Rejestracja w wykazie podmiotów KSC do 3 października 2026 – co konkretnie trzeba zrobić?

Stan prawny na 20.10.2026
Artykuł opisuje stan prawny wynikający z ustawy z 23 stycznia 2026 r. o zmianie ustawy o krajowym systemie cyberbezpieczeństwa (Dz.U. 2026 poz. 252), obowiązującej od 3 kwietnia 2026 r. Aktualizujemy go wraz ze zmianami przepisów.

Rejestracja w wykazie KSC to pierwsze zadanie, jakie nowa ustawa o cyberbezpieczeństwie stawia przed firmami, i zarazem takie, które najłatwiej przeoczyć w codziennym natłoku spraw. Jeśli sygnały o nowych przepisach docierały do Ciebie od miesięcy, a temat za każdym razem lądował na liście rzeczy do ogarnięcia później, to właśnie nadszedł dobry moment, żeby do niego wrócić. Wniosek składa się przez rządową aplikację, a czas na jego złożenie mija 3 października 2026 r.

Warto przy tym wiedzieć o jednej rzeczy, która odróżnia te przepisy od większości urzędowych obowiązków. Nikt nie przyśle Ci pisma z przypomnieniem, ponieważ to firma sama ma ustalić, czy podlega ustawie, i sama zgłosić się do wykazu. Właśnie dlatego przygotowaliśmy ten przewodnik. Znajdziesz w nim całą procedurę krok po kroku, od sprawdzenia, czy obowiązek w ogóle Cię dotyczy, przez komplet danych do wniosku, aż po podpis i wysyłkę.

Sami przechodziliśmy przez ten wniosek, więc oprócz tego, co mówi ustawa i instrukcja ministerstwa, piszemy też o tym, co zaskoczyło nas w samym formularzu i co zajęło najwięcej czasu.

Krótkie przypomnienie o KSC

KSC to krajowy system cyberbezpieczeństwa, polskie ramy prawne określające, kto i jak ma dbać o bezpieczeństwo usług istotnych dla gospodarki i państwa. Ustawa o KSC istnieje od 2018 r., ale 3 kwietnia 2026 r. weszła w życie jej duża nowelizacja, wdrażająca unijną dyrektywę NIS2 i to ona obejmuje przepisami tysiące firm, które dotąd nie miały z tym tematem nic wspólnego. Od produkcji i logistyki, przez gospodarkę odpadami, po usługi cyfrowe.

Sam wykaz podmiotów kluczowych i ważnych to nie biurokratyczny rejestr dla samego rejestru. To centralna baza, dzięki której zespoły CSIRT i organy nadzoru wiedzą, z kim się kontaktować, gdy dzieje się coś złego, a wpis otwiera firmie dostęp do systemu, przez który będzie realizować kolejne obowiązki ustawy, przede wszystkim zgłaszanie incydentów. Innymi słowy, bez wpisu nie da się formalnie funkcjonować w nowym systemie, nawet mając wszystko inne ogarnięte.

Nowelizacja zmienia też samą logikę systemu. Stara ustawa działała dość prosto, organ wydawał decyzję i wskazywał, kto jest operatorem usługi kluczowej. Dostałeś pismo, to podlegasz, a nie dostałeś, to śpisz spokojnie. Teraz obowiązuje samoidentyfikacja. Firma sama sprawdza, czy spełnia kryteria ustawy, i sama składa wniosek o wpis do wykazu podmiotów kluczowych i ważnych. Brak pisma z ministerstwa niczego nie oznacza, a założenie „skoro nikt się nie odezwał, to temat nas nie dotyczy” jest w nowym systemie najprostszą drogą do naruszenia przepisów. To zmiana, którą najłatwiej przegapić, bo wymaga aktywności od firm przyzwyczajonych, że o obowiązkach informuje ich urząd.

