Wykaz KSC po 3 października 2026 r. — co zrobić?

Termin 3 października 2026 r. na wniosek o wpis do Wykazu KSC minął dla podmiotów, które spełniały ustawowe kryteria w dniu wejścia w życie nowelizacji i nie zostały wpisane z urzędu. Brak wniosku nie usuwa obowiązków. Najpierw sprawdź, czy organizacja spełnia kryteria, a następnie wybierz właściwą ścieżkę: samorejestrację albo uzupełnienie danych po wpisie z urzędu. Ministerstwo Cyfryzacji opisuje obie ścieżki.

Nowe rozdanie w krajowym systemie cyberbezpieczeństwa

Znowelizowana ustawa o KSC obowiązuje od 3 kwietnia 2026 r. Wyróżnia podmioty kluczowe i podmioty ważne. Kwalifikacja zależy od rodzaju działalności, kryteriów z art. 5 i załączników nr 1 i 2 oraz, gdy ustawa tego wymaga, od wielkości podmiotu. Przepisy przewidują też szczególne reguły dla niektórych podmiotów publicznych i leczniczych. Ministerstwo Cyfryzacji zaleca samoidentyfikację na podstawie ustawy.

Samoidentyfikacja jest ważna także wtedy, gdy spodziewasz się wpisu z urzędu. Tą ścieżką obejmowane są m.in. wskazane w ustawie podmioty publiczne. Brak otrzymanego zawiadomienia nie jest sam w sobie dowodem, że organizacja nie podlega KSC.

Wykaz KSC: kto i jak musi się wpisać

Od 7 maja 2026 r. podmioty niewpisywane z urzędu mogą składać wniosek przez oficjalny Wykaz KSC. Wniosek składa i podpisuje kierownik podmiotu lub upoważniona osoba. Jeżeli podmiot został wpisany z urzędu, powinien postępować zgodnie z otrzymanym zawiadomieniem i wezwaniem do uzupełnienia danych. Instrukcja S46 wskazuje termin sześciu miesięcy od doręczenia wezwania na ich uzupełnienie.

Data 3 października 2026 r. dotyczyła podmiotów, które spełniały przesłanki w dniu 3 kwietnia 2026 r. i miały obowiązek samorejestracji. Jeśli przesłanki powstały później, termin na złożenie wniosku wynosi sześć miesięcy od ich spełnienia. Jeżeli termin już minął, nie zakładaj automatycznego przedłużenia: ustal status podmiotu i jak najszybciej wyjaśnij z właściwym organem lub administratorem S46 sposób dopełnienia obowiązku. Oficjalne materiały nie opisują osobnej procedury dla spóźnionego wniosku.

Przed rozpoczęciem wpisu lub uzupełniania danych przygotuj:

• dane identyfikacyjne organizacji, w tym NIP i REGON;
• podstawę kwalifikacji: sektor, rodzaj działalności i właściwe kryteria ustawowe;
• dane kontaktowe oraz osobę wskazaną jako administrator S46;
• dane techniczne wymagane w formularzu, w tym właściwe adresy IP i domeny;
• upoważnienie w postaci elektronicznej, jeżeli wniosek składa inna osoba niż kierownik i jest ono wymagane w danej sytuacji.

S46 Cyber Hub – po co ten wpis naprawdę jest

Wpis do Wykazu KSC jest pierwszym krokiem do dostępu do S46 Cyber Hub. Według instrukcji systemu administrator wskazany w wykazie otrzymuje dostęp na podany adres e-mail po wpisie, bez osobnego wniosku. Sprawdź poprawność danych kontaktowych, bo od nich zależy uruchomienie konta.

S46 Cyber Hub to narzędzie wspierające podmioty kluczowe i ważne w realizacji ustawowych obowiązków. Platforma umożliwia:

• zgłaszanie i obsługę incydentów bezpieczeństwa,
• odbieranie ostrzeżeń o zagrożeniach,
• wymianę informacji o cyberzagrożeniach między uczestnikami systemu,
• współpracę z zespołami CSIRT,
• współpracę z organami właściwymi ds. cyberbezpieczeństwa.

Nowe podmioty mogą korzystać z S46 od czerwca 2026 r. Ministerstwo Cyfryzacji wskazuje, że podmioty kluczowe i ważne mają obowiązek rozpocząć korzystanie z systemu w ciągu 12 miesięcy od spełnienia przesłanek. Dla tych, które spełniały kryteria 3 kwietnia 2026 r., termin wypada 3 kwietnia 2027 r. Warto uzyskać dostęp wcześniej, aby sprawdzić administratorów, kanały komunikacji i procedurę zgłaszania incydentów.

Kalendarz dla podmiotów objętych zmianą od 3 kwietnia 2026 r.

To terminy dla podmiotów, które spełniały kryteria w dniu wejścia nowelizacji. Gdy organizacja uzyskała status później, terminy należy wyliczyć od jej własnej daty spełnienia przesłanek. Ministerstwo Cyfryzacji publikuje harmonogram i wyjaśnia odrębność pierwszego audytu dla nowych podmiotów kluczowych.

Co zrobić teraz – rekomendacje

Po pierwsze, sprawdź kwalifikację i ścieżkę wpisu. Porównaj działalność i wielkość organizacji z art. 5 i załącznikami do ustawy. Zweryfikuj, czy otrzymano zawiadomienie o wpisie z urzędu. W przypadkach granicznych, np. działalności wielosektorowej, skorzystaj z pomocy właściwego organu lub doradcy prawnego. Opis statusu podmiotu na stronie Idealdata pomoże przygotować listę pytań, ale nie zastępuje kwalifikacji prawnej.

Po drugie, wyjaśnij brakujący wpis albo uzupełnienie danych. Jeśli obowiązek powstał 3 kwietnia 2026 r. i minął termin 3 października, nie czekaj na nowy termin. Upewnij się, że działa właściwa osoba, a adres administratora S46 jest aktualny. Instrukcja samorejestracji podaje wymagane dane i zwykły sposób złożenia wniosku.

Po trzecie, zaplanuj obowiązki po wpisie. Rejestracja nie zastępuje SZBI, analizy ryzyka, zarządzania incydentami, bezpieczeństwa dostawców ani szkoleń kierownictwa. Dla podmiotów objętych ustawą od 3 kwietnia 2026 r. termin wdrożenia tych obowiązków przypada 3 kwietnia 2027 r. Ministerstwo Cyfryzacji opisuje ich zakres.

Jeżeli potrzebujesz uporządkować obowiązki po kwalifikacji, zobacz wsparcie Idealdata w NIS2/KSC i wdrożeniu SZBI albo skontaktuj się z nami w sprawie zakresu prac.

Przydatne źródła

• Samorejestracja i wymagane dane — System S46
• Dostęp do S46 po wpisie z urzędu lub samorejestracji
• Terminy nowelizacji KSC — Ministerstwo Cyfryzacji
• Ustawa z 23 stycznia 2026 r. — Dz.U. poz. 252