Termin 3 października 2026 r. na samorejestrację w Wykazie KSC już upłynął. Nie oznacza to jednak, że przedsiębiorcy, którzy nie złożyli wniosku, zostali zwolnieni z obowiązków wynikających z nowych przepisów o cyberbezpieczeństwie.
Od 3 kwietnia 2026 r. w Polsce obowiązuje nowelizacja ustawy o krajowym systemie cyberbezpieczeństwa (KSC), wdrażająca dyrektywę NIS2. Nowe regulacje obejmują znacznie więcej organizacji niż dotychczas — nie tylko operatorów infrastruktury krytycznej i przedsiębiorstwa technologiczne, ale również określone firmy produkcyjne, podmioty z sektora ochrony zdrowia, transportu, usług cyfrowych czy zarządzania ICT.
Dla zarządów pojawiają się dziś trzy podstawowe pytania:
- Czy nasza firma w ogóle podlega NIS2?
- Co zrobić, jeżeli powinniśmy wpisać się do Wykazu KSC, ale nie dotrzymaliśmy terminu?
- Jakie obowiązki musimy wdrożyć do 3 kwietnia 2027 r.?
Odpowiedź nie zawsze jest oczywista. Sam kod PKD, liczba pracowników czy informacja, że spółka nie została wpisana do Wykazu KSC, nie wystarczą do prawidłowej oceny.
W tym artykule wyjaśniamy, kogo dotyczą przepisy NIS2 i KSC w Polsce, jak ustalić status podmiotu kluczowego lub ważnego, jakie konsekwencje może mieć spóźniony wpis oraz jak przygotować firmę do nowych obowiązków.
Stan prawny: 12 października 2026 r.
1. Czy NIS2 dotyczy mojej firmy? Najkrótsza odpowiedź
NIS2 może dotyczyć Twojej firmy, jeżeli prowadzi ona działalność w sektorze objętym ustawą o KSC i spełnia przewidziane w niej kryteria kwalifikacyjne. Znaczenie mają w szczególności rzeczywisty rodzaj działalności, wielkość przedsiębiorstwa, jego powiązania z innymi podmiotami oraz szczególne przesłanki określone w art. 5 ustawy.
Nie każda firma zatrudniająca ponad 50 osób podlega NIS2. Nie można też automatycznie uznać, że przedsiębiorstwo zatrudniające mniej niż 50 osób pozostaje poza zakresem regulacji.
Prawidłowa ocena powinna przebiegać według następującego schematu:
Rzeczywista działalność → sektor objęty KSC → wielkość przedsiębiorstwa → podmioty partnerskie i powiązane → analiza art. 5 KSC → ustalenie statusu → obowiązki rejestracyjne i wdrożeniowe.
Dlaczego to takie ważne?
Wyobraźmy sobie spółkę, która przedstawia się klientom jako software house. Jej podstawową działalnością jest tworzenie oprogramowania, ale równocześnie zarządza infrastrukturą klientów, administruje ich systemami i odpowiada za utrzymanie określonych usług ICT.
Samo określenie „software house” nie rozstrzyga, czy firma podlega KSC. Trzeba sprawdzić charakter poszczególnych usług, ich zakres i dopasowanie do ustawowych kategorii podmiotów.
Podobnie sytuacja wygląda w przypadku przedsiębiorstwa produkcyjnego. Fakt, że firma nie zajmuje się cyberbezpieczeństwem ani usługami IT, nie oznacza, że nowe przepisy jej nie dotyczą. Ustawa obejmuje także określone rodzaje działalności przemysłowej.
Wniosek jest prosty: NIS2 nie jest regulacją wyłącznie dla firm informatycznych. To regulacja dotycząca bezpieczeństwa działalności prowadzonej w sektorach uznanych przez ustawodawcę za istotne.
Ministerstwo Cyfryzacji szczegółowo opisuje zasady ustalania statusu podmiotu w swoim oficjalnym poradniku dotyczącym samoidentyfikacji.
2. Nie wpisałeś firmy do Wykazu KSC do 3 października 2026 r. Co teraz?
To jedno z najważniejszych pytań, które pojawiło się po upływie terminu samorejestracji.
