Istotne nowości w systemie cyberbezpieczeństwa: samoidentyfikacja i samorejestracja w wykazie podmiotów kluczowych i podmiotów ważnych

​Dla wielu przedsiębiorców, zwłaszcza średnich i dużych, 3 października 2026 r. to dzień, do którego powinni oni samodzielnie ocenić, czy spełniają wymagania zobowiązujące do wpisu do wykazu podmiotów kluczowych i ważnych. Istotne jest, czy przedsiębiorca prowadzi działalność objętą ustawą i rozmiar tej działalności, a w konsekwencji jego status jako podmiotu kluczowego albo ważnego.

Współpraca redakcyjna: dr Marcin Balicki, Counsel oraz Jacek Budzik, Partner.

Co zatem przedsiębiorca powinien ustalić przed 3 października 2026 roku?

Nowelizacja ustawy o krajowym systemie cyberbezpieczeństwa („UKSC”), wdrażająca dyrektywę NIS 2, weszła w życie 3 kwietnia 2026 r. Nowe przepisy rozszerzyły katalog sektorów objętych obowiązkami wynikającymi z UKSC, wprowadziły kategorie podmiotów kluczowych i ważnych oraz zobowiązały część z tych podmiotów do złożenia wniosku o wpis do wykazu podmiotów kluczowych i podmiotów ważnych („Wykaz”).

Przed wejściem w życie znowelizowanych przepisów wpis do istniejącego wcześniej wykazu dokonywany był na podstawie decyzji administracyjnej. [1] W świetle obecnie obowiązujących, znowelizowanych przepisów, przedsiębiorca, który nie podlega wpisowi z urzędu, a spełnia przesłanki określone w UKSC, powinien do 3 października 2026 r. samodzielnie złożyć wniosek o wpis do Wykazu, wypełniając formularz dostępny w S46 – systemie teleinformatycznym przeznaczonym do zgłaszania i obsługi incydentów cyberbezpieczeństwa. [2]

Podmiot kluczowy czy ważny? Co do zasady przedsiębiorca ustala to sam

W pewnym uproszczeniu – podmiotami kluczowymi są przede wszystkim duże podmioty z sektorów wskazanych w załączniku nr 1 do UKSC, zaś podmiotami ważnymi – średnie podmioty z tych sektorów oraz średnie i duże podmioty z sektorów wskazanych w załączniku nr 2 do UKSC. Przepisy przewidują jednak liczne reguły szczególne. Niektóre rodzaje podmiotów są kluczowe niezależnie od wielkości, a w sektorze komunikacji elektronicznej i usług zaufania stosuje się odrębne progi i kategorie.

Rozróżnienie ma znaczenie przede wszystkim dla nadzoru i audytu. Podmioty kluczowe podlegają szerszemu nadzorowi oraz cyklicznemu audytowi bezpieczeństwa prowadzonemu przez akredytowaną jednostkę oceniającą zgodność lub co najmniej dwóch certyfikowanych audytorów spełniających wymagania określone w UKSC albo CSIRT (Zespół Reagowania na Incydenty Bezpieczeństwa Komputerowego). Wobec podmiotów ważnych nadzór ma co do zasady charakter następczy, a audyt może zostać nakazany przez organ właściwy do spraw cyberbezpieczeństwa. [3]

3 października 2026 roku – termin na samorejestrację

Termin 3 października 2026 r. dotyczy podmiotów, które w dniu wejścia w życie nowelizacji – 3 kwietnia 2026 r. – spełniały ustawowe przesłanki uznania za podmiot kluczowy lub ważny podlegający obowiązkowi samoidentyfikacji i samorejestracji. Podmiot, który zaczął spełniać te kryteria później, choćby wskutek zwiększenia zatrudnienia (np. zmiana statusu przedsiębiorcy z małego na średniego), albo rozpoczęcia działalności w sektorze objętym obowiązkami wynikającymi z UKSC, ma na dokonanie samorejestracji sześć miesięcy od dnia ich spełnienia. [4]

Przed samorejestracją – samoidentyfikacja

Wypełnienie formularza i złożenie wniosku (samorejestracja) powinno stanowić wynik wcześniej przeprowadzonej samoidentyfikacji, a nie jej początek. Przedsiębiorca powinien najpierw ustalić, czy odpowiada jednemu z rodzajów podmiotów wymienionych w art. 5 albo w załączniku nr 1 lub 2 do UKSC.

