Dyrektywa NIS 2 – wpis do Wykazu KSC

Dyrektywa NIS 2 istotnie rozszerzyła zakres podmiotów objętych obowiązkami z obszaru cyberbezpieczeństwa. W Polsce została wdrożona ustawą z 23 stycznia 2026 r. o zmianie ustawy o krajowym systemie cyberbezpieczeństwa oraz niektórych innych ustaw, która weszła w życie 3 kwietnia 2026 r.

Jednym z pierwszych obowiązków organizacji objętych nowymi przepisami jest wpis do Wykazu podmiotów kluczowych i podmiotów ważnych, określanego jako Wykaz KSC. Dla podmiotów, które spełniały ustawowe przesłanki już w dniu wejścia w życie nowelizacji, termin na dokonanie samorejestracji upłynął 3 października 2026 r.

Nie oznacza to jednak, że podmiot, który nie dokonał wpisu w terminie, może uznać sprawę za zamkniętą. Powinien możliwie szybko przeprowadzić samoidentyfikację i, jeśli podlega ustawie, złożyć wniosek o wpis.

1. Czym jest Wykaz KSC?

Wykaz KSC jest prowadzonym przez ministra właściwego do spraw informatyzacji rejestrem podmiotów kluczowych i podmiotów ważnych. Funkcjonuje on w ramach Systemu S46, czyli systemu teleinformatycznego służącego współpracy uczestników krajowego systemu cyberbezpieczeństwa.

Wykaz służy w szczególności:

• identyfikacji podmiotów kluczowych i ważnych w poszczególnych sektorach,
• wymianie informacji między podmiotami objętymi ustawą a właściwymi zespołami CSIRT,
• współpracy z organami właściwymi do spraw cyberbezpieczeństwa,
• realizacji obowiązków związanych ze zgłaszaniem oraz obsługą incydentów,
• prowadzeniu czynności nadzorczych przez właściwe organy.

Wpis do Wykazu KSC nie ma zatem wyłącznie charakteru formalnego. Jest pierwszym etapem włączenia organizacji do krajowego systemu cyberbezpieczeństwa i warunkiem uzyskania dostępu do narzędzi umożliwiających wykonywanie dalszych obowiązków wynikających z ustawy.

2. Kto powinien sprawdzić, czy podlega obowiązkowi wpisu?

Podstawowym błędem jest utożsamianie NIS 2 wyłącznie z przedsiębiorstwami informatycznymi, telekomunikacyjnymi albo podmiotami zarządzającymi infrastrukturą krytyczną. Zakres nowych przepisów jest znacznie szerszy.

Dyrektywa NIS 2 oraz znowelizowana ustawa o krajowym systemie cyberbezpieczeństwa obejmują między innymi podmioty działające w sektorach:

• energetycznym,
• transportowym,
• bankowym i infrastruktury rynków finansowych,
• ochrony zdrowia,
• produkcji i dystrybucji wody pitnej,
• odprowadzania i oczyszczania ścieków,
• infrastruktury cyfrowej,
• zarządzania usługami ICT,
• administracji publicznej,
• przestrzeni kosmicznej,
• usług pocztowych i kurierskich,
• gospodarowania odpadami,
• produkcji i dystrybucji chemikaliów,
• produkcji, przetwarzania i dystrybucji żywności,
• określonych rodzajów produkcji przemysłowej,
• usług cyfrowych,
• działalności badawczej.

Szczegółowy zakres sektorów, podsektorów i rodzajów działalności należy ustalać na podstawie art. 5 oraz załączników nr 1 i 2 do ustawy o krajowym systemie cyberbezpieczeństwa. Sam kod PKD może być pomocny, ale nie powinien być jedyną podstawą oceny. Decydujące znaczenie ma rzeczywiście prowadzona działalność oraz rodzaj świadczonych usług.

