3 października 2026 r. upływa termin na złożenie wniosku o wpis do Wykazu podmiotów kluczowych i podmiotów ważnych KSC dla organizacji, które w dniu wejścia w życie nowych przepisów spełniały przesłanki uznania ich za podmiot kluczowy albo ważny i nie zostały objęte wpisem z urzędu.
Samo założenie, że „NIS2 dotyczy głównie dużych firm technologicznych”, może być kosztownym błędem. Nowe przepisy obejmują przedsiębiorstwa z wielu sektorów gospodarki, a obowiązek samoidentyfikacji w praktyce spoczywa na samym przedsiębiorcy.
Jeżeli firma działała w obszarze objętym ustawą i spełniała odpowiednie kryteria już 3 kwietnia 2026 r., nie warto odkładać analizy na ostatnie dni przed terminem. Najpierw trzeba prawidłowo ustalić status organizacji, a dopiero później przejść do rejestracji.
Jeżeli nie wiesz jeszcze, czy Twoja firma w ogóle podlega nowym regulacjom, zacznij od naszego opracowania: NIS2 w Polsce 2026 – czy Twoja firma podlega KSC?.
Kto musi wpisać się do Wykazu KSC do 3 października 2026 r.?
Termin 3 października 2026 r. dotyczy podmiotów, które w dniu wejścia w życie nowelizacji ustawy o krajowym systemie cyberbezpieczeństwa spełniały przesłanki uznania za podmiot kluczowy albo podmiot ważny, a jednocześnie nie należą do kategorii wpisywanych do Wykazu KSC z urzędu.
Ministerstwo Cyfryzacji wskazuje wprost, że samorejestracja została otwarta 7 maja 2026 r., a dla tej grupy podmiotów termin na złożenie wniosku upływa 3 października 2026 r.
Nie oznacza to jednak, że każda firma zatrudniająca określoną liczbę pracowników automatycznie podlega NIS2. Przy kwalifikacji trzeba połączyć kilka elementów:
- rzeczywisty rodzaj prowadzonej działalności,
- sektor lub podsektor wskazany w ustawie,
- rodzaj podmiotu,
- wielkość przedsiębiorstwa,
- szczególne przesłanki wynikające z ustawy,
- w określonych przypadkach także relacje z przedsiębiorstwami partnerskimi i powiązanymi.
Ministerstwo Cyfryzacji podkreśla przy tym istotną rzecz: kod PKD ma znaczenie pomocnicze, ale nie przesądza samodzielnie o objęciu ustawą. Decydujący jest rzeczywisty charakter działalności.
To szczególnie ważne dla grup kapitałowych, firm technologicznych i przedsiębiorstw prowadzących kilka różnych rodzajów działalności. Samo sprawdzenie PKD w KRS może być niewystarczające.
W praktyce prawidłowa analiza powinna odpowiadać na trzy pytania:
Po pierwsze: czy rzeczywista działalność firmy mieści się w jednym z sektorów objętych KSC?
Po drugie: czy organizacja spełnia kryteria pozwalające uznać ją za podmiot kluczowy albo ważny?
Po trzecie: czy firma powinna złożyć wniosek samodzielnie, czy została objęta mechanizmem wpisu z urzędu?
Dopiero pozytywna odpowiedź na te pytania pozwala bezpiecznie przejść do kolejnego etapu.
Wpis do Wykazu KSC krok po kroku – co powinna zrobić firma?
W praktyce proces warto podzielić na pięć etapów.
Krok 1. Ustal, czy firma podlega KSC
Nie zaczynaj od wypełniania formularza. Najpierw należy przeprowadzić samoidentyfikację organizacji.
Trzeba ustalić m.in. sektor działalności, rzeczywiście świadczone usługi, skalę przedsiębiorstwa i ewentualne powiązania korporacyjne. Ministerstwo Cyfryzacji zaleca analizę profilu działalności, kodów PKD i wielkości podmiotu.
Wątpliwość co do statusu firmy powinna zostać rozstrzygnięta przed złożeniem wniosku, ponieważ wpis nie jest zwykłą techniczną rejestracją. Oznacza zakwalifikowanie organizacji do systemu obowiązków wynikających z KSC.
Krok 2. Sprawdź, czy firma nie została wpisana z urzędu
Nie wszystkie podmioty dokonują samorejestracji.
Wpisem z urzędu objęto m.in. określone podmioty publiczne, przedsiębiorców telekomunikacyjnych, dostawców usług zaufania oraz dotychczasowych operatorów usług kluczowych. Takie organizacje nie powinny składać drugiego wniosku o wpis. Po wpisie z urzędu otrzymują zawiadomienie oraz wezwanie do uzupełnienia danych.