Jeżeli firma była zobowiązana do samodzielnego wpisu do Wykazu KSC, ale nie złożyła wniosku w terminie, powinna niezwłocznie ustalić swój status i dopełnić zaległego obowiązku.
Ustawa nie przewiduje, że wraz z upływem terminu przedsiębiorca traci możliwość dokonania wpisu. Nie oznacza to jednak, że późniejsze złożenie wniosku automatycznie usuwa wcześniejsze naruszenie.
Czy można zarejestrować firmę w Wykazie KSC po terminie?
Tak. Sam upływ terminu nie powoduje wygaśnięcia obowiązku wpisu.
Zgodnie z art. 7c ust. 1 ustawy o KSC podmiot kluczowy lub ważny składa wniosek o wpis w terminie sześciu miesięcy od dnia spełnienia ustawowych przesłanek.
Dla podmiotów, które spełniały te przesłanki już 3 kwietnia 2026 r. i podlegały samorejestracji, Ministerstwo Cyfryzacji wyznaczyło termin do 3 października 2026 r.
Jeżeli termin został przekroczony, dalsza bezczynność nie rozwiązuje problemu.
W praktyce rekomendujemy następującą kolejność działań:
Krok 1. Zweryfikuj, czy obowiązek wpisu rzeczywiście dotyczył firmy.
Nie każda organizacja musi dokonać samorejestracji. Najpierw trzeba ustalić, czy spełnia przesłanki podmiotu kluczowego albo ważnego i czy nie należy do grupy wpisywanej z urzędu.
Krok 2. Ustal, od kiedy firma spełnia ustawowe kryteria.
To istotne, ponieważ 3 października 2026 r. nie był terminem uniwersalnym dla wszystkich przedsiębiorstw.
Jeżeli firma zaczęła spełniać odpowiednie przesłanki później, jej termin należy ocenić indywidualnie, uwzględniając art. 7c ustawy.
Krok 3. Jeżeli termin rzeczywiście został przekroczony, przygotuj i złóż zaległy wniosek.
Wniosek składa się elektronicznie za pośrednictwem oficjalnej aplikacji Wykaz KSC.
Należy zadbać o prawidłową kwalifikację sektorową, kompletność danych, wymagane oświadczenie oraz podpis właściwej osoby.
Krok 4. Udokumentuj sposób ustalenia statusu firmy.
Warto przygotować krótką analizę obejmującą rodzaj działalności, wielkość przedsiębiorstwa, strukturę grupy i podstawę uznania organizacji za podmiot kluczowy lub ważny.
Szczególnie istotne będzie udokumentowanie daty, od której firma spełnia odpowiednie kryteria.
Krok 5. Nie odkładaj pozostałych obowiązków wynikających z KSC.
Spóźniona rejestracja nie oznacza rozpoczęcia nowego okresu dostosowawczego. W przypadku firm, które spełniały kryteria już 3 kwietnia 2026 r., zasadniczy termin wdrożenia obowiązków przewidzianych w przepisach przejściowych przypada na 3 kwietnia 2027 r.
Czy za brak wpisu do Wykazu KSC grozi kara?
Tak. Ustawa przewiduje możliwość nałożenia kary pieniężnej za niezłożenie wniosku o wpis w wymaganym terminie. Nie oznacza to jednak automatycznej kary za każde spóźnienie.
Zgodnie z art. 73 ust. 1a pkt 1 ustawy o KSC organ właściwy do spraw cyberbezpieczeństwa może nałożyć karę pieniężną na podmiot, który nie złożył wniosku w terminie określonym w art. 7c ust. 1, jeżeli przemawia za tym waga i znaczenie naruszonych przepisów.
Jednocześnie art. 35 ustawy nowelizującej z 23 stycznia 2026 r. przewiduje, że wskazane w nim kary pieniężne mogą być po raz pierwszy nałożone po upływie dwóch lat od wejścia w życie nowelizacji. W harmonogramie Ministerstwa Cyfryzacji jako początek stosowania przepisów o karach wskazano 3 kwietnia 2028 r.
Nie należy jednak mylić odroczenia możliwości nakładania kar z odroczeniem samego obowiązku wpisu.