Przesłanki tej kwalifikacji nie są jednolite. W przypadku wielu przedsiębiorców znaczenie mają łącznie rodzaj faktycznie prowadzonej działalności oraz wielkość przedsiębiorstwa. W odniesieniu do niektórych podmiotów decydują jednak inne cechy, takie jak posiadanie określonego statusu prawnego – np. samorządowej jednostki budżetowej lub samorządowej instytucji kultury.

Rodzaj podmiotu i działalność faktycznie prowadzona przez przedsiębiorcę

Załącznik nr 1 do UKSC obejmuje rodzaje podmiotów należące między innymi do sektorów energii, transportu, bankowości, ochrony zdrowia, zaopatrzenia w wodę, infrastruktury cyfrowej i zarządzania usługami ICT. W załączniku nr 2 do USKC wymieniono natomiast między innymi podmioty zajmujące się gospodarowaniem odpadami, chemikaliami, żywnością, określonymi rodzajami produkcji, usługami cyfrowymi oraz badaniami naukowymi. Nie wystarczy jednak stwierdzenie, że przedsiębiorca działa w szeroko rozumianej branży objętej przepisami. Należy ustalić, czy odpowiada konkretnemu rodzajowi podmiotu wskazanemu w danym załączniku UKSC.

Rodzaj podmiotu może być określony przez odwołanie do wykonywanej działalności, świadczonej usługi albo statusu wynikającego z przepisów sektorowych. Przykładowo, w załącznikach wymieniono przedsiębiorców prowadzących określone rodzaje działalności produkcyjnej, ale również operatorów pocztowych, podmioty lecznicze i dostawców ściśle określonych usług cyfrowych. Analizy nie należy więc sprowadzać wyłącznie do ustalenia, jaką usługę świadczy przedsiębiorca.

Jeżeli kwalifikacja zależy od prowadzonej działalności, decydujący jest jej rzeczywisty zakres. Ustalenia powinny opierać się na materiałach źródłowych określających sposób prowadzenia działalności, takich jak opis modelu działalności lub procesów produkcyjnych, kody PKD ujawnione we właściwych rejestrach, koncesje, zezwolenia, wpisy do rejestrów działalności regulowanej oraz zawarte umowy. Dokumenty te stanowią istotne źródła informacji, ale żaden z nich nie zastępuje oceny stanu faktycznego. Samo ujawnienie odpowiedniego kodu PKD nie przesądza o podleganiu ustawie, podobnie jak brak takiego kodu nie wyłącza jej stosowania, jeżeli określona działalność jest rzeczywiście prowadzona. [5]

Co do zasady działalność wskazana w załączniku nie musi być przeważającą działalnością przedsiębiorcy. Przykładowo, jeżeli spółka zajmująca się przede wszystkim sprzedażą materiałów budowlanych równolegle wytwarza z substancji lub mieszanin gotowe wyroby, powinna zbadać, czy odpowiada jednemu z rodzajów podmiotów wymienionych w sektorze produkcji, wytwarzania i dystrybucji chemikaliów. Analizy nie kończy okoliczność, że działalność produkcyjna nie została wskazana jako działalność przeważająca.

Niektóre pozycje załączników zawierają jednak szczególne ograniczenia. W sektorze gospodarowania odpadami objęte ustawą są przedsiębiorstwa, dla których wskazane w załączniku usługi stanowią podstawową działalność gospodarczą. W odniesieniu do zaopatrzenia w wodę oraz odprowadzania lub oczyszczania ścieków znaczenie ma natomiast to, czy działalność ta stanowi istotną część ogólnej działalności podmiotu. Zakład produkcyjny nie staje się zatem podmiotem sektora gospodarowania odpadami albo ścieków tylko dlatego, że pomocniczo gospodaruje odpadami lub oczyszcza ścieki powstające we własnym procesie technologicznym.

