciela, mierzalnego rezultatu i testu przed 3 kwietnia 2027 r.

Nie zaczynaj od kupowania platformy. Najpierw ustal usługi, aktywa, ryzyka i luki. Narzędzie ma wspierać proces, a nie tworzyć zielony pulpit bez potwierdzenia, że kopie zapasowe da się odtworzyć, alert ma odbiorcę, a dostawca odpowie podczas incydentu.

• ład i SZBI — role, polityki, ryzyko, przeglądy kierownictwa i szkolenia;
• aktywa i zabezpieczenia — systemy, tożsamości, podatności, konfiguracje i logi;
• incydenty — detekcja, kwalifikacja, 24/72 godziny, S46 i komunikacja;
• ciągłość — kopie zapasowe, odtwarzanie, plany awaryjne i ćwiczenia;
• łańcuch dostaw — krytyczni dostawcy, dostęp, incydenty, podwykonawcy i wyjście.

11

Plan działania na pierwsze 30 dni

W pierwszym tygodniu potwierdź kwalifikację i status wpisu. W drugim przygotuj lub uzupełnij wniosek oraz dostęp do S46. W trzecim wykonaj analizę luk względem SZBI, incydentów, ciągłości i dostawców. W czwartym zatwierdź plan z budżetem, właścicielami i terminami oraz przeprowadź próbne zgłoszenie na danych testowych bez wysyłania fałszywego incydentu.

WEBee może pomóc zmapować usługi i aktywa, zbudować rejestr wymagań, zaprojektować obieg incydentu oraz dashboard realizacji planu. Nie zastępuje to kwalifikacji prawnej ani audytu ustawowego, ale ogranicza ryzyko, że obowiązki pozostaną tylko w dokumencie.

• zachowaj dowody analizy i decyzji bez antydatowania;
• sprawdź administratora S46 i jego zastępstwo;
• przetestuj zegar 24/72 godziny na realistycznym scenariuszu;
• połącz luki z konkretnymi aktywami, usługami i dostawcami;
• raportuj postęp kierownictwu co najmniej raz w miesiącu;
• ponawiaj kwalifikację po zmianie usługi, skali lub struktury grupy.