Ustawa przewiduje także możliwość odpowiedzialności kierownika podmiotu za niewykonanie określonych obowiązków, w tym związanych z rejestracją.
Dlatego nie rekomendujemy przyjmowania założenia, że skoro sankcje pieniężne zostały odroczone, firma może poczekać z rejestracją do 2028 r.
Czy organ może sam wpisać firmę do Wykazu KSC?
Tak.
Na podstawie art. 7j ust. 1 ustawy o KSC organ właściwy do spraw cyberbezpieczeństwa może dokonać wpisu z urzędu, jeżeli podmiot spełnia przesłanki uznania go za podmiot kluczowy lub ważny, lecz nie złożył wniosku w wymaganym terminie.
W takim przypadku organ zawiadamia podmiot o wpisie i wzywa go do uzupełnienia brakujących danych. Ustawa przewiduje na to sześć miesięcy od otrzymania zawiadomienia, pod rygorem kary pieniężnej.
Oznacza to, że oczekiwanie na samodzielne działanie organu nie jest korzystniejszą alternatywą dla wykonania obowiązku rejestracyjnego.
Czy brak wpisu oznacza, że firma nie podlega NIS2?
Nie.
Wpis do Wykazu KSC ma charakter deklaratoryjny, co wynika wprost z art. 7d ust. 5 ustawy.
Status podmiotu kluczowego lub ważnego wynika ze spełnienia przesłanek ustawowych, a nie dopiero z dokonania wpisu.
To ważne rozróżnienie. Firma może podlegać określonym przepisom, nawet jeżeli nie dopełniła obowiązku rejestracyjnego.
3. Kogo obejmuje NIS2 w Polsce? Podmiot kluczowy a podmiot ważny
Nowelizacja ustawy o KSC rozszerzyła zakres krajowego systemu cyberbezpieczeństwa, wprowadzając nowe zasady kwalifikowania organizacji jako podmiotów kluczowych oraz podmiotów ważnych.
Wśród sektorów objętych regulacją znajdują się m.in. energetyka, transport, bankowość i infrastruktura rynków finansowych, ochrona zdrowia, dostawa wody i gospodarowanie ściekami, infrastruktura cyfrowa, zarządzanie usługami ICT, usługi pocztowe, gospodarowanie odpadami, określone rodzaje produkcji przemysłowej, produkcja i dystrybucja żywności oraz chemikaliów, określone usługi cyfrowe i badania naukowe.
Szczegółowy zakres działalności należy każdorazowo odnosić do załączników nr 1 i 2 oraz art. 5 ustawy o KSC.
Jak ustalić, czy firma jest podmiotem kluczowym czy ważnym?
Podstawowym błędem jest próba przypisania statusu wyłącznie na podstawie branży.
W praktyce konieczne jest równoczesne ustalenie rodzaju działalności, wielkości przedsiębiorstwa oraz tego, czy występują szczególne przesłanki ustawowe.
Ministerstwo Cyfryzacji wskazuje następujące kategorie wielkości przedsiębiorstw:
| Wielkość przedsiębiorstwa | Zatrudnienie | Dane finansowe |
|---|---|---|
| Mikroprzedsiębiorstwo | Mniej niż 10 osób | Obrót lub suma bilansowa do 2 mln EUR |
| Małe przedsiębiorstwo | Mniej niż 50 osób | Obrót lub suma bilansowa do 10 mln EUR |
| Średnie przedsiębiorstwo | Mniej niż 250 osób | Obrót do 50 mln EUR lub suma bilansowa do 43 mln EUR |
| Duże przedsiębiorstwo | Przekroczenie progów dla średniego przedsiębiorstwa | Ocena według właściwych kryteriów |
Warto pamiętać, że wielkość przedsiębiorstwa ustala się zgodnie z odpowiednimi regułami, które wymagają uwzględnienia nie tylko samej spółki, ale również przedsiębiorstw partnerskich i powiązanych.
Spółka zatrudniająca 30 osób nie musi być więc automatycznie traktowana jako małe przedsiębiorstwo wyłącznie dlatego, że jej własny zespół jest niewielki.
