- Firmy, które w dniu wejścia w życie nowelizacji ustawy o Krajowym Systemie Cyberbezpieczeństwa spełniały ustawowe kryteria, mają czas do 3 października na złożenie wniosku o wpis do wykazu podmiotów kluczowych i ważnych.
- Wpis do rejestru to tylko jeden z obowiązków. Kolejny termin dotyczy podłączenia do systemu S46 i mija 3 kwietnia 2027 r.
- Nowe wymogi oznaczają także dodatkowe szkolenia z cyberbezpieczeństwa oraz inne koszty, które mogą pogorszyć płynność finansową firm.
- Nowe przepisy obejmują głównie średnie i duże firmy z branż wskazanych w ustawie, m.in. energetyki, transportu, produkcji, przetwarzania i dystrybucji żywności.
- Za niedostosowanie się do przepisów grożą wysokie kary.
Nowelizacja ustawy o krajowym systemie cyberbezpieczeństwa obowiązuje od 3 kwietnia 2026 r. Jej celem było wdrożenie unijnej dyrektywy NIS2 i wprowadzenie wykazu podmiotów kluczowych i ważnych, który działa w ramach Krajowego Systemu Cyberbezpieczeństwa (KSC). Wnioski o wpis przedsiębiorcy mogą składać od 7 maja.
Firmy, które spełniały ustawowe warunki już w dniu wejścia przepisów w życie (czyli 3 kwietnia 2026 r.), muszą to zrobić do 3 października 2026 r. Według Ministerstwa Cyfryzacji nowe przepisy mogą objąć ok. 38 tys. podmiotów, spośród których ok. 11 tys. to podmioty niepubliczne. Nie każdy z nich musi jednak zgłaszać się sam. Ministerstwo Cyfryzacji wpisało z urzędu m.in. podmioty publiczne, przedsiębiorców telekomunikacyjnych, dostawców usług zaufania oraz dotychczasowych operatorów usług kluczowych. Pozostałe przedsiębiorstwa, które spełniają ustawowe kryteria, muszą złożyć wniosek samodzielnie. Jeżeli firma zacznie spełniać kryteria dopiero po wejściu ustawy w życie, na złożenie wniosku będzie miała sześć miesięcy od tej chwili.
Jak sprawdzić, czy firma figuruje w wykazie
Dużą część wpisów z urzędu Minister Cyfryzacji przeprowadził przed uruchomieniem samorejestracji 7 maja. Podmioty wpisane w tym trybie otrzymały zawiadomienie z kodem dostępu i od jego doręczenia mają sześć miesięcy na uzupełnienie danych. Wykaz nie jest jawny, dlatego informację o wpisie można sprawdzić po zalogowaniu do serwisu wykaz-ksc.gov.pl. Spełniające kryteria firmy spoza tych grup składają wniosek samodzielnie. Jeżeli podmiot powinien zostać wpisany z urzędu, a nie otrzymał zawiadomienia, może zgłosić to na adres S46-admin@nask.pl.
Te branże obejmują nowe przepisy
Dyrektywa NIS2 wprowadza w całej Unii Europejskiej jednolite zasady cyberbezpieczeństwa dla 18 sektorów najistotniejszych dla państwa i gospodarki. Polska ustawa precyzuje, których podmiotów dotyczą nowe obowiązki oraz rozszerza ich zakres o inwestycje w energetykę jądrową. Jako sektory kluczowe wskazuje m.in. energetykę, transport, bankowość, infrastrukturę rynków finansowych, ochronę zdrowia, zaopatrzenie w wodę pitną i jej dystrybucję, zbiorowe odprowadzanie ścieków, infrastrukturę cyfrową, zarządzanie usługami ICT, przestrzeń kosmiczną oraz podmioty publiczne.
– Wpis do Wykazu KSC oznacza, że przedsiębiorstwo musi przygotować się na nowe, stałe obowiązki i związane z nimi wydatki. To mogą być nakłady na rozwiązania techniczne, procedury, organizację bezpieczeństwa, szkolenia czy obsługę incydentów. Dla firmy oznacza to konieczność uwzględnienia kolejnej kategorii kosztów w budżecie i cash flow. Im wcześniej przedsiębiorstwo określi skalę potrzebnych nakładów i zabezpieczy na nie środki, tym mniejsze ryzyko, że ich kumulacja zachwieje bieżącą płynnością. Szczególnie w średnich firmach nawet kilka nieplanowanych wydatków ponoszonych w krótkim czasie może ograniczyć kapitał dostępny na wynagrodzenia, podatki, zakup materiałów czy realizację kolejnych kontraktów – wyjaśnia Maciej Ostaszewski z eFaktor, firmy specjalizującej się w finansowaniu małych i średnich przedsiębiorstw.