Stąd termin. Wniosek składa się w ciągu 6 miesięcy od dnia, w którym podmiot spełnił przesłanki uznania za kluczowy lub ważny. Dla firm, które spełniały je już 3 kwietnia 2026 r., czyli dla zdecydowanej większości objętych nowelizacją, termin upływa 3 października 2026 r. Ten dzień wypada w sobotę. Dobra wiadomość jest taka, że sam formularz da się wypełnić w jeden dzień, pod warunkiem że dane są już zebrane.

Upewnij się, że w ogóle podlegasz

W największym skrócie, podlegasz, jeśli działasz w sektorze z załącznika nr 1 (podmioty kluczowe) lub nr 2 (podmioty ważne) do ustawy i jesteś co najmniej średnim przedsiębiorstwem, czyli od 50 pracowników lub 10 mln EUR obrotu. Oba warunki muszą być spełnione łącznie. Trzy rzeczy, na których firmy najczęściej się potykają:

• Wielkość liczy się szerzej, niż się wydaje
  Przy ustalaniu, czy jesteś średnim przedsiębiorstwem, uwzględnia się przedsiębiorstwa powiązane i partnerskie. Spółka zatrudniająca 30 osób, ale należąca do większej grupy kapitałowej, może przekraczać próg. Mimo że sama patrząc w swoją listę płac, czuje się bezpieczna.

• Sektor ustala się po faktycznej działalności, nie po intuicji
  Ministerstwo zaleca sprawdzenie profilu działalności i właściwych kodów PKD względem załączników do ustawy. Załączniki są szerokie, „produkcja” obejmuje m.in. urządzenia medyczne, elektronikę, maszyny i pojazdy, a obok oczywistych sektorów jak energetyka czy transport są też usługi pocztowe, gospodarka odpadami i produkcja żywności.

• Są wyjątki od zasady ogólnej
  Część podmiotów podlega od niższych progów lub niezależnie od wielkości, np. dostawcy usług DNS. Najbardziej praktyczny wyjątek dotyczy dostawców usług zarządzanych w zakresie cyberbezpieczeństwa (MSSP). Firma, która świadczy innym usługi bezpieczeństwa, na przykład monitorowanie infrastruktury, zarządzanie zabezpieczeniami czy obsługę incydentów, podlega ustawie już jako małe przedsiębiorstwo i trafia do wykazu jako podmiot kluczowy. Nie dotyczy to każdej firmy, która „coś robi w IT”, tylko tej, dla której bezpieczeństwo klientów jest usługą. Organ może też decyzją objąć ustawą mniejszą firmę, jeśli jej usługa ma znaczenie systemowe.

Pełne omówienie kwalifikacji, sektory, progi, pułapki grup kapitałowych, znajdziesz w naszym przewodniku po zgodności z NIS2 i nowej ustawie o KSC. Tu zakładamy, że kwalifikację masz już za sobą i wiesz, że musisz się zarejestrować. Jeśli po analizie nadal nie masz pewności, to niestety częsty przypadek i lepiej rozstrzygnąć go przed 3 października niż po. Błędna samoocena kosztuje w obie strony. Rejestracja podmiotu, który nie podlega, to niepotrzebne obowiązki, brak rejestracji podmiotu, który podlega to naruszenie ustawy.

Dwa tryby wpisu, sprawdź, który dotyczy Twojej firmy

Zanim zaczniesz wypełniać cokolwiek, ustal jedną rzecz, bo od niej zależy cała dalsza ścieżka. Ustawa przewiduje dwa tryby trafienia do wykazu i pomylenie ich to najczęstszy powód zamieszania na starcie.

• Samorejestracja
  Domyślny tryb dla większości firm objętych nowelizacją, zwłaszcza tych, które wchodzą do systemu po raz pierwszy. Sam składasz wniosek przez aplikację Wykaz KSC i sam odpowiadasz za dotrzymanie terminu. Cała dalsza część tego artykułu dotyczy właśnie tego trybu.