Jeżeli należy do większej grupy, sposób ustalania jej wielkości może prowadzić do odmiennej kwalifikacji.
Czy mała firma również może podlegać NIS2?
Tak.
Ustawa przewiduje przypadki, w których objęcie regulacją nie zależy od standardowych progów wielkościowych.
Przykładem są przedsiębiorcy telekomunikacyjni, dla których ustawodawca przewidział szczególne zasady kwalifikacji.
Nie oznacza to oczywiście, że każdy mikroprzedsiębiorca działający w szeroko rozumianej branży technologicznej automatycznie podlega NIS2.
Dlatego kluczowe znaczenie ma art. 5 ustawy o KSC, a nie sam rozmiar firmy.
Przykład: czy software house musi wdrożyć NIS2?
Rozważmy dwa hipotetyczne przedsiębiorstwa.
Spółka A tworzy aplikacje mobilne i oprogramowanie na zamówienie. Nie świadczy usług zarządzania infrastrukturą klientów, nie administruje ich systemami i nie oferuje usług objętych szczególnymi kategoriami KSC.
Spółka B również tworzy oprogramowanie, ale oprócz tego zarządza środowiskami klientów, utrzymuje ich systemy i świadczy usługi, które mogą odpowiadać ustawowej definicji dostawcy usług zarządzanych.
Choć obie firmy określają się jako software house, analiza ich statusu regulacyjnego może prowadzić do odmiennych wniosków.
Nie wystarczy zatem ustalić, co spółka sprzedaje. Trzeba sprawdzić również, za jakie elementy infrastruktury i procesów klientów faktycznie odpowiada.
4. Wykaz KSC – jak wygląda rejestracja i kto jest wpisywany z urzędu?
Wykaz podmiotów kluczowych i podmiotów ważnych jest elementem krajowego systemu cyberbezpieczeństwa, prowadzonym w ramach Systemu S46.
Służy identyfikacji podmiotów objętych przepisami oraz organizacji współpracy z właściwymi organami i zespołami reagowania na incydenty.
Nie wszystkie organizacje dokonują jednak wpisu w tym samym trybie.
Samorejestracja – kiedy trzeba złożyć wniosek?
Samorejestracja obejmuje podmioty, które spełniają kryteria podmiotu kluczowego lub ważnego i nie zostały objęte szczególnym trybem wpisu z urzędu.
Wniosek składa się elektronicznie przez Wykaz KSC.
Składa go kierownik podmiotu albo odpowiednio upoważniona osoba. Dokument wymaga właściwego podpisu elektronicznego i oświadczenia o prawdziwości danych.
Istotne jest również to, że zgodnie z art. 7d ust. 1 ustawy wpis następuje z chwilą złożenia prawidłowego wniosku w systemie. Nie trzeba więc oczekiwać na klasyczną decyzję administracyjną o przyznaniu statusu.
Przed wysłaniem dokumentu warto zweryfikować nie tylko dane identyfikacyjne, lecz także sektor działalności, rodzaj świadczonych usług i pozostałe informacje wymagane ustawą.
W przypadku prowadzenia kilku rodzajów działalności objętych regulacją należy je odpowiednio wykazać.
Ustawa przewiduje także obowiązek aktualizacji określonych danych. Zgodnie z art. 7c ust. 3 wniosek o zmianę wpisu składa się w terminie 14 dni od dnia ich zmiany.
Które podmioty są wpisywane z urzędu?
W odpowiednich trybach wpisem z urzędu objęto m.in. określone podmioty publiczne, przedsiębiorców telekomunikacyjnych, dostawców usług zaufania oraz dotychczasowych operatorów usług kluczowych.
Podmioty te nie powinny bez sprawdzenia własnej sytuacji składać drugiego standardowego wniosku o samorejestrację. Mogą natomiast zostać wezwane do uzupełnienia wymaganych danych.
Dodatkowo, jak wyjaśniliśmy wcześniej, art. 7j pozwala organowi wpisać z urzędu również podmiot, który mimo obowiązku nie złożył wniosku w terminie.
Szczegółową instrukcję rejestracji udostępnia Ministerstwo Cyfryzacji.
