Ustawa o KSC obejmuje także branże, które rzadko kojarzą się z cyberbezpieczeństwem, na przykład hurtownie spożywcze i operatorów punktów ładowania. Ilustracja wygenerowana przez AI.
Czy ustawa o KSC dotyczy twojej firmy?
Objęte firmy dzielą się na podmioty najważniejsze i podmioty ważne. Decydują dwie rzeczy: sektor, w którym faktycznie działasz, i wielkość firmy. Wcześniej przepisy dotyczyły niespełna 400 operatorów usług kluczowych, dziś Ministerstwo Cyfryzacji szacuje około 38 tys. podmiotów, w tym około 27 tys. publicznych.
Sektory kluczoweSektory ważneEnergia (w tym operatorzy punktów ładowania)Usługi pocztoweTransportInwestycje energetyki jądrowejBankowość i infrastruktura rynków finansowychGospodarowanie odpadamiOchrona zdrowia (w tym produkcja i dystrybucja leków)Produkcja, wytwarzanie i dystrybucja chemikaliówZaopatrzenie w wodę pitną i jej dystrybucjaProdukcja, przetwarzanie i dystrybucja żywnościZbiorowe odprowadzanie ściekówProdukcjaInfrastruktura cyfrowa (w tym komunikacja elektroniczna)Dostawcy usług cyfrowychZarządzanie usługami ICTBadania naukowePrzestrzeń kosmicznaPodmioty publicznePodmioty publiczne
Zestawienie sektorów z obu załączników do ustawy, w których każdy sektor ma jeszcze własne podsektory i rodzaje podmiotów.
Sektor to co innego niż główny kod PKD w rejestrze, bo liczy się to, co firma naprawdę robi – łącznie z działalnością poboczną i z usługami świadczonymi innym spółkom w grupie. Dlatego pod ustawę potrafi podpaść hurtownia spożywcza, zakład mleczarski, operator sieci ładowarek albo firma budowlana, która przy okazji prowadzi ujęcie wody.
Przy samoidentyfikacji nie wystarczy sprawdzić głównego kodu PKD, trzeba przeanalizować rzeczywisty zakres całej działalności organizacji, w tym działalność poboczną i usługi wewnątrzgrupowe, bo właśnie tam często kryje się „haczyk”, mówi Aleksander Elmerych, radca prawny i senior associate w kancelarii Traple Konarski Podrecki i Wspólnicy, cytowany przez Prawo.pl
Wielkość firmy liczy się według unijnej definicji małego i średniego przedsiębiorcy, tej samej, która działa przy dotacjach. Polskie Prawo przedsiębiorców tu nie rządzi. W skrócie: średnia firma z tych sektorów będzie zwykle podmiotem ważnym, duża kluczowym. Firma przestaje być mała, gdy zatrudnia co najmniej 50 osób albo gdy jej roczny obrót oraz suma bilansowa przekroczą 10 mln euro.
Tu siedzi pułapka, która potrafi odwrócić cały wynik. Przy liczeniu progów dolicza się dane firm partnerskich i powiązanych, więc spółka z dwudziestoma pracownikami, siedząca w grupie kapitałowej, przekracza próg cudzymi liczbami.
Część działalności podlega ustawie bez względu na wielkość firmy. To między innymi:
dostawcy usług DNS,
rejestry domen najwyższego poziomu,
kwalifikowani dostawcy usług zaufania,
sprzedawcy domen razem z odsprzedawcami,
firmy telekomunikacyjne (te podlegają zawsze).
Wielkość przesądza tylko o tym, w której z dwóch kategorii się znajdą. Opisywaliśmy ten mechanizm w tekście o obowiązkach sprzedawców domen i usług DNS.
Jednej grupy nie da się dziś zakwalifikować na pewno: dostawców systemu w modelu SaaS. Chmura obliczeniowa siedzi wśród sektorów kluczowych, a usługi cyfrowe z drugiego załącznika to sklepy internetowe, wyszukiwarki i serwisy społecznościowe. Urzędowego rozstrzygnięcia nie ma i przed 3 października raczej się nie pojawi.
Od kiedy obowiązuje KSC
Ustawa działa od 3 kwietnia 2026 roku. Obowiązki zaczynają się w dniu, w którym firma spełni ustawowe przesłanki, a nie w dniu wpisu do wykazu. Spóźniona rejestracja niczego nie odracza.
Część firm państwo wpisało samo, między 13 kwietnia a 6 maja. Objęło to podmioty publiczne, firmy telekomunikacyjne, dostawców usług zaufania i dotychczasowych operatorów usług kluczowych. Kto tam trafił, dostał zawiadomienie z linkiem i kodem dostępu. Na uzupełnienie danych ma sześć miesięcy od jego doręczenia.
Okno wpisów z urzędu jest zamknięte. jeżeli zawiadomienie nie przyszło, wniosek składasz sam.
