Mimo zbliżającego się terminu, wielu przedsiębiorców nie zdaje sobie sprawy z nowych obowiązków wynikających z nowelizacji ustawy o Krajowym Systemie Cyberbezpieczeństwa (KSC). Przepisy, które weszły w życie 3 kwietnia 2026 roku, nakładają na tysiące firm konieczność weryfikacji statusu i potencjalnego wpisu do wykazu podmiotów kluczowych lub ważnych. Brak działania do 3 października 2026 roku może skutkować wpisem z urzędu oraz konsekwencjami prawnymi.
Jakie firmy muszą zarejestrować się w Krajowym Systemie Cyberbezpieczeństwa?
Nowelizacja ustawy o KSC, implementująca unijną dyrektywę NIS2, rozszerza zakres podmiotów objętych regulacjami cyberbezpieczeństwa. Ustawa dzieli firmy na dwie kategorie: podmioty kluczowe i podmioty ważne, z różnym zakresem wymogów. Szacuje się, że nowe przepisy obejmą około 42 000 podmiotów w Polsce, co stanowi znaczący wzrost w porównaniu do poprzednich regulacji (dane gov.pl).
Aby firma została uznana za podmiot kluczowy, musi spełniać co najmniej jedno z trzech kryteriów, zgodnie z art. 2 ust. 1 pkt 2 ustawy KSC (Dz.U (źródło: Dz.U). 2026 poz. 252):
- Zatrudnia 250 lub więcej pracowników.
- Osiąga roczny obrót w wysokości 50 milionów euro lub więcej.
- Posiada sumę bilansową w wysokości 43 milionów euro lub więcej.
Podmioty ważne to firmy, które nie spełniają powyższych progów, ale działają w sektorach uznanych za krytyczne, takich jak dostawcy usług cyfrowych, pocztowych, zarządzania odpadami czy produkcji żywności. Obowiązek samoidentyfikacji spoczywa na każdym przedsiębiorcy, który musi samodzielnie ocenić, czy jego działalność kwalifikuje się do jednej z tych kategorii.
Co grozi za brak wpisu do wykazu KSC w terminie?
Niewypełnienie obowiązku samoidentyfikacji i złożenia wniosku o wpis do wykazu KSC do 3 października 2026 roku wiąże się z poważnymi konsekwencjami. Przedsiębiorcy, którzy nie dopełnią formalności, mogą zostać wpisani do wykazu z urzędu, co nie zwalnia ich z odpowiedzialności.
Kary administracyjne dla firm zaczną obowiązywać od 3 kwietnia 2028 roku, czyli po 24 miesiącach od wejścia ustawy w życie. Dla podmiotów kluczowych mogą one sięgać nawet 10 milionów euro lub 2% rocznego światowego obrotu firmy, w zależności od tego, która kwota jest wyższa (dane gov.pl). Dla podmiotów ważnych kary są niższe, ale nadal znaczące. Co istotne, odpowiedzialność osobista zarządu za niedopełnienie obowiązków w zakresie cyberbezpieczeństwa obowiązuje już od 3 kwietnia 2026 roku. Oznacza to, że członkowie zarządu mogą ponieść konsekwencje finansowe, sięgające nawet 100% ich wynagrodzenia, za zaniedbania w tym obszarze.
Jak przebiega proces samoidentyfikacji i rejestracji w systemie S46?
Proces samoidentyfikacji wymaga od przedsiębiorców dokładnej analizy ich działalności pod kątem kryteriów określonych w ustawie KSC. Firmy muszą zweryfikować liczbę pracowników, obroty, sumę bilansową oraz sektor, w którym działają. Po ustaleniu, że podlegają nowym przepisom, konieczne jest złożenie wniosku o wpis do wykazu za pośrednictwem systemu S46. Jest to urzędowy rejestr Krajowego Systemu Cyberbezpieczeństwa, który służy do gromadzenia informacji o podmiotach kluczowych i ważnych (dane gov.pl).
Wniosek należy złożyć elektronicznie, a jego prawidłowe wypełnienie jest kluczowe dla uniknięcia opóźnień lub odrzucenia. Proces ten wymaga precyzyjnego określenia kategorii, do której firma się kwalifikuje, oraz przedstawienia niezbędnych danych potwierdzających spełnienie kryteriów. Brak świadomości lub błędna interpretacja przepisów może prowadzić do pominięcia terminu i narażenia firmy na sankcje.
Kiedy firmy muszą wdrożyć system zarządzania bezpieczeństwem informacji?
Wpis do wykazu KSC to dopiero pierwszy krok. Firmy objęte nowelizacją ustawy mają również obowiązek wdrożenia odpowiednich systemów zarządzania bezpieczeństwem informacji (SZBI). Pełne wdrożenie SZBI oraz podłączenie do systemu S46 musi nastąpić do 3 kwietnia 2027 roku (dane gov.pl). Oznacza to, że przedsiębiorcy mają rok od terminu samoidentyfikacji na dostosowanie swoich wewnętrznych procedur i infrastruktury do nowych wymogów.
Wdrożenie SZBI obejmuje szereg działań, takich jak opracowanie polityk bezpieczeństwa, zarządzanie ryzykiem cybernetycznym, reagowanie na incydenty, zapewnienie ciągłości działania oraz regularne audyty i testy bezpieczeństwa. Jest to proces wymagający znacznych zasobów i zaangażowania, dlatego firmy powinny rozpocząć przygotowania odpowiednio wcześnie, aby spełnić wszystkie wymogi w wyznaczonym terminie.
Przedsiębiorcy, którzy do 3 października 2026 roku nie zweryfikują swojego statusu i nie złożą wniosku o wpis do wykazu KSC, ryzykują wpisem z urzędu oraz odpowiedzialnością osobistą zarządu, która obowiązuje już od 3 kwietnia 2026 roku.