5. NIS2 i KSC – najważniejsze terminy na lata 2026–2028
Terminy wynikające z nowelizacji nie ograniczają się do samorejestracji.
Dla organizacji, które spełniały kryteria już w dniu wejścia w życie nowych przepisów, istotny jest następujący harmonogram:
| Data | Znaczenie |
|---|---|
| 3 kwietnia 2026 r. | Wejście w życie nowelizacji ustawy o KSC |
| 7 maja 2026 r. | Uruchomienie samorejestracji w Wykazie KSC |
| 3 października 2026 r. | Upływ terminu samorejestracji dla określonych podmiotów |
| 3 kwietnia 2027 r. | Zasadniczy termin wdrożenia obowiązków objętych okresem dostosowawczym oraz rozpoczęcia korzystania z S46 |
| 3 kwietnia 2028 r. | Termin pierwszego audytu dla określonych podmiotów kluczowych; wskazany przez ministerstwo początek stosowania nowych przepisów o karach pieniężnych |
Harmonogram wynika z przepisów przejściowych oraz oficjalnych informacji Ministerstwa Cyfryzacji.
Trzeba pamiętać o dwóch zastrzeżeniach.
Po pierwsze, terminy dotyczące podmiotów, które spełniały kryteria 3 kwietnia 2026 r., nie mogą być bezrefleksyjnie stosowane do organizacji, które uzyskają taki status później.
Po drugie, w przypadku podmiotów już wcześniej objętych regulacjami o cyberbezpieczeństwie mogą mieć zastosowanie szczególne przepisy przejściowe, w tym dotyczące ciągłości dotychczasowych obowiązków i cyklu audytowego.
6. Jakie obowiązki trzeba wdrożyć do 3 kwietnia 2027 r.?
Wpis do Wykazu KSC nie oznacza jeszcze zgodności z NIS2. Jest przede wszystkim jednym z formalnych elementów funkcjonowania organizacji w krajowym systemie cyberbezpieczeństwa.
Znacznie większym wyzwaniem jest przygotowanie rzeczywistych mechanizmów zarządzania ryzykiem i reagowania na incydenty.
Podstawowym elementem jest System Zarządzania Bezpieczeństwem Informacji (SZBI), którego wymagania należy dostosować do działalności i ustawowych obowiązków konkretnego podmiotu.
Wdrożenie nie powinno polegać na przygotowaniu dokumentacji, której pracownicy nie znają, a zarząd nigdy nie wykorzystuje.
Dobrze zaprojektowany system ma odpowiadać na praktyczne problemy przedsiębiorstwa.
Zarządzanie ryzykiem i bezpieczeństwem systemów
Organizacja powinna ustalić, które systemy, usługi i procesy są istotne dla prowadzonej działalności oraz jakie zagrożenia mogą wpływać na ich funkcjonowanie.
W praktyce wymaga to m.in. oceny ryzyka, zarządzania dostępem, zabezpieczenia danych, aktualizacji oprogramowania, odpowiednich kopii zapasowych, zarządzania podatnościami i zapewnienia ciągłości działania.
Zakres środków powinien wynikać z charakteru działalności oraz wymagań ustawowych.
Reagowanie na incydenty i korzystanie z Systemu S46
Firma musi również przygotować zasady rozpoznawania, klasyfikowania, obsługi i zgłaszania incydentów.
Nie wystarczy zapisać w procedurze, że pracownik „powinien poinformować dział IT”.
Trzeba określić, kto przyjmuje zgłoszenie, jak podejmowana jest decyzja o kwalifikacji zdarzenia, kto odpowiada za kontakt z właściwymi podmiotami oraz jakie informacje należy zgromadzić.
System S46 wspiera realizację obowiązków ustawowych, w szczególności komunikację, zgłaszanie incydentów i wymianę informacji dotyczących cyberzagrożeń.
Bezpieczeństwo dostawców i umowy IT
Jednym z mniej oczywistych obszarów wdrożenia jest zarządzanie ryzykiem związanym z dostawcami usług technologicznych.