Krok 3. Przygotuj dane potrzebne do rejestracji
Przed rozpoczęciem procedury warto przygotować komplet informacji identyfikujących organizację oraz osoby odpowiedzialne za wykonywanie obowiązków wynikających z KSC.
Ustawa przewiduje, że Wykaz KSC zawiera m.in. nazwę podmiotu, sektor, podsektor i rodzaj podmiotu, adres siedziby oraz inne informacje wymagane dla funkcjonowania krajowego systemu cyberbezpieczeństwa. Podstawę prawną można sprawdzić bezpośrednio w ustawie zmieniającej ustawę o krajowym systemie cyberbezpieczeństwa – Dz.U. 2026 poz. 252.
Krok 4. Złóż wniosek elektronicznie
Samorejestracja odbywa się przez Wykaz KSC, działający w ramach infrastruktury Systemu S46.
Wniosek jest składany elektronicznie i wymaga odpowiedniego podpisania. Oficjalne informacje dotyczące procedury, terminów i działania systemu publikuje Ministerstwo Cyfryzacji w serwisie System S46.
Krok 5. Zachowaj dokumentację przeprowadzonej kwalifikacji
Firma powinna być w stanie odtworzyć, dlaczego uznała się za podmiot objęty KSC oraz na podstawie jakich danych ustalono jej status.
Warto zachować co najmniej:
- analizę zakresu działalności,
- przyjęte kryteria kwalifikacji,
- dane wykorzystane do ustalenia wielkości przedsiębiorstwa,
- informacje dotyczące podmiotów partnerskich lub powiązanych, jeśli były istotne,
- potwierdzenie złożenia wniosku,
- informacje o osobach odpowiedzialnych za dalsze wdrożenie KSC.
To przydaje się nie tylko na potrzeby samego wpisu. Dokumentacja może mieć znaczenie również przy późniejszym audycie, kontroli, zmianie struktury grupy albo ocenie nowych obowiązków organizacji.
Czy każda firma objęta NIS2 musi sama złożyć wniosek do Wykazu KSC?
Nie.
To jedna z najważniejszych rzeczy, które trzeba ustalić przed rozpoczęciem rejestracji.
Nowe przepisy przewidują dwa podstawowe mechanizmy:
samorejestrację – gdy podmiot kluczowy lub ważny sam składa wniosek o wpis;
oraz
wpis z urzędu – gdy wpis jest dokonywany przez Ministra Cyfryzacji na podstawie danych dostępnych w rejestrach publicznych.
Ministerstwo Cyfryzacji wskazuje, że wpis z urzędu dotyczy m.in. podmiotów publicznych, przedsiębiorców telekomunikacyjnych, dostawców usług zaufania oraz podmiotów, które wcześniej posiadały status operatora usługi kluczowej.
Jeżeli organizacja została wpisana z urzędu, nie powinna ponownie składać wniosku o wpis. Powinna natomiast wykonać czynności wskazane w otrzymanym zawiadomieniu i uzupełnić wymagane informacje.
Dlatego pierwszym krokiem projektu NIS2/KSC nie powinno być „zarejestrujmy się na wszelki wypadek”, lecz prawidłowe ustalenie statusu prawnego organizacji.
Co dzieje się po wpisie do Wykazu KSC?
Wpis do Wykazu KSC nie kończy wdrożenia NIS2. W praktyce dopiero otwiera właściwy etap dostosowania organizacji.
Ministerstwo Cyfryzacji wskazuje, że podmioty objęte nowymi przepisami powinny m.in. wdrożyć System Zarządzania Bezpieczeństwem Informacji, zarządzać ryzykiem i incydentami, wyznaczyć osoby odpowiedzialne za kontakty w ramach KSC oraz realizować obowiązki związane z raportowaniem.
Wpis do Wykazu jest również pierwszym krokiem do uzyskania dostępu do S46 Cyber Hub – systemu służącego m.in. do zgłaszania incydentów, otrzymywania ostrzeżeń oraz wymiany informacji o cyberzagrożeniach.
Dla podmiotów, które spełniały przesłanki objęcia nowymi regulacjami w chwili wejścia w życie nowelizacji, kluczowe daty wyglądają następująco:
3 października 2026 r. – termin samorejestracji w Wykazie KSC dla podmiotów niewpisywanych z urzędu;
3 kwietnia 2027 r. – termin przewidziany m.in. na rozpoczęcie korzystania z S46 oraz wdrożenie określonych obowiązków wynikających z nowych przepisów;
3 kwietnia 2028 r. – termin pierwszego obowiązkowego audytu dla określonych podmiotów kluczowych, które wcześniej nie były operatorami usług kluczowych.
To oznacza, że projekt NIS2 nie powinien być prowadzony wyłącznie przez dział IT.
