Wykaz KSC po 3 października 2026 — jak się wpisać po terminie i co grozi

Termin samorejestracji w Wykazie podmiotów kluczowych i ważnych minął 3 października 2026 r. Jeśli twoja firma podlega znowelizowanej ustawie o krajowym systemie cyberbezpieczeństwa, a nie ma jej w wykazie, nadal powinna złożyć wniosek, bo ustawa nie zamyka tej drogi po terminie. Poniżej: co grozi po terminie, jak sprawdzić, czy firma nie została już wpisana z urzędu, i jak krok po kroku złożyć wniosek.

Termin minął 3 października 2026 — co teraz?

Upływ terminu nie oznacza, że obowiązek znika. Jeśli podmiot nie złoży wniosku w terminie, organ właściwy do spraw cyberbezpieczeństwa może wpisać go do wykazu z urzędu (art. 7j ust. 1) i wezwać do uzupełnienia danych (art. 7j ust. 3). Za niezłożenie wniosku w terminie ustawa przewiduje też karę pieniężną, którą organ może nałożyć, „jeżeli przemawia za tym waga i znaczenie naruszonych przepisów” (art. 73 ust. 1a pkt 1). Kary z art. 73 ust. 1–4 można nałożyć po raz pierwszy po upływie 2 lat od wejścia ustawy w życie, czyli po 3 kwietnia 2028 r. (art. 35 ustawy zmieniającej, Dz.U. 2026 poz. 252). Przy wpisie z urzędu dane podmiotu, w tym jego kwalifikację, wprowadza jednak organ, a ty dostajesz tylko wezwanie do ich uzupełnienia. Lepiej, żeby od początku pochodziły od ciebie.

Warto też pamiętać, że termin sześciomiesięczny jest ruchomy. Jeśli twoja firma spełni przesłanki uznania za podmiot kluczowy albo ważny później niż 3 kwietnia 2026 r., na przykład rozpocznie działalność w sektorze z załącznika nr 1 lub 2, ma sześć miesięcy na złożenie wniosku. Liczy się je od dnia spełnienia przesłanek, a nie od 3 kwietnia 2026 r. (art. 7c ust. 1).

Co zrobić w praktyce: najpierw sprawdź, czy firma nie dostała już zawiadomienia o wpisie z urzędu (krok 2). Jeśli nie, złóż wniosek o wpis zgodnie z krokami opisanymi niżej i zachowaj potwierdzenie jego złożenia. Równolegle zacznij prace, które i tak trzeba wykonać do 3 kwietnia 2027 r.: system zarządzania bezpieczeństwem informacji, szacowanie ryzyka i procedury zgłaszania incydentów.

Skąd się wziął ten obowiązek i od kiedy obowiązuje

Ustawa z 23 stycznia 2026 r. o zmianie ustawy o krajowym systemie cyberbezpieczeństwa (Dz.U. 2026 poz. 252) weszła w życie 3 kwietnia 2026 r. Wdraża ona do polskiego prawa dyrektywę (UE) 2022/2555, znaną jako NIS2. Ministerstwo Cyfryzacji szacuje, że przepisy obejmą około 38 tysięcy podmiotów, w tym mniej więcej 27 tysięcy podmiotów publicznych (gov.pl).

Kalendarz — co już było, co jeszcze przed tobą

Data	Zdarzenie
3 kwietnia 2026	wejście w życie nowelizacji, od tego dnia biegną terminy
13 kwietnia 2026	uruchomienie Wykazu KSC
13 kwietnia – 6 maja 2026	wpisy z urzędu; samorejestracja niedostępna
7 maja – 3 października 2026	samorejestracja na wniosek podmiotu (termin minął)
12 czerwca 2026	udostępnienie Systemu S46 nowym podmiotom
3 kwietnia 2027	koniec okresu dostosowawczego: wdrożone obowiązki i korzystanie z S46
3 kwietnia 2028	termin pierwszego audytu bezpieczeństwa systemu informacyjnego (podmioty kluczowe); od tej daty organ może po raz pierwszy nałożyć kary z art. 73 ust. 1–4

Harmonogram samorejestracji i korzystania z S46 wynika z komunikatu Ministra Cyfryzacji z 8 kwietnia 2026 r. (Dz. Urz. MC poz. 7); pozostałe daty podaje Ministerstwo Cyfryzacji (gov.pl).