Przedsiębiorstwo może prawidłowo zabezpieczyć własną infrastrukturę, ale nadal pozostawać zależne od dostawcy chmury, hostingu, systemu ERP czy zewnętrznego administratora.
Jeżeli umowa nie reguluje odpowiednio współpracy przy incydentach, czasów reakcji, dostępu do informacji, podwykonawców i zasad odtworzenia usług, wykonanie obowiązków dotyczących cyberbezpieczeństwa może okazać się znacznie trudniejsze.
Dlatego jednym z elementów wdrożenia KSC powinien być przegląd istniejących kontraktów, a w razie potrzeby ich renegocjacja.
W tym zakresie znaczenie ma odpowiednie przygotowanie umów IT i kontraktów z dostawcami technologii, uwzględniających nie tylko standardowe SLA, ale również bezpieczeństwo informacji, współpracę incydentową i ciągłość świadczenia usług.
Osoby odpowiedzialne, personel i audyty
Nowe przepisy przewidują również wymagania dotyczące organizacji odpowiedzialności, wskazywania osób kontaktowych oraz określonych obowiązków dotyczących personelu.
Dodatkowo wybrane podmioty kluczowe są zobowiązane do przeprowadzania audytów cyberbezpieczeństwa.
Dla podmiotów kluczowych, które nie były wcześniej operatorami usług kluczowych, pierwszy audyt powinien zostać przeprowadzony w terminie wynikającym z przepisów przejściowych, tj. do 3 kwietnia 2028 r.
Dotychczasowi operatorzy usług kluczowych powinni osobno przeanalizować zasady zachowania istniejącego cyklu audytowego.
7. NIS2 a odpowiedzialność zarządu – dlaczego nie wystarczy przekazać sprawy działowi IT?
W wielu firmach cyberbezpieczeństwo przez lata było postrzegane przede wszystkim jako odpowiedzialność administratora sieci lub zewnętrznego dostawcy informatycznego.
NIS2 wymaga szerszego spojrzenia.
Zarząd nie musi samodzielnie konfigurować zabezpieczeń informatycznych, ale nie powinien traktować przekazania tematu informatykowi jako pełnego wykonania obowiązków organizacji.
Dyrektywa NIS2 przewiduje zaangażowanie organów zarządzających w zatwierdzanie i nadzorowanie środków zarządzania ryzykiem cyberbezpieczeństwa.
Polska ustawa również ustanawia obowiązki związane z kierowaniem podmiotami kluczowymi i ważnymi oraz przewiduje możliwość odpowiedzialności ich kierowników.
Z perspektywy członków zarządu istotne jest zatem, aby organizacja potrafiła wykazać nie tylko posiadanie odpowiednich dokumentów, ale również sposób podejmowania decyzji dotyczących bezpieczeństwa.
Sześć pytań, które zarząd powinien sobie zadać
- Czy wiemy, czy spółka jest podmiotem kluczowym albo ważnym i potrafimy uzasadnić tę kwalifikację?
- Czy prawidłowo wykonaliśmy obowiązki dotyczące Wykazu KSC?
- Czy przeprowadzono analizę ryzyka dotyczącą kluczowych systemów, usług i procesów?
- Czy wyznaczono osoby odpowiedzialne za reagowanie na incydenty i kontakty w ramach KSC?
- Czy umowy z dostawcami technologii pozwalają nam realizować własne obowiązki z zakresu cyberbezpieczeństwa?
- Czy istnieje zatwierdzony harmonogram wdrożenia wymagań ustawowych?
Odpowiedzi na te pytania powinny prowadzić do konkretnych działań, określenia odpowiedzialności oraz zapewnienia odpowiednich zasobów.
W większych organizacjach projekt wdrożenia NIS2 powinien obejmować współpracę zarządu, zespołu IT/security, compliance, działu prawnego i osób odpowiedzialnych za zarządzanie dostawcami oraz ciągłość działania.
8. NIS2 a DORA – czy fintech i instytucja finansowa muszą wdrażać oba reżimy?
W przypadku instytucji finansowych i przedsiębiorstw technologicznych współpracujących z sektorem finansowym konieczne jest dodatkowo przeanalizowanie relacji między ustawą o KSC, dyrektywą NIS2 oraz rozporządzeniem DORA.
