Nie zdążyłeś wpisać firmy do Wykazu KSC do 3 października 2026 r.? Nadal możesz dopełnić obowiązku rejestracyjnego. Sam upływ terminu nie zamyka możliwości złożenia wniosku ani nie zwalnia przedsiębiorcy z obowiązków wynikających z ustawy o krajowym systemie cyberbezpieczeństwa. Nie oznacza jednak, że późniejsze dokonanie wpisu automatycznie usuwa skutki wcześniejszego uchybienia.
Dla wielu przedsiębiorców nowe przepisy wdrażające dyrektywę NIS2 okazały się zaskoczeniem. Niektóre firmy dopiero po 3 października zaczęły analizować, czy ich działalność jest objęta ustawą. Inne wiedziały o nowych regulacjach, ale błędnie założyły, że wpisu należy dokonać dopiero po otrzymaniu wezwania z urzędu.
Sytuacja może być szczególnie problematyczna dla zarządu, który po przeprowadzeniu analizy odkrywa, że spółka powinna była złożyć wniosek kilka dni wcześniej.
Czy trzeba teraz wysłać do Ministerstwa Cyfryzacji pismo z wyjaśnieniami? Czy można dokonać wpisu przez internet? Czy brak rejestracji oznacza automatyczną karę? I najważniejsze — czy spóźniony wpis przesuwa termin wdrożenia NIS2?
Najbezpieczniejsze postępowanie polega na niezwłocznym ustaleniu rzeczywistego obowiązku rejestracyjnego, dokonaniu zaległego wpisu, jeżeli był wymagany, oraz udokumentowaniu podjętych czynności.
Nie każda firma, która nie złożyła wniosku do 3 października, naruszyła jednak ustawę. W części przypadków termin liczony jest inaczej, a określone kategorie organizacji są wpisywane do Wykazu KSC z urzędu.
Poniżej wyjaśniamy, jak odróżnić te sytuacje, jakie konsekwencje prawne przewidują przepisy oraz co powinien zrobić przedsiębiorca i zarząd spółki po upływie terminu.
Stan prawny: 12 października 2026 r.
1. Czy po 3 października 2026 r. można jeszcze wpisać firmę do Wykazu KSC?
Tak. Samorejestracja pozostaje dostępna również po 3 października 2026 r.
Wynika to z konstrukcji obowiązku przewidzianego w art. 7c ust. 1 ustawy o krajowym systemie cyberbezpieczeństwa.
Przepis ten zobowiązuje podmiot kluczowy lub podmiot ważny do złożenia wniosku o wpis do Wykazu KSC w terminie sześciu miesięcy od dnia spełnienia przesłanek uznania go za taki podmiot.
Nowelizacja ustawy o KSC weszła w życie 3 kwietnia 2026 r. Dlatego dla podmiotów, które już tego dnia spełniały odpowiednie kryteria i podlegały samorejestracji, Ministerstwo Cyfryzacji wskazało 3 października 2026 r. jako termin złożenia wniosku.
Nie jest to jednak data, po której system rejestracyjny przestaje działać.
Co istotne, w oficjalnym zestawie pytań i odpowiedzi Ministerstwa Cyfryzacji, w odpowiedzi na pytanie 2.32, wyjaśniono, że samorejestracja dostępna jest przez cały czas, również dla podmiotów, które dopiero w przyszłości zaczną spełniać ustawowe przesłanki.
Oznacza to, że przedsiębiorca, który powinien był zarejestrować się wcześniej, nie musi czekać na uruchomienie nowego naboru ani na specjalne zawiadomienie organu.
Może skorzystać z oficjalnego Wykazu KSC.
Czy późniejszy wpis usuwa wcześniejsze naruszenie?
Nie automatycznie.
Złożenie wniosku po terminie pozwala wykonać zaległy obowiązek, ale nie powoduje, że wcześniejsze uchybienie przestaje istnieć.
Warto zwrócić uwagę na art. 7d ust. 5 ustawy o KSC, zgodnie z którym wpis do Wykazu KSC jest czynnością materialno-techniczną i ma charakter deklaratoryjny.
W praktyce oznacza to, że status podmiotu kluczowego lub ważnego wynika ze spełnienia przesłanek ustawowych, a nie dopiero z daty dokonania wpisu.
Spółka, która była objęta KSC od 3 kwietnia 2026 r., nie staje się podmiotem ważnym dopiero dlatego, że zarejestrowała się 12 października.
