NIS2: co oznacza data 3 października
Ustawa z dnia 23 stycznia 2026 r. o zmianie ustawy o krajowym systemie cyberbezpieczeństwa oraz niektórych innych ustaw (Dz.U. 2026 poz. 252) została ogłoszona 2 marca 2026 r. i weszła w życie 3 kwietnia 2026 r. To ona wdraża do polskiego porządku prawnego dyrektywę NIS2. Ustawa daje podmiotom sześć miesięcy od dnia spełnienia przesłanek na złożenie wniosku o wpis do wykazu. Dla wszystkich podmiotów, które przesłanki spełniały już w dniu wejścia w życie nowelizacji – a to zdecydowana większość adresatów – sześć miesięcy upływa 3 października 2026 r.
Data przypada w sobotę. Nie warto opierać planu na sporze o to, czy termin przesuwa się na najbliższy dzień roboczy: wniosek trzeba złożyć wcześniej, choćby dlatego, że system potrafi zwrócić wniosek do weryfikacji, a to zajmuje czas.
Ministerstwo Cyfryzacji rozpisało cały proces na etapy: Wykaz KSC ruszył 13 kwietnia 2026 r., między 13 kwietnia a 6 maja Minister Cyfryzacji dokonywał wpisów z urzędu, a od 7 maja działa samorejestracja. System S46 udostępniono nowym podmiotom 12 czerwca 2026 r.
NIS2: Kto ma obowiązek się wpisać do wykazu
Kwalifikacja opiera się na teście dwuskładnikowym: sektor działalności plus wielkość przedsiębiorstwa. Sektory wskazują załączniki nr 1 i nr 2 do ustawy, a wielkość ustala się według rozporządzenia Komisji (UE) nr 651/2014 – tego samego, którym posługują się programy pomocowe.
Sprawdź, czy Twoja firma podlega pod NIS2:
NIS-2 – czy moja firma podlega? [ANKIETA]
Przygotowaliśmy dla Państwa krótki kwestionariusz, który pozwoli zidentyfikować, czy i w jakim stopniu Państwa firma podlegać będzie pod wymagania Dyrektywy w sprawie środków na rzecz wysokiego wspólnego poziomu cyberbezpieczeństwa w całej Unii Europejskiej (dyrektywa NIS2). NIS-2 zostanie implementowana do polskiego porządku prawnego poprzez nowelizację Ustawy o Krajowym Systemie Bezpieczeństwa, która ma wejść w życie na przełomie 2023 i 2024. Nowe regulacje wprowadzą znaczące zmiany dla polskich podmiotów: odpowiedzialność organów zarządzających oraz kary dochodzące do 10 000 000 euro lub aż 2% rocznego obrotu przedsiębiorstwa. Z przyjemnością pomożemy Państwu przygotować się do tych nowych wymagań. Aby wstępnie zbadać swoje nowe obowiązki w tym zakresie przygotowaliśmy kilka pytań. Po odpowiedzi na pytania otrzymają Państwo wynik, który odzwierciedli prawdopodobieństwo polegania pod nowe obowiązki nałożone przez Dyrektywę i projektowaną nowelizację Ustawy o Krajowym Systemie Bezpieczeństwa.
Załącznik nr 1 – sektory krytyczne
Energia, transport, bankowość, infrastruktura rynków finansowych, ochrona zdrowia, woda pitna, ścieki, infrastruktura cyfrowa, zarządzanie usługami ICT, administracja publiczna, przestrzeń kosmiczna.
Załącznik nr 2 – pozostałe sektory
Usługi pocztowe i kurierskie, gospodarowanie odpadami, produkcja i dystrybucja chemikaliów, produkcja i dystrybucja żywności, produkcja (m.in. wyroby medyczne, elektronika, maszyny, pojazdy), dostawcy usług cyfrowych, działalność badawczo-naukowa.
Jak jest różnica między podmiotem kluczowym a podmiotem ważnym według uKSC?