Regulacje te częściowo odnoszą się do tych samych zagadnień, takich jak zarządzanie ryzykiem ICT, reagowanie na incydenty, odporność operacyjna czy bezpieczeństwo zewnętrznych dostawców.
Nie oznacza to jednak, że ich wymagania są identyczne albo że każdy podmiot finansowy musi automatycznie realizować dwa pełne, niezależne zestawy tych samych obowiązków.
DORA jest szczególnym reżimem sektorowym, dlatego trzeba każdorazowo ustalić właściwy zakres stosowania przepisów, reguły pierwszeństwa regulacji szczególnych oraz obowiązki wynikające z krajowej ustawy.
Sytuacja instytucji finansowej może również różnić się od sytuacji firmy technologicznej, która jedynie dostarcza jej rozwiązania ICT.
W takich projektach znaczenie ma kompleksowa analiza DORA i compliance ICT, uwzględniająca zarówno obowiązki regulacyjne, jak i konstrukcję umów outsourcingowych.
9. NIS2 i KSC – najczęstsze pytania przedsiębiorców (FAQ)
Czy NIS2 obowiązuje już w Polsce?
Tak. Nowelizacja ustawy o krajowym systemie cyberbezpieczeństwa wdrażająca dyrektywę NIS2 weszła w życie 3 kwietnia 2026 r. Część obowiązków objęto okresami dostosowawczymi, dlatego należy rozróżniać datę wejścia w życie przepisów od terminów wykonania poszczególnych obowiązków.
Czy 3 października 2026 r. był ostatnim dniem na wpis do Wykazu KSC?
Był to termin samorejestracji wskazany dla podmiotów, które spełniały odpowiednie kryteria już 3 kwietnia 2026 r. i podlegały obowiązkowi samodzielnego wpisu. Nie oznacza to, że po tej dacie nie można złożyć zaległego wniosku.
Czy można dokonać wpisu do Wykazu KSC po terminie?
Tak. Upływ terminu nie zwalnia z obowiązku rejestracyjnego. Podmiot, który był zobowiązany do złożenia wniosku i tego nie zrobił, powinien niezwłocznie dopełnić obowiązku. Późniejsze złożenie wniosku nie gwarantuje jednak usunięcia konsekwencji przekroczenia terminu.
Czy za brak wpisu do Wykazu KSC grozi kara w 2026 r.?
Ustawa przewiduje możliwość nałożenia kary za niezłożenie wniosku w terminie, ale stosowanie nowych przepisów o karach pieniężnych zostało odroczone na zasadach określonych w art. 35 ustawy nowelizującej. Nie należy utożsamiać tego odroczenia ze zwolnieniem z obowiązku rejestracji.
Czy każda firma zatrudniająca ponad 50 osób podlega NIS2?
Nie. Sama wielkość przedsiębiorstwa nie wystarcza. Trzeba przeanalizować rodzaj działalności, właściwy sektor, podmioty powiązane i partnerskie oraz przesłanki określone w ustawie o KSC.
Czy firma zatrudniająca mniej niż 50 osób może podlegać NIS2?
Tak. W określonych przypadkach ustawa znajduje zastosowanie niezależnie od standardowych progów wielkościowych. Przykładem są szczególne zasady dotyczące przedsiębiorców telekomunikacyjnych.
Czy software house musi wdrożyć NIS2?
Nie każdy. Kluczowe znaczenie ma faktycznie świadczona usługa. Samo tworzenie oprogramowania nie jest wystarczającą podstawą do uznania każdego software house’u za podmiot kluczowy lub ważny. Inaczej może wyglądać sytuacja firmy świadczącej określone usługi zarządzane lub infrastrukturalne.
Czy wpis do Wykazu KSC oznacza pełną zgodność z NIS2?
Nie. Obowiązki obejmują także odpowiednie środki zarządzania ryzykiem cyberbezpieczeństwa, wdrożenie SZBI, obsługę i zgłaszanie incydentów, organizację odpowiedzialności, korzystanie z S46 oraz — w przypadku określonych podmiotów — audyty.
