by KBZ Legal

Prawo gospodarcze7 września 20260 comments

KSC W PRAKTYCE | Wykaz KSC – mniej niżmiesiąc na dokonanie rejestracji

Nowelizacja ustawy o krajowym systemie cyberbezpieczeństwa znacząco rozszerzyła krąg przedsiębiorców objętych obowiązkami w zakresie cyberbezpieczeństwa. Nowe regulacje wdrażają do polskiego prawa dyrektywę NIS2 i wprowadzają m.in. nowy podział na podmioty kluczowe oraz podmioty ważne.

Jednym z pierwszych obowiązków, z którym muszą zmierzyć się przedsiębiorcy objęci nowymi przepisami, jest dokonanie wpisu do Wykazu podmiotów kluczowych i podmiotów ważnych (Wykazu KSC).

Dla podmiotów, które spełniały przesłanki objęcia ustawą już w dniu wejścia w życie nowelizacji, kluczową datą jest 3 października 2026 r. Do tego dnia należy dokonać wymaganej samorejestracji.

Czym jest Wykaz KSC?

Wykaz podmiotów kluczowych i podmiotów ważnych (Wykaz KSC) jest prowadzony w ramach krajowego systemu służącego do zarządzania cyberbezpieczeństwem i obsługi incydentów (System S46). Ma umożliwiać identyfikację podmiotów należących do krajowego systemu cyberbezpieczeństwa oraz ich współpracę z właściwymi organami i zespołami CSIRT.

Wpis do Wykazu KSC jest zatem pierwszym krokiem do korzystania z platformy, która służy m.in. do zgłaszania incydentów, otrzymywania informacji o zagrożeniach oraz komunikacji z właściwymi instytucjami odpowiedzialnymi za cyberbezpieczeństwo.

Kogo mogą dotyczyć nowe obowiązki KSC?

Pierwszym krokiem powinna być odpowiedź na pytanie, czy dana organizacja jest podmiotem kluczowym albo podmiotem ważnym w rozumieniu ustawy.

Nowelizacja obejmuje m.in. przedsiębiorców działających w takich obszarach jak energetyka, transport, bankowość i infrastruktura rynków finansowych, ochrona zdrowia, dostarczanie wody i odprowadzanie ścieków, infrastruktura cyfrowa, usługi ICT czy sektor kosmiczny.

Do sektorów ważnych zaliczono natomiast m.in. usługi pocztowe, gospodarowanie odpadami, produkcję i dystrybucję chemikaliów oraz żywności, określone rodzaje działalności produkcyjnej, dostawców usług cyfrowych oraz działalność w zakresie badań naukowych.

Samo prowadzenie działalności w jednym z wymienionych sektorów nie zawsze przesądza jeszcze o objęciu ustawą. Znaczenie mogą mieć również m.in. wielkość przedsiębiorstwa, charakter rzeczywiście wykonywanej działalności oraz szczególne kryteria wynikające z ustawy o Krajowym systemie cyberbezpieczeństwa.

Co istotne, kod PKD może być pomocny przy dokonywaniu kwalifikacji, jednak nie powinien być traktowany jako jedyne kryterium. Ministerstwo Cyfryzacji wskazuje wprost, że decydujące znaczenie ma rzeczywisty zakres świadczonych usług lub wykonywanych zadań.

Oznacza to, że przedsiębiorca powinien przeprowadzić samoidentyfikację i samodzielnie ustalić, czy jego działalność podlega nowym przepisom.

Termin 3 października 2026 r. 

Dla podmiotów, które już 3 kwietnia 2026 r., czyli w dniu wejścia w życie nowelizacji, spełniały przesłanki uznania za podmiot kluczowy lub ważny i nie są wpisywane do wykazu z urzędu, termin na dokonanie samorejestracji upływa 3 października 2026 r.

W przypadku podmiotu, który zacznie spełniać ustawowe przesłanki później, termin należy ustalać indywidualnie. Zasadą jest obowiązek złożenia wniosku w ciągu 6 miesięcy od dnia spełnienia przesłanek objęcia regulacją.

Dlatego problemu nie powinny analizować wyłącznie firmy istniejące w chwili wejścia w życie nowych przepisów. Kwestia podlegania KSC powinna być ponownie oceniana również np. w związku ze zmianą profilu działalności, rozwojem przedsiębiorstwa czy przekroczeniem określonych ustawowo progów.

Czy Państwa firma podlega nowym obowiązkom wynikającym z KSC?

Pierwszym krokiem jest prawidłowa kwalifikacja działalności i ustalenie, czy organizacja spełnia kryteria podmiotu kluczowego lub ważnego. Warto przeprowadzić tę analizę odpowiednio wcześnie – szczególnie w kontekście terminu 3 października 2026 r.

Eksperci KBZ Law & Tax wspierają przedsiębiorców w ocenie podlegania regulacjom KSC/NIS2, procesie rejestracji oraz przygotowaniu organizacji do realizacji nowych obowiązków.

Zapraszamy do kontaktu.

Błażej Siedlich

Counsel | Radca Prawny