• Wpis z urzędu
  Minister Cyfryzacji wpisuje do wykazu część podmiotów bez ich wniosku, korzystając z danych, które państwo już ma, czyli rejestrów publicznych, bazy adresów elektronicznych i informacji od właściwych organów. Dotyczy to m.in. dotychczasowych operatorów usług kluczowych (czyli firm, które podlegały staremu KSC na mocy decyzji administracyjnej) oraz przedsiębiorców telekomunikacyjnych wpisanych do rejestru. Logika jest prosta, skoro urząd zna te podmioty, nie każe im się zgłaszać drugi raz.

Jeśli należysz do grupy „z urzędu”, nie składasz wniosku. Tylko czekasz na zawiadomienie o wpisie wraz z wezwaniem, linkiem i kodem dostępu. Od otrzymania wezwania masz 6 miesięcy na uzupełnienie danych w wykazie. I tu ważna pułapka, wpis z urzędu bywa odbierany jako „załatwione, nie musimy nic robić”. Nie musisz składać wniosku, ale uzupełnienie danych nie jest opcjonalne. Wykaz z samym wpisem, bez osób kontaktowych i pełnych informacji, nie spełnia swojej funkcji, a niedopełnienie obowiązku uzupełnienia to również naruszenie.

Nie wiesz, czy nie jesteś przypadkiem w grupie „z urzędu”? Sprawdź listę wyjątków w instrukcji Ministerstwa Cyfryzacji, a w razie wątpliwości bezpieczniej dopytać, niż złożyć wniosek podwójnie albo wcale. W praktyce, jeśli Twoja firma nigdy nie miała statusu operatora usługi kluczowej i nie figuruje w rejestrze przedsiębiorców telekomunikacyjnych, niemal na pewno czeka Cię samorejestracja.

Rejestracja krok po kroku

Krok 1. Przygotuj dane do wniosku

Zanim zalogujesz się do aplikacji, zbierz dane. Sam formularz nie jest trudny, ale to, o co pyta, leży w firmie w różnych rękach, a czekanie na odpowiedź informatyka albo na członka zarządu potrafi zająć kilka dni. Najwięcej czasu oszczędzisz, jeśli od razu wyślesz trzy krótkie prośby:

• Do księgowości: REGON, NIP, dokładna nazwa z KRS lub CEIDG, dane o zatrudnieniu i obrocie (razem z firmami powiązanymi), numery wpisów w rejestrach działalności regulowanej, jeśli jakieś macie.
• Do informatyka albo firmy IT: publiczne adresy IPv4 i IPv6, lista domen, numery ASN, jeśli firma je ma.
• Do zarządu: kto będzie osobą kontaktową, kto administratorem konta w S46 (potrzebny będzie jego PESEL), jak wygląda reprezentacja spółki w KRS i czy wszyscy, którzy mają podpisać wniosek, mają podpis elektroniczny.

Jeśli firma ma umowę z zewnętrznym dostawcą usług bezpieczeństwa, znajdź ją, może okazać się przydatna. Jeśli wniosek będzie składał pełnomocnik, potrzebne będą pełnomocnictwo i potwierdzenie opłaty skarbowej, w systemie jest miejsce na ich załączenie. Co dokładnie i gdzie wpisać, opisujemy w kroku 3.

Krok 2. Załóż konto w aplikacji Wykaz KSC

Wejdź na wykaz-ksc.gov.pl i zaloguj się przez Węzeł Krajowy, czyli tak, jak do innych usług publicznych np. Profilem Zaufanym, aplikacją mObywatel, e-Dowodem, bankowością elektroniczną albo certyfikatem kwalifikowanym. Przy pierwszym logowaniu rejestrujesz konto użytkownika. Uwaga praktyczna, konto zakłada konkretna osoba fizyczna, nie „firma”. Zaplanuj więc, kto po stronie organizacji będzie obsługiwał aplikację, bo ta sama osoba będzie potem wracać do systemu przy aktualizacjach danych.

