Od 3 kwietnia 2026 r. w Polsce obowiązuje znowelizowana ustawa o krajowym systemie cyberbezpieczeństwa, wdrażająca unijną dyrektywę NIS2. Dla podmiotów, które już tego dnia spełniały ustawowe kryteria, termin na złożenie wniosku o wpis do wykazu podmiotów kluczowych i ważnych mija 3 października 2026 r. Wiele firm wciąż nie wie, że ten obowiązek ich dotyczy, choć nie prowadzą działalności, którą intuicyjnie kojarzy się z „cyberbezpieczeństwem”.
Czym jest NIS2 i ustawa o KSC
Dyrektywa Parlamentu Europejskiego i Rady (UE) 2022/2555 z 14 grudnia 2022 r. (tzw. dyrektywa NIS2) nakłada na państwa członkowskie obowiązek podniesienia poziomu cyberbezpieczeństwa podmiotów działających w sektorach uznanych za kluczowe dla funkcjonowania gospodarki i społeczeństwa. W Polsce implementuje ją ustawa z dnia 23 stycznia 2026 r. o zmianie ustawy o krajowym systemie cyberbezpieczeństwa oraz niektórych innych ustaw (Dz. U. z 2026 r. poz. 252), która nowelizuje bazową ustawę z 5 lipca 2018 r. o krajowym systemie cyberbezpieczeństwa. Nowelizacja weszła w życie 3 kwietnia 2026 r.
Istotą zmian jest rozszerzenie katalogu podmiotów objętych obowiązkami z zakresu cyberbezpieczeństwa oraz wprowadzenie centralnego wykazu podmiotów kluczowych i podmiotów ważnych, prowadzonego w ramach krajowego systemu cyberbezpieczeństwa.
Kogo dotyczy obowiązek rejestracji
Obowiązek rejestracji nie ogranicza się do firm technologicznych. Ustawa obejmuje podmioty działające w sektorach takich jak energetyka, transport, bankowość i infrastruktura rynków finansowych, ochrona zdrowia, zaopatrzenie w wodę pitną i jej dystrybucja, odprowadzanie ścieków, infrastruktura cyfrowa, zarządzanie usługami ICT, przestrzeń kosmiczna oraz podmioty publiczne, a także — w drugiej grupie sektorów — usługi pocztowe, gospodarkę odpadami, produkcję i dystrybucję chemikaliów, produkcję żywności oraz część usług cyfrowych.
Do obowiązku kwalifikuje jednoczesne spełnienie kryterium sektorowego i wielkościowego — ustawa odsyła w tym zakresie do unijnej definicji średniego i dużego przedsiębiorcy. W uproszczeniu próg wejścia to zatrudnienie od 50 osób lub obrót bądź suma bilansowa powyżej 10 mln euro. To, czy podmiot trafia do kategorii podmiotów kluczowych, czy ważnych, zależy od kombinacji sektora i wielkości i przekłada się na zakres obowiązków oraz górne pułapy ewentualnych kar. Kwalifikacja wymaga w praktyce indywidualnej analizy — samo działanie w „podejrzanej” branży nie przesądza automatycznie o obowiązku, podobnie jak bycie małą firmą nie zawsze z niego zwalnia.
Podmiot kluczowy czy podmiot ważny
Ustawa dzieli objęte nią firmy i instytucje na dwie kategorie: podmioty kluczowe i podmioty ważne. Do pierwszej trafiają zwykle większe organizacje z sektorów o najwyższym znaczeniu dla ciągłości funkcjonowania państwa i gospodarki — energetyka, bankowość, transport, infrastruktura cyfrowa. Do drugiej — pozostałe podmioty spełniające kryteria sektorowe i wielkościowe, w tym część mniejszych graczy z szerszego katalogu branż. Rozróżnienie nie jest czysto formalne: od niego zależy zakres nadzoru, częstotliwość audytów oraz — jak niżej — górne pułapy kar administracyjnych. Warto to ustalić na etapie samooceny, a nie dopiero przy pierwszej korespondencji z organem nadzorującym.
Jak wygląda rejestracja
Punktem wyjścia jest samoocena (self-assessment) — podmiot musi ustalić, czy mieści się w katalogu sektorowym i przekracza progi wielkościowe. Termin na złożenie wniosku o wpis do wykazu podmiotów kluczowych i ważnych wyznacza harmonogram ogłaszany przez ministra właściwego do spraw informatyzacji na podstawie ustawy. Dla podmiotów, które kryteria spełniały już w dniu wejścia w życie nowelizacji, termin ten przypada na 3 października 2026 r. Zgłoszenia dokonuje się drogą elektroniczną w systemie prowadzonym w ramach krajowego systemu cyberbezpieczeństwa. Osobno ustawa daje podmiotom, które przed nowelizacją działały jako operatorzy usług kluczowych na dotychczasowych zasadach, sześć miesięcy od wejścia w życie nowych przepisów na dostosowanie procedur zgłaszania poważnych incydentów do nowego reżimu — to odrębny obowiązek od samego wpisu do wykazu i łatwo go pominąć, koncentrując się wyłącznie na rejestracji.
Konsekwencje braku rejestracji
Ustawa przewiduje kary administracyjne nakładane przez właściwy organ, obejmujące zarówno kary pieniężne wymierzane samemu podmiotowi, jak i odrębną, osobistą odpowiedzialność osób zarządzających za niedopełnienie obowiązków — w skrajnych przypadkach łącznie z możliwością czasowego zakazu pełnienia funkcji kierowniczych. Górne pułapy kar pieniężnych są wyższe dla podmiotów kluczowych niż dla podmiotów ważnych, co jeszcze raz pokazuje, dlaczego prawidłowa kwalifikacja na starcie ma znaczenie praktyczne, a nie tylko porządkowe. Brak rejestracji oznacza też brak dostępu do części instrumentów wsparcia i informacji o zagrożeniach przewidzianych w systemie, co w razie realnego incydentu może okazać się kosztowniejsze niż sama kara.
Co zrobić teraz
Z uwagi na zbliżający się termin warto w pierwszej kolejności ustalić, czy firma w ogóle podlega obowiązkowi — to najczęściej pomijany krok, bo katalog sektorów jest szerszy, niż się powszechnie sądzi, i obejmuje np. część branży spożywczej, chemicznej czy usług cyfrowych, a nie tylko klasyczną infrastrukturę krytyczną. Jeśli odpowiedź jest twierdząca, kolejnym krokiem jest przygotowanie wniosku o wpis do wykazu oraz przegląd wewnętrznych procedur zarządzania ryzykiem w cyberbezpieczeństwie, do których ustawa również się odnosi — obowiązki rejestracyjne to dopiero pierwszy, a nie jedyny element nowego reżimu. Podmioty, które mają wątpliwości co do własnej kwalifikacji sektorowej lub wielkościowej, powinny tę ocenę udokumentować — to ona będzie podstawą ewentualnej obrony przed zarzutem zaniechania rejestracji, gdyby organ nadzorujący ją w przyszłości zakwestionował.
Jeżeli nie mają Państwo pewności, czy obowiązek rejestracji w krajowym systemie cyberbezpieczeństwa dotyczy Państwa działalności, albo potrzebują Państwo pomocy w ocenie ryzyka i przygotowaniu zgłoszenia, zapraszamy do kontaktu z Kancelarią. Więcej o naszym wsparciu dla przedsiębiorców — w tym w obszarze zgodności regulacyjnej — znajdą Państwo na stronie tabert.pl/przedsiebiorcy.