W uproszczeniu: podmiotem kluczowym jest duże przedsiębiorstwo z załącznika nr 1, podmiotem ważnym – średnie przedsiębiorstwo z załącznika nr 1 oraz średnie i duże z załącznika nr 2. Od tej reguły jest jednak sporo wyjątków, w których status nie zależy od wielkości: dotyczą one m.in. kwalifikowanych dostawców usług zaufania, rejestrów nazw domen najwyższego poziomu, dostawców usług DNS, przedsiębiorców komunikacji elektronicznej i podmiotów publicznych wskazanych w załączniku nr 1. Dostawcy zarządzanych usług bezpieczeństwa wchodzą do systemu od niższego progu niż pozostali. Organ właściwy może też uznać podmiot za kluczowy decyzją administracyjną, jeżeli zakłócenie jego działalności groziłoby poważnymi skutkami – na przykład wtedy, gdy jako jedyny świadczy określoną usługę na danym terenie.
Różnica między jedną a drugą kategorią nie jest kosmetyczna. Podmioty kluczowe podlegają nadzorowi prewencyjnemu i następczemu oraz obowiązkowemu audytowi co najmniej raz na trzy lata; podmioty ważne – wyłącznie nadzorowi następczemu, bez obligatoryjnego audytu. Inne są też pułapy kar.
Odrębny przypadek to bankowość i infrastruktura rynków finansowych. Podmioty z tych sektorów podlegają jednocześnie ustawie o KSC i rozporządzeniu DORA, przy czym art. 8i ust. 1 ustawy wyłącza wobec nich większość obowiązków technicznych – zastępuje je DORA. Z ustawy o KSC pozostają obowiązki administracyjne: wpis do wykazu, odpowiedzialność kierownika, szkolenia i cyberhigiena.
Trzy grupy, które najczęściej się nie spodziewają:
- Organizacje, które nigdy nie były operatorami usług kluczowych. Nowelizacja objęła sektory dotąd nieregulowane: ścieki, odpady, chemikalia, żywność, usługi pocztowe, badania naukowe, przestrzeń kosmiczną.
- Dostawcy IT. Zarządzanie usługami ICT znalazło się w załączniku nr 1. Integrator, dostawca usług zarządzanych czy operator centrum danych bywa podmiotem kluczowym, mimo że sam siebie postrzega wyłącznie jako podwykonawcę.
- Podmioty publiczne i ochrona zdrowia. Znaczna ich część trafiła do wykazu z urzędu, co bywa mylnie odczytywane jako „sprawa załatwiona”.
google news
Bądź na bieżąco ze zmianami w prawie, podatkach i księgowości! Zaobserwuj nas w Wiadomościach Google
Co w praktyce oznacza wpis do wykazu dla kierownictwa?
Pierwsza rzecz do przyswojenia na poziomie zarządu: wpis do wykazu ma charakter deklaratoryjny. Obowiązki ustawowe powstają z chwilą spełnienia przesłanek, a nie z chwilą rejestracji. Niezłożenie wniosku niczego nie zawiesza – odsuwa tylko moment, w którym organ się o podmiocie dowie. Odwrotnie również: wpis nie jest certyfikatem zgodności ani niczego nie potwierdza poza tym, że podmiot sam zadeklarował swój status.
Druga: wniosek składa i podpisuje kierownik podmiotu albo osoba przez niego upoważniona, a zawarte w nim oświadczenie składa się pod rygorem odpowiedzialności karnej za złożenie fałszywego oświadczenia. To nie jest formularz, który da się bez świadomości zarządu przekazać „gdzieś do IT”. Klasyfikacja sektorowa i wielkościowa jest decyzją zarządczą o wymiernych konsekwencjach budżetowych, a nie ćwiczeniem technicznym.
Trzecia: sankcje. Dla podmiotów kluczowych ustawa przewiduje kary do 10 mln euro albo 2% obrotu, przy czym stosuje się kwotę wyższą (nie mniej niż 20 tys. zł), dla ważnych – do 7 mln euro albo 1,4% obrotu, również według wartości wyższej (nie mniej niż 15 tys. zł). Przewidziano również karę nakładaną bezpośrednio na kierownika podmiotu, sięgającą 300% jego wynagrodzenia poza sektorem publicznym i 100% w sektorze publicznym, a w sytuacjach szczególnych – karę nadzwyczajną do 100 mln zł.