Krok 3. Wypełnij wniosek

Po zalogowaniu kliknij „Wpisz nowy podmiot”. Wykaz KSC to część rządowego systemu S46 i to jedyna dopuszczalna ścieżka złożenia wniosku. Nie ma wersji papierowej, nie ma wniosku przez ePUAP, nie ma maila do ministerstwa. Jeśli ktoś oferuje Ci „złożenie wniosku KSC” inną drogą, to nie jest legalna ścieżka.

Wniosek ma kilkanaście zakładek i na pierwszy rzut oka wygląda groźnie. Jeśli masz dane z kroku 1, to w praktyce głównie przepisywanie. Dopóki wniosku nie wyślesz, ma on status szkicu, a każdą zakładkę zatwierdzasz przyciskiem „Zapisz zmiany”, więc nie trzeba wypełniać wszystkiego za jednym posiedzeniem. Poniżej przechodzimy przez zakładki w tej samej kolejności, w jakiej widzisz je w aplikacji.

A. Informacje podstawowe
REGON, NIP i nazwa (firma) podmiotu. Nazwę przepisz dokładnie tak, jak jest w KRS lub CEIDG, razem z formą prawną, np. „sp. z o.o.”.

B. Rejestry działalności regulowanej
Najpierw odpowiadasz na jedno pytanie, czy firma jest wpisana do rejestru działalności regulowanej.

Nie? Zaznaczasz, że nie i idziesz dalej.

Tak? Zaznaczasz, że tak. Następnie podajesz nazwę rejestru, numer wpisu i ewentualnie dodatkowe informacje. Jeśli jesteście w kilku rejestrach, dodajesz każdy z nich osobno.

C. Klasyfikacja
Najważniejsza zakładka wniosku, bo to tutaj wskazujesz, dlaczego w ogóle podlegasz ustawie.

• Główne miejsce prowadzenia działalności.
• Wielkość podmiotu, według definicji z art. 2 załącznika I do rozporządzenia 651/2014/UE. To ta sama definicja mikro, małego, średniego i dużego przedsiębiorstwa, której używa się przy dotacjach, więc księgowość zna ją na pewno. Pamiętaj o firmach powiązanych i partnerskich.
• Czy podmiot jest przedsiębiorcą.
• Klasyfikacja działalności, czyli sektor, podsektor, rodzaj podmiotu i obszar prowadzenia tej działalności. Jeśli firma prowadzi kilka rodzajów działalności z załączników do ustawy, dodajesz każdy z nich.

Uwaga, ta zakładka działa jak bramka. Jeśli dla wybranego podsektora zadeklarujesz, że jesteś małym przedsiębiorstwem, a ten podsektor wymaga co najmniej średniego, aplikacja nie pozwoli przejść dalej, bo w jej rozumieniu nie podlegasz rejestracji. Przy tym samym podsektorze i deklaracji „średnie” przepuści Cię do kolejnych zakładek. Aplikacja sprawdza jednak tylko spójność tego, co zadeklarujesz, a nie Twoją faktyczną sytuację. Jeśli nie przepuszcza Cię dalej, a wielkość podałeś zgodnie z prawdą, to nie jest błąd systemu, tylko sygnał, że prawdopodobnie nie musisz się rejestrować. Nie rejestruj się wtedy nadmiarowo i w żadnym wypadku nie zmieniaj deklarowanej wielkości tylko po to, żeby formularz ruszył. Wniosek kończy się oświadczeniem pod rygorem odpowiedzialności karnej, a wpis pociąga za sobą realne obowiązki.

D. Dane adresowe
Tu wpisujesz trzy rzeczy:

• Adres korespondencyjny: kraj, województwo, powiat, gmina, miejscowość, kod pocztowy, ulica, numer domu i lokalu, ewentualne uwagi.
• Adres siedziby, ale tylko wtedy, gdy jest inny niż korespondencyjny. Wpisujesz go w takim samym układzie.
• Kontakt elektroniczny: e-mail jest obowiązkowy. Telefon, adres do doręczeń elektronicznych (ADE), adres skrzynki ePUAP i stronę www możesz dodać, ale nie musisz.