Czy spóźniony wpis przesuwa termin wdrożenia SZBI?
Nie. Samo późniejsze dokonanie wpisu nie rozpoczyna nowego okresu dostosowawczego. Dla podmiotów spełniających kryteria już w dniu wejścia w życie nowelizacji zasadniczy termin wdrożenia obowiązków objętych art. 33 ustawy nowelizującej przypada na 3 kwietnia 2027 r.
Czy NIS2 dotyczy zarządu czy tylko działu IT?
NIS2 dotyczy również zarządzania organizacją. Przepisy obejmują kwestie odpowiedzialności, nadzoru nad ryzykiem, organizacji bezpieczeństwa, współpracy z dostawcami oraz reagowania na incydenty. Dział IT odgrywa kluczową rolę techniczną, ale nie zastępuje odpowiedzialności osób kierujących organizacją.
10. Jak przygotować firmę do KSC? Od analizy prawnej do wdrożenia
Wdrożenie NIS2 warto rozpocząć od ustalenia, jakie przepisy rzeczywiście dotyczą organizacji.
Zakup nowych narzędzi bezpieczeństwa, opracowanie polityk czy zlecenie audytu technicznego bez wcześniejszej kwalifikacji może prowadzić do niepotrzebnych kosztów i nieadekwatnych działań.
Pierwszym etapem powinna być analiza kwalifikacyjna, która pozwala ustalić status firmy, podstawy prawne objęcia regulacją i rzeczywisty zakres obowiązków.
Następnie można opracować plan dostosowania obejmujący dokumentację, organizację odpowiedzialności, zarządzanie ryzykiem, umowy z dostawcami ICT oraz odpowiednie rozwiązania techniczne.
W Pasternak Business Law wspieramy przedsiębiorców i zarządy w analizie obowiązków regulacyjnych, projektowaniu rozwiązań compliance oraz przygotowaniu i negocjowaniu dokumentacji prawnej związanej z działalnością technologiczną.
W przypadku NIS2/KSC punktem wyjścia może być analiza obejmująca ustalenie, czy przedsiębiorstwo jest podmiotem kluczowym lub ważnym, ocenę obowiązków rejestracyjnych, identyfikację ryzyk prawnych i przygotowanie harmonogramu działań dostosowawczych.
Dzięki temu możliwe jest uporządkowanie obowiązków jeszcze przed rozpoczęciem kosztownego procesu wdrożeniowego.
Nie masz pewności, czy Twoja firma podlega NIS2 albo nie zdążyła dokonać wpisu do Wykazu KSC?
Warto zacząć od prawidłowej kwalifikacji i ustalenia, jakie działania należy podjąć w konkretnej sytuacji.
Skontaktuj się z Pasternak Business Law i omów obowiązki swojej firmy.
Podstawy prawne i oficjalne źródła
- Ustawa z 5 lipca 2018 r. o krajowym systemie cyberbezpieczeństwa – tekst jednolity Dz.U. 2026 poz. 20 – z uwzględnieniem późniejszych zmian.
- Ustawa z 23 stycznia 2026 r. o zmianie ustawy o krajowym systemie cyberbezpieczeństwa oraz niektórych innych ustaw – Dz.U. 2026 poz. 252.
- Ministerstwo Cyfryzacji – jak dokonać samoidentyfikacji.
- Ministerstwo Cyfryzacji – najważniejsze terminy KSC.
- Ministerstwo Cyfryzacji – obowiązki podmiotów kluczowych i ważnych.
- Ministerstwo Cyfryzacji – komunikat z 28 września 2026 r. dotyczący samorejestracji.
- Wykaz podmiotów kluczowych i ważnych.
- Dyrektywa NIS2 – EUR-Lex.
Autor: Bartosz Pasternak
Prawnik zarządzający, Pasternak Business Law
Ostatnia aktualizacja: 12 października 2026 r.
Materiał ma charakter informacyjny i edukacyjny. Nie stanowi indywidualnej porady prawnej. Ustalenie statusu podmiotu na gruncie KSC oraz wynikających z niego obowiązków wymaga uwzględnienia aktualnego stanu prawnego i okoliczności konkretnej organizacji.