Karencja na kary pieniężne wynika wprost z art. 35 ustawy nowelizującej: kary z art. 73 ust. 1–4, art. 73a–73c i art. 76b ustawy o KSC mogą być nałożone najwcześniej po upływie dwóch lat od wejścia w życie nowelizacji, czyli od 3 kwietnia 2028 r. Karencja nie obejmuje jednak kary nadzwyczajnej z art. 73 ust. 5 – tę organ może nałożyć już dziś. Ta odległa data bywa czytana jako zaproszenie do zwłoki, co jest błędem: obowiązki materialne mają być wdrożone do 3 kwietnia 2027 r., a audyt przeprowadzony do 3 kwietnia 2028 r. – czyli w tym samym momencie, w którym kary stają się realne.
Trzy pytania, które zarząd powinien zadać jeszcze w sierpniu:
- Czy mamy pisemnie udokumentowaną klasyfikację – sektor, podsektor, kategoria wielkościowa, wynikający z nich status – i kto ją zatwierdził?
- Kto imiennie odpowiada za złożenie wniosku i czy ma do tego umocowanie oraz działający podpis elektroniczny?
- Czy mamy harmonogram i budżet na okres do 3 kwietnia 2027 r., czy tylko zamiar zdążenia z rejestracją?
Wpis KSC krok po kroku. Co przygotować przed wypełnieniem wniosku do wykazu?
Rejestracja odbywa się na portalu wykaz-ksc.gov.pl, będącym częścią Systemu S46. Logowanie następuje przez Węzeł Krajowy – Profilem Zaufanym, aplikacją mObywatel, e-dowodem, bankowością elektroniczną lub certyfikatem kwalifikowanym. Sam formularz nie jest skomplikowany; kłopotliwe bywa skompletowanie danych, dlatego warto zebrać je przed zalogowaniem.
Do wpisu potrzebne będą:
- Dane identyfikacyjne: nazwa, forma prawna, NIP, REGON, numer KRS, siedziba i adres do korespondencji. Część pól system uzupełnia sam na podstawie NIP i REGON.
- Klasyfikacja: sektor, podsektor i rodzaj prowadzonej działalności. To najtrudniejsza część wniosku i jedyna, w której błąd ma realne konsekwencje.
- Wpisy do rejestrów działalności regulowanej, jeżeli podmiot takim wpisom podlega.
- Dane kontaktowe podmiotu: adres e-mail, telefon, adres strony internetowej.
- Osoby do kontaktu – co najmniej dwie, a w przypadku mikroprzedsiębiorców i małych przedsiębiorców jedna – oraz osoba, która będzie administratorem konta podmiotu w systemie. Warto wskazać role, nie tylko nazwiska: rotacja kadrowa w ciągu najbliższych dwóch lat jest pewna.
- Zakresy publicznych adresów IP i nazwy domen wykorzystywanych przez podmiot. W praktyce to najbardziej pracochłonny punkt – wymaga inwentaryzacji wspólnie z zespołem sieciowym oraz zapytania do dostawców hostingu i integratorów.
- Dostawcy usług zarządzanych w zakresie cyberbezpieczeństwa, jeśli podmiot z takich korzysta.
- Pełnomocnictwo w postaci elektronicznej, jeżeli wniosek składa pełnomocnik. Nie jest potrzebne w przypadku prokurenta ujawnionego w KRS ani pełnomocnika ujawnionego w CEIDG.
Złożenie i podpisanie
Wniosek można podpisać na dwa sposoby: bezpośrednio w aplikacji Profilem Zaufanym albo pobierając plik XML, podpisując go zewnętrzną aplikacją do podpisu elektronicznego i wgrywając z powrotem. Drugi wariant jest naturalny tam, gdzie kierownik podmiotu posługuje się podpisem kwalifikowanym – pod warunkiem, że certyfikat jest ważny. Wygasły certyfikat prezesa odkryty na tydzień przed terminem to scenariusz, który zdarza się częściej, niż wypada przyznać.
Wpis następuje z chwilą złożenia wniosku. Status „Zatwierdzony” i potwierdzenie mailowe oznaczają, że podmiot jest w wykazie. Status „Oczekuje na weryfikację” pojawia się przy kolizji danych – na przykład gdy pod tym samym numerem NIP lub REGON istnieje już inny wpis – i wymaga interwencji operatora systemu. To właśnie ten scenariusz uzasadnia złożenie wniosku z zapasem.
