Rejestracja w wykazie podmiotów KSC do 3 października 2026 – co konkretnie trzeba zrobić?

Stan prawny na 24.07.2026
Artykuł opisuje stan prawny wynikający z ustawy z 23 stycznia 2026 r. o zmianie ustawy o krajowym systemie cyberbezpieczeństwa (Dz.U. 2026 poz. 252), obowiązującej od 3 kwietnia 2026 r. Aktualizujemy go wraz ze zmianami przepisów.

Rejestracja w wykazie KSC to pierwsze zadanie, jakie nowa ustawa o cyberbezpieczeństwie stawia przed firmami, i zarazem takie, które najłatwiej przeoczyć w codziennym natłoku spraw. Jeśli sygnały o nowych przepisach docierały do Ciebie od miesięcy, a temat za każdym razem lądował na liście rzeczy do ogarnięcia później, to właśnie nadszedł dobry moment, żeby do niego wrócić. Wniosek składa się przez rządową aplikację, a czas na jego złożenie mija 3 października 2026 r.

Warto przy tym wiedzieć o jednej rzeczy, która odróżnia te przepisy od większości urzędowych obowiązków. Nikt nie przyśle Ci pisma z przypomnieniem, ponieważ to firma sama ma ustalić, czy podlega ustawie, i sama zgłosić się do wykazu. Właśnie dlatego przygotowaliśmy ten przewodnik. Znajdziesz w nim całą procedurę krok po kroku, od sprawdzenia, czy obowiązek w ogóle Cię dotyczy, przez komplet danych do wniosku, aż po podpis i wysyłkę.

Krótkie przypomnienie o KSC

KSC to krajowy system cyberbezpieczeństwa, polskie ramy prawne określające, kto i jak ma dbać o bezpieczeństwo usług istotnych dla gospodarki i państwa. Ustawa o KSC istnieje od 2018 r., ale 3 kwietnia 2026 r. weszła w życie jej duża nowelizacja, wdrażająca unijną dyrektywę NIS2 i to ona obejmuje przepisami tysiące firm, które dotąd nie miały z tym tematem nic wspólnego. Od produkcji i logistyki, przez gospodarkę odpadami, po usługi cyfrowe.

Sam wykaz podmiotów kluczowych i ważnych to nie biurokratyczny rejestr dla samego rejestru. To centralna baza, dzięki której zespoły CSIRT i organy nadzoru wiedzą, z kim się kontaktować, gdy dzieje się coś złego, a wpis otwiera firmie dostęp do systemu, przez który będzie realizować kolejne obowiązki ustawy, przede wszystkim zgłaszanie incydentów. Innymi słowy, bez wpisu nie da się formalnie funkcjonować w nowym systemie, nawet mając wszystko inne ogarnięte.

Nowelizacja zmienia też samą logikę systemu. Stara ustawa działała dość prosto, organ wydawał decyzję i wskazywał, kto jest operatorem usługi kluczowej. Dostałeś pismo, to podlegasz, a nie dostałeś, to śpisz spokojnie. Teraz obowiązuje samoidentyfikacja. Firma sama sprawdza, czy spełnia kryteria ustawy, i sama składa wniosek o wpis do wykazu podmiotów kluczowych i ważnych. Brak pisma z ministerstwa niczego nie oznacza, a założenie „skoro nikt się nie odezwał, to temat nas nie dotyczy” jest w nowym systemie najprostszą drogą do naruszenia przepisów. To zmiana, którą najłatwiej przegapić, bo wymaga aktywności od firm przyzwyczajonych, że o obowiązkach informuje ich urząd.

Stąd termin. Wniosek składa się w ciągu 6 miesięcy od dnia, w którym podmiot spełnił przesłanki uznania za kluczowy lub ważny. Dla firm, które spełniały je już 3 kwietnia 2026 r., czyli dla zdecydowanej większości objętych nowelizacją, termin upływa 3 października 2026 r. Sama możliwość rejestracji działa od 7 maja i, co warto podkreślić, nie ma żadnego powodu, żeby czekać z wnioskiem do września, bo formularz nie stanie się prostszy, a dane i tak trzeba zebrać.