W przypadku rodzajów podmiotów zdefiniowanych przez świadczenie określonej usługi trzeba ponadto odróżnić jej dostawcę od odbiorcy. Przykładowo, samo korzystanie przez przedsiębiorcę z chmury obliczeniowej nie czyni go dostawcą usługi chmurowej. Taka kwalifikacja może dotyczyć podmiotu, który sam zapewnia użytkownikom bezpośredni dostęp na żądanie do skalowalnej i elastycznej puli zasobów obliczeniowych. [5]

Wielkość przedsiębiorstwa – sama liczba pracowników nie jest decydująca

Sama wielkość przedsiębiorstwa nie przesądza o podleganiu obowiązkom wynikającym z przepisów ustawy o KSC. Może ona natomiast zdecydować, że podmiot np. należący do sektora wskazanego w ustawie o KSC jest podmiotem kluczowym albo ważnym. Przykładowo, przedsiębiorca prowadzący działalność polegającą na produkcji urządzeń elektrycznych zostanie objęty obowiązkami z ustawy o KSC, jeżeli jest przedsiębiorstwem co najmniej średnim – wówczas co do zasady będzie podmiotem ważnym. Dlatego wielkość przedsiębiorcy bada się dopiero po ustaleniu, że podmiot odpowiada rodzajowi wskazanemu w ustawie o KSC. [6]

Liczba pracowników nie ogranicza się wyłącznie do pracowników etatowych. Zgodnie z FAQ Ministerstwa Cyfryzacji uwzględnia się także między innymi osoby współpracujące na podstawie umów cywilnoprawnych, właścicieli-kierowników oraz aktywnych wspólników czerpiących korzyści finansowe z przedsiębiorstwa. Dane finansowe powinny wynikać z właściwego sprawozdania finansowego. [6]

Szczególnej uwagi wymagają grupy kapitałowe. Co do zasady przy badaniu statusu mikro, małych i średnich przedsiębiorstw, do oceny statusu danego podmiotu bierze się pod uwagę dane finansowe i liczbę pracowników przedsiębiorstw partnerskich i powiązanych. Ministerstwo wskazało jednak w FAQ, że w określonych sytuacjach – gdy systemy informacyjne są niezależne albo podmioty nie świadczą tej samej usługi objętej UKSC – ich dane nie powinny być uwzględniane przy kwalifikacji. Wniosek ten trzeba należycie udokumentować. [6]

Grupa przedsiębiorstw nie składa jednego zbiorczego wniosku. Każda spółka odrębnie bada swoją działalność i – jeżeli sama spełnia przesłanki – podlega odrębnemu wpisowi do Wykazu. Centralizacja IT, cyberbezpieczeństwa lub finansów może ułatwić zebranie danych, lecz nie zmienia tej zasady.

Formularz wymaga podania danych, które z reguły nie są zgromadzone w jednym miejscu

Po zakończeniu samoidentyfikacji trzeba zebrać dane wymagane we wniosku. Część pochodzi z publicznie dostępnych rejestrów, lecz pozostałe wymagają współpracy działu prawnego, finansowego, IT i bezpieczeństwa.

Szczególnej uwagi wymagają domeny i adresy IP. Ministerstwo Cyfryzacji wyjaśniło, że należy wskazać wszystkie domeny główne aktywnie i stale wykorzystywane przez podmiot, lecz nie każdą subdomenę lub adres techniczny. Ustalenie zakresów publicznych adresów IP może wymagać sprawdzenia umów z dostawcami hostingu, chmury lub usług telekomunikacyjnych. [7]

Jeżeli wniosek składa pełnomocnik, dołącza pełnomocnictwo w postaci elektronicznej. Warto wcześniej zweryfikować reprezentację, ponieważ wniosek zawiera oświadczenie kierownika podmiotu składane pod rygorem odpowiedzialności karnej za fałszywe oświadczenie. [7]

Wpis z urzędu nie uwalnia od obowiązków po stronie podmiotu

UKSC przewiduje odrębny tryb wpisu z urzędu. Obejmuje on przedsiębiorców telekomunikacyjnych, dostawców usług zaufania, podmioty publiczne i podmioty krytyczne, jak i dotychczasowych operatorów usług kluczowych.

