Wykaz podmiotów kluczowych i podmiotów ważnych (Wykaz KSC) to lista organizacji objętych przepisami o krajowym systemie cyberbezpieczeństwa. Podmioty zobowiązane do samorejestracji, które spełniały przesłanki uznania za podmiot kluczowy lub podmiot ważny już w dniu wejścia w życie nowelizacji ustawy o krajowym systemie cyberbezpieczeństwa (UKSC), tj. 3 kwietnia 2026 r., mają czas do 3 października 2026 r. na złożenie wniosku o wpis do Wykazu KSC.
Nowelizacja UKSC objęła obowiązkami nowe sektory i podmioty. Organizacje, które jeszcze tego nie zrobiły, powinny sprawdzić, czy nowe przepisy mają do nich zastosowanie.
Od czego zacząć?
Pierwszym krokiem jest samoidentyfikacja, czyli ustalenie, czy organizacja spełnia kryteria podmiotu kluczowego lub podmiotu ważnego.
W tym celu należy sprawdzić przede wszystkim:
- w jakim sektorze działa organizacja,
- jaki rodzaj działalności prowadzi i jakie usługi świadczy,
- jakiej jest wielkości,
- czy spełnia inne kryteria wskazane w UKSC.
Jeżeli z przeprowadzonej analizy wynika, że organizacja jest podmiotem kluczowym lub podmiotem ważnym i i nie podlega wpisowi do Wykazu KSC z urzędu, powinna złożyć wniosek o wpis najpóźniej do 3 października 2026 r, o ile spełniała przesłanki uznania za taki podmiot już w dniu 3 kwietnia 2026 r.
Nie każdy podmiot musi rejestrować się samodzielnie
Część podmiotów jest wpisywana do Wykazu KSC z urzędu. Dotyczy to podmiotów publicznych, przedsiębiorców telekomunikacyjnych, dostawców usług zaufania oraz dotychczasowych operatorów usług kluczowych. Podmioty te nie składają wniosku o wpis, ale po otrzymaniu wezwania uzupełniają wymagane dane.
Pozostałe podmioty, które spełniają kryteria określone w ustawie, dokonują samorejestracji.
Jak dokonać samorejestracji?
Wniosek składa się elektronicznie za pośrednictwem aplikacji Wykaz KSC. Może go złożyć kierownik podmiotu lub osoba przez niego upoważniona.
W przypadku wątpliwości dotyczących tego, czy organizacja podlega UKSC, można skorzystać z materiałów Ministerstwa Cyfryzacji dotyczących samoidentyfikacji i samorejestracji.
Wpis do Wykazu KSC – i co dalej?
Wpis do Wykazu KSC to jeden z pierwszych kroków związanych z nowymi przepisami. Podmioty kluczowe i podmioty ważne muszą również przygotować się do realizacji pozostałych obowiązków wynikających z ustawy, m.in. w zakresie zarządzania ryzykiem, bezpieczeństwa systemów informacyjnych czy obsługi i zgłaszania incydentów.
Dla podmiotów, które spełniały kryteria w dniu wejścia w życie nowelizacji, termin na wdrożenie obowiązków wynikających z nowych przepisów upływa 3 kwietnia 2027 r.
Wideo
Film pokazuje, jak uzupełnić dane po wpisie podmiotu do Wykazu z urzędu i otrzymaniu wezwania z kodem. Zawarte w nim informacje będą również przydatne podmiotom objętym samorejestracją, ponieważ zakres wymaganych danych jest w obu przypadkach taki sam.
Dla podmiotów zagranicznych dostępne jest również logowanie do Wykazu za pomocą eID. Więcej informacji znajduje się w komunikacie: Nowa funkcjonalność w Systemie S46 – logowanie przez eID – Ministerstwo Cyfryzacji – Portal Gov.pl
Przydatne linki
Wykaz KSC – złożenie wniosku o wpis:
https://wykaz-ksc.gov.pl
Jak sprawdzić, czy organizacja podlega KSC – samoidentyfikacja:
https://www.gov.pl/web/cyfryzacja/nowelizacja-ustawy-o-krajowym-systemie-cyberbezpieczenstwa-ksc—jak-dokonac-samoidentyfikacji
Jak dokonać samorejestracji w Wykazie KSC:
https://www.gov.pl/web/cyfryzacja/nowelizacja-ustawy-o-krajowym-systemie-cyberbezpieczenstwa-ksc–uruchamiamy-samorejestracje-w-wykazie-podmiotow-kluczowych-i-podmiotow-waznych-sprawdz-jak-dokonac-wpisu