Termin 3 października 2026 r. może dotyczyć firm, które 3 kwietnia 2026 r. spełniały przesłanki KSC i nie są wpisywane do wykazu z urzędu. Sam kod PKD nie rozstrzyga o obowiązku. Trzeba sprawdzić rzeczywistą działalność, wielkość firmy z uwzględnieniem powiązań, wyjątki oraz właściwą ścieżkę wpisu.

Samorejestracja nie dotyczy każdej firmy z branży kojarzonej z NIS2. Do 3 października 2026 r. wniosek powinny złożyć podmioty, które 3 kwietnia 2026 r. spełniały ustawowe przesłanki uznania za podmiot kluczowy lub ważny i nie należą do grup wpisywanych z urzędu. Ministerstwo Cyfryzacji opisuje ten harmonogram jako element wdrażania nowelizacji KSC.

Sam wpis do wykazu nie tworzy statusu podmiotu ani nie przesuwa terminów pozostałych obowiązków. Art. 7d ust. 5 ustawy nadaje wpisowi charakter deklaratoryjny, a aktualny tekst ustawy o KSC łączy status z ustawowymi przesłankami. Dla podmiotów objętych nowelizacją od 3 kwietnia 2026 r. okres dostosowawczy dla obowiązków z rozdziału 3 kończy się 3 kwietnia 2027 r.

Kogo dotyczy termin 3 października 2026 r

Termin 3 października 2026 r. dotyczy podmiotów, które spełniały przesłanki KSC w dniu wejścia nowelizacji w życie i nie są wpisywane do wykazu z urzędu.

Nowelizacja obowiązuje od 3 kwietnia 2026 r. Dla podmiotów, które zaczną spełniać przesłanki później, zwykły termin na wniosek wynosi sześć miesięcy od tego momentu. Podstawę tworzą art. 7c ust. 1 ustawy i przepisy przejściowe nowelizacji; praktyczny harmonogram publikuje Ministerstwo Cyfryzacji.

Nie każda firma działająca w transporcie, produkcji, handlu lub usługach cyfrowych podlega KSC. Ustawa odwołuje się do konkretnych rodzajów podmiotów i usług w załącznikach nr 1 i 2. Dlatego szeroka etykieta branżowa ani sam kod PKD nie wystarcza do kwalifikacji.

Jak ustalić czy firma podlega KSC

O podleganiu KSC rozstrzygają łącznie rzeczywistą działalność lub usługa, wielkość przedsiębiorstwa z uwzględnieniem powiązań, ustawowe wyjątki oraz właściwa ścieżka wpisu; sam kod PKD nie wystarcza.

Samoidentyfikację warto przeprowadzić w sześciu krokach. To narzędzie wstępne, nie indywidualna opinia prawna.

1. Sprawdź rzeczywistą działalność lub usługę. Porównaj faktycznie świadczone usługi z konkretnym rodzajem podmiotu w załączniku nr 1 albo 2 do ustawy. Nazwa branży i kod PKD mogą naprowadzać, ale nie rozstrzygają.
2. Ustal, czy wielkość w ogóle ma znaczenie. Niektóre kategorie podlegają KSC niezależnie od wielkości. Dotyczy to między innymi dostawców DNS, kwalifikowanych dostawców usług zaufania, podmiotów krytycznych i wskazanych podmiotów publicznych.
3. Oblicz wielkość według reguł UE, nie według jednego progu. Dla działalności z załącznika nr 1 przekroczenie wymogów średniego przedsiębiorstwa co do zasady oznacza status podmiotu kluczowego. Spełnienie tych wymogów bez statusu kluczowego oznacza zwykle podmiot ważny. Dla załącznika nr 2 spełnienie lub przekroczenie tych wymogów prowadzi co do zasady do statusu podmiotu ważnego. Wybrane kategorie podlegają regułom szczególnym.

Jeżeli firma działa w grupie, najpierw ustal, czy przedsiębiorstwa są samodzielne, partnerskie czy powiązane. Następnie zagreguj dane zgodnie z załącznikiem I do rozporządzenia 651/2014/UE.

Nie wystarczy porównać jednej spółki z wartościami 250 pracowników, 50 mln euro obrotu i 43 mln euro sumy bilansowej. Trzeba też uwzględnić ustawowe zastrzeżenie dotyczące art. 3 ust. 4 załącznika.

4. Sprawdź wyjątki dotyczące powiązań. Przekroczenie progu przez grupę nie zawsze przesądza o statusie. Art. 5 ust. 6 i 7 przewiduje wyjątek, gdy system informacyjny podmiotu jest niezależny od systemów przedsiębiorstw partnerskich lub powiązanych albo podmiot nie świadczy z nimi usług wspólnie. Zastosowanie wyjątku wymaga analizy rzeczywistego modelu działania.
5. Oddziel szczególne progi od wyłączeń. Ustawa zawiera odrębne reguły dla wybranych kategorii, między innymi niektórych podmiotów leczniczych, a także wyłączenia związane ze służbami specjalnymi i wskazanymi podmiotami podległymi lub nadzorowanymi przez Ministra Obrony Narodowej.
6. Ustal ścieżkę wpisu. Brak firmy w wykazie nie dowodzi, że obowiązek nie istnieje. Trzeba rozstrzygnąć, czy właściwy jest wpis z urzędu, czy samorejestracja.