Co musisz zrobić, krok po kroku
Wejdź na wykaz-ksc.gov.pl i zaloguj się profilem zaufanym, mObywatelem, e-dowodem, bankowością albo certyfikatem kwalifikowanym. Publicznej wyszukiwarki nie ma, więc własny wpis zobaczysz dopiero po zalogowaniu.
Sprawdź, czy firma już figuruje w wykazie. jeżeli tak, zostaje ci uzupełnienie brakujących danych.
Wypisz wszystko, co firma naprawdę robi. Także działalność poboczną i usługi dla innych spółek w grupie.
Zestaw tę listę z tabelą sektorów, z progami wielkości (pamiętając o firmach partnerskich i powiązanych) oraz z wyjątkami, które podlegają niezależnie od skali.
Zbierz dane do wniosku: NIP, REGON, sektor, zakresy adresów IP i nazwy domen oraz dwie osoby do kontaktu w sprawie incydentów.
Wniosek podpisuje szef firmy albo osoba przez niego upoważniona, a przy pełnomocniku dołącza się pełnomocnictwo. W komplecie jest też oświadczenie o prawdziwości danych, składane pod rygorem odpowiedzialności karnej.
Jeśli wychodzi, iż firma nie podlega, zachowaj tę analizę z datą. I skonsultuj ją, zanim trafi do segregatora: utrwalona błędna analiza dowodzi później, iż temat był znany.
Kroki opisują procedurę, a nie ocenę konkretnej firmy. Kwalifikację warto potwierdzić w Ministerstwie Cyfryzacji albo u prawnika od cyberbezpieczeństwa. Zwłaszcza wtedy, gdy z analizy wychodzi, iż ustawa cię nie dotyczy.
Termin mija 3 października 2026 roku
To termin rejestracyjny: do tego dnia potrzebujesz decyzji i wypełnionego formularza. Systemu bezpieczeństwa jeszcze nie.
DataCo się dzieje3 kwietnia 2026Nowelizacja ustawy o KSC wchodzi w życie13 kwietnia 2026Ministerstwo Cyfryzacji uruchamia Wykaz KSC13 kwietnia do 6 maja 2026Wpisy z urzędu7 maja do 3 października 2026Wnioski składane samodzielnie3 kwietnia 2027Koniec okresu dostosowawczego, obowiązki techniczne i korzystanie z systemu S46kwiecień 2028Pierwszy audyt podmiotów kluczowych, pierwsze możliwe kary pieniężne
Reszta kalendarza jest wolniejsza, niż sugerują maile od firm sprzedających audyty zgodności.
Co grozi za spóźnienie
Za niezłożenie wniosku w terminie organ może nałożyć karę pieniężną, ale nie musi – decyduje waga i znaczenie naruszenia. Górna granica dla podmiotu kluczowego to 10 mln euro albo 2 proc. rocznych przychodów, przy czym liczy się kwota wyższa, a dolna granica wynosi 20 tys. zł. Dla podmiotu ważnego jest to 7 mln euro albo 1,4 proc. przychodów, nie mniej niż 15 tys. zł.
Tyle iż tych kar nie da się nałożyć wcześniej niż dwa lata po wejściu ustawy w życie, czyli w kwietniu 2028 roku. Kto straszy natychmiastową sankcją, mija się z przepisami.
Realna konsekwencja spóźnienia jest inna. Organ wpisze firmę z urzędu, a obowiązki i tak biegną od dnia, w którym firma spełniła przesłanki. Wpis niczego nie tworzy, tylko to odnotowuje.
Osobna sprawa to treść samego wniosku. Za fałszywe oświadczenie o prawdziwości danych grozi kara więzienia od 6 miesięcy do 8 lat, więc nie jest to formalność do wypełnienia na kolanie.
Dwadzieścia cztery dni to niewiele, ale wystarczą na przejście przez oba załączniki i wypełnienie formularza. Gorzej, jeżeli 4 października ktoś dopiero zacznie sprawdzać, czy Wykaz KSC w ogóle go dotyczy.
Podstawa prawna
Ustawa: nowelizacja ustawy o krajowym systemie cyberbezpieczeństwa z 23 stycznia 2026 r., Dz.U. 2026 poz. 252, obowiązuje od 3 kwietnia 2026 r.
Kto podlega i w której kategorii: art. 5 ustawy o KSC. Firmy telekomunikacyjne: art. 5 ust. 1 pkt 2 (podmiot kluczowy) oraz art. 5 ust. 2 pkt 4 (podmiot ważny). Objęci bez progu wielkości: art. 5 ust. 1 pkt 4, a definicja sprzedawcy domen wraz z odsprzedawcami w art. 2 pkt 11d.
Sektory: załączniki nr 1 i 2 do ustawy o KSC.
Progi wielkości: art. 2 ust. 1 załącznika I do rozporządzenia Komisji (UE) nr 651/2014, do którego odsyła art. 5 ustawy; doliczanie firm partnerskich i powiązanych w art. 3 i 6 tego załącznika.