3. Samoidentyfikacja, czyli obowiązek samodzielnej oceny

Nowy system opiera się w dużym stopniu na mechanizmie samoidentyfikacji. Oznacza to, że przedsiębiorca lub inna organizacja powinny samodzielnie ustalić, czy spełniają kryteria podmiotu kluczowego albo podmiotu ważnego.

W praktyce analiza powinna obejmować co najmniej trzy obszary.

Profil prowadzonej działalności

W pierwszej kolejności należy zbadać, czy organizacja prowadzi działalność w sektorze, podsektorze lub rodzaju działalności wymienionym w załącznikach do ustawy.

Nie wystarczy przy tym sprawdzenie przedmiotu działalności ujawnionego w KRS lub CEIDG. Konieczne jest ustalenie, jakie usługi podmiot faktycznie świadczy, na czyją rzecz i w jakim modelu organizacyjnym.

Wielkość podmiotu

Znaczenie mają również kryteria wielkościowe, odnoszące się w szczególności do liczby zatrudnionych, rocznego obrotu i sumy bilansowej.

Co do zasady regulacją zostały objęte przede wszystkim średnie i duże podmioty działające w sektorach wskazanych w ustawie. Nie jest to jednak reguła bez wyjątków. W określonych przypadkach ustawa może mieć zastosowanie również do mniejszych organizacji, na przykład z uwagi na charakter świadczonych usług, znaczenie podmiotu dla bezpieczeństwa lub ciągłości funkcjonowania danego sektora albo szczególną kategorię działalności.

Powiązania z innymi przedsiębiorstwami

Przy badaniu kryteriów wielkościowych nie można automatycznie ograniczać się do danych jednego podmiotu wynikających z jego sprawozdania finansowego. W zależności od struktury właścicielskiej może powstać konieczność uwzględnienia danych przedsiębiorstw partnerskich lub powiązanych.

Ma to szczególne znaczenie w grupach kapitałowych. Spółka, która analizowana samodzielnie wydaje się małym przedsiębiorstwem, po uwzględnieniu wymaganych prawem danych podmiotów powiązanych może przekraczać progi właściwe dla średniego albo dużego przedsiębiorstwa.

4. Podmiot kluczowy czy podmiot ważny?

Ustawa wprowadza dwie podstawowe kategorie organizacji objętych regulacją:

• podmioty kluczowe,
• podmioty ważne.

Zakwalifikowanie organizacji do jednej z tych kategorii zależy przede wszystkim od sektora działalności, wielkości przedsiębiorstwa oraz szczególnych przesłanek wskazanych w ustawie.

Rozróżnienie nie ma wyłącznie znaczenia terminologicznego. Wpływa między innymi na intensywność nadzoru, zakres niektórych obowiązków oraz zasady przeprowadzania audytów cyberbezpieczeństwa. Przykładowo, obowiązek przeprowadzania regularnego audytu został przewidziany zasadniczo dla podmiotów kluczowych, natomiast wobec podmiotów ważnych audyt może zostać nakazany przez właściwy organ w określonych przypadkach.

5. Samorejestracja czy wpis z urzędu?

Ustawa przewiduje dwa tryby ujęcia organizacji w Wykazie KSC.

Samodzielny wniosek o wpis

Samorejestracja dotyczy przede wszystkim podmiotów prywatnych, które:

• prowadzą działalność określoną w załączniku nr 1 lub nr 2 do ustawy,
• spełniają właściwe kryteria uznania za podmiot kluczowy albo ważny,
• nie należą do kategorii podmiotów wpisywanych z urzędu.

Wniosek składa się elektronicznie za pośrednictwem aplikacji Wykaz KSC. Może go złożyć i podpisać kierownik podmiotu albo osoba przez niego upoważniona.

Co do zasady, podmiot powinien złożyć wniosek w terminie sześciu miesięcy od dnia spełnienia przesłanek uznania go za podmiot kluczowy lub podmiot ważny. Dla organizacji, które spełniały kryteria już 3 kwietnia 2026 r., termin przejściowy upłynął 3 października 2026 r.