Upewnij się, że w ogóle podlegasz

W największym skrócie, podlegasz, jeśli działasz w sektorze z załącznika nr 1 (podmioty kluczowe) lub nr 2 (podmioty ważne) do ustawy i jesteś co najmniej średnim przedsiębiorstwem, czyli od 50 pracowników lub 10 mln EUR obrotu. Oba warunki muszą być spełnione łącznie. Trzy rzeczy, na których firmy najczęściej się potykają:

• Wielkość liczy się szerzej, niż się wydaje
  Przy ustalaniu, czy jesteś średnim przedsiębiorstwem, uwzględnia się przedsiębiorstwa powiązane i partnerskie. Spółka zatrudniająca 30 osób, ale należąca do większej grupy kapitałowej, może przekraczać próg. Mimo że sama patrząc w swoją listę płac, czuje się bezpieczna.

• Sektor ustala się po faktycznej działalności, nie po intuicji
  Ministerstwo zaleca sprawdzenie profilu działalności i właściwych kodów PKD względem załączników do ustawy. Załączniki są szerokie, „produkcja” obejmuje m.in. urządzenia medyczne, elektronikę, maszyny i pojazdy, a obok oczywistych sektorów jak energetyka czy transport są też usługi pocztowe, gospodarka odpadami i produkcja żywności.

• Są wyjątki od zasady ogólnej
  Część podmiotów np. dostawcy usług DNS czy dostawcy usług zarządzanych w zakresie cyberbezpieczeństwa (MSSP) podlega od niższych progów lub niezależnie od wielkości. Organ może też decyzją objąć ustawą mniejszą firmę, jeśli jej usługa ma znaczenie systemowe.

Pełne omówienie kwalifikacji, sektory, progi, pułapki grup kapitałowych, znajdziesz w naszym przewodniku po zgodności z NIS2 i nowej ustawie o KSC. Tu zakładamy, że kwalifikację masz już za sobą i wiesz, że musisz się zarejestrować. Jeśli po analizie nadal nie masz pewności, to niestety częsty przypadek i lepiej rozstrzygnąć go przed 3 października niż po. Błędna samoocena kosztuje w obie strony. Rejestracja podmiotu, który nie podlega, to niepotrzebne obowiązki, brak rejestracji podmiotu, który podlega to naruszenie ustawy.

Dwa tryby wpisu, sprawdź, który dotyczy Twojej firmy

Zanim zaczniesz wypełniać cokolwiek, ustal jedną rzecz, bo od niej zależy cała dalsza ścieżka. Ustawa przewiduje dwa tryby trafienia do wykazu i pomylenie ich to najczęstszy powód zamieszania na starcie.

• Samorejestracja
  Domyślny tryb dla większości firm objętych nowelizacją, zwłaszcza tych, które wchodzą do systemu po raz pierwszy. Sam składasz wniosek przez aplikację Wykaz KSC i sam odpowiadasz za dotrzymanie terminu. Cała dalsza część tego artykułu dotyczy właśnie tego trybu.

• Wpis z urzędu
  Minister Cyfryzacji wpisuje do wykazu część podmiotów bez ich wniosku, korzystając z danych, które państwo już ma, czyli rejestrów publicznych, bazy adresów elektronicznych i informacji od właściwych organów. Dotyczy to m.in. dotychczasowych operatorów usług kluczowych (czyli firm, które podlegały staremu KSC na mocy decyzji administracyjnej) oraz przedsiębiorców telekomunikacyjnych wpisanych do rejestru. Logika jest prosta, skoro urząd zna te podmioty, nie każe im się zgłaszać drugi raz.

Jeśli należysz do grupy „z urzędu”, nie składasz wniosku. Tylko czekasz na zawiadomienie o wpisie wraz z wezwaniem, linkiem i kodem dostępu. Od otrzymania wezwania masz 6 miesięcy na uzupełnienie danych w wykazie. I tu ważna pułapka, wpis z urzędu bywa odbierany jako „załatwione, nie musimy nic robić”. Nie musisz składać wniosku, ale uzupełnienie danych nie jest opcjonalne. Wykaz z samym wpisem, bez osób kontaktowych i pełnych informacji, nie spełnia swojej funkcji, a niedopełnienie obowiązku uzupełnienia to również naruszenie.