Podmioty wpisane z urzędu
Podmioty publiczne, przedsiębiorcy komunikacji elektronicznej, dostawcy usług zaufania oraz dotychczasowi operatorzy usług kluczowych trafili do wykazu z urzędu i nie składają wniosku o wpis. Otrzymują natomiast wezwanie do uzupełnienia danych, na co mają sześć miesięcy liczone od dnia doręczenia wezwania. Warto sprawdzić, czy wezwanie nie leży nieodczytane w skrzynce podawczej – z perspektywy organu termin biegnie niezależnie od tego, czy ktoś w organizacji je zauważył.
Aktualizacja danych
Po wpisie pojawia się obowiązek ciągły: zmianę danych objętych wnioskiem zgłasza się w terminie 14 dni od jej zaistnienia. Zmiana adresu, osoby kontaktowej, zakresu adresacji IP czy dostawcy usług zarządzanych uruchamia ten termin. Praktyczny wniosek jest prosty – ktoś musi mieć ten obowiązek wpisany w zakres zadań, inaczej wykaz zdezaktualizuje się w ciągu kilku miesięcy.
Wsparcie dla Systemu S46 prowadzi NASK. Pytania przed uzyskaniem dostępu kieruje się na s46-info@nask.pl, a uczestnicy systemu – na s46-admin@nask.pl. Infolinia: tel. +48 22 18 222 80, w dni robocze w godzinach 8:00–16:00.
NIS2: Plan do 3 października, co zrobić tydzień po tygodniu
Tydzień 1 (do 14 sierpnia) – rozstrzygnięcie statusu
Zestawić rzeczywiście świadczone usługi – nie same kody PKD – z załącznikami nr 1 i 2. Policzyć zatrudnienie, obrót i sumę bilansową według rozporządzenia 651/2014, pamiętając o doliczeniu danych przedsiębiorstw partnerskich i powiązanych. To najczęstsze źródło błędnej samooceny: spółka zatrudniająca 60 osób potrafi być dużym przedsiębiorstwem, jeśli należy do grupy. Wynik spisać w notatce z uzasadnieniem – będzie potrzebna, gdy ktoś zapyta o podstawę klasyfikacji.
Tydzień 2 (do 21 sierpnia) – decyzja i umocowanie
Kierownik podmiotu zatwierdza klasyfikację. Wyznaczyć osobę prowadzącą sprawę, dwie osoby do kontaktu i administratora konta. Jeżeli wniosek ma iść przez pełnomocnika – przygotować pełnomocnictwo elektroniczne. Sprawdzić ważność podpisu kwalifikowanego osoby podpisującej.
Tygodnie 3–4 (do 4 września) – kompletowanie danych
Inwentaryzacja publicznych adresów IP i domen. Zapytać dostawców hostingu, integratorów i dział marketingu o domeny zarejestrowane poza wiedzą IT. Zebrać listę dostawców usług zarządzanych w zakresie bezpieczeństwa wraz z numerami umów.
Tydzień 5 (do 11 września) – złożenie wniosku
Założenie konta, wypełnienie formularza, podpis, wysyłka. Docelowo wniosek powinien być złożony na trzy tygodnie przed terminem ustawowym, nie w ostatni piątek.
Tygodnie 6–8 (do 2 października) – bufor i start wdrożenia
Obsługa statusu „oczekuje na weryfikację”, ewentualne korekty, dopięcie pozostałych spółek w grupie kapitałowej. Równolegle – a to jest część, która naprawdę decyduje o zgodności – pierwszy szkic planu wdrożenia obowiązków materialnych do 3 kwietnia 2027 r.: analiza ryzyka, dokumentacja SZBI, procedura obsługi i zgłaszania incydentów, przegląd umów z dostawcami, plan szkoleń.
NIS2: kluczowe pułapki
- „Jesteśmy za mali”. Progi liczy się łącznie z przedsiębiorstwami partnerskimi i powiązanymi. Samodzielna ocena „na oko” bywa zaniżona o całą kategorię w dół.
- Jeden wniosek na grupę kapitałową. Obowiązek jest przypisany do podmiotu, nie do grupy. Każda spółka spełniająca przesłanki składa własny wniosek.
- Mylenie wpisu ze zgodnością. Wpis jest deklaracją. Zgodność zaczyna się dopiero po nim i ma termin: 3 kwietnia 2027 r.