Jeżeli spełniała ustawowe kryteria już wcześniej, jej obowiązki również należy oceniać z uwzględnieniem tego wcześniejszego momentu.
Późniejsza rejestracja nie daje zatem możliwości rozpoczęcia wszystkich terminów od nowa.
Komentarz eksperta – Bartosz Pasternak, Pasternak Business Law
W przypadku spóźnionego wpisu nie zaczynałbym od przygotowania obszernego pisma wyjaśniającego, dlaczego firma nie dotrzymała terminu. Najpierw ustaliłbym, czy rzeczywiście doszło do naruszenia obowiązku rejestracyjnego, a jeżeli tak — zadbałbym o jego niezwłoczne wykonanie.
Jednocześnie warto udokumentować, kiedy spółka spełniła przesłanki ustawowe, jakie czynności podjęto po stwierdzeniu uchybienia i kto odpowiada za dalsze wdrożenie. Taka dokumentacja może mieć znacznie większą wartość niż samo ogólne zapewnienie, że przedsiębiorca zamierza dostosować się do przepisów.
Czy termin przesunął się na 5 października, skoro 3 października była sobota?
To szczegół, który zasługuje na osobną uwagę.
3 października 2026 r. przypadał w sobotę. Ministerstwo Cyfryzacji konsekwentnie wskazywało tę datę jako termin samorejestracji, w tym w komunikacie z 28 września 2026 r..
Jednocześnie art. 57 § 4 Kodeksu postępowania administracyjnego przewiduje, że jeśli koniec terminu do wykonania czynności przypada na sobotę albo dzień ustawowo wolny od pracy, termin co do zasady upływa następnego dnia, który nie jest takim dniem.
Nie oznacza to jednak automatycznie, że każdemu terminowi przewidzianemu w przepisach prawa administracyjnego przysługuje takie przesunięcie.
Kluczowe jest rozróżnienie terminów procesowych i materialnoprawnych.
Przykładowo Naczelny Sąd Administracyjny w wyroku z 8 stycznia 2026 r., sygn. I OSK 1014/25, wskazał, że mechanizm przedłużenia terminu z art. 57 § 4 KPA nie znajduje automatycznego zastosowania do terminów materialnoprawnych.
Orzeczenie to nie dotyczyło wpisu do Wykazu KSC i nie przesądza wprost o charakterze terminu z art. 7c ust. 1 ustawy.
Jeżeli przedsiębiorca złożył wniosek dokładnie 5 października 2026 r., zasadność uznania go za terminowy wymaga odrębnej analizy.
Nie rekomendowałbym jednak traktowania samego faktu, że 3 października przypadał w sobotę, jako wystarczającej podstawy do uznania, że termin automatycznie został przesunięty.
2. Kto naprawdę spóźnił się z rejestracją KSC? Nie każda firma musiała dokonać wpisu do 3 października
To prawdopodobnie najważniejsza kwestia, którą trzeba rozstrzygnąć przed podjęciem dalszych działań.
Brak wpisu do Wykazu KSC nie zawsze oznacza naruszenie ustawy.
Najpierw należy ustalić, czy organizacja spełnia ustawowe przesłanki uznania jej za podmiot kluczowy albo podmiot ważny, kiedy zaczęła je spełniać i czy należy do kategorii podmiotów wpisywanych z urzędu.
W praktyce można wyróżnić cztery sytuacje.
| Sytuacja przedsiębiorcy | Czy doszło do spóźnienia? | Co należy zrobić? |
|---|---|---|
| Spółka spełniała kryteria KSC już 3 kwietnia 2026 r. i podlegała samorejestracji | Jeżeli nie złożyła wniosku w wymaganym terminie — co do zasady tak | Niezwłocznie przygotować i złożyć zaległy wniosek |
| Firma zaczęła spełniać kryteria dopiero po 3 kwietnia 2026 r. | Niekoniecznie | Ustalić indywidualny sześciomiesięczny termin |
| Podmiot jest wpisywany z urzędu | Brak samorejestracji sam w sobie nie oznacza spóźnienia | Zweryfikować wpis i ewentualne wezwanie do uzupełnienia danych |
| Organizacja w ogóle nie spełnia przesłanek KSC | Nie | Udokumentować analizę uzasadniającą brak obowiązku |
Przedsiębiorstwo zaczęło podlegać KSC później
Załóżmy, że spółka dopiero w czerwcu 2026 r. rozpoczęła działalność polegającą na świadczeniu określonych usług zarządzanych ICT.