Nie wiesz, czy nie jesteś przypadkiem w grupie „z urzędu”? Sprawdź listę wyjątków w instrukcji Ministerstwa Cyfryzacji, a w razie wątpliwości bezpieczniej dopytać, niż złożyć wniosek podwójnie albo wcale. W praktyce: jeśli Twoja firma nigdy nie miała statusu operatora usługi kluczowej i nie figuruje w rejestrze przedsiębiorców telekomunikacyjnych, niemal na pewno czeka Cię samorejestracja.

Rejestracja krok po kroku

Krok 1. Przygotuj dane do wniosku

To najbardziej pracochłonna część i warto ją zrobić przed otwarciem formularza. Nie dlatego, że aplikacja wyrzuci Cię po godzinie, ale dlatego, że część danych wymaga ustaleń wewnątrz firmy, a niektóre pytania (jak kwalifikacja sektorowa) trzeba przemyśleć, nie zgadywać. Wniosek obejmuje m.in.:

• Dane identyfikacyjne podmiotu (nazwa, NIP, KRS/CEIDG, adres).

• Sektor, podsektor i rodzaj podmiotu zgodnie z załącznikiem nr 1 lub 2 do ustawy. Czyli formalne wskazanie, na jakiej podstawie podlegasz; to deklaracja, która określi, jak organ będzie na Ciebie patrzył (podmiot kluczowy podlega pełnemu nadzorowi, ważny – następczemu).

• Zakresy adresów IP i nazwy domen wykorzystywanych przez podmiot. Jeśli infrastrukturą zarządza zewnętrzna firma IT, to moment, żeby się do niej odezwać, bo mało która księgowość zna firmowe zakresy adresacji.

• Dane co najmniej dwóch osób kontaktowych ds. cyberbezpieczeństwa. To z nimi będą się kontaktować CSIRT-y i organy nadzoru, więc wskaż osoby, które realnie odbierają telefon, nie skrzynkę biuro@; dwie osoby to minimum ustawowe, pomyślane tak, żeby urlop jednej nie zrywał kontaktu z firmą,

• Informację o dostawcy usług zarządzanych w zakresie cyberbezpieczeństwa (MSSP), jeśli z takiego korzystasz.

• Adresy świadczenia usług w UE (jeśli dotyczy).

Do wniosku dołącza się oświadczenie kierownika podmiotu, że podane informacje są zgodne z prawdą, składane pod rygorem odpowiedzialności karnej. To nie formalność do odklikania. Dane warto sprawdzić dwa razy, a wątpliwości co do kwalifikacji sektorowej rozstrzygnąć przed podpisem, nie po.

Krok 2. Załóż konto w aplikacji Wykaz KSC

Wejdź na wykaz-ksc.gov.pl i zaloguj się przez Węzeł Krajowy, czyli tak, jak do innych usług publicznych np. Profilem Zaufanym, aplikacją mObywatel, e-Dowodem, bankowością elektroniczną albo certyfikatem kwalifikowanym. Przy pierwszym logowaniu rejestrujesz konto użytkownika. Uwaga praktyczna, konto zakłada konkretna osoba fizyczna, nie „firma”. Zaplanuj więc, kto po stronie organizacji będzie obsługiwał aplikację, bo ta sama osoba będzie potem wracać do systemu przy aktualizacjach danych.

Krok 3. Wypełnij wniosek

W aplikacji wybierz opcję wpisania nowego podmiotu i uzupełnij formularz przygotowanymi danymi: dane podmiotu, klasyfikację sektorową, dane kontaktowe. Wykaz KSC to część rządowego systemu S46 i to jedyna dopuszczalna ścieżka złożenia wniosku. Nie ma wersji papierowej, nie ma wniosku przez ePUAP, nie ma maila do ministerstwa. Jeśli ktoś oferuje Ci „złożenie wniosku KSC” inną drogą, to nie jest legalna ścieżka.

