Do 3 października zostały cztery tygodnie, a jeśli twoja firma nie należy do grup wpisywanych z urzędu, nikt nie przyśle jej pisma z informacją, że podlega ustawie. Wykaz KSC ruszył w kwietniu razem z nowelizacją ustawy o krajowym systemie cyberbezpieczeństwa. Część podmiotów minister wpisał do niego z urzędu, na podstawie danych, które państwo i tak ma. Reszta ma się zgłosić sama, po tym jak sama ustali, że spełnia przesłanki. To ustalenie jest w tej ustawie pierwszą czynnością do wykonania i jedyną, której nikt za firmę nie zrobi.
Kto trafia do Wykazu KSC z urzędu, a kto musi zgłosić się sam
Ministerstwo Cyfryzacji podzieliło podmioty na dwie grupy i dopiero ten podział tłumaczy, po co komu przypominanie o terminie. Jedni dostają zawiadomienie z urzędu. Drudzy nie dostaną nic.
| Wpisywany z urzędu przez ministra | Musi złożyć wniosek sam |
|---|---|
| Podmioty publiczne | Firmy z sektorów z załącznika nr 1, które przewyższają progi średniego przedsiębiorstwa lub je spełniają |
| Przedsiębiorcy telekomunikacyjni | Firmy z sektorów z załącznika nr 2, które spełniają te progi albo je przewyższają |
| Dostawcy usług zaufania | Dostawcy usług zarządzanych w zakresie cyberbezpieczeństwa, także mali |
| Dotychczasowi operatorzy usług kluczowych | Podmioty lecznicze zatrudniające 50 osób i więcej |
| Podmioty krytyczne | Firmy, które dopiero teraz przekroczyły próg wielkości |
Grupa z lewej kolumny też ma robotę do odrobienia. Ustawa daje ministrowi prawo wezwać taki podmiot do uzupełnienia brakujących danych w terminie sześciu miesięcy, pod rygorem kary. Wpis z urzędu obejmuje bowiem tylko te dane, którymi administracja już dysponuje. Resztę podmiot uzupełnia sam, składając wniosek o zmianę wpisu.
Jak sprawdzić, czy firma jest podmiotem kluczowym albo ważnym
Sprawdzenie ma dwa kroki i oba trzeba przejść. Pierwszy to sektor. Ustawa ma dwa załączniki i wymienia w nich rodzaje działalności, nie nazwy firm. W załączniku pierwszym są między innymi energetyka, transport, bankowość, ochrona zdrowia, woda pitna i ścieki, infrastruktura cyfrowa oraz podmioty publiczne. W drugim usługi pocztowe, gospodarowanie odpadami, chemia, żywność, produkcja, dostawcy usług cyfrowych i badania naukowe.
Drugi krok to wielkość, a jej działanie zależy od załącznika. Firma z załącznika pierwszego jest podmiotem kluczowym, gdy przewyższa wymogi dla średniego przedsiębiorstwa, i podmiotem ważnym, gdy je tylko spełnia. Firma z załącznika drugiego jest podmiotem ważnym w obu przypadkach, więc rozmiar decyduje tam wyłącznie o tym, czy w ogóle podlega. Progi ustawa bierze z unijnego rozporządzenia o pomocy publicznej, więc liczy się liczba pracowników razem z obrotem albo sumą bilansową.
Jedyne miejsce, w którym ustawa podaje liczby wprost, dotyczy ochrony zdrowia. Podmiot leczniczy niebędący przedsiębiorcą jest podmiotem ważnym przy zatrudnieniu od 50 do 249 osób, a kluczowym przy 250 osobach i więcej. Ta proporcja dobrze oddaje skalę całej reszty.
Trzy szczegóły, które zmieniają wynik
Status bada się według stanu na dzień sporządzenia sprawozdania finansowego, a nie na dzień składania wniosku. Firma, która urosła w trakcie roku, sprawdza więc ostatnie zamknięte sprawozdanie.
Spółka w grupie kapitałowej ma osobną furtkę. Czasem przekracza progi tylko dlatego, że dolicza się do niej spółki powiązane albo partnerskie. Wystarczy wtedy, że jej system informacyjny jest od nich niezależny albo że nie świadczy z nimi usług wspólnie. Jeden z tych warunków zdejmuje status podmiotu kluczowego lub ważnego nabyty tą drogą.
Firma prowadząca kilka rodzajów działalności wykazuje je we wniosku odrębnie. Jeden wniosek nie znaczy jedna kratka do zaznaczenia. Jeśli firma spełnia kryteria w więcej niż jednym rodzaju działalności wskazanym w załącznikach, wpisuje każdy z nich osobno, ze swoim sektorem.