Krok 1. Ustal, czy w ogóle podlegasz

Ministerstwo nie udostępniło kalkulatora ani listy kodów PKD. Samoidentyfikacja to trzy kroki, które wykonujesz sam (gov.pl):

1. Sprawdź, czy twoja działalność mieści się w sektorach z załącznika nr 1 (podmioty kluczowe) albo załącznika nr 2 (podmioty ważne) do ustawy.
2. Określ wielkość podmiotu: mikro — poniżej 10 zatrudnionych i do 2 mln EUR; małe — poniżej 50 i do 10 mln EUR; średnie — poniżej 250 i do 50 mln EUR obrotu; powyżej tych progów podmiot jest duży.
3. Przeanalizuj art. 5 ustawy, który zawiera szczegółowe warunki objęcia przepisami (Dz.U. 2026 poz. 252).

Pułapka, w którą wpada wiele firm: nazwa „załącznik nr 1 — sektory kluczowe” nie oznacza, że każdy podmiot z tego załącznika jest podmiotem kluczowym. Średnie przedsiębiorstwo działające w sektorze z załącznika 1 jest co do zasady podmiotem ważnym. Kwalifikacja wynika z sektora i wielkości łącznie, nigdy z samego sektora.

Krok 2. Sprawdź, czy nie wpisano cię już z urzędu

Minister właściwy do spraw informatyzacji wpisał z urzędu przedsiębiorców komunikacji elektronicznej, dostawców usług zaufania, podmioty publiczne i podmioty krytyczne — na podstawie danych z rejestrów publicznych. Jeśli jesteś w tej grupie, dostajesz zawiadomienie wraz z wezwaniem do uzupełnienia brakujących danych w terminie 6 miesięcy od doręczenia, pod rygorem kary pieniężnej (art. 7b ust. 2).

Uzupełnienie robi się inaczej niż nowy wpis: w Wykazie KSC wybierasz „Wprowadź kod wezwania”, wpisujesz kod z otrzymanego pisma i uzupełniasz brakujące pola (instrukcja gov.pl). Nie składaj wtedy nowego wniosku o wpis — zdublujesz podmiot.

Krok 3. Przygotuj dane

Zakres wniosku określa art. 7 ust. 2 pkt 1–18 ustawy (Dz.U. 2026 poz. 252). Zbierz to przed zalogowaniem, bo część danych wymaga uzgodnień wewnątrz firmy:

• nazwa podmiotu, adres siedziby i adres do korespondencji, adres do doręczeń elektronicznych, e-mail, telefon
• sektor, podsektor i rodzaj podmiotu zgodnie z załącznikiem nr 1 lub 2
• NIP, REGON, numer w rejestrze działalności regulowanej — jeśli nadane
• zakres publicznych adresów IP wykorzystywanych w sposób ciągły
• domeny internetowe wykorzystywane w sposób ciągły
• dane osób do kontaktu; dla osoby pełniącej rolę administratora konta w systemie dodatkowo PESEL albo identyfikator środka identyfikacji elektronicznej
• deklaracja wielkości podmiotu (mikro, mały, średni albo przekroczenie tych kryteriów)
• w których państwach UE prowadzisz działalność i jakiego rodzaju
• informacja o umowie z dostawcą usług zarządzanych w cyberbezpieczeństwie, jeśli taką masz
• informacja o ustanowieniu przedstawiciela oraz o zawarciu porozumienia z art. 8h ust. 6

Dwa pola sprawiają w praktyce najwięcej kłopotu: zakres publicznych adresów IP i lista domen. W firmach, które nie prowadziły inwentaryzacji zasobów, ustalenie tego zajmuje więcej czasu niż całe wypełnianie wniosku. Warto zacząć od tego punktu, a nie zostawiać go na koniec.

Wniosek zawiera oświadczenie kierownika składane pod rygorem odpowiedzialności karnej z art. 233 § 6 Kodeksu karnego. Odpowiedzialność ta nie obejmuje zakresów adresów IP i nazw domenowych — ustawodawca uznał, że te dane bywają zmienne.

Krok 4. Zaloguj się i złóż wniosek

Rejestracja odbywa się w portalu wykaz-ksc.gov.pl, który jest usługą Systemu S46 prowadzonego przez NASK-PIB na zlecenie Ministra Cyfryzacji (gov.pl). Logowanie idzie przez Węzeł Krajowy: aplikacja mObywatel, bankowość elektroniczna, e-Dowód, Profil Zaufany albo certyfikat kwalifikowany. Przy pierwszym logowaniu podajesz adres e-mail i potwierdzasz go kodem; imię, nazwisko i PESEL system pobiera automatycznie (gov.pl).