Krok 4. Podpisz i wyślij

Wniosek podpisuje kierownik podmiotu (albo osoba upoważniona) kwalifikowanym podpisem elektronicznym, podpisem zaufanym lub osobistym; dopuszczalna jest też kwalifikowana pieczęć elektroniczna. Może to zrobić również pełnomocnik z dołączonym elektronicznym pełnomocnictwem. Przy czym prokurenci ujawnieni w KRS i pełnomocnicy wpisani w CEIDG pełnomocnictwa dołączać nie muszą, bo ich umocowanie wynika z rejestru. Jeśli zarząd nie posługuje się na co dzień podpisem elektronicznym, załatw to zawczasu. Profil zaufany zakłada się szybko, ale nie w dniu, w którym mija termin.

Krok 5. Po wpisie, dwa obowiązki na stałe

Rejestracja nie jest jednorazowa w tym sensie, że o wykazie można potem zapomnieć. Po pierwsze, każdą zmianę danych z wniosku zgłaszasz w ciągu 14 dni. Na przykład, nowa osoba kontaktowa, zmiana adresu, nowy zakres IP, zmiana dostawcy MSSP. Czternaście dni to niewiele, więc obowiązek aktualizacji warto wpisać do procedur kadrowych i IT (odejście osoby kontaktowej z firmy to właśnie taka zmiana). Po drugie, wpis otwiera dostęp do S46 Cyber Hub, przez który będziesz realizować m.in. obowiązek zgłaszania incydentów, czyli wczesne ostrzeżenie w 24 godziny od wykrycia, raport w 72 godziny. Warto już teraz sprawdzić, czy ktokolwiek w firmie byłby w stanie incydent w ogóle wykryć w takim czasie. Jeśli odpowiedź brzmi „chyba nie”, zobacz, jak działa stałe monitorowanie infrastruktury przez SOC.

Rejestracja to start, nie meta

Wpis do wykazu jest najprostszym z obowiązków ustawy, formularz, dane, podpis. Da się go zamknąć w kilka dni, licząc z zebraniem danych. Prawdziwa praca zaczyna się po nim i ma własne terminy:

• Do 3 kwietnia 2027 r. trzeba wdrożyć system zarządzania bezpieczeństwem informacji i pozostałe wymagania rozdziału o obowiązkach, analizę ryzyka, polityki bezpieczeństwa, środki techniczne i organizacyjne, bezpieczeństwo łańcucha dostaw, plany ciągłości działania z kopiami zapasowymi. To nie jest lista zakupów, tylko system, który trzeba zaprojektować, udokumentować i utrzymywać z dowodami dla organu nadzoru.

• Do 3 kwietnia 2028 r. podmioty kluczowe muszą przejść pierwszy audyt bezpieczeństwa (kolejne co najmniej co trzy lata). Audyt sprawdza nie deklaracje, tylko stan faktyczny, więc wdrożenie „na papierze” wyjdzie na jaw najpóźniej wtedy.

Do tego dochodzą udokumentowane szkolenia, także dla kadry kierowniczej, bo ustawa przenosi odpowiedzialność za cyberbezpieczeństwo wprost na zarządy: kierownik podmiotu zatwierdza środki zarządzania ryzykiem, nadzoruje ich wdrożenie i sam musi się szkolić.

Rok na wdrożenie brzmi bezpiecznie, ale między decyzjami budżetowymi, wdrożeniami technicznymi, dokumentacją i szkoleniami topnieje szybko. Zwłaszcza że część prac ma naturalną kolejność i nie da się ich robić równolegle. Jeśli po rejestracji nie wiesz, od czego zacząć, zacznij od audytu zerowego. Pokaże, gdzie masz luki, co jest pilne, a co może poczekać, i ile realnie będzie kosztować dostosowanie. Z tą wiedzą rozmowa o budżecie na 2027 r. wygląda zupełnie inaczej niż bez niej.

Umów rozmowę. Ustalimy, czy ustawa Cię dotyczy, i pokażemy, co po rejestracji.

(+48) 790 213 841 Izabela Gorwa Data Protection Supervisor