Nowelizacja ustawy o Krajowym Systemie Cyberbezpieczeństwa (KSC), wdrażająca unijną dyrektywę NIS2, nakłada na część przedsiębiorców obowiązek sprawdzenia czy powinni zostać wpisani do wykazu podmiotów kluczowych lub ważnych. Firmy objęte obowiązkiem samorejestracji mają czas na złożenie wniosku do 3 października 2026 r. Oto, jak krok po kroku zweryfikować, czy nowe przepisy dotyczą także Twojej organizacji.
Nowe przepisy obejmują nie tylko firmy z sektora IT. Obowiązki wynikające z ustawy mogą dotyczyć również przedsiębiorstw działających m.in. w produkcji, chemii, logistyce, ICT, usługach cyfrowych czy sektorze kosmicznym.
To ważne także z perspektywy rosnącej liczby cyberzagrożeń. Jak wynika z raportu CERT Polska, w 2025 roku zespół otrzymał ponad 650 tys. zgłoszeń, na podstawie których zarejestrowano ponad 260 tys. unikalnych incydentów bezpieczeństwa.
„Warto potraktować pre-weryfikację jako pierwszy krok do uporządkowania obszaru cyberbezpieczeństwa w firmie. Chodzi o świadomą ocenę, czy nowe przepisy dotyczą danej organizacji. Usługa dostępna na Biznes.gov.pl prowadzi przedsiębiorcę przez najważniejsze elementy: sektor działalności, kody PKD, wielkość podmiotu i tryb wpisu. Im wcześniej firma to sprawdzi, tym więcej czasu zyska na przygotowanie danych, podjęcie właściwych decyzji i spokojne złożenie wniosku, jeśli okaże się to konieczne” – komentuje Maria Magdoń, zastępca dyrektora Departamentu Gospodarki Cyfrowej w Ministerstwie Rozwoju i Technologii.
Czym jest wykaz KSC?
Wykaz KSC to rejestr podmiotów kluczowych i ważnych funkcjonujących w sektorach istotnych dla bezpieczeństwa państwa i gospodarki. Prowadzony jest w systemie S46, za pośrednictwem którego składa się wnioski o wpis, zmianę danych lub wykreślenie z wykazu.
Wpis wiąże się z konkretnymi obowiązkami, m.in.:
- zarządzaniem ryzykiem cyberbezpieczeństwa,
- wdrożeniem procedur reagowania na incydenty,
- wyznaczeniem osób kontaktowych,
- prowadzeniem wymaganej dokumentacji,
- współpracą z właściwymi organami.
Samorejestracja czy wpis z urzędu?
Przepisy przewidują dwa tryby wpisu:
- Samorejestracja – dotyczy głównie przedsiębiorców prywatnych, którzy sami składają elektroniczny wniosek. Termin upływa 3 października 2026 roku.
- Wpis z urzędu – obejmuje m.in. część podmiotów publicznych, przedsiębiorców telekomunikacyjnych, dostawców usług zaufania oraz organizacje posiadające wcześniej status operatora usługi kluczowej. W ich przypadku wpisu dokonuje Minister Cyfryzacji, a podmiot czeka na wezwanie do uzupełnienia danych.
Jak sprawdzić, czy Twoja firma podlega wpisowi?
- Skorzystaj z usługi preweryfikacji na Biznes.gov.pl.
- Sprawdź sektor działalności – ustal, czy firma działa w branży objętej ustawą (np. produkcja, ICT, logistyka, chemia, usługi cyfrowe lub sektor kosmiczny).
- Zweryfikuj kody PKD, które pomagają określić czy działalność mieści się w zakresie nowych przepisów.
- Oceń wielkość przedsiębiorstwa – znaczenie mają m.in. liczba pracowników, skala działalności oraz powiązania z innymi podmiotami.
- Ustal właściwy tryb wpisu – sprawdź, czy firma podlega samorejestracji, czy zostanie wpisana z urzędu.
- Jeśli obowiązek Cię dotyczy, złóż elektroniczny wniosek – może to zrobić kierownik podmiotu lub osoba przez niego upoważniona.
Choć termin składania wniosków upływa 3 października 2026 roku, warto rozpocząć weryfikację wcześniej. Samo sprawdzenie obowiązku zajmuje niewiele czasu, jednak przygotowanie wymaganych informacji, ustalenie właściwej ścieżki wpisu i podpisanie dokumentów może wymagać odpowiedniego wyprzedzenia.
Szczegółowe informacje dotyczące obowiązków wynikających z ustawy o Krajowym Systemie Cyberbezpieczeństwa oraz usługa preweryfikacji są dostępne na Biznes.gov.pl.