E. Osoby kontaktowe
To osoby, z którymi będą się kontaktować zespoły CSIRT i organy nadzoru, kiedy będą potrzebować czegoś od Twojej firmy albo będą chciały ją o czymś ostrzec.

Dla każdej wpisujesz imię, nazwisko, służbowy e-mail, służbowy telefon i ewentualne uwagi. Osób może być kilka.

Wskaż co najmniej dwie osoby, które naprawdę odbierają telefon, a nie ogólną skrzynkę biuro@. Wtedy urlop jednej nie zrywa kontaktu z firmą. Uprzedź je też, że zostały wpisane. Jeśli któraś z nich będzie również administratorem konta firmy w S46, jej dane wpisujesz jeszcze raz w następnej zakładce.

F. Administratorzy S46
Administratorzy S46 to osoby z dostępem do firmowego konta w rządowym systemie. S46 to system, przez który firma załatwia sprawy z ustawy, np. aktualizuje dane w wykazie i zgłasza incydenty. Administrator loguje się tam w imieniu firmy

Najpierw deklarujesz, czy dla firmy założono już przestrzeń w S46. Jeśli tak, podajesz jej kod. Jeśli nie, po prostu to zaznaczasz.

Potem dla każdego administratora wpisujesz imię, nazwisko, służbowy e-mail, służbowy telefon i identyfikator. Dla osób z polskim numerem PESEL jest to PESEL, a osoba bez niego, np. cudzoziemiec, podaje identyfikator krajowy. Administratorów może być kilku i warto wskazać co najmniej dwóch, z tego samego powodu co przy osobach kontaktowych. PESELu nie wpisuje się za kogoś bez jego wiedzy, więc poproś każdą z tych osób o zgodę i o numer.

G. Specyfikacja sieci 
Ta zakładka stresuje najbardziej, bo wygląda najbardziej technicznie. W praktyce to cztery listy: adresy IPv4, adresy IPv6, domeny i numery ASN. Każdą pozycję wpisujesz w osobnej linii. Te dane, po weryfikacji, trafią do CSIRT, który będzie z nich korzystać, więc pomyłka nie jest tu tylko formalnością.

• Adresy IPv4 i IPv6. Wpisujesz tylko publiczne adresy, które należą do firmy i są przez nią używane na stałe. Zapisujesz je w tzw. notacji CIDR, czyli z ukośnikiem i liczbą na końcu, np. 203.0.113.15/32 dla pojedynczego adresu serwera albo 198.51.100.0/29 dla zakresu. Zakresy nie mogą na siebie nachodzić. Nie wpisujesz adresów z sieci wewnętrznej (np. 192.168.1.1), adresów serwisów, z których korzystasz (Google, Facebook, Allegro), ani adresów swojego dostawcy internetu czy hostingu. Jeśli firma nie ma stałych (statycznych) adresów IPv4 albo IPv6, zaznaczasz to w odpowiednim polu.
• Domeny. Wpisujesz domeny, których właścicielem jest firma i które są używane, np. firma.pl, nawet jeśli utrzymuje je zewnętrzny dostawca. Nie wpisujesz poddomen typu logowanie.firma.pl, nazw usług ani domen serwisów, z których tylko korzystasz.
• Numery ASN. Wpisujesz je tylko wtedy, gdy firma jest właścicielem numeru systemu autonomicznego, po jednym w linii, np. AS211797. Własny ASN mają zwykle firmy z rozbudowaną infrastrukturą sieciową. Jeśli nie wiesz, czy go macie, zapytaj informatyka.