Obowiązek może dotyczyć także firm z branży energetycznej
Przepisy mogą objąć przedsiębiorstwa z podsektorów energii elektrycznej, ciepłownictwa, ropy naftowej, gazu ziemnego i wodoru. Chodzi m.in. o wytwórców energii, operatorów systemów przesyłowych i dystrybucyjnych, sprzedawców energii, operatorów magazynów energii, agregatorów, operatorów punktów ładowania pojazdów elektrycznych i przedsiębiorstwa ciepłownicze. Dotyczy to także firm zajmujących się m.in. magazynowaniem i przesyłem ropy naftowej, gazu ziemnego i wodoru. Związek z branżą energetyczną nie oznacza jednak automatycznie objęcia ustawą. O obowiązku wpisu decydują m.in. charakter działalności, wielkość firmy, jej powiązania kapitałowe oraz wyłączenia przewidziane w ustawie.
Obowiązek może dotyczyć także handlu
Przepisy mogą objąć również część przedsiębiorstw handlowych, m.in. hurtownie spożywcze, dystrybutorów (i producentów) chemikaliów oraz operatorów internetowych platform handlowych.
Tu także sam fakt prowadzenia sprzedaży nie oznacza jednak automatycznie objęcia ustawą. O obowiązku wpisu decydują m.in. charakter działalności, wielkość firmy, jej powiązania kapitałowe oraz wyłączenia przewidziane w ustawie.
Konsekwencje niedotrzymania terminu wpisu do rejestru
Wpis do wykazu potwierdza status wynikający z ustawy. Przedsiębiorstwo, które spełnia kryteria, ma obowiązki podmiotu kluczowego lub ważnego także wtedy, gdy nie złożyło wniosku. W takiej sytuacji może zostać wpisane do wykazu z urzędu, a właściwy organ może nałożyć na nie karę pieniężną. Podmiot kluczowy musi się liczyć z karą w wysokości co najmniej 20 tys. zł, a maksymalnie równowartości 10 mln euro albo 2 proc. przychodów z działalności gospodarczej z roku obrotowego poprzedzającego ukaranie (w zależności od tego, która kwota jest wyższa). Podmiotowi ważnemu grozi kara od 15 tys. zł do równowartości 7 mln euro albo 1,4 proc. przychodów.
– Z punktu widzenia instytucji finansującej wpis do Wykazu KSC może być dodatkową informacją o przedsiębiorstwie i sposobie, w jaki zarządza ono ryzykiem. Dotyczy to zarówno finansowania bankowego, jak i pozabankowego. Sam wpis oczywiście nie przesądza o przyznaniu finansowania, bo podstawą pozostają kondycja finansowa firmy, jej płynność, poziom zobowiązań czy historia płatnicza. Jeżeli jednak przedsiębiorstwo potrafi wykazać, że identyfikuje swoje obowiązki, zabezpiecza środki na ich realizację i odpowiednio zarządza ryzykiem operacyjnym, może to uzupełniać obraz firmy jako podmiotu świadomie zarządzanego. Z perspektywy finansującego istotne jest bowiem nie tylko to, ile firma zarabia, ale również jak przygotowuje się na zdarzenia, które mogą zakłócić jej działalność i przepływy pieniężne – podkreśla Maciej Ostaszewski z eFaktor.
Po wpisie do wykazu podmioty będą musiały zacząć korzystać z systemu S46. Za jego pośrednictwem m.in. zgłoszą nieprawidłowości do zespołów reagowania na incydenty bezpieczeństwa komputerowego (CSIRT) oraz otrzymają ostrzeżenia o zagrożeniach i rekomendacje techniczne. Firmy, które spełniały kryteria 3 kwietnia 2026 r., mają na to czas do 3 kwietnia 2027 r. Do tego dnia muszą też wdrożyć pozostałe obowiązki wynikające z ustawy (z wyjątkiem obowiązków, dla których przewidziano odrębny termin). Przepisy przejściowe przewidują jednak, że większość nowych kar będzie mogła zostać po raz pierwszy nałożona dopiero po upływie dwóch lat od wejścia nowelizacji w życie.
Co zrobić przed 3 października?
- Ustalić status firmy: przeanalizować faktyczny zakres działalności, kod PKD, wielkość przedsiębiorstwa oraz dane podmiotów partnerskich i powiązanych.
- Sprawdzić, czy firma jest już w wykazie: zalogować się w serwisie wykaz-ksc.gov.pl i zweryfikować, czy wpisu dokonano z urzędu.
- Złożyć wniosek: jeśli firma spełniała kryteria 3 kwietnia 2026 r. i nie została wpisana z urzędu, musi to zrobić najpóźniej 3 października.
- Przygotować wdrożenie: wyznaczyć osoby odpowiedzialne, przeprowadzić analizę ryzyka, zaplanować działania techniczne i organizacyjne, a ich koszty ująć w budżecie i planie płynności finansowej.