Wpis z urzędu

Część organizacji jest wpisywana do wykazu z urzędu. Dotyczy to w szczególności:

• podmiotów publicznych,
• przedsiębiorców telekomunikacyjnych,
• dostawców usług zaufania,
• podmiotów posiadających wcześniej status operatora usługi kluczowej.

Podmiot wpisany z urzędu nie składa odrębnego wniosku o wpis. Otrzymuje natomiast zawiadomienie oraz wezwanie do uzupełnienia danych. Na ich przekazanie ma sześć miesięcy od dnia doręczenia wezwania.

6. Jakie dane trzeba przygotować?

Wniosek o wpis do Wykazu KSC jest bardziej rozbudowany niż standardowy formularz rejestracyjny. Przed jego złożeniem należy przygotować między innymi:

• nazwę podmiotu, NIP i REGON,
• informacje o rejestrach działalności regulowanej,
• wskazanie sektora, podsektora i rodzaju działalności,
• dane adresowe i kontaktowe,
• adres do doręczeń elektronicznych,
• dane osób odpowiedzialnych za kontakt z uczestnikami krajowego systemu cyberbezpieczeństwa,
• dane administratora konta w Systemie S46,
• zakresy publicznych adresów IP,
• domeny internetowe,
• informacje o przedstawicielu, jeżeli został ustanowiony,
• informacje o dostawcach usług zarządzanych w zakresie cyberbezpieczeństwa,
• informacje dotyczące współpracy w zakresie wymiany informacji o cyberbezpieczeństwie,
• pełnomocnictwo, jeżeli wniosek składa osoba upoważniona.

Wniosek zawiera oświadczenie kierownika podmiotu składane pod rygorem odpowiedzialności karnej za złożenie fałszywego oświadczenia. Ustawa i formularz przewidują wyjątek dotyczący zakresów adresów IP oraz nazw domenowych. Z tego względu przed złożeniem wniosku rekomendowana jest nie tylko analiza prawna, ale również wewnętrzna weryfikacja danych przez osoby odpowiedzialne za IT, bezpieczeństwo, compliance i strukturę organizacyjną.

7. Co w sytuacji, gdy termin 3 października 2026 r. został przekroczony?

Termin 3 października 2026 r. dotyczył podmiotów, które spełniały przesłanki ustawowe w dniu wejścia w życie nowelizacji i były zobowiązane do samorejestracji. Na dzień publikacji niniejszego artykułu termin ten już upłynął.

Podmiot, który nie złożył wniosku w terminie, powinien:

• niezwłocznie przeprowadzić i udokumentować analizę podlegania ustawie,
• ustalić, czy podlegał samorejestracji, czy wpisowi z urzędu,
• w przypadku potwierdzenia obowiązku złożyć wniosek bez dalszej zwłoki,
• przygotować wewnętrzny plan wdrożenia pozostałych obowiązków,
• zabezpieczyć dokumentację pokazującą podjęte działania naprawcze.

Przekroczenie terminu nie powoduje wygaśnięcia obowiązku wpisu. Z perspektywy ryzyka prawnego i nadzorczego dalsza bezczynność może być oceniana znacznie bardziej negatywnie niż spóźnione, ale dobrowolne i kompleksowe uporządkowanie statusu organizacji.

8. Wpis do wykazu to dopiero początek

Sam wpis do Wykazu KSC nie oznacza wykonania wszystkich obowiązków wynikających z NIS 2 i ustawy o krajowym systemie cyberbezpieczeństwa.

Podmioty objęte regulacją są zobowiązane między innymi do:

• wdrożenia systemu zarządzania bezpieczeństwem informacji,
• prowadzenia systematycznej analizy ryzyka,
• wdrożenia środków technicznych i organizacyjnych adekwatnych do zidentyfikowanego ryzyka,
• zapewnienia odpowiednich procedur reagowania na incydenty,
• zgłaszania incydentów do właściwego zespołu CSIRT,
• zapewnienia ciągłości działania i odpowiedniego zarządzania kryzysowego,
• odpowiedniego zarządzania bezpieczeństwem łańcucha dostaw,
• wyznaczenia osób odpowiedzialnych za kontakty z podmiotami krajowego systemu cyberbezpieczeństwa,
• podłączenia się do Systemu S46,
• w określonych przypadkach przeprowadzania audytów cyberbezpieczeństwa.