Najpewniejszym źródłem tych danych jest informatyk albo firma IT, która zarządza Twoją infrastrukturą. Jeśli chcesz tej osobie ułatwić pracę, możesz przygotować punkt wyjścia samodzielnie. Możesz też spróbować zapytać swojego kolegi AI w stylu „podaj adresy IPv4, IPv6 oraz numer ASN dla [pełna nazwa firmy, miasto]”, bo przydzielone firmom adresy i numery ASN są danymi publicznymi. Taki wynik traktuj wyłącznie jako szkic do sprawdzenia przez informatyka. AI potrafi podać dane nieaktualne albo po prostu zmyślone, a wniosek podpisujesz pod rygorem odpowiedzialności karnej. Przy domenach dobrą podpowiedzią są faktury za ich odnowienie.

I. Przedstawiciel
Ta zakładka dotyczy tylko przedstawiciela, o którym mowa w art. 5a ust. 7-9 ustawy o KSC, czyli sytuacji podmiotów zagranicznych. Jeśli Twoja firma ma siedzibę w Polsce, zaznaczasz „Podmiot nie posiada ustanowionego przedstawiciela” i idziesz dalej. Nie wpisujesz tu pełnomocnika, prokurenta ani nikogo z zarządu, bo na to jest osobna zakładka.

Jeśli przedstawiciela jednak macie, wybierasz, czy to osoba fizyczna, czy firma, i podajesz jej dane kontaktowe oraz adres, w takim samym układzie jak w zakładce D.

J. Dostawcy usług zarządzanych w zakresie cyberbezpieczeństwa
Odpowiadasz, czy firma ma umowę z dostawcą usług zarządzanych w zakresie cyberbezpieczeństwa, np. z zewnętrznym zespołem, który monitoruje Waszą infrastrukturę pod kątem bezpieczeństwa.

Nie? Zaznaczasz i idziesz dalej. Dostawca internetu się tu nie liczy, chyba że w ramach umowy prowadzi dla Was również monitoring bezpieczeństwa.

Tak? Podajesz dane dostawcy: nazwę i REGON, adres korespondencyjny i adres siedziby, e-mail i telefon, a opcjonalnie ADE, ePUAP i stronę www. Najłatwiej przepisać je z umowy.

Zmiana dostawcy w przyszłości to jedna ze zmian, które trzeba zgłosić do wykazu (krok 5).

K. Wymiana informacji dotyczących cyberbezpieczeństwa
Jedno pytanie, czy firma ma podpisane porozumienia o wymianie informacji dotyczących cyberbezpieczeństwa. Jeśli nie, zaznaczasz, że nie ma. Jeśli tak, krótko opisujesz tę współpracę.

Pełnomocnictwo i reprezentacja
Tu wskazujesz, w jakiej roli składasz wniosek i jak reprezentuje się Twoją firmę. Od tego zależy, ile podpisów będzie potrzebnych.

• Rola. Albo jesteś kierownikiem podmiotu, pełnomocnikiem ujawnionym w CEIDG lub prokurentem ujawnionym w KRS, albo jesteś pełnomocnikiem lub prokurentem, którego w tych rejestrach nie ma. W drugim przypadku dołączasz pełnomocnictwo w następnej zakładce.
• Typ reprezentacji. Przy reprezentacji samodzielnej wystarczy jeden podpis. Przy reprezentacji łącznej pod wnioskiem muszą się podpisać wszystkie osoby wymagane do reprezentowania firmy, a aplikacja poprosi o to na etapie podpisu.

Sposób reprezentacji sprawdzisz w aktualnym odpisie z KRS. Zajrzyj do niego zwłaszcza wtedy, gdy w zarządzie były ostatnio zmiany.

Dodatkowe załączniki
Jeśli wniosek składa pełnomocnik, dodajesz tu pełnomocnictwo i potwierdzenie uiszczenia opłaty skarbowej. Przygotuj oba pliki wcześniej, żeby nie szukać ich w trakcie wypełniania.