W praktyce potrzebna jest współpraca zarządu, bezpieczeństwa/IT, compliance, działu prawnego, osób odpowiedzialnych za ciągłość działania oraz zespołów zarządzających dostawcami.
Szczególnie istotne są umowy z dostawcami technologii. Organizacja może mieć świetną procedurę reagowania na incydent, ale jeżeli dostawca cloud, SaaS albo infrastruktury nie ma obowiązku szybko przekazać odpowiednich informacji, wykonanie obowiązków regulacyjnych może okazać się problematyczne.
W firmach działających w sektorze finansowym równolegle warto sprawdzić relację NIS2/KSC z wymaganiami DORA. Więcej o zarządzaniu ryzykiem ICT, incydentach i dostawcach technologicznych piszemy w obszarze DORA i compliance.
Co jeżeli firma zacznie podlegać NIS2 dopiero po 3 października 2026 r.?
3 października 2026 r. nie jest uniwersalną datą, po której nigdy nie można już dokonać wpisu do Wykazu KSC.
To ważne rozróżnienie.
Data ta wynika z harmonogramu dotyczącego podmiotów, które już w dniu wejścia w życie nowelizacji spełniały przesłanki uznania ich za podmiot kluczowy albo ważny i powinny dokonać samorejestracji.
Firma może jednak zacząć spełniać przesłanki objęcia KSC później – przykładowo wskutek:
- zwiększenia skali działalności,
- wejścia w nowy sektor,
- uruchomienia nowej usługi,
- przejęcia innego przedsiębiorstwa,
- reorganizacji grupy kapitałowej,
- zmiany relacji z przedsiębiorstwami powiązanymi.
W takim przypadku obowiązek trzeba ocenić ponownie.
Zgodnie z informacjami dotyczącymi funkcjonowania Wykazu KSC podmioty kluczowe i ważne, które nie są wpisywane z urzędu, składają wniosek w terminie sześciu miesięcy od dnia spełnienia odpowiednich przesłanek.
Dlatego kwalifikacja pod NIS2 nie powinna być jednorazowym ćwiczeniem wykonanym w 2026 r. Dla części organizacji powinna stać się elementem compliance uruchamianym także przy istotnej zmianie biznesowej lub korporacyjnej.
NIS2 przed 3 października 2026 r. – co powinien zrobić zarząd?
Jeżeli organizacja nie przeprowadziła jeszcze pełnej kwalifikacji, priorytetem nie powinno być przygotowanie kilkudziesięciu polityk bezpieczeństwa.
Najpierw trzeba odpowiedzieć na pytanie, czy firma podlega KSC, w jakim charakterze i od kiedy.
Praktyczna kolejność działania wygląda następująco:
1. kwalifikacja działalności – ustalenie sektora, podsektora oraz rzeczywistego charakteru świadczonych usług;
2. analiza wielkości przedsiębiorstwa – również z uwzględnieniem struktury właścicielskiej i podmiotów powiązanych tam, gdzie ma to znaczenie;
3. ustalenie statusu – podmiot kluczowy, podmiot ważny albo podmiot pozostający poza zakresem regulacji;
4. sprawdzenie sposobu wpisu – samorejestracja albo wpis z urzędu;
5. złożenie i udokumentowanie wpisu – jeżeli obowiązek istnieje;
6. gap analysis NIS2/KSC – ustalenie, czego brakuje w procesach, procedurach, zarządzaniu ryzykiem, obsłudze incydentów, ciągłości działania i umowach z dostawcami;
7. przygotowanie planu wdrożenia – z przypisaniem odpowiedzialności, terminów i konkretnych działań.
W organizacjach technologicznych oraz regulowanych warto równolegle sprawdzić pozostałe reżimy dotyczące cyberbezpieczeństwa i ryzyka ICT. Zobacz również nasze wsparcie dla firm w obszarze technologii, FinTech i regulacji.
Najgorszym wariantem jest brak decyzji: firma nie potwierdziła, że podlega KSC, ale jednocześnie nie posiada udokumentowanej analizy pozwalającej wykazać, dlaczego uznała, że pozostaje poza jego zakresem.
Jeżeli termin 3 października 2026 r. może dotyczyć Twojej organizacji, warto zacząć od prawidłowej kwalifikacji prawnej, a następnie przełożyć jej wynik na konkretny plan działania.
Stan prawny: 1 września 2026 r.
Materiał ma charakter ogólny i edukacyjny. Nie stanowi indywidualnej porady prawnej. Ocena obowiązków konkretnej organizacji wymaga analizy rzeczywiście prowadzonej działalności, jej wielkości, struktury, sektora oraz pozostałych przesłanek wynikających z ustawy o krajowym systemie cyberbezpieczeństwa.