Czy Twoja firma musi wpisać się do wykazu KSC? Sprawdź przed 3 października 2026 r.

Nowelizacja ustawy o Krajowym Systemie Cyberbezpieczeństwa, wdrażająca dyrektywę NIS2, nakłada na część przedsiębiorców nowy obowiązek – samodzielną identyfikację statusu w systemie. Firmy muszą ocenić, czy spełniają kryteria podmiotu kluczowego lub ważnego oraz czy podlegają wpisowi do wykazu KSC. Czas na dopełnienie formalności i złożenie wniosku upływa 3 października 2026 r. 

Cyberbezpieczeństwo coraz częściej wpływa na ciągłość działania firm, bezpieczeństwo danych, relacje z klientami i partnerami biznesowymi. Skalę wyzwań pokazują dane z raportu rocznego CERT Polska, działającego w strukturach NASK – w 2025 roku zespół otrzymał  ponad 650 tysięcy  zgłoszeń, na podstawie których zarejestrowano ponad 260 tysięcy unikalne incydenty bezpieczeństwa. Dlatego sprawdzenie, czy firma podlega obowiązkom wynikającym z ustawy o krajowym systemie cyberbezpieczeństwa, nie powinno być traktowane wyłącznie jako formalność.

Cyberbezpieczeństwo jako obowiązek biznesowy

Nowe przepisy wzmacniają krajowy system cyberbezpieczeństwa i obejmują podmioty, które mają znaczenie dla funkcjonowania usług, gospodarki oraz bezpieczeństwa cyfrowego. W praktyce oznacza to, że obowiązki mogą dotyczyć nie tylko firm z branży IT. Obejmują również przedsiębiorstwa działające m.in. w sektorze produkcyjnym, chemicznym, ICT, logistycznym czy kosmicznym.

Dla przedsiębiorcy najważniejsza jest odpowiedź na pytanie: czy moją firmę obejmuje obowiązek wpisu do wykazu KSC? Zależy to od profilu działalności, wielkości firmy i zakresu świadczonych usług. To właśnie można sprawdzić za pomocą usługi Pre-weryfikacja zgodności z zaleceniami NIS2 dostępnej na portalu Biznes.gov.pl.

– Warto potraktować pre-weryfikację jako pierwszy krok do uporządkowania obszaru cyberbezpieczeństwa w firmie. Chodzi o świadomą ocenę, czy nowe przepisy dotyczą danej organizacji. Usługa dostępna na Biznes.gov.pl prowadzi przedsiębiorcę przez najważniejsze elementy: sektor działalności, kody PKD, wielkość podmiotu i tryb wpisu. Im wcześniej firma to sprawdzi, tym więcej czasu zyska na przygotowanie danych, podjęcie właściwych decyzji i spokojne złożenie wniosku, jeśli okaże się to konieczne — komentuje Maria Magdoń, Zastępca Dyrektora Departamentu Gospodarki Cyfrowej w Ministerstwie Rozwoju i Technologii.

Czym jest wykaz KSC?

Wykaz Krajowego Systemu Bezpieczeństwa (KSC) to spis podmiotów kluczowych i ważnych. W uproszczeniu pozwala zidentyfikować firmy i instytucje z sektorów kluczowych, m.in. energii, transportu czy przestrzeni kosmicznej oraz sektorów ważnych, do których należą m.in. gospodarka odpadami, produkcja, czy wytwarzanie i dystrybucja chemikaliów.

Wykaz KSC jest prowadzony w Systemie S46. To właśnie za jego pośrednictwem obsługiwane są elektroniczne wnioski związane z wpisem, zmianą wpisu albo wykreśleniem z wykazu. Dla firmy najważniejsze jest więc najpierw sprawdzenie na stronie Biznes.gov.pl, czy obowiązek wpisu jej dotyczy, a następnie, jeśli podlega samorejestracji, złożenie właściwego wniosku elektronicznie.