Oświadczenia prawne
Na koniec zaznaczasz klauzulę o odpowiedzialności karnej za podanie nieprawdziwych danych. To nie formalność do odklikania. Zanim ją zaznaczysz, przejrzyj jeszcze raz wszystkie zakładki, a wątpliwości co do klasyfikacji rozstrzygnij przed podpisem, nie po.

Krok 4. Podpisz i wyślij

Wniosek podpisuje kierownik podmiotu (albo osoba upoważniona) kwalifikowanym podpisem elektronicznym, podpisem zaufanym lub osobistym. Dopuszczalna jest też kwalifikowana pieczęć elektroniczna. Może to zrobić również pełnomocnik, który dołącza pełnomocnictwo w zakładce „Dodatkowe załączniki”. Prokurenci ujawnieni w KRS i pełnomocnicy wpisani w CEIDG pełnomocnictwa dołączać nie muszą, bo ich umocowanie wynika z rejestru.

Dalsza ścieżka zależy od typu reprezentacji wybranego w zakładce „Pełnomocnictwo i reprezentacja”.

Przy reprezentacji samodzielnej, np. w jednoosobowej działalności gospodarczej albo w spółce, w której jeden członek zarządu może działać sam, wystarczy jeden podpis i składasz go bezpośrednio w aplikacji.

Przy reprezentacji łącznej podpisują wszystkie osoby wymagane do reprezentowania firmy zgodnie z KRS, a aplikacja przyjmuje wtedy tylko podpis kwalifikowany, podpis osobisty, kwalifikowaną pieczęć albo podpis zaufany złożony poza systemem.

Wygląda to podobnie jak przy e-sprawozdaniu finansowym. Pobierasz wniosek jako plik XML, każda z wymaganych osób podpisuje go w formacie XAdES, a podpisany plik wgrywasz z powrotem do aplikacji. Zebranie kilku podpisów od osób, które nie siedzą w jednym biurze, potrafi zająć więcej czasu niż cały formularz, więc zaplanuj to z wyprzedzeniem. Jeśli zarząd nie posługuje się na co dzień podpisem elektronicznym, załatw to zawczasu. Profil zaufany zakłada się szybko, ale nie w dniu, w którym mija termin.

Po kliknięciu „Wyślij” wniosek trafia do przetwarzania i dostaje jeden z dwóch statusów.

• „Zatwierdzony” oznacza, że wpis został dokonany od razu.
• „Oczekuje na weryfikację” pojawia się wtedy, gdy system wykryje konflikt danych, np. NIP albo REGON już jest w bazie, i wniosek musi ręcznie sprawdzić operator systemu S46. Ten drugi status nie oznacza, że coś zrobiłeś źle. Oznacza tylko, że trzeba chwilę poczekać.

Informacje o przebiegu wpisu przychodzą e-mailem. U nas było to kilka osobnych wiadomości, więc nie denerwuj się, jeśli pierwsza z nich nie jest jeszcze potwierdzeniem wpisu.

Krok 5. Po wpisie, dwa obowiązki na stałe

Rejestracja nie jest jednorazowa w tym sensie, że o wykazie można potem zapomnieć. A to dopiero początek listy, bo wpis uruchamia też obowiązki z własnymi terminami, które rozpisaliśmy w osobnym poradniku: co po wpisie do wykazu KSC.

Po pierwsze, każdą zmianę danych z wniosku zgłaszasz w ciągu 14 dni. Na przykład, nowa osoba kontaktowa, zmiana adresu, nowy zakres IP, zmiana dostawcy MSSP. Czternaście dni to niewiele, więc obowiązek aktualizacji warto wpisać do procedur kadrowych i IT (odejście osoby kontaktowej z firmy to właśnie taka zmiana).

Po drugie, wpis otwiera dostęp do S46 Cyber Hub, przez który będziesz realizować m.in. obowiązek zgłaszania incydentów, czyli wczesne ostrzeżenie w 24 godziny od wykrycia, raport w 72 godziny.

