Wykaz KSC po 3 października 2026: spóźniony wpis, korekta, wykreślenie

Termin 3 października 2026 r. minął, ale ustawa nie zamyka drogi do wpisu w wykazie podmiotów kluczowych i ważnych. Jeśli Twoja firma nie zdążyła, dane we wpisie są nieaktualne albo trafiła do wykazu bez podstawy, ustawa o krajowym systemie cyberbezpieczeństwa ma na każdą z tych sytuacji osobną procedurę.

Opisuję wpis po terminie, zmianę danych, wezwanie do korekty i wykreślenie z wykazu. Na końcu jest krótka lista kroków na najbliższe miesiące.

Co oznaczała data 3 października 2026

Nowelizacja ustawy o krajowym systemie cyberbezpieczeństwa (Dz.U. 2026 poz. 252) obowiązuje od 3 kwietnia 2026 r. Wykaz podmiotów kluczowych i podmiotów ważnych, nazywany wykazem KSC, działa w Systemie S46 pod adresem wykaz-ksc.gov.pl. Samorejestracja ruszyła 7 maja 2026 r.

Ustawa nie zna jednego terminu dla wszystkich. Według art. 7c ust. 1 wniosek o wpis składasz „w terminie 6 miesięcy od dnia spełnienia przesłanek uznania za podmiot kluczowy lub podmiot ważny”. Dla firm, które spełniały przesłanki w dniu wejścia nowelizacji w życie, termin wyznaczył harmonogram Ministra Cyfryzacji wydany na podstawie art. 34 ust. 3 nowelizacji: wnioski od 7 maja do 3 października 2026 r. (komunikat z 8 kwietnia 2026 r., Dz. Urz. MC poz. 7). Art. 7c ust. 1 stosuje się do firm, które spełniły przesłanki później.

Z tego wynikają dwie rzeczy. Po pierwsze, firma, która spełnia przesłanki od 3 kwietnia i nie złożyła wniosku, jest dziś po terminie. Po drugie, firma, która spełniła przesłanki później, na przykład po przejęciu albo po wzroście zatrudnienia, liczy sześć miesięcy z art. 7c ust. 1 od tego dnia. Dla niej październik niczego nie zamknął.

Nie każdy musiał składać wniosek. Minister właściwy do spraw informatyzacji wpisał z urzędu między innymi podmioty publiczne, przedsiębiorców telekomunikacyjnych, dostawców usług zaufania i podmioty krytyczne (art. 7a ust. 2), a na podstawie przepisów przejściowych także dotychczasowych operatorów usług kluczowych. Te podmioty dostają zawiadomienie i wezwanie do uzupełnienia brakujących danych w terminie 6 miesięcy od doręczenia wezwania, pod rygorem kary pieniężnej (art. 7b ust. 2). Nie składają wniosku o wpis. Brakujące dane, także o działalności nieobjętej wpisem z urzędu, uzupełniają wnioskiem o zmianę wpisu (art. 7b ust. 4).

Wpis po terminie: jak go złożyć i czym grozi zwłoka

Termin z art. 7c ust. 1 minął, ale droga do wykazu się nie zamknęła. Wpisu dokonuje się z chwilą złożenia wniosku w systemie teleinformatycznym (art. 7d ust. 1). Podstawy odmowy wpisu z art. 7d ust. 3 dotyczą braków we wniosku, wcześniejszego wpisu, braku oświadczenia i braku podpisu. Spóźnienia wśród nich nie ma. Wniosek złożony dziś działa tak samo jak wniosek złożony we wrześniu.

Wniosek składasz w aplikacji Wykaz KSC. Podpisuje go kierownik podmiotu albo osoba przez niego upoważniona kwalifikowanym podpisem elektronicznym, podpisem zaufanym albo podpisem osobistym. Można też użyć kwalifikowanej pieczęci elektronicznej (art. 7c ust. 6). Pełnomocnik dołącza pełnomocnictwo w postaci elektronicznej. Nie musi tego robić prokurent ujawniony w KRS ani pełnomocnik ujawniony w CEIDG (art. 7c ust. 7).

Wniosek zawiera oświadczenie kierownika podmiotu składane pod rygorem odpowiedzialności karnej za fałszywe oświadczenie z art. 233 § 6 Kodeksu karnego (art. 7c ust. 5). Kierownik podmiotu oświadcza, że dane we wniosku są zgodne z prawdą. Dlatego kwalifikacja jako podmiot kluczowy albo ważny, sektor i rodzaj działalności muszą wynikać z analizy, a nie z intuicji.

Co grozi, jeśli wniosku nadal nie ma? Organ właściwy do spraw cyberbezpieczeństwa może wpisać podmiot do wykazu sam, jeżeli ten spełnia przesłanki i nie złożył wniosku w terminie (art. 7j ust. 1). Korzysta przy tym z rejestrów publicznych i informacji uzyskanych w ramach swoich uprawnień. Po takim wpisie organ zawiadamia firmę i wzywa ją do uzupełnienia brakujących danych w ciągu sześciu miesięcy, pod rygorem nałożenia kary pieniężnej (art. 7j ust. 3). Ministerstwo Cyfryzacji w swoich pytaniach i odpowiedziach wskazuje, że brak wpisu może skończyć się działaniami nadzorczymi, a następnie administracyjną karą pieniężną. Według komunikatu ministerstwa z 2 kwietnia 2026 r. w przypadku większości obowiązków kary pieniężne będą mogły być nakładane dopiero po 3 kwietnia 2028 r. Zakres tego okresu przejściowego dla konkretnego obowiązku trzeba sprawdzić w przepisach przejściowych nowelizacji.

Wpis dokonany przez organ na tej podstawie jest inną czynnością z zakresu administracji publicznej. Wymaga uzasadnienia i przysługuje na niego skarga do sądu administracyjnego (art. 7j ust. 5). To ważne dla firm, które uważają, że w ogóle nie podlegają ustawie. Przy wpisie dokonanym przez ministra na podstawie art. 7a ustawa takiej skargi nie przewiduje. Wtedy drogą jest wystąpienie o wykreślenie.

Praktycznie: firma, która złoży wniosek sama, pokazuje organowi, że ustaliła swój status i działa. Firma wpisana przez organ zaczyna relację z nadzorem od wezwania. Jeśli Twoja firma podlega ustawie, a wniosku nie ma, złóż go teraz.

Zmiana danych i wezwanie do korekty

Wpis nie jest jednorazowy. Zmianę danych zgłaszasz wnioskiem o zmianę wpisu „w terminie 14 dni od dnia ich zmiany” (art. 7c ust. 3). Chodzi o dane z art. 7 ust. 2 pkt 1–18, czyli te, które są w wykazie. Wniosek o zmianę wskazuje numer podmiotu w wykazie i dane, które się zmieniły (art. 7c ust. 4), i też zawiera oświadczenie kierownika.

Termin 14 dni łatwo przeoczyć, bo zmiany w firmie zwykle dzieją się z innych powodów. Zmiana nazwy, przeniesienie siedziby albo nowy rodzaj działalności to typowe przypadki. Dobrą praktyką jest dopisanie wykazu KSC do listy czynności po każdej zmianie w KRS.

Organ może też sam sprawdzić, czy dane w wykazie zgadzają się ze stanem faktycznym (art. 7k ust. 1). Jeśli nie, wzywa podmiot do zmiany wpisu w terminie 7 dni od dnia doręczenia wezwania, pod rygorem nałożenia kary pieniężnej (art. 7k ust. 2). Siedem dni to mało, więc odpowiedź warto mieć przygotowaną wcześniej: aktualne dane spółki i uzasadnienie kwalifikacji w jednym miejscu.

Wpis, zmiana wpisu i wykreślenie mają charakter deklaratoryjny (art. 7d ust. 5). Wpis nie tworzy statusu. Status wynika z ustawy, a wykaz go tylko odzwierciedla. Na wniosek minister wydaje zaświadczenie o wpisie albo o zmianie wpisu (art. 7d ust. 6). Przydaje się ono w rozmowach z kontrahentami, którzy pytają o status w łańcuchu dostaw.

Wykreślenie z wykazu

Ustawa przewiduje dwie drogi. Pierwsza należy do organu. Organ właściwy wykreśla podmiot, który nie jest podmiotem kluczowym ani ważnym (art. 7f ust. 2 pkt 1) albo utracił ten status po wpisie (art. 7f ust. 2 pkt 2). Minister wykreśla też podmioty wykreślone z REGON, KRS albo CEIDG (art. 7f ust. 1).

Druga należy do firmy. Podmiot, który przestał spełniać przesłanki w danym sektorze, podsektorze albo rodzaju działalności, składa wniosek o wykreślenie przez system teleinformatyczny (art. 7f ust. 3). Wniosek zawiera uzasadnienie. Brzmienie przepisu („składają”) wskazuje, że to nie tylko uprawnienie, ale obowiązek, choć ustawa nie podaje terminu.

Organ ma miesiąc od dnia złożenia wniosku na rozpatrzenie (art. 7f ust. 4). Odmawia, jeżeli podmiot nadal spełnia przesłanki (art. 7f ust. 5). Odmowa wymaga uzasadnienia i przysługuje na nią skarga do sądu administracyjnego (art. 7f ust. 6). Jeśli organ w tym miesiącu nie odmówi, podmiot zostaje wykreślony (art. 7f ust. 7). Na samo wykreślenie także przysługuje skarga (art. 7f ust. 8).

Wniosek z art. 7f ust. 3 ma sens, gdy firma rzeczywiście wypadła poza ustawę, na przykład sprzedała działalność objętą załącznikiem albo zeszła poniżej progów wielkości. Gdy firma nigdy nie spełniała przesłanek i znalazła się w wykazie omyłkowo, podstawą jest wykreślenie przez organ z art. 7f ust. 2 pkt 1, o które firma może wystąpić z uzasadnieniem. Uzasadnienie powinno opierać się na tych samych kryteriach co przy wpisie, czyli na sektorze, faktycznej działalności, wielkości i powiązaniach w grupie. O tym, jak te kryteria czytać, piszę we wpisie NIS2 w Polsce. Kogo dotyczy i co musisz wdrożyć, a procedurę krok po kroku opisuję w tekście Wykreślenie z wykazu KSC. Wniosek krok po kroku.

Co dalej do 3 kwietnia 2027

Wpis do wykazu to dopiero początek. Według Ministerstwa Cyfryzacji podmioty, które spełniały przesłanki w dniu wejścia nowelizacji w życie, mają do 3 kwietnia 2027 r. wdrożyć nowe obowiązki. Należą do nich system zarządzania bezpieczeństwem informacji, obsługa i zgłaszanie incydentów do zespołów CSIRT, wyznaczenie osób do kontaktu z podmiotami krajowego systemu cyberbezpieczeństwa i weryfikacja niekaralności personelu. Do tego samego dnia trzeba podłączyć się do Systemu S46.

Podmioty kluczowe, które nie były wcześniej operatorami usług kluczowych, przeprowadzają pierwszy audyt bezpieczeństwa do 3 kwietnia 2028 r. Kolejne audyty odbywają się co najmniej raz na trzy lata. Podmiot ważny przeprowadza audyt na żądanie organu.

Od wpisu do kwietnia zostaje mniej niż sześć miesięcy. Większość pracy to dokumenty, umowy i decyzje zarządu, a nie sprzęt. Polityka bezpieczeństwa, analiza ryzyka, procedura obsługi incydentu i zapisy w umowach z dostawcami ICT wymagają czasu i zatwierdzenia przez kierownika podmiotu. O tym, jak wyglądały pierwsze tygodnie stosowania nowej ustawy, piszę w tekście Pierwsze 40 dni nowej ustawy o KSC.

Co zrobić teraz

1. Ustal status na piśmie. Sprawdź sektor, faktyczną działalność, wielkość i powiązania w grupie. Notatka z uzasadnieniem przyda się także wtedy, gdy wynik brzmi „nie podlegamy”.
2. Jeśli podlegasz i nie masz wpisu, złóż wniosek. Nie czekaj na wpis z urzędu. Przygotuj dane do wniosku i sposób podpisu przed wejściem do aplikacji.
3. Jeśli masz wpis, sprawdź dane. Porównaj je z KRS i ze stanem faktycznym. Zmiany zgłaszaj w 14 dni od dnia, w którym nastąpiły.
4. Jeśli wpis jest błędny, wystąp o wykreślenie. Przygotuj uzasadnienie oparte na kryteriach ustawy i pilnuj miesięcznego terminu organu.
5. Zaplanuj wdrożenie do 3 kwietnia 2027 r. Wyznacz osobę odpowiedzialną, harmonogram i podział pracy między prawnika a dział IT.

Pierwszy krok możesz zrobić sam. Kwalifikacja NIS2 to bezpłatne narzędzie, które w około pięć minut przechodzi przez osiem obszarów i pokazuje, czy Twoja firma podlega ustawie oraz jaki ma status. Jeśli wynik zostawia wątpliwości, masz grupę kapitałową albo dostałeś zawiadomienie o wpisie z urzędu, opisz sprawę. Pierwsza rozmowa jest bezpłatna.

FAQ

Czy po 3 października 2026 r. można jeszcze złożyć wniosek o wpis?

Ustawa na to pozwala. Wpisu dokonuje się z chwilą złożenia wniosku w systemie, a przekroczenie terminu nie jest podstawą odmowy wpisu. Zwłoka nie znika jednak z tego powodu. Organ może wpisać podmiot z urzędu i wezwać go do uzupełnienia danych pod rygorem kary pieniężnej.

Moja firma przekroczyła próg w lipcu 2026 r. Czy jestem po terminie?

Nie. Sześć miesięcy liczysz od dnia, w którym firma spełniła przesłanki. Data 3 października wynikała z harmonogramu ministra dla firm, które spełniały je 3 kwietnia 2026 r.

Ile czasu jest na zgłoszenie zmiany danych?

14 dni od dnia zmiany. Na wezwanie organu do korekty jest 7 dni od doręczenia wezwania.

Moja firma trafiła do wykazu z urzędu, a uważam, że nie podlegamy ustawie. Co mogę zrobić?

Jeśli wpisu dokonał organ właściwy na podstawie art. 7j, przysługuje na niego skarga do sądu administracyjnego. Na wpis dokonany przez ministra na podstawie art. 7a ustawa skargi nie przewiduje. W obu przypadkach możesz wystąpić o wykreślenie z uzasadnieniem. Wybór drogi zależy od tego, kiedy dostałeś zawiadomienie i jakie masz dokumenty, więc warto go przemyśleć przed pierwszym pismem.

Tekst ma charakter informacyjny i nie stanowi porady prawnej w indywidualnej sprawie. Ocena obowiązków konkretnej firmy wymaga analizy jej sektora, faktycznej działalności i powiązań kapitałowych. Stan prawny na 14 października 2026 r.