Podmioty, które spełniały ustawowe przesłanki w dniu 3 kwietnia 2026 r., powinny podłączyć się do Systemu S46 oraz wdrożyć zasadnicze obowiązki wynikające z nowych przepisów do 3 kwietnia 2027 r. Pierwszy obowiązkowy audyt określonych podmiotów kluczowych powinien zostać przeprowadzony do 3 kwietnia 2028 r.

9. Jak prawidłowo przygotować organizację do wpisu?

Procesu rejestracji nie należy rozpoczynać od samego wypełniania formularza. Prawidłowa kolejność działań powinna wyglądać następująco:

Krok 1. Analiza zakresu działalności

Należy zidentyfikować wszystkie rodzaje faktycznie prowadzonej działalności i świadczonych usług, także te, które mają charakter pomocniczy albo są realizowane wyłącznie na rzecz innych podmiotów z grupy.

Krok 2. Przyporządkowanie działalności do załączników ustawy

Konieczne jest ustalenie, czy którykolwiek z obszarów działalności odpowiada sektorowi, podsektorowi lub rodzajowi podmiotu wskazanemu w załączniku nr 1 albo nr 2 do ustawy.

Krok 3. Weryfikacja kryteriów wielkościowych

Analiza powinna uwzględniać zatrudnienie, obrót, sumę bilansową oraz, jeżeli jest to wymagane, dane przedsiębiorstw partnerskich i powiązanych.

Krok 4. Ustalenie kategorii podmiotu

Należy określić, czy organizacja jest podmiotem kluczowym, podmiotem ważnym, czy nie podlega ustawie.

Krok 5. Weryfikacja trybu wpisu

Organizacja powinna ustalić, czy składa samodzielny wniosek, czy też oczekuje na zawiadomienie o wpisie z urzędu.

Krok 6. Zebranie danych prawnych i technicznych

W proces powinni być zaangażowani co najmniej przedstawiciele zarządu, działu prawnego, compliance, IT, cyberbezpieczeństwa oraz osoby posiadające wiedzę o strukturze grupy kapitałowej.

Krok 7. Złożenie wniosku i zachowanie dokumentacji

Należy zachować kopię wniosku, pełnomocnictwa, potwierdzenie jego złożenia oraz dokumentację przeprowadzonej samoidentyfikacji.

10. Najważniejszy wniosek dla przedsiębiorców

Wejście w życie przepisów wdrażających NIS 2 oznacza zmianę sposobu podejścia do cyberbezpieczeństwa. Nie jest ono już wyłącznie technicznym zadaniem działu IT. Stało się elementem odpowiedzialności prawnej, organizacyjnej i zarządczej.

Wpis do Wykazu KSC jest jednym z pierwszych obowiązków formalnych, ale poprzedzająca go samoidentyfikacja wymaga połączenia wiedzy prawnej, finansowej, organizacyjnej i technicznej. Nieprawidłowa ocena może prowadzić zarówno do pominięcia obowiązku rejestracji, jak i do błędnego przypisania organizacji do sektora lub kategorii podmiotów.

Dlatego przedsiębiorcy powinni nie tylko sprawdzić, czy ich podstawowa działalność została wymieniona w ustawie, lecz także przeanalizować działalność dodatkową, strukturę grupy kapitałowej, relacje z podmiotami powiązanymi oraz rzeczywisty zakres świadczonych usług.

W razie wątpliwości analiza powinna zostać udokumentowana. Pozwala to nie tylko podjąć prawidłową decyzję dotyczącą wpisu, ale również wykazać, że organizacja dochowała należytej staranności przy ocenie swojego statusu.