Warto już teraz sprawdzić, czy ktokolwiek w firmie byłby w stanie incydent w ogóle wykryć w takim czasie. Jeśli odpowiedź brzmi „chyba nie”, zobacz, jak działa stałe monitorowanie infrastruktury przez SOC.

Rejestracja to start, nie meta

Wpis do wykazu jest najprostszym z obowiązków ustawy, formularz, dane, podpis. Da się go zamknąć w kilka dni, licząc z zebraniem danych. Prawdziwa praca zaczyna się po nim i ma własne terminy, które nie liczą się od dnia wpisu, tylko od dnia, w którym firma zaczęła podlegać ustawie.

Jeśli podlegaliście jej już 3 kwietnia 2026 r., kalendarz jest taki sam dla wszystkich, niezależnie od tego, kiedy złożyliście wniosek:

• Do 3 kwietnia 2027 r. trzeba wdrożyć system zarządzania bezpieczeństwem informacji i pozostałe wymagania rozdziału o obowiązkach, analizę ryzyka, polityki bezpieczeństwa, środki techniczne i organizacyjne, bezpieczeństwo łańcucha dostaw, plany ciągłości działania z kopiami zapasowymi. To nie jest lista zakupów, tylko system, który trzeba zaprojektować, udokumentować i utrzymywać z dowodami dla organu nadzoru.

• Do 3 kwietnia 2028 r. podmioty kluczowe muszą przejść pierwszy audyt bezpieczeństwa (kolejne co najmniej co trzy lata). Audyt sprawdza nie deklaracje, tylko stan faktyczny, więc wdrożenie „na papierze” wyjdzie na jaw najpóźniej wtedy.

Do tego dochodzą udokumentowane szkolenia, także dla kadry kierowniczej, bo ustawa przenosi odpowiedzialność za cyberbezpieczeństwo wprost na zarządy: kierownik podmiotu zatwierdza środki zarządzania ryzykiem, nadzoruje ich wdrożenie i sam musi się szkolić.

Jest też obowiązek, o którym mało kto mówi, a który warto załatwić wcześniej niż później. Osoby, które w firmie realizują zadania z zakresu cyberbezpieczeństwa, muszą być niekarane, a potwierdzeniem jest zaświadczenie z Krajowego Rejestru Karnego. Zaświadczenie powinno być gotowe, zanim dana osoba zacznie wykonywać te zadania. Pracodawca nie pobierze go w imieniu pracownika, bo o własne dane z rejestru każdy występuje sam. Można to zrobić osobiście w punkcie informacyjnym KRK. Jeśli w zespole jest kilka takich osób, dobrze zebrać zaświadczenia za jednym razem, zamiast wracać do tematu przy każdej kontroli.

Pełną listę rzeczy, które da się załatwić od razu, równolegle z planowaniem, znajdziesz w artykule obowiązki KSC po rejestracji.

Rok na wdrożenie brzmi bezpiecznie, ale między decyzjami budżetowymi, wdrożeniami technicznymi, dokumentacją i szkoleniami topnieje szybko. Zwłaszcza że część prac ma naturalną kolejność i nie da się ich robić równolegle. Jeśli po rejestracji nie wiesz, od czego zacząć, zajrzyj do poradnika o tym, od czego zacząć wdrożenie po wpisie do wykazu, a jeśli wolisz zacząć od diagnozy, zrób audyt zerowy. Pokaże, gdzie masz luki, co jest pilne, a co może poczekać, i ile realnie będzie kosztować dostosowanie. Z tą wiedzą rozmowa o budżecie na 2027 r. wygląda zupełnie inaczej niż bez niej.

Umów rozmowę. Ustalimy, czy ustawa Cię dotyczy, i pokażemy, co po rejestracji.

(+48) 790 213 841 Izabela Gorwa Data Protection Supervisor