Minister Cyfryzacji dokonuje wpisu na podstawie informacji pochodzących z rejestrów publicznych, bazy adresów elektronicznych oraz informacji otrzymanych od właściwych organów. Źródła te pozwalają ustalić przede wszystkim podstawowe dane identyfikacyjne i rejestrowe podmiotu, nie zawierają jednak wszystkich informacji wymaganych w Wykazie. Zazwyczaj nie wynikają z nich między innymi zakresy publicznych adresów IP, wykorzystywane domeny, dane osób do kontaktu i dane administratora konta w systemie S46, jak również kategoria wielkości przedsiębiorstwa.

Podmiot otrzymuje zawiadomienie o wpisie wraz z wezwaniem wskazującym dane już ujawnione w Wykazie, źródła ich pochodzenia oraz informacje wymagające uzupełnienia. Brakujące dane należy przekazać w ciągu sześciu miesięcy od doręczenia wezwania – nie od dnia dokonania wpisu ani wejścia nowelizacji w życie. Uzupełnienie następuje przez złożenie wniosku o zmianę istniejącego wpisu, a nie kolejnego wniosku o wpis. Podmiot powinien przy tej okazji zweryfikować prawidłowość ujawnionych informacji i wskazać również każdą działalność objętą UKSC, która została pominięta przy wpisie z urzędu. [8]

Wysłanie wniosku nie kończy wdrażania ustawowych obowiązków

Dane w Wykazie muszą pozostawać aktualne. Zmianę informacji objętych wnioskiem należy zgłosić w ciągu 14 dni od jej zaistnienia. Przedsiębiorca powinien więc wdrożyć mechanizmy stałego monitorowania i identyfikacji zmian (w szczególności w obszarze domen, publicznych adresów IP, osób kontaktowych, struktury grupy oraz profilu działalności), a także wyznaczyć osoby odpowiedzialne za dokonanie aktualizacji wpisu w Wykazie w przewidzianym ku temu terminie. [9]

Dla podmiotów spełniających przesłanki do uznania za podmiot kluczowy lub ważny kolejną ważną datą jest 3 kwietnia 2027 roku. Do tego dnia powinny one zakończyć wdrażanie obowiązków określonych w rozdziale 3 UKSC – w szczególności ustanowić i stosować system zarządzania bezpieczeństwem informacji, zapewnić obsługę i terminowe zgłaszanie incydentów w systemie S46 oraz odpowiednio zorganizować wykonywanie zadań z zakresu cyberbezpieczeństwa. Podmioty kluczowe mają następnie, co do zasady, czas do 3 kwietnia 2028 roku na przeprowadzenie pierwszego audytu bezpieczeństwa. Audyt służy ocenie zgodności systemu informacyjnego z wymaganiami UKSC. Zgodnie z wyjaśnieniami Ministerstwa audyt powinien obejmować cały system informacyjny wykorzystywany przez dany podmiot. Kopię raportu z audytu podmiot kluczowy przekazuje organowi właściwemu do spraw cyberbezpieczeństwa w terminie 3 dni roboczych od jego otrzymania, a kolejne audyty przeprowadza co najmniej raz na trzy lata. [9]

Dlatego po złożeniu wniosku powinny równolegle trwać co najmniej następujące prace:

• szacowanie ryzyka oraz określenie zakresu systemu zarządzania bezpieczeństwem informacji;
• weryfikacja aktywów i dostawców wpływających na świadczenie usługi;
• przygotowanie zarządzania incydentami bezpieczeństwa, zgłaszania ich w systemie S46 i ciągłości działania;
• przegląd bezpieczeństwa łańcucha dostaw, polityk i zabezpieczeń oraz szkolenia kierownictwa i personelu.

Oczekiwanie z wpisem do października 2026 r. nie przesuwa terminów realizacji pozostałych obowiązków. Są one liczone od spełnienia ustawowych przesłanek, a nie od dnia złożenia wniosku ani ujawnienia podmiotu w wykazie. Wpis ma charakter ewidencyjny – nie nadaje statusu podmiotu kluczowego lub ważnego. [10]

Październik ’26 jest także terminem dla kierownictwa podmiotu

Nowelizacja UKSC nakłada na kierownika podmiotu odpowiedzialność za wykonywanie ustawowych obowiązków, w tym za wpis i aktualizację danych w Wykazie. Gdy kierownikiem jest organ wieloosobowy i nie wskazano konkretnej osoby odpowiedzialnej, odpowiedzialność ponoszą wszyscy jego członkowie. Powierzenie zadań pracownikowi, dostawcy IT albo doradcy nie zwalnia kierownictwa z odpowiedzialności. [11]

Nie oznacza to, że zarząd powinien samodzielnie dokonywać obliczeń i wpisywać zakresy publicznych adresów IP do formularza. Powinien jednak wskazać osoby odpowiedzialne, zapoznać się z wnioskami z analizy, zapewnić finansowanie i nadzór oraz udokumentować udział w wymaganych szkoleniach. Pakiet samoidentyfikacyjny staje się w ten sposób także podstawą decyzji zarządczych.

