KSC po nowelizacji: do 3 października musisz być w Wykazie

Znowelizowana ustawa o krajowym systemie cyberbezpieczeństwa (KSC) wdraża w Polsce dyrektywę NIS2 i wyznacza pierwszy twardy termin: do 3 października 2026 r. podmioty kluczowe i ważne muszą trafić do Wykazu KSC. Pierwszy test to samoidentyfikacja. Wiele firm, które ustawa obejmuje, wciąż nie wie, że jest „podmiotem ważnym”.

„Czy my w ogóle jesteśmy podmiotem ważnym?”

Wtorek, 9:10. Dyrektor finansowy polskiej spółki otwiera mail od szefowej zgodności grupy z Monachium: „Proszę potwierdzić do piątku, czy spółka podlega polskiej implementacji NIS2 i czy została zarejestrowana”. Odpowiedź „chyba nas to nie dotyczy” nie przejdzie, bo grupa raportuje status każdej spółki zależnej.

Ustawa działa w logice samoidentyfikacji: podmiot sam ustala, że podlega, i sam zgłasza się do Wykazu. Zakres idzie za sektorami z załączników NIS2. Obok energetyki, transportu i ochrony zdrowia są tam m.in. zarządzanie usługami ICT, usługi pocztowe i kurierskie, gospodarka odpadami, chemia, żywność oraz produkcja elektroniki, maszyn i pojazdów. Progiem jest co do zasady wielkość co najmniej średniego przedsiębiorstwa w rozumieniu prawa unijnego, czyli od 50 osób zatrudnienia albo ponad 10 mln euro rocznego obrotu, a część podmiotów wchodzi do systemu niezależnie od wielkości. Średni dostawca usług IT, firma logistyczna i zakład produkcyjny, które nigdy nie miały do czynienia z regulatorem cyberbezpieczeństwa, często są w zakresie i o tym nie wiedzą.

Trzy daty do kalendarza zarządu

Harmonogram opublikowany na gov.pl jest krótki:

3 października 2026 r.: wpis do Wykazu KSC.
3 kwietnia 2027 r.: wdrożone obowiązki, w tym system zarządzania bezpieczeństwem informacji (SZBI), zgłaszanie incydentów i wyznaczone osoby odpowiedzialne, oraz podłączenie do systemu S46.
3 kwietnia 2028 r.: pierwszy obowiązkowy audyt cyberbezpieczeństwa, kolejne co najmniej raz na trzy lata.

Do samego wpisu wystarczą dane identyfikacyjne podmiotu, przypisanie do sektora i dane kontaktowe. Trudniejsza jest decyzja o zakresie, która stoi za wpisem, i tę analizę trzeba zamknąć w sierpniu albo wrześniu, z zapasem na przypadki graniczne.

Pułapka „zdążymy w marcu”

Kuszący plan wygląda tak: w październiku wpis, przez zimę spokój, w pierwszym kwartale 2027 r. szybkie domknięcie dokumentacji. Ten plan kończy się źle w 2028 r. Audytor zapyta o rok działania systemu: przeprowadzone analizy ryzyka, obsłużone i zgłoszone incydenty, wykonane przeglądy, decyzje osób odpowiedzialnych. SZBI wdrożony w ostatniej chwili formalnie mieści się w terminie 3 kwietnia 2027 r., ale do audytu nie zdąży wyprodukować dowodów, które obronią się rok później.

Co rekomendujemy teraz

Na najbliższe dwa tygodnie:

Zmapuj działalność spółki na sektory z załączników NIS2 i progi wielkości; wynik zapisz w notatce z jednoznacznym wnioskiem: w zakresie, poza zakresem albo przypadek graniczny do analizy prawnej.
Jeśli jesteś w zakresie, wyznacz właściciela tematu, skompletuj dane do wpisu i zaplanuj zgłoszenie na wrzesień, z zapasem na pytania i poprawki.
Wpisz trzy daty do kalendarza rady dyrektorów albo zarządu i omów je na najbliższym posiedzeniu razem z szacunkiem budżetu na SZBI na 2027 r.
Rozpisz plan od audytu wstecz: ustal, co musi realnie działać od kwietnia 2027 r., żeby audyt w 2028 r. zastał rok dowodów działania systemu.
W grupie kapitałowej przygotuj jedną skonsolidowaną odpowiedź dla centrali ze statusem każdej polskiej spółki.

Źródła: gov.pl: nowelizacja ustawy o KSC (obowiązki podmiotów kluczowych i ważnych)

Materiał ma charakter ogólnoinformacyjny i nie stanowi porady prawnej, inwestycyjnej, podatkowej, audytowej ani innej regulowanej usługi profesjonalnej. Zastosowanie informacji zależy od okoliczności, jurysdykcji i aktualnego stanu prawnego. Przed podjęciem działania należy sprawdzić aktualność wskazanych źródeł i uzyskać właściwe doradztwo.