Aktualizacja z 2 października 2026: Ministerstwo Cyfryzacji 1 października uzupełniło pytania i odpowiedzi o nowelizacji KSC o kilkadziesiąt nowych wyjaśnień, w tym takich, które dotyczą firm IT. Według ministerstwa helpdesk mieści się w definicji usług zarządzanych (pytanie 1.34). Samo udostępnianie personelu, czyli body leasing, nie jest usługą zarządzaną w zakresie cyberbezpieczeństwa, jeśli firma nie przetwarza danych związanych z systemem zarządzania bezpieczeństwem informacji klienta (1.37). Odsprzedawca, który wyłącznie sprzedaje usługi chmurowe i ich nie świadczy, nie jest dostawcą usług chmurowych (1.38). Odpowiedzi pokazują, jak resort czyta ustawę, i warto je przejrzeć przed złożeniem wniosku. Co z nich wynika dla software house’u, firmy wdrożeniowej i freelancera, rozpisaliśmy w przewodniku NIS2 i ustawa o KSC w firmie IT.
Ile kosztuje brak wpisu i od kiedy
Komunikat resortu o sankcjach milczy, więc trzeba sięgnąć do samej ustawy. Artykuł 73 pozwala organowi nałożyć karę pieniężną na podmiot, który nie złożył wniosku o wpis w terminie. Czasownik “może” jest tu istotny, bo kara nie jest automatyczna. Przepis dodaje warunek: jeżeli przemawia za tym waga i znaczenie naruszonych przepisów.
Widełki są za to konkretne. Dla podmiotu kluczowego górna granica to 10 mln euro albo 2% przychodu z działalności gospodarczej, przy czym stosuje się kwotę wyższą. Dolna granica wynosi 20 tys. zł. Dla podmiotu ważnego jest to 7 mln euro albo 1,4% przychodu, nie mniej niż 15 tys. zł.
Osobno stoi kara dla kierownika podmiotu, i to jest wątek, który w relacjach o wykazie ginie. Ustawa wymienia obowiązek złożenia wniosku wprost wśród podstaw odpowiedzialności osoby kierującej firmą. Kara może sięgnąć 300% jej wynagrodzenia, liczonego jak ekwiwalent za urlop. W podmiocie publicznym pułap wynosi 100%.
Jest jednak data, bez której cała ta lista straszy na wyrost. Przepisy przejściowe mówią, że kary z tych artykułów mogą być nałożone po raz pierwszy po upływie dwóch lat od wejścia ustawy w życie, czyli od 3 kwietnia 2028 roku. Termin 3 października jest więc twardy, a jego egzekucja odroczona.
Jak wygląda wniosek i kto go podpisuje
Wniosek składa się wyłącznie elektronicznie, w aplikacji pod adresem wykaz-ksc.gov.pl. Podpisuje go kierownik podmiotu albo osoba przez niego upoważniona, podpisem kwalifikowanym, zaufanym lub osobistym. Dopuszczalna jest też kwalifikowana pieczęć elektroniczna. Pełnomocnik dołącza pełnomocnictwo, chyba że jest pełnomocnikiem ujawnionym w CEIDG albo prokurentem ujawnionym w Krajowym Rejestrze Sądowym.
W treści wniosku siedzi zdanie, które warto przeczytać dwa razy. Kierownik oświadcza, że dane są zgodne z prawdą, i robi to pod rygorem odpowiedzialności karnej za fałszywe oświadczenie z Kodeksu karnego. Ustawodawca wyłączył z tego rygoru tylko zakresy adresów IP i nazw domenowych, czyli akurat te pola, w których pomyłka jest najbardziej prawdopodobna.
To wyłączenie mówi zresztą coś o samym formularzu. Skoro ustawa przewiduje, że firma poda zakresy swoich adresów IP i domen, ktoś musi je wcześniej zebrać. W małej organizacji bez własnego działu informatyki bywa to najdłuższa część całej procedury, dłuższa niż samo podpisanie wniosku. Warto zacząć od tej listy, a nie od logowania do aplikacji.
Sam wpis następuje z chwilą złożenia wniosku w systemie. Nie ma decyzji, nie ma oczekiwania na rozpatrzenie. Zaświadczenie o wpisie minister wydaje dopiero na żądanie podmiotu.
Pierwsza Misja AI · Kodożercy
AI bez technikaliów – kurs i certyfikat
Pierwsza Misja AI to kurs Kodożerców dla absolutnych początkujących. Fabuła w konwencji science fiction, gamifikacja, ćwiczenia na żywym modelu, certyfikat na koniec.
Zacznij Pierwszą Misję →
Termin 3 października niczego nie zamyka
Data z komunikatu dotyczy firm, które spełniały przesłanki już w dniu wejścia ustawy w życie. Reguła ogólna brzmi inaczej i zostaje z nami na lata. Wniosek składa się w ciągu sześciu miesięcy od dnia spełnienia przesłanek. Firma, która przekroczy próg wielkości w 2027 roku, będzie miała swoje własne sześć miesięcy. Zmianę danych zgłasza się w 14 dni.