- Bierność po wpisie z urzędu. Sześć miesięcy na uzupełnienie danych biegnie od doręczenia wezwania, nie od jego przeczytania.
- Adresy IP i domeny „z pamięci”. Shadow IT, zasoby u integratora i domeny zarejestrowane przez marketing to standardowy zestaw niespodzianek.
- Zapomniana aktualizacja. Czternaście dni na zgłoszenie zmiany danych obowiązuje bezterminowo, także wtedy, gdy o rejestracji wszyscy zdążą zapomnieć.
- Odkładanie SZBI na 2027 rok. Analiza ryzyka, dokumentacja, procedury incydentowe, renegocjacja umów z dostawcami i szkolenia nie mieszczą się w jednym kwartale – zwłaszcza w organizacji, która robi to po raz pierwszy.
KSC/NIS2: dwie kolejne ważne daty
3 kwietnia 2027 r.
Koniec okresu dostosowawczego. Do tego dnia podmioty mają być podłączone do Systemu S46 i mieć wdrożone obowiązki materialne: system zarządzania bezpieczeństwem informacji oparty na systematycznej analizie ryzyka, obsługę i zgłaszanie incydentów, wyznaczone osoby do kontaktu z podmiotami krajowego systemu cyberbezpieczeństwa oraz weryfikację personelu. Zgłaszanie incydentów poważnych działa w modelu trójstopniowym: wczesne ostrzeżenie w ciągu 24 godzin, pełne zgłoszenie w ciągu 72 godzin i sprawozdanie końcowe w ciągu miesiąca. Kierownik podmiotu ma odbywać dedykowane szkolenie co najmniej raz w roku, z udokumentowanym uczestnictwem.
Sprawdź poziom wdrożenia NIS2 w Twojej firmie
Czy poprawnie wdrożyliśmy NIS-2? ANKIETA SAMOOCENY
Skala: 1 = brak rozwiązań, 2 = fragmentaryczne, 3 = częściowe, 4 = zaawansowane, 5 = pełne
3 kwietnia 2028 r.
Termin pierwszego obowiązkowego audytu cyberbezpieczeństwa dla podmiotów kluczowych, które wcześniej nie były operatorami usług kluczowych; kolejne audyty co najmniej raz na trzy lata. Od tej samej daty stosuje się przepisy o karach pieniężnych.
Kalendarium NIS2
| Data | Zdarzenie |
|---|---|
| 2 marca 2026 | Ogłoszenie nowelizacji w Dzienniku Ustaw (Dz.U. 2026 poz. 252). |
| 3 kwietnia 2026 | Wejście w życie nowelizacji. Od tego dnia biegnie sześciomiesięczny termin na wpis dla podmiotów, które już wtedy spełniały przesłanki ustawowe. |
| 13 kwietnia 2026 | Uruchomienie Wykazu podmiotów kluczowych i podmiotów ważnych (Wykaz KSC). |
| 13 kwietnia – 6 maja 2026 | Wpisy z urzędu dokonywane przez Ministra Cyfryzacji. |
| 7 maja 2026 | Start samorejestracji na wykaz-ksc.gov.pl. |
| 12 czerwca 2026 | Udostępnienie Systemu S46 nowym podmiotom. |
| 3 października 2026 | Termin złożenia wniosku o wpis do Wykazu KSC. |
| 3 kwietnia 2027 | Koniec okresu dostosowawczego: podłączenie do S46 i wdrożenie obowiązków materialnych (SZBI, obsługa i zgłaszanie incydentów, osoby do kontaktu, weryfikacja personelu). |
| 3 kwietnia 2028 | Termin pierwszego obowiązkowego audytu dla podmiotów kluczowych, które nie były operatorami usług kluczowych. Od tej daty stosuje się przepisy o karach pieniężnych. |
Do 3 października zostało niewiele czasu, a wypełnienie wniosku zajmuje popołudnie. Cała praca leży przed tym popołudniem – w rzetelnym ustaleniu, kim jesteśmy w rozumieniu ustawy – i po nim, w doprowadzeniu organizacji do stanu, który złożona deklaracja opisuje. Wpis do Wykazu KSC jest oświadczeniem o statusie. Do kwietnia 2027 r. trzeba mieć czym to oświadczenie pokryć.