Jeżeli dopiero od tego momentu spełnia wszystkie wymagane przesłanki uznania jej za podmiot kluczowy lub ważny, termin do dokonania wpisu nie musi kończyć się 3 października.
Wynika to bezpośrednio z art. 7c ust. 1 ustawy, który wiąże sześciomiesięczny termin z dniem spełnienia ustawowych przesłanek.
Warto przy tym pamiętać, że nie zawsze będzie to dzień rejestracji spółki w KRS albo moment dodania nowego PKD.
Znaczenie może mieć rzeczywista data rozpoczęcia działalności odpowiadającej ustawowej kategorii, zmiana wielkości przedsiębiorstwa albo wystąpienie innej przesłanki prawnej.
W przypadku grup kapitałowych należy ponadto uwzględnić właściwe zasady ustalania wielkości przedsiębiorstw partnerskich i powiązanych oraz szczególne rozwiązania przewidziane w art. 5 KSC.
Dlatego podstawowe pytanie nie powinno brzmieć wyłącznie: „Czy minął 3 października?”, ale przede wszystkim:
„Od jakiego dnia nasza organizacja rzeczywiście spełnia przesłanki uznania jej za podmiot kluczowy lub ważny?”
Szczegółowe zasady kwalifikacji, w tym znaczenie sektora, wielkości przedsiębiorstwa i powiązań kapitałowych, opisaliśmy w poradniku „NIS2 w Polsce 2026 – czy Twoja firma podlega KSC?”.
Podmioty wpisywane z urzędu – odrębna procedura
Część organizacji nie ma obowiązku dokonania standardowej samorejestracji.
Dotyczy to w szczególności określonych podmiotów publicznych, przedsiębiorców telekomunikacyjnych, dostawców usług zaufania oraz dotychczasowych operatorów usług kluczowych, objętych szczególnymi przepisami przejściowymi.
Zgodnie z art. 7a i 7b ustawy o KSC określone podmioty wpisywane są do wykazu przez ministra właściwego do spraw informatyzacji.
Po otrzymaniu zawiadomienia i wezwania powinny uzupełnić wymagane dane w terminie sześciu miesięcy od doręczenia wezwania.
Nie jest to zatem ta sama sytuacja co przedsiębiorcy, który miał obowiązek samodzielnego złożenia wniosku i go nie wykonał.
Co więcej, gdy organizacja została już wpisana z urzędu, próba ponownej samorejestracji może zakończyć się komunikatem o konflikcie danych.
Właściwym działaniem jest wtedy obsługa istniejącego wpisu, zgodnie z instrukcją Systemu S46 dotyczącą uzupełniania danych po wezwaniu.
Przykład: spółka produkcyjna odkrywa obowiązek po terminie
Wyobraźmy sobie spółkę zatrudniającą 120 pracowników, która produkuje maszyny objęte odpowiednią kategorią działalności wskazaną w załączniku nr 2 do ustawy o KSC.
Przedsiębiorstwo działało w takim modelu już 3 kwietnia 2026 r. Nie przeprowadzono jednak analizy NIS2, ponieważ zarząd uznał, że cyberbezpieczeństwo jest zagadnieniem dotyczącym głównie firm technologicznych i operatorów infrastruktury.
Dopiero 9 października dział prawny informuje, że spółka może być podmiotem ważnym.
Co zrobić?
W pierwszej kolejności trzeba potwierdzić kwalifikację na podstawie rzeczywistej działalności, kryteriów wielkościowych i struktury grupy. Jeżeli spółka rzeczywiście podlegała samorejestracji już w pierwszym okresie, należy niezwłocznie złożyć wniosek, zachować potwierdzenie i przygotować dalszy plan działań.
Nie byłoby natomiast prawidłowe założenie, że skoro firma nie zajmuje się bezpośrednio usługami IT, to automatycznie pozostaje poza zakresem KSC.
Przykład jest hipotetyczny i służy zobrazowaniu procesu oceny prawnej.
3. Jak złożyć zaległy wniosek o wpis do Wykazu KSC? Instrukcja krok po kroku
Jeżeli analiza potwierdziła, że przedsiębiorca powinien był złożyć wniosek i nie zrobił tego w terminie, kolejnym krokiem jest wykonanie obowiązku rejestracyjnego.