Termin złożenia wniosku: dla podmiotów, które przesłanki spełniały 3 kwietnia 2026 r., art. 33 ust. 3 w związku z art. 34 ust. 3 nowelizacji (harmonogram ogłasza minister adekwatny do spraw informatyzacji). Dla podmiotów, które spełniły je później, sześć miesięcy z art. 7c ust. 1.
Zawartość wniosku i oświadczenie: art. 7c ust. 2 w związku z art. 7 ust. 2 pkt 1-18; oświadczenie kierownika podmiotu pod rygorem odpowiedzialności karnej w art. 7c ust. 5. Sankcja za fałszywe oświadczenie: art. 233 § 6 w związku z § 1 Kodeksu karnego (od 6 miesięcy do 8 lat pozbawienia wolności).
Kary pieniężne: art. 73 ust. 1a pkt 1 (fakultatywność), art. 73 ust. 3 (podmiot kluczowy), art. 73 ust. 4 (podmiot ważny). Pierwsze nałożenie możliwe po dwóch latach od wejścia nowelizacji w życie, art. 35 nowelizacji.
Pozostałe terminy: obowiązki z rozdziału 3 w ciągu 12 miesięcy, pierwszy audyt podmiotów kluczowych w ciągu 24 miesięcy od wejścia ustawy w życie, art. 33 nowelizacji.
Najczęstsze pytania
Do kiedy trzeba złożyć wniosek o wpis do Wykazu KSC?
Do 3 października 2026 roku.
Skąd wiadomo, czy firma została już wpisana?
Firmy wpisane z urzędu dostały zawiadomienie z linkiem i kodem dostępu. Wpis widać też po zalogowaniu na wykaz-ksc.gov.pl. Brak zawiadomienia przy spełnianiu kryteriów oznacza, iż wniosek trzeba złożyć samodzielnie.
Czy Wykaz KSC jest jawny?
Wykaz działa jako aplikacja w systemie S46 i nie ma publicznej wyszukiwarki firm. Własny wpis sprawdzisz po zalogowaniu przez Węzeł Krajowy.
Czy sam kod PKD wystarczy do oceny obowiązku?
Nie wystarczy, bo liczy się rzeczywisty zakres działalności, w tym ta poboczna i usługi świadczone spółkom z grupy.
Czy do 3 października trzeba mieć wdrożony system bezpieczeństwa?
Nie. Do października wystarczy złożony wniosek, a wdrożenie wymagań technicznych i korzystanie z systemu S46 obowiązuje od 3 kwietnia 2027 roku.
Źródła
Ustawa z 23 stycznia 2026 r. o zmianie ustawy o krajowym systemie cyberbezpieczeństwa, Dz.U. 2026 poz. 252: https://isap.sejm.gov.pl/isap.nsf/DocDetails.xsp?id=WDU20260000252
Ustawa o krajowym systemie cyberbezpieczeństwa w brzmieniu obowiązującym od 3 kwietnia 2026 r.
Ustawa z 6 czerwca 1997 r. Kodeks karny, art. 233, t.j. Dz.U. 2025 poz. 383: https://arslege.pl/falszywe-zeznania/k1/a268/
Rozporządzenie Komisji (UE) nr 651/2014, załącznik I
Ministerstwo Cyfryzacji, „Miesiąc na samorejestrację w Wykazie KSC. Termin mija 3 października”, 3 września 2026: https://www.gov.pl/web/cyfryzacja/miesiac-na-samorejestracje-w-wykazie-ksc-termin-mija-3-pazdziernika
Ministerstwo Cyfryzacji, „Uruchamiamy samorejestrację w Wykazie podmiotów kluczowych i podmiotów ważnych”, 6 maja 2026: https://www.gov.pl/web/cyfryzacja/nowelizacja-ustawy-o-krajowym-systemie-cyberbezpieczenstwa-ksc–uruchamiamy-samorejestracje-w-wykazie-podmiotow-kluczowych-i-podmiotow-waznych-sprawdz-jak-dokonac-wpisu
Ministerstwo Cyfryzacji, „Nowelizacja ustawy o KSC: kogo obejmuje”, 19 kwietnia 2026: https://www.gov.pl/web/cyfryzacja/nowelizacja-ustawy-o-krajowym-systemie-cyberbezpieczenstwa-ksc–kogo-obejmuje
Urząd Komunikacji Elektronicznej, „Rejestracja podmiotów komunikacji elektronicznej w wykazie podmiotów kluczowych i ważnych”: https://www.uke.gov.pl/akt/rejestracja-podmiotow-komunikacji-elektronicznej-w-wykazie-podmiotow-kluczowych-i-waznych,658.html
Prawo.pl, „Do 3 października firmy muszą zadeklarować, czy podlegają pod KSC. Lista branż może zaskoczyć”, 7 września 2026: https://www.prawo.pl/biznes/wykaz-ksc-jakie-firmy-maja-obowiazek-wpisu,1552283.html
Aplikacja Wykaz KSC: https://wykaz-ksc.gov.pl