Wpis z urzędu czy samorejestracja

Ustawa przewiduje dwie ścieżki: wniosek podmiotu oraz wpis z urzędu. Firma powinna najpierw ustalić, do której z nich należy, ponieważ podmiot wpisany z urzędu uzupełnia dane po otrzymaniu wezwania.

Z urzędu wpisywani są między innymi przedsiębiorcy telekomunikacyjni, dostawcy usług zaufania, podmioty publiczne i podmioty krytyczne. Wynika to z art. 7a ust. 2 aktualnego tekstu ustawy. Po zawiadomieniu i wezwaniu podmiot ma sześć miesięcy na uzupełnienie brakujących danych.

Pozostałe podmioty objęte art. 5 składają wniosek samodzielnie. Nie oznacza to, że administracja nigdy nie wysyła indywidualnych zawiadomień: takie zawiadomienie jest elementem ścieżki wpisu z urzędu, natomiast przy samorejestracji ciężar rozpoznania obowiązku spoczywa na podmiocie.

Jak złożyć wniosek o wpis do wykazu KSC

Wniosek składa się elektronicznie w aplikacji Wykaz KSC, będącej częścią Systemu S46; podpisuje go kierownik podmiotu albo osoba przez niego upoważniona.

Dostęp do formularza i procedury opisuje oficjalna instrukcja Wykazu KSC. Konto zakłada się przez login.gov.pl, a sam formularz jest dostępny w aplikacji Wykaz KSC.

Co przygotować przed rozpoczęciem formularza

Wniosek obejmuje nie tylko podstawowe dane firmy. Przed rozpoczęciem warto zebrać:

• nazwę, NIP, REGON oraz dane kontaktowe;
  • sektor, podsektor i rodzaj faktycznie prowadzonej działalności;
  •  informacje o wielkości przedsiębiorstwa, z uwzględnieniem powiązań;
  •  dane osób kontaktowych i administratora konta;
  •  zakresy publicznych adresów IP oraz domeny używane w sposób ciągły;
  •  w razie potrzeby informacje o działalności w innych państwach UE, przedstawicielu, dostawcach usług zarządzanych lub porozumieniu o wymianie informacji.

Wniosek zawiera oświadczenie kierownika o zgodności danych z prawdą, składane pod rygorem odpowiedzialności karnej. Może zostać opatrzony kwalifikowanym podpisem elektronicznym, podpisem zaufanym, podpisem osobistym albo kwalifikowaną pieczęcią elektroniczną ze wskazaniem osoby uprawnionej.

Co trzeba zrobić po wpisie

Sam wpis nie tworzy obowiązków ani ich nie kończy: wynikają one ze spełnienia ustawowych przesłanek, a organizacja musi przygotować ich wykonanie w terminach przewidzianych w ustawie i przepisach przejściowych.

Dla podmiotów objętych nowelizacją 3 kwietnia 2026 r. termin wdrożenia obowiązków i rozpoczęcia korzystania z Systemu S46 upływa 3 kwietnia 2027 r. Ministerstwo Cyfryzacji przedstawia zakres obowiązków, obejmujący między innymi zarządzanie ryzykiem, system zarządzania bezpieczeństwem informacji, ciągłość działania, bezpieczeństwo łańcucha dostaw, kontrolę dostępu, szkolenia i zgłaszanie incydentów.

Podmiot powinien również wyznaczyć osoby odpowiedzialne za kontakty w ramach KSC. Kierownik odpowiada za wykonywanie ustawowych obowiązków; przekazanie zadań pracownikom lub dostawcy nie usuwa tej odpowiedzialności.

Czy za brak wniosku grozi kara

Brak wniosku może być podstawą kary, ale spóźnienie nie uruchamia automatycznie jednej z góry określonej kwoty.

Art. 73 ust. 1a przewiduje fakultatywną karę, jeżeli przemawia za tym waga i znaczenie naruszonych przepisów. Jednocześnie art. 35 nowelizacji z 23 stycznia 2026 r. stanowi, że wskazane w nim kary mogą zostać po raz pierwszy nałożone po upływie dwóch lat od wejścia nowelizacji w życie. To nie jest taryfikator za samo opóźnienie.

Kiedy pierwszy obowiązkowy audyt

Obowiązek okresowego audytu dotyczy podmiotów kluczowych. Podmioty kluczowe, które nie były wcześniej operatorami usług kluczowych, mają przeprowadzić pierwszy audyt do 3 kwietnia 2028 r.; pozostałe zachowują co najmniej trzyletni cykl liczony od ostatniego raportu.

Terminy audytu publikuje Ministerstwo Cyfryzacji. Zakres i adresata audytu należy potwierdzić w indywidualnym przypadku przed podjęciem decyzji organizacyjnych.

Co firma powinna sprawdzić teraz

Najpierw trzeba ustalić rzeczywistą usługę lub działalność, potem wielkość z uwzględnieniem powiązań i wyjątków, a na końcu właściwą ścieżkę wpisu. Dopiero taki wynik pozwala przygotować dane do formularza i harmonogram dalszych obowiązków.

• Porównaj rzeczywistą działalność z załącznikami nr 1 i 2 do ustawy.
• Policz wielkość firmy według pełnych reguł UE, a nie tylko danych jednej spółki.
• Sprawdź wyjątki i reguły szczególne dla swojej kategorii.
• Ustal, czy firma podlega wpisowi z urzędu, czy musi złożyć wniosek sama.
• Zbierz dane i podpisy wymagane w aplikacji Wykaz KSC.
• Przy niejednoznacznej strukturze grupy lub modelu usług uzyskaj indywidualną ocenę prawną.