Warto też wiedzieć, że wpis do wykazu jest czynnością o charakterze deklaratoryjnym. Obowiązki wynikają z ustawy, nie z wpisu. Firma, która spełnia przesłanki i się nie zgłosiła, jest podmiotem kluczowym mimo to. Brak wpisu nie zdejmuje z niej obowiązku zgłaszania poważnych incydentów ani wdrożenia systemu zarządzania bezpieczeństwem informacji.
Organ ma przy tym własne narzędzia. Firmę, która spełnia przesłanki i nie złożyła wniosku w terminie, może wpisać do wykazu sam, korzystając z publicznych rejestrów. Zawiadamia ją wtedy o wpisie i wzywa do uzupełnienia danych w sześć miesięcy, pod rygorem kary. Na taki wpis przysługuje skarga do sądu administracyjnego, a organ musi go uzasadnić.
Osobno stoi decyzja, którą organ może uznać za kluczowy albo ważny podmiot niespełniający standardowych przesłanek. Dotyczy to sytuacji szczególnych, na przykład firmy, która jako jedyna świadczy usługę istotną dla gospodarki. Taka decyzja podlega natychmiastowemu wykonaniu. Niezależnie od tego organ prowadzi czynności sprawdzające i może wezwać do poprawienia wpisu w siedem dni.
Pozostałe wymogi ustawy mają własne terminy. Na wdrożenie obowiązków z rozdziału trzeciego jest czas do 3 kwietnia 2027 roku, a na pierwszy audyt podmiotu kluczowego do 3 kwietnia 2028. Kto pilnuje już terminów z Cyber Resilience Act, ten dopisuje do kalendarza kolejne trzy daty.
{ dla firm }Co możemy zrobić dla Twojej firmy?
Budujemy strony, sklepy i aplikacje, łączymy systemy z KSeF i księgowością, wdrażamy automatyzacje i agentów AI, a na koniec dbamy o widoczność w Google. Zaczynamy od rozmowy o tym, co dziś zabiera Twojemu zespołowi najwięcej czasu.
Najczęstsze pytania
Czy jednoosobowa działalność musi się wpisać do Wykazu KSC?
Zwykle nie, ale nie ze względu na formę prawną. Liczy się sektor z załącznika i wielkość podmiotu, a nie to, czy jest to spółka, czy działalność gospodarcza. Reguła wielkości ma jednak wyjątki i one dotyczą także małych firm. Niezależnie od rozmiaru podmiotem kluczowym jest dostawca usług DNS, kwalifikowany dostawca usług zaufania, rejestr domen najwyższego poziomu oraz podmiot świadczący usługi rejestracji nazw domen. Dostawca usług zarządzanych w zakresie cyberbezpieczeństwa podlega wpisowi już jako mały przedsiębiorca.
Co się stanie, jeśli firma przegapi 3 października?
Nie zostanie automatycznie ukarana, bo karę pieniężną można nałożyć po raz pierwszy dopiero po 3 kwietnia 2028 roku, a jej nałożenie jest fakultatywne. Zaległy wniosek najlepiej złożyć od razu po zorientowaniu się w sytuacji. Organ może bowiem wpisać spóźniony podmiot do wykazu z urzędu, na podstawie danych z rejestrów publicznych. Wtedy zamiast własnego wniosku firma dostaje zawiadomienie i sześciomiesięczne wezwanie do uzupełnienia danych.
Podsumowanie
Cztery tygodnie to niewiele jak na czynność, którą trzeba wykonać przed złożeniem wniosku, czyli ustalenie własnego statusu. Wynik zależy od dwóch rzeczy naraz: rodzaju działalności z załącznika do ustawy i progu wielkości liczonego według ostatniego sprawozdania finansowego. Kary za brak wpisu sięgają 10 mln euro albo 2% przychodu podmiotu kluczowego. Nikt ich jednak nie nałoży przed kwietniem 2028 roku, a sama decyzja o nałożeniu jest uznaniowa. Praktyczne ryzyko leży dziś gdzie indziej. Wpis do Wykazu KSC jest deklaratoryjny, więc firma, która się nie zgłosiła, i tak podlega obowiązkom z rozdziału trzeciego ustawy. Termin na nie wypada 3 kwietnia 2027 roku, czyli za niecałe siedem miesięcy. Audyt podmiotu kluczowego dochodzi rok później. To dużo mniej, niż się wydaje przy wdrażaniu zarządzania ryzykiem. Komunikat resortu stoi na stronie Ministerstwa Cyfryzacji, a pełny tekst przepisów w Dzienniku Ustaw. Osobnym wątkiem tej samej ustawy jest procedura dostawcy wysokiego ryzyka.
Newsletter · DevstockAcademy & Kodożercy
Bądź na bieżąco ze światem IT, AI i automatyzacji
Co wtorek: newsy z branży, praktyczne tipy i narzędzia które warto znać. Zero spamu.