UKSC przewiduje wysokie administracyjne kary pieniężne za naruszenie przepisów: dla podmiotu kluczowego do 10 mln euro albo 2% przychodów z działalności gospodarczej (stosuje się kwotę wyższą), a dla podmiotu ważnego do 7 mln euro albo 1,4% takich przychodów. Niezależnie od kary nałożonej na podmiot, odpowiedzialność może ponieść także jego kierownik. Kara dla kierownika może sięgać 300% jego wynagrodzenia, a w podmiocie publicznym – 100%. Niezłożenie wniosku o wpis do Wykazu w terminie również może stanowić podstawę do nałożenia kary. [11]

Warto podkreślić, że kary pieniężne będzie można co do zasady nałożyć dopiero po dwóch latach od wejścia nowelizacji w życie, czyli po 3 kwietnia 2028 r. Nie oznacza to jednak przesunięcia terminu samorejestracji do 3 października 2028 r. W przypadku podmiotów, które spełniały przesłanki uznania za podmiot kluczowy lub ważny już w dniu wejścia nowelizacji w życie, termin na złożenie wniosku nadal upływa 3 października 2026 r., a jego niedochowanie stanowi naruszenie przepisów. Po 3 kwietnia 2028 r. organ będzie mógł nałożyć karę za niezłożenie wniosku w ustawowym terminie. Późniejsze dokonanie wpisu nie usuwa samego uchybienia ani nie gwarantuje uniknięcia kary, chociaż może zostać uwzględnione przy ocenie wagi i czasu trwania naruszenia oraz ewentualnym odstąpieniu od jej nałożenia. [12]

Pakiet samoidentyfikacyjny

Przebieg samoidentyfikacji może mieć zasadnicze znaczenie podczas kontroli organu do spraw cyberbezpieczeństwa, reorganizacji przedsiębiorcy albo ponownej oceny statusu. Dlatego warto przygotować wewnętrzny „pakiet samoidentyfikacyjny”, czyli zestaw dokumentów potwierdzających należytą staranność w przeprowadzeniu samoidentyfikacji.

Pakiet nie powinien być jednorazowym opracowaniem odłożonym do archiwum. Status przedsiębiorstwa może zmienić się wskutek np. przekroczenia progów dotyczących liczby pracowników lub osiąganych przychodów, przejęcia spółki, rozpoczęcia nowej usługi albo zmiany współpracy w grupie. Warto go przeglądać co najmniej raz w roku oraz po każdej istotnej zmianie organizacyjnej lub biznesowej.

Jak przygotować się na termin 3 października 2026 roku?

Jeżeli samoidentyfikacja nie została jeszcze zakończona, przygotowania warto podzielić na kilka etapów.

1. Rodzaj podmiotu i faktycznie wykonywana działalność. Analiza powinna objąć wszystkie spółki i jednostki faktycznie prowadzące działalność w sektorach mogących odpowiadać pozycjom w załącznikach nr 1 i 2, a nie tylko podmiot lub działalność wskazane w głównym kodzie PKD.
2. Wielkość przedsiębiorstwa. Kolejny etap obejmuje zebranie aktualnych danych o personelu, obrocie i sumie bilansowej oraz o przedsiębiorstwach partnerskich i powiązanych. Ewentualna niezależność systemów lub odmienność usług wymaga odrębnego uzasadnienia.
3. Kwalifikacja i jej uzasadnienie. Na podstawie zgromadzonych informacji można określić sektor, podsektor, rodzaj podmiotu i kategorię kluczową albo ważną. Wnioski wraz z krótkim uzasadnieniem powinny zostać przedstawione kierownictwu.
4. Dane i umocowanie. Przed wysłaniem wniosku działy IT i bezpieczeństwa powinny potwierdzić domeny oraz zakresy publicznych adresów IP. Trzeba też sprawdzić dane rejestrowe, osoby kontaktowe, administratora konta podmiotu w systemie S46 i reprezentację, jeśli wniosek składa pełnomocnik.
5. Wniosek, dokumentacja i aktualizacja. Po wysłaniu Wniosku należy zachować potwierdzenie, kopię wniosku i ew. pełnomocnictwo. Przedsiębiorca powinien także wskazać osobę odpowiedzialną za dochowywanie 14-dniowego terminu aktualizacji.