Wpis do Wykazu KSC oznacza objęcie organizacji konkretnymi obowiązkami. Chodzi m.in. o zarządzanie ryzykiem, przygotowanie procedur, reagowanie na incydenty, wskazanie osób kontaktowych, utrzymywanie odpowiedniej dokumentacji i współpracę z właściwymi organami.

Nie jest to wyłącznie formalność administracyjna. To także moment, w którym firma powinna sprawdzić, od jakich systemów zależy jej działalność, kto odpowiada za bezpieczeństwo, jakie procedury obowiązują w razie incydentu i jak szybko organizacja jest w stanie zareagować.

Samodzielna rejestracja czy wpis z urzędu?

Przepisy przewidują dwa tryby wpisu do Wykazu KSC.

Pierwszy to samodzielna rejestracja. Dotyczy podmiotów, które prowadzą działalność w sektorze objętym ustawą, spełniają kryteria uznania za podmiot kluczowy lub ważny i nie są wpisywane do wykazu z urzędu. Ten tryb dotyczy przede wszystkim podmiotów prywatnych. W takim przypadku firma sama składa wniosek o wpis, a termin złożenia wniosku upływa 3 października 2026 r.

Drugi tryb to wpis z urzędu. Dotyczy części podmiotów kluczowych lub ważnych, które są wpisywane do wykazu przez Ministra Cyfryzacji bez składania wniosku. W tej grupie znajdują się m.in. podmioty publiczne, przedsiębiorcy telekomunikacyjni, dostawcy usług zaufania oraz podmioty, które wcześniej miały status operatora usługi kluczowej. Takie organizacje czekają na wezwanie, po którym uzupełniają wpis. Dlatego zanim firma podejmie dalsze działania, powinna ustalić, która ścieżka jej dotyczy.

Jak sprawdzić obowiązek wpisu krok po kroku?

1. Wejdź na stronę usługi Skorzystaj z usługi dotyczącej sprawdzenia obowiązku wpisu do wykazu KSC.

2. Sprawdź, czy Twoja działalność mieści się w sektorach objętych ustawą
Zweryfikuj, czy branża i zakres działalności Twojej firmy znajdują się w katalogu sektorów wskazanych w przepisach, np. produkcja, chemia, ICT, logistyka, usługi cyfrowe lub sektor kosmiczny.

3. Zweryfikuj kody PKD
Kody PKD pomagają określić, czy działalność firmy może mieścić się w zakresie objętym nowymi obowiązkami.

4. Sprawdź wielkość podmiotu
Znaczenie może mieć m.in. liczba pracowników, skala działalności oraz powiązania z innymi podmiotami.

5. Ustal, czy firma powinna złożyć wniosek samodzielnie, czy czekać na wezwanie
Jeżeli organizacja jest wpisywana z urzędu, nie składa wniosku o wpis samodzielnie. Jeżeli podlega samorejestracji, powinna złożyć wniosek w terminie.

6. Jeśli obowiązek dotyczy firmy — przejdź do wniosku
W takim przypadku wniosek składa kierownik podmiotu albo osoba przez niego upoważniona. Wniosek jest składany elektronicznie.

Nie czekaj na ostatni tydzień

Termin złożenia wniosku o wpis do wykazu KSC upływa 3 października 2026 r. To nie oznacza, że warto czekać do końca września. Samo sprawdzenie obowiązku może zająć niewiele czasu, ale zebranie danych, ustalenie ścieżki wpisu i podpisanie wniosku wymaga wcześniejszego przygotowania.

Więcej informacji na temat obowiązków firm w Krajowym Systemie Cyberbezpieczeństwa znajduje się na stronie Biznes.gov.pl.

Artykuł został przygotowany w ramach kampanii edukacyjno-informacyjnej dla przedsiębiorców „Cyfrowy Biznes”, upowszechniającej korzyści płynące z technologii cyfrowych i cyberbezpieczeństwa. Projekt jest dofinansowany z Funduszy Europejskich w ramach programu Fundusze Europejskie na Rozwój Cyfrowy.

/ informacja prasowa