Nie ma potrzeby oczekiwania na zawiadomienie organu tylko dlatego, że termin już upłynął.
Warto jednak przygotować dane w sposób uporządkowany, ponieważ wniosek do Wykazu KSC nie jest wyłącznie zwykłym formularzem informacyjnym.
Zawiera również ustawowe oświadczenie o prawdziwości danych składane pod rygorem odpowiedzialności karnej.
Krok 1. Przygotuj dane i dokumenty przed rozpoczęciem rejestracji
Zgodnie z art. 7c ustawy oraz oficjalną instrukcją samorejestracji w Systemie S46 potrzebne będą w szczególności dane identyfikacyjne przedsiębiorstwa, właściwa klasyfikacja sektorowa, dane kontaktowe oraz informacje wymagane przez formularz.
W praktyce warto przygotować również informacje o osobach kontaktowych, administratorze konta w Systemie S46, domenach internetowych i odpowiednich publicznych adresach IP.
Nie wszystkie informacje muszą być pozyskiwane przez zarząd samodzielnie. Część danych powinna zostać zweryfikowana we współpracy z osobami odpowiedzialnymi za infrastrukturę IT i cyberbezpieczeństwo.
W przypadku kilku rodzajów działalności objętych KSC nie składa się automatycznie kilku odrębnych wniosków. Art. 7d ust. 2 przewiduje ich osobne wykazanie w ramach jednego wpisu.
Krok 2. Zaloguj się do oficjalnej aplikacji Wykaz KSC
Wniosek składa się przez stronę:
Logowanie odbywa się za pośrednictwem odpowiednich środków identyfikacji elektronicznej.
Następnie należy wybrać funkcję „Wpisz nowy podmiot” i rozpocząć wypełnianie formularza.
Wniosek może podpisać kierownik podmiotu albo osoba przez niego upoważniona.
Jeżeli przedsiębiorcę reprezentuje pełnomocnik, trzeba zweryfikować obowiązek dołączenia pełnomocnictwa w wymaganej postaci elektronicznej.
Z art. 7c ust. 7 ustawy wynika przy tym wyjątek dotyczący m.in. prokurenta ujawnionego w KRS oraz pełnomocnika ujawnionego w CEIDG.
Krok 3. Sprawdź poprawność klasyfikacji i podpisz wniosek
Przed podpisaniem dokumentu należy szczególnie uważnie zweryfikować sektor, podsektor i rodzaj działalności.
Nie należy wskazywać przypadkowych kategorii tylko po to, aby przejść do kolejnego etapu formularza.
Wniosek zawiera oświadczenie kierownika podmiotu o zgodności danych z prawdą, składane na zasadach określonych w art. 7c ust. 5.
Złożenie nieprawdziwego oświadczenia może wywołać konsekwencje niezależne od samego spóźnienia.
Spóźnienie nie jest więc powodem, aby przyspieszać rejestrację kosztem poprawności danych.
Krok 4. Upewnij się, że wniosek został skutecznie złożony
Samo zapisanie formularza nie oznacza dokonania wpisu.
Zgodnie z oficjalną instrukcją Systemu S46 wniosek może otrzymać m.in. status „Szkic”, „Oczekuje na podpis”, „Zatwierdzony” albo „Oczekuje na weryfikację”.
Status „Zatwierdzony” oznacza dokonanie wpisu. Natomiast status „Oczekuje na weryfikację” może pojawić się np. w przypadku konfliktu danych identyfikacyjnych podmiotu.
Art. 7d ust. 3 ustawy przewiduje sytuacje, w których wpis nie zostanie dokonany, w szczególności gdy wniosek nie zawiera wymaganych danych, odpowiedniego oświadczenia lub podpisu albo dotyczy podmiotu już wpisanego do wykazu.
Z perspektywy dowodowej nie wystarczy więc samo twierdzenie, że pracownik firmy rozpoczął proces rejestracji.
Warto zachować dokumenty potwierdzające skuteczne złożenie wniosku oraz jego status.
Art. 7d ust. 6–7 ustawy przewiduje również możliwość uzyskania elektronicznego zaświadczenia o wpisie do wykazu.
Krok 5. Udokumentuj wewnętrznie przyczyny i sposób usunięcia uchybienia
To element, który szczególnie rekomendujemy z perspektywy zarządu.
Ustawa nie nakazuje automatycznie dołączać do każdego spóźnionego wniosku odrębnego memorandum prawnego wyjaśniającego uchybienie.
Nie oznacza to jednak, że przygotowanie takiego dokumentu jest pozbawione sensu.
W praktyce warto sporządzić krótką notatkę wewnętrzną obejmującą:
- datę ustalenia, że przedsiębiorca spełnia przesłanki KSC;
- podstawę uznania go za podmiot kluczowy albo ważny;
- analizę właściwego terminu rejestracyjnego;
- rzeczywistą przyczynę niedotrzymania terminu, jeżeli do niego doszło;
- datę podjęcia czynności naprawczych i skutecznego wpisu;
- osobę odpowiedzialną za dalsze obowiązki oraz plan wdrożeniowy.
Taka dokumentacja nie daje gwarancji uniknięcia sankcji ani nie zastępuje wykonania obowiązków ustawowych.
Pozwala jednak odtworzyć przebieg zdarzeń i wykazać, jakie działania faktycznie podjęto po stwierdzeniu problemu.
Komentarz eksperta – Bartosz Pasternak, Pasternak Business Law
Z perspektywy zarządu istotne jest nie tylko samo dokonanie wpisu, ale również ustalenie, dlaczego obowiązek nie został wykonany wcześniej i jak spółka zamierza zapobiec podobnym sytuacjom.
Krótka, rzetelna dokumentacja przeprowadzonej analizy i podjętych działań może być przydatna w późniejszej komunikacji z organem. Nie powinna jednak służyć tworzeniu uzasadnień, które nie odpowiadają rzeczywistemu przebiegowi zdarzeń.
4. Jakie kary grożą za brak wpisu do KSC? Odpowiedzialność spółki i zarządu
Ustawa przewiduje sankcje za niezłożenie wniosku o wpis do Wykazu KSC w wymaganym terminie. Nie oznacza to jednak, że każdy spóźniony wpis automatycznie skutkuje karą pieniężną.
Kluczowe znaczenie ma art. 73 ust. 1a pkt 1 ustawy o KSC.
Zgodnie z tym przepisem organ właściwy do spraw cyberbezpieczeństwa może nałożyć karę pieniężną na podmiot, który nie złożył wniosku w terminie wynikającym z art. 7c ust. 1, jeżeli przemawia za tym waga i znaczenie naruszonych przepisów.
Ustawodawca nie przewidział zatem automatycznego wymierzania takiej samej kary wszystkim przedsiębiorcom, którzy dokonali wpisu po terminie.
Przy ocenie konkretnej sprawy należy odróżnić samo wystąpienie naruszenia od przesłanek zastosowania sankcji i sposobu określenia jej wysokości.
Czy kara za spóźniony wpis może zostać nałożona już w 2026 r.?
Zgodnie z art. 35 ustawy nowelizującej z 23 stycznia 2026 r. określone kary pieniężne, w tym przewidziane w art. 73 i 73a ustawy o KSC, mogą zostać po raz pierwszy nałożone po upływie dwóch lat od dnia wejścia w życie nowelizacji.
W oficjalnym harmonogramie Ministerstwa Cyfryzacji jako początek możliwości nakładania nowych kar wskazano 3 kwietnia 2028 r.
Należy jednak odróżnić trzy kwestie:
1. Obowiązek wpisu istniał już w 2026 r.
Odroczenie stosowania określonych kar nie oznacza przesunięcia samego obowiązku rejestracyjnego.
2. Naruszenie terminu nie znika wyłącznie dlatego, że sankcje zostały odroczone.
W razie późniejszego postępowania konieczna będzie ocena stanu faktycznego, właściwych przepisów i przesłanek odpowiedzialności.
3. Nie można automatycznie zakładać, że każdy wpis złożony po terminie będzie skutkował karą w 2028 r.
Art. 73 ust. 1a przewiduje uznaniową kompetencję organu, uzależnioną od wskazanych w ustawie okoliczności. Znaczenie mogą mieć również właściwe przepisy proceduralne dotyczące administracyjnych kar pieniężnych.
Dlatego zarówno twierdzenie „za spóźnienie zawsze będzie kara”, jak i „skoro kary zaczynają się w 2028 r., rejestracją nie trzeba się jeszcze zajmować” jest nieprawidłowe.
Czy członek zarządu może zostać ukarany osobiście?
Tak, przepisy przewidują także możliwość odpowiedzialności kierownika podmiotu kluczowego lub ważnego.
Art. 73a ust. 1 pkt 1 ustawy o KSC obejmuje m.in. niewykonanie obowiązku określonego w art. 7c ust. 1.
W przypadku spełnienia przesłanek odpowiedzialności kara pieniężna może zostać wymierzona kierownikowi podmiotu na zasadach wskazanych w art. 73a.
Dla podmiotów innych niż publiczne górna granica takiej kary wynosi co do zasady 300% otrzymywanego wynagrodzenia, obliczanego według zasad wskazanych w ustawie. Dla określonych kierowników podmiotów publicznych zastosowanie ma odrębny limit.
Nie oznacza to, że każdy członek zarządu spółki automatycznie odpowiada osobiście za każdy błąd rejestracyjny.
Przed oceną odpowiedzialności trzeba ustalić m.in. status danej osoby jako kierownika podmiotu w rozumieniu KSC, zakres obowiązków oraz przesłanki wskazane w art. 73a.
Z punktu widzenia zarządzania spółką rozsądne jest jednak zapewnienie udokumentowanego nadzoru nad wykonaniem zaległego obowiązku i dalszym procesem dostosowania.
Czy urząd może sam wpisać spółkę do Wykazu KSC?
Tak.
Art. 7j ust. 1 ustawy o KSC pozwala organowi właściwemu do spraw cyberbezpieczeństwa wpisać podmiot do wykazu, jeżeli spełnia on ustawowe przesłanki uznania za podmiot kluczowy lub ważny, ale nie złożył wniosku w wymaganym terminie.
W takim przypadku organ dokonuje wpisu na podstawie dostępnych mu danych, a następnie zawiadamia podmiot o jego dokonaniu i wzywa do uzupełnienia brakujących informacji.
Na wykonanie wezwania ustawa przewiduje termin sześciu miesięcy od dnia otrzymania zawiadomienia.
Brak uzupełnienia danych w terminie może prowadzić do dalszych konsekwencji, w tym sankcji pieniężnych.
Co istotne, art. 7j ust. 5 przewiduje możliwość wniesienia skargi do sądu administracyjnego na wpis dokonany przez organ w tym trybie.
Ma to znaczenie zwłaszcza wtedy, gdy przedsiębiorca kwestionuje samą kwalifikację jako podmiotu kluczowego albo ważnego.
W takim przypadku spór może dotyczyć nie tyle tego, czy przedsiębiorca spóźnił się z rejestracją, ile tego, czy w ogóle był zobowiązany do dokonania wpisu.
Nie rekomendujemy jednak oczekiwania na działanie organu jako alternatywy dla samodzielnego wykonania obowiązku rejestracyjnego.
5. Spóźniony wpis do KSC nie kończy sprawy. Jakie obowiązki czekają firmę w 2027 r.?
To kwestia, która w praktyce może mieć większe znaczenie niż sam brak terminowego wpisu.
Jeżeli firma spełniała kryteria podmiotu kluczowego lub ważnego już 3 kwietnia 2026 r., dokonanie wpisu po terminie nie powoduje automatycznego przesunięcia terminu wdrożenia obowiązków przewidzianych w ustawie.
W odniesieniu do takich podmiotów art. 33 ust. 1 ustawy nowelizującej przewiduje dwunastomiesięczny okres na realizację określonych obowiązków wynikających z rozdziału 3 ustawy o KSC.
Okres ten upływa 3 kwietnia 2027 r.
Ministerstwo Cyfryzacji potwierdza w oficjalnym Q&A, w odpowiedzi na pytanie 2.31, że termin wykonania obowiązków co do zasady należy odnosić do momentu spełnienia ustawowych przesłanek, a nie do dnia wpisu do wykazu.
Nie wystarczy więc dokonać rejestracji i uznać, że sprawa została zamknięta.
Co firma powinna zrobić po dokonaniu zaległego wpisu?
Kolejnym etapem powinna być analiza istniejących rozwiązań bezpieczeństwa oraz przygotowanie harmonogramu dostosowania organizacji do właściwych wymagań ustawy.
W zależności od statusu i rodzaju działalności może to obejmować wdrożenie Systemu Zarządzania Bezpieczeństwem Informacji (SZBI), przeprowadzenie oceny ryzyka, określenie zasad reagowania na incydenty, zapewnienie ciągłości działania, wyznaczenie wymaganych osób kontaktowych i przygotowanie organizacji do korzystania z Systemu S46.
Nie należy przy tym zapominać o relacjach z zewnętrznymi dostawcami technologii.
Podmiot może wdrożyć prawidłowe wewnętrzne procedury, a mimo to mieć istotne luki w kontraktach z dostawcami chmury, hostingu, oprogramowania lub usług zarządzanych.
Jeżeli umowa nie zapewnia odpowiedniej współpracy w razie incydentu, dostępności informacji, zasad zarządzania podwykonawcami czy możliwości odtworzenia usług, wykonanie części obowiązków może być utrudnione.
Dlatego równolegle do wdrażania rozwiązań organizacyjnych i technicznych warto przeanalizować umowy IT oraz kontrakty z dostawcami technologii.
Najważniejsze terminy po 3 października 2026 r.
| Termin | Znaczenie dla przedsiębiorcy |
|---|---|
| Niezwłocznie po stwierdzeniu uchybienia | Ustalenie statusu i dokonanie zaległego wpisu, jeżeli był wymagany |
| 14 dni od zmiany określonych danych | Obowiązek aktualizacji wpisu, zgodnie z art. 7c ust. 3 KSC |
| 3 kwietnia 2027 r. | Zasadniczy termin wdrożenia określonych obowiązków dla podmiotów objętych okresem przejściowym od 3 kwietnia 2026 r. |
| 3 kwietnia 2028 r. | Termin pierwszego audytu dla określonych podmiotów kluczowych oraz początek możliwości nakładania nowych kar według harmonogramu ministerstwa |
Dla przedsiębiorstw, które stały się podmiotami kluczowymi lub ważnymi później, terminy i zakres obowiązków wymagają odrębnej oceny.
Najczęstsze pytania dotyczące spóźnionej rejestracji KSC
Czy można złożyć wniosek do Wykazu KSC po 3 października 2026 r.?
Tak. System umożliwia dokonywanie samorejestracji również po tej dacie. Jeżeli przedsiębiorca był zobowiązany do wcześniejszego wpisu i nie dopełnił obowiązku, powinien podjąć działania bez zbędnej zwłoki.
Czy trzeba składać wniosek o przywrócenie terminu rejestracji KSC?
Podstawowym działaniem powinno być ustalenie obowiązku rejestracyjnego i złożenie wymaganego wniosku poprzez aplikację Wykaz KSC. Nie należy automatycznie utożsamiać tego obowiązku z terminem procesowym, do którego stosuje się instytucję przywrócenia terminu z KPA. Kwestia ewentualnych skutków opóźnienia wymaga odrębnej oceny.
Czy spóźniony wpis do KSC powoduje automatyczną karę?
Nie. Art. 73 ust. 1a pkt 1 ustawy przewiduje możliwość nałożenia kary z uwzględnieniem wagi i znaczenia naruszonych przepisów. Sam fakt przekroczenia terminu nie oznacza automatycznej decyzji nakładającej karę.
Czy zarząd może odpowiadać za brak rejestracji?
Tak. Art. 73a przewiduje możliwość osobistej odpowiedzialności kierownika podmiotu za niewykonanie określonych obowiązków, w tym obowiązku wpisu. Odpowiedzialność nie powstaje jednak automatycznie wobec każdej osoby pełniącej funkcję w zarządzie.
Czy firma, która powstała po 3 kwietnia 2026 r., również musiała wpisać się do KSC do 3 października?
Nie musi tak być. Zgodnie z art. 7c ust. 1 termin sześciu miesięcy liczy się od dnia spełnienia przesłanek uznania za podmiot kluczowy lub ważny. Data utworzenia spółki nie zawsze jest tożsama z datą powstania obowiązku.
Co zrobić, jeśli system informuje, że podmiot jest już wpisany?
Należy zweryfikować, czy wpis został wcześniej dokonany przez inną upoważnioną osobę albo z urzędu. W takiej sytuacji właściwa może być aktualizacja lub uzupełnienie istniejącego wpisu, a nie ponowna samorejestracja.
Czy zagraniczny członek zarządu bez numeru PESEL może dokonać rejestracji?
W określonych przypadkach tak. Od września 2026 r. System S46 udostępnia możliwość uwierzytelniania za pomocą zagranicznych środków identyfikacji elektronicznej eID wydanych w obsługiwanych państwach. Szczegółowe zasady opisuje Ministerstwo Cyfryzacji.
Czy wpis do Wykazu KSC jest publiczny?
Nie. Wykaz KSC nie funkcjonuje jak publiczny rejestr przedsiębiorców, w którym każda osoba może sprawdzić szczegółowe dane podmiotów. Dostęp do informacji ograniczony jest przepisami ustawy i zasadami działania systemu.
Co powinien teraz zrobić zarząd?
Jeżeli przedsiębiorca stwierdził, że termin złożenia wniosku mógł zostać przekroczony, rekomendujemy trzy działania.
Po pierwsze: potwierdzić kwalifikację prawną organizacji. Trzeba ustalić, czy przedsiębiorstwo rzeczywiście jest podmiotem kluczowym lub ważnym, od kiedy spełnia odpowiednie przesłanki i czy podlega samorejestracji.
Po drugie: dopełnić obowiązku wpisu i zachować dokumentację. Jeżeli wniosek był wymagany, dalsze oczekiwanie nie poprawia sytuacji prawnej. Należy przygotować prawidłowy formularz, skutecznie go złożyć i udokumentować działania.
Po trzecie: zaplanować wykonanie pozostałych obowiązków. Rejestracja nie zastępuje wdrożenia wymagań organizacyjnych i technicznych. Szczególnie istotny pozostaje termin 3 kwietnia 2027 r. dla podmiotów objętych odpowiednim okresem przejściowym.
W Pasternak Business Law wspieramy przedsiębiorców oraz zarządy w analizie obowiązków wynikających z regulacji dotyczących cyberbezpieczeństwa, technologii i compliance.
W przypadku wątpliwości dotyczących spóźnionego wpisu do Wykazu KSC punktem wyjścia może być analiza kwalifikacyjna obejmująca status podmiotu, termin rejestracji, ocenę ryzyk prawnych oraz rekomendowane działania naprawcze.
Następnie możliwe jest przygotowanie mapy obowiązków, przegląd dokumentacji i umów z dostawcami technologii oraz określenie zakresu niezbędnych działań dostosowawczych.
Nie masz pewności, czy Twoja firma powinna była zarejestrować się do 3 października 2026 r.?
Warto wyjaśnić tę kwestię zanim podejmiesz kolejne działania. Prawidłowa kwalifikacja może wykazać zarówno istnienie zaległego obowiązku, jak i brak podstaw do uznania firmy za podmiot kluczowy lub ważny.
Skontaktuj się z Pasternak Business Law i omów sytuację swojej firmy.
Podstawy prawne i oficjalne źródła
- Ustawa z 23 stycznia 2026 r. o zmianie ustawy o krajowym systemie cyberbezpieczeństwa oraz niektórych innych ustaw – Dz.U. 2026 poz. 252 – w szczególności przepisy wprowadzające art. 7c, 7d, 7j, 73 i 73a KSC oraz art. 33 i 35 ustawy nowelizującej.
- Ustawa o krajowym systemie cyberbezpieczeństwa – tekst jednolity Dz.U. 2026 poz. 20 – z uwzględnieniem późniejszych zmian.
- Ministerstwo Cyfryzacji – komunikat dotyczący terminu 3 października 2026 r..
- Ministerstwo Cyfryzacji – samoidentyfikacja podmiotów kluczowych i ważnych.
- System S46 – oficjalna instrukcja samorejestracji w Wykazie KSC.
- System S46 – uzupełnienie danych po wpisie z urzędu.
- Ministerstwo Cyfryzacji – najważniejsze terminy KSC.
- Ministerstwo Cyfryzacji – oficjalne pytania i odpowiedzi dotyczące nowelizacji KSC.
- NSA, wyrok z 8 stycznia 2026 r., I OSK 1014/25 – dotyczący zasad stosowania art. 57 § 4 KPA do terminów materialnoprawnych, nie zaś bezpośrednio obowiązku wpisu do Wykazu KSC.
Autor: Bartosz Pasternak
Prawnik zarządzający, Pasternak Business Law
Stan prawny: 12 października 2026 r.
Materiał ma charakter informacyjny i edukacyjny. Nie stanowi porady prawnej ani opinii prawnej w indywidualnej sprawie. Ustalenie obowiązku wpisu do Wykazu KSC, właściwego terminu oraz ewentualnych konsekwencji jego przekroczenia wymaga uwzględnienia rzeczywistego charakteru działalności, struktury podmiotu i aktualnego stanu prawnego.