Przypisy:

[1] Dyrektywa Parlamentu Europejskiego i Rady (UE) 2022/2555 z 14 grudnia 2022 r., Dz. Urz. UE L 333 z 27.12.2022 („dyrektywa NIS2”), Ustawa dnia 5 lipca 2018 r. o krajowym systemie cyberbezpieczeństwa Dz.U.2026.20 t.j. z 2026.01.09 („Ustawa”), Ustawa z 23 stycznia 2026 r. o zmianie ustawy o krajowym systemie cyberbezpieczeństwa oraz niektórych innych ustaw, Dz.U.2026.252 z dnia 2026.03.02 poz. 252 („Nowelizacja”).

[2] Ministerstwo Cyfryzacji, „Nowelizacja ustawy o KSC – najważniejsze terminy”, https://www.gov.pl/web/cyfryzacja/nowelizacja-ustawy-o-krajowym-systemie-cyberbezpieczenstwa-ksc–najwazniejsze-terminy [dostęp: 13.08.2026 r.].

[3] Art. 5, art. 7l–7m, art. 15 oraz art. 53 ust. 3 UKSC; Ministerstwo Cyfryzacji, „Ustawa z dnia 5 lipca 2018 r. o krajowym systemie cyberbezpieczeństwa po nowelizacji, PYTANIA I ODPOWIEDZI”, aktualizacja czerwiec 2026 r. („Q&A”), pyt. 2.32, dokument dostępny na stronie: https://cyber.gov.pl/faq [dostęp: 25.08.2026 r.].

[4] Art. 7c ust. 1 UKSC; art. 33 ust. 3 i art. 34 ust. 3 Nowelizacji, Ministerstwo Cyfryzacji, Q&A, pyt. 2.17, 2.31 i 2.32.

[5] Art. 2 pkt 4e, art. 5, art. 5a oraz załączniki nr 1 i 2 do UKSC; Ministerstwo Cyfryzacji, Q&A, pyt. 1.22, 2.7–2.8.

[6] Załącznik I do rozporządzenia Komisji (UE) nr 651/2014 z 17 czerwca 2014 r., Dz. Urz. UE L 187 z 26.06.2014, s. 1, z późn. zm.; art. 2 Ustawy; Ministerstwo Cyfryzacji, Q&A pyt. 1.5–1.6; Kwalifikator MŚP PARP: https://kwalifikator.parp.gov.pl/ [dostęp: 25.08.2026 r.].

[7] Ministerstwo Cyfryzacji, Q&A, pyt. 1.11–1.12; art. 15 i art. 7j–7m Ustawy.

[8] Art. 7 ust. 2, art. 7c ust. 2 i 5 Ustawy; Ministerstwo Cyfryzacji, Q&, pyt. 2.10, 2.18 i 2.30.

[9] Art. 7c ust. 3 i art. 16 Ustawy oraz art. 33 ust. 1–2 Ustawy; Ministerstwo Cyfryzacji, Q&A, pyt. 2.19 i 3.1.

[10] Art. 16 UKSC; Ministerstwo Cyfryzacji, Q&A, pyt. 2.31.

[11] Art. 8c–8e, art. 73 ust. 1a i 3–4 oraz art. 73a Ustawy.

[12] Art. 35 Nowelizacji; zob. także art. 53 ust. 12 oraz art. 76a ust. 1 i 9 UKSC. Art. 35 Nowelizacji obejmuje kary określone w art. 73 ust. 1–4, art. 73a–73c i art. 76b UKSC.

W razie pytań, skontaktuj się z autorami tekstu: