3 października 2026 r. minął termin na złożenie wniosku o wpis do wykazu podmiotów kluczowych i ważnych. Spółka, która podlega ustawie o krajowym systemie cyberbezpieczeństwa (KSC) i wniosku nie złożyła, powinna zrobić to niezwłocznie. Obowiązek nie wygasł, a kolejne terminy już biegną.
Kto podlega ustawie
Nowelizacja ustawy o KSC, wdrażająca dyrektywę NIS2, obowiązuje od 3 kwietnia 2026 r. Status podmiotu kluczowego lub ważnego powstaje z mocy prawa, gdy firma spełnia kryteria. Nikt nie wydaje w tej sprawie decyzji ani nie wysyła zawiadomienia.
O statusie decydują dwa kryteria:
- sektor – jeden z 18 wymienionych w załącznikach do ustawy, między innymi energetyka, ochrona zdrowia, transport, usługi cyfrowe, produkcja, żywność, chemia, gospodarka odpadami i usługi pocztowe,
- wielkość – co do zasady co najmniej średnie przedsiębiorstwo, przy czym progi liczy się łącznie z podmiotami powiązanymi i partnerskimi.
W grupie kapitałowej ustawie może więc podlegać także niewielka spółka. O kwalifikacji przesądza faktycznie wykonywana działalność, a nie sam kod PKD.
Kalendarz obowiązków
| Termin | Obowiązek | Kogo dotyczy |
| 3 października 2026 r. | Wniosek o wpis do wykazu w systemie S46 | Podmioty spełniające kryteria 3 kwietnia 2026 r., niewpisane z urzędu |
| 3 kwietnia 2027 r. | Wdrożenie systemu zarządzania bezpieczeństwem informacji i pozostałych obowiązków | Podmioty kluczowe i ważne |
| 3 kwietnia 2028 r. | Pierwszy audyt | Podmioty kluczowe |
Co grozi po terminie
Ustawa przewiduje kary do 10 mln euro lub 2% przychodów dla podmiotów kluczowych oraz do 7 mln euro lub 1,4% dla podmiotów ważnych. Kierownik podmiotu może zostać ukarany osobiście karą do 300% wynagrodzenia. Te kary będą mogły zostać nałożone po raz pierwszy dopiero po 3 kwietnia 2028 r.
Odroczenie nie obejmuje jednak wszystkiego. Już teraz możliwe są:
- kara nadzwyczajna do 100 mln zł za naruszenie powodujące poważne cyberzagrożenie,
- wpis do wykazu z urzędu, połączony z kontrolą w firmie, która niczego nie przygotowała,
- ostrzeżenia i nakazy organu nadzorczego,
- odpowiedzialność karna za fałszywe oświadczenie we wniosku o wpis.
Odroczenie kar nie zawiesza też samych obowiązków: wpisu, wdrożenia zabezpieczeń ani zgłaszania incydentów.
Za co odpowiada zarząd
Za wykonanie obowiązków z ustawy odpowiada kierownik podmiotu. Nie zwalnia go z tego umowa z zewnętrzną firmą ani powołanie własnego specjalisty do spraw bezpieczeństwa. Jeżeli w zarządzie nie wskazano osoby odpowiedzialnej za cyberbezpieczeństwo, odpowiadają wszyscy jego członkowie.
Ustawa wymaga także corocznego, udokumentowanego szkolenia kierownictwa. Warto sprawdzić zakres polisy D&O, ponieważ administracyjne kary pieniężne bywają w niej wyłączone.
Niezależnie od ustawy o KSC członek zarządu odpowiada wobec spółki za szkodę wyrządzoną niedochowaniem należytej staranności (art. 293 k.s.h.). Decyzje dotyczące cyberbezpieczeństwa – budżet, podział zadań, wybór dostawców – warto więc podejmować uchwałami i protokołować.
Firmy poza ustawą też odczują zmiany
Podmioty objęte ustawą muszą kontrolować bezpieczeństwo swoich dostawców. Dlatego mniejsi kontrahenci, w tym firmy transportowe i dostawcy usług IT, otrzymują aneksy do umów z wymogiem uwierzytelniania wieloskładnikowego, prawem audytu i krótkimi terminami zgłaszania incydentów.
Przed podpisaniem takiego aneksu trzeba ocenić zakres przyjmowanej odpowiedzialności, kary umowne i realność terminów.
Co zrobić teraz
- Ustalić status: przeanalizować faktyczną działalność, sektor, wielkość i powiązania kapitałowe; wynik zapisać, także gdy jest negatywny.
- Złożyć zaległy wniosek o wpis, nie czekając na zakończenie wdrożenia.
- Uchwałą zarządu wskazać osobę odpowiedzialną za cyberbezpieczeństwo i zaplanować szkolenie kierownictwa.
- Przygotować procedurę zgłaszania incydentów, z wczesnym ostrzeżeniem w 24 godziny i zgłoszeniem w 72 godziny.
- Zebrać dowody staranności: analizę ryzyka, rejestr dostawców, potwierdzenia szkoleń.
- Przejrzeć umowy z dostawcami IT.
Jak możemy pomóc
Kancelaria Adwokacka Anna Matelska odpowiada za prawną stronę zgodności z ustawą o KSC. Wdrożenie techniczne pozostaje po stronie specjalistów IT.
Pomagamy w szczególności w zakresie:
- analizy, czy spółka lub grupa podlega ustawie,
- uchwał zarządu, podziału kompetencji i dokumentowania decyzji,
- umów i aneksów z dostawcami oraz odbiorcami,
- reprezentacji w kontrolach i postępowaniach w sprawie kar,
- szkoleń dla członków zarządu.
Więcej o tym obszarze praktyki: Obsługa spółek, fundacji i stowarzyszeń oraz Obrona klientów korporacyjnych. Umów spotkanie z kancelarią: +48 663 254 763, info@annamatelska.pl.