Dalej: „Wpisz nowy podmiot”, uzupełnienie sekcji formularza, podsumowanie, „Przejdź do podpisu”. Status wniosku sprawdzisz w zakładce „Lista wniosków” (instrukcja gov.pl).

Krok 5. Podpisz

Zgodnie z art. 7c ust. 6 ustawy wniosek opatruje się jednym z czterech podpisów:

• kwalifikowanym podpisem elektronicznym,
• podpisem zaufanym,
• podpisem osobistym z e-dowodu,
• kwalifikowaną pieczęcią elektroniczną — wtedy w treści pisma trzeba wskazać osobę, która pieczęć złożyła.

Podpisuje kierownik podmiotu albo osoba przez niego upoważniona. Jeśli działasz przez pełnomocnika, dołączasz pełnomocnictwo. W aplikacji są dwie ścieżki: podpis Profilem Zaufanym bezpośrednio w systemie albo pobranie pliku XML, podpisanie go zewnętrzną aplikacją i wgranie z powrotem.

Co się dzieje po wpisie

1. Konto administratora S46. Wskazany we wniosku administrator dostaje dostęp do S46 Cyber Hub na podany adres e-mail. Nie składa się osobnego wniosku o dostęp (gov.pl). Dlatego dane administratora w formularzu są krytyczne — błąd tutaj blokuje dostęp do systemu.
2. 14 dni na zgłaszanie zmian. Każdą zmianę danych z art. 7 ust. 2 pkt 1–18 zgłaszasz wnioskiem o zmianę wpisu w terminie 14 dni od dnia zmiany (art. 7c ust. 3). To pierwszy stały termin, z którym będziesz żyć na co dzień — zmiana adresu IP czy osoby kontaktowej też się liczy.
3. Do 3 kwietnia 2027: rozpoczęcie korzystania z S46 oraz wdrożenie obowiązków — system zarządzania bezpieczeństwem informacji, szacowanie ryzyka, zgłaszanie incydentów do CSIRT, wyznaczenie osób do kontaktu (gov.pl).
4. Do 3 kwietnia 2028: pierwszy audyt bezpieczeństwa systemu informacyjnego dla podmiotów kluczowych, a potem co najmniej raz na trzy lata. Po upływie tych 2 lat organ może też po raz pierwszy nałożyć kary z art. 73 ust. 1–4 (art. 35 ustawy zmieniającej).

Najczęstsze błędy

• Założenie, że „my nie jesteśmy IT, więc nas to nie dotyczy”. Załączniki obejmują między innymi energetykę, transport, ochronę zdrowia, wodę, żywność, gospodarowanie odpadami, produkcję chemikaliów i pocztę.
• Mylenie sektora z kwalifikacją podmiotu. Sektor z załącznika 1 nie przesądza, że jesteś podmiotem kluczowym.
• Nowy wniosek zamiast uzupełnienia po wezwaniu. Jeśli dostałeś kod wezwania, użyj go.
• Pozostawienie adresów IP i domen na koniec. To najdłuższa część pracy, nie najkrótsza.
• Wpisanie przypadkowej osoby jako administratora S46. Ta osoba dostaje dostęp do systemu, przez który później zgłasza się incydenty.

Podstawa prawna i źródła

• Ustawa z 23 stycznia 2026 r. o zmianie ustawy o krajowym systemie cyberbezpieczeństwa — Dz.U. 2026 poz. 252
• Komunikat Ministra Cyfryzacji z 8 kwietnia 2026 r. — Dz. Urz. MC poz. 7
• Dyrektywa Parlamentu Europejskiego i Rady (UE) 2022/2555 — EUR-Lex
• Portal rejestracji: wykaz-ksc.gov.pl, wsparcie NASK: s46-info@nask.pl, +48 22 18 222 80 w dni robocze 8:00–16:00

Stan prawny na 4 października 2026 r. Przepisy o wpisie z urzędu (art. 7j), karze za brak wniosku (art. 73 ust. 1a) i terminie stosowania kar (art. 35 ustawy zmieniającej) sprawdziliśmy w tekście ustawy w Dzienniku Ustaw.