Już niedługo upłynie termin wdrożenia pierwszych obowiązków wynikających z ustawy o krajowym systemie cyberbezpieczeństwa (polskiej implementacji dyrektywy NIS 2, „UKSC”). Podmioty, które 3 kwietnia 2026 r. spełniały przesłanki do uznania za podmiot najważniejszy lub ważny, już tylko do 3 października 2026 r. mają czas na złożenie wniosku o wpis do wykazu podmiotów kluczowych i ważnych.
Kto podlega obowiązkowi wpisu do wykazu?
Zgodnie z ogólną zasadą zobowiązane do stosowania przepisów UKSC (a więc również do złożenia wniosku o wpis do wykazu) są podmioty, które łącznie spełniają następujące kryteria:
- działają w sektorach kluczowych lub ważnych (tj. prowadzą działalność w co najmniej jednym z 18 sektorów, które zasadniczo są zbieżne z dyrektywą NIS 2),
- spełniają kryterium wielkości (tj. stanowią co najmniej średnie przedsiębiorstwo; jednak przepisy UKSC wprowadzają szereg wyjątków w tym zakresie również dla mikro i małych przedsiębiorstw) oraz
- podlegają polskiej ustawie (tj. mają miejsce zamieszkania lub prowadzą działalność na terytorium RP przez swoją siedzibę, oddział lub w ramach działalności transgranicznej; ale również tutaj przepisy wprowadzają szereg wyjątków – przede wszystkich dla podmiotów działających w sektorach „cyfrowych”).
Jak złożyć wniosek o wpis do wykazu?
Wniosek o wpis do wykazu składa się w postaci elektronicznej za pośrednictwem systemu S46. Moduł umożliwiający składanie wniosków o wpis jest już dostępny pod adresem: wykaz-ksc.gov.pl.
Wniosek o wpis powinien zawierać prawie 20 różnego rodzaju informacji, w tym m.in.: numer we adekwatnym rejestrze działalności regulowanej (jeżeli został nadany), zakres publicznych adresów IP wykorzystywanych w sposób ciągły czy też informację o zawarciu umowy z dostawcą usług zarządzanych w zakresie cyberbezpieczeństwa.
Do wniosku należy również dołączyć oświadczenie, w którym kierownik podmiotu potwierdzi, iż podane informacje są zgodne z prawdą. Oświadczenie to jest składane pod rygorem odpowiedzialności karnej.
O czym jeszcze warto wiedzieć?
- UKSC nie wprowadza autonomicznych regulacji dla grup kapitałowych – oznacza to, iż wszystkie podmioty spełniające kryteria muszą zostać niezależnie wpisane (dotyczy to również podmiotów świadczących usługi wyłącznie na rzecz swojej grupy kapitałowej).
- Niezłożenie wniosku o wpis nie oznacza braku objęcia przepisami UKSC – wpis ma charakter wyłącznie deklaratoryjny, a jego niezłożenie jest zagrożone wysokimi karami pieniężnymi (nawet do 10 mln euro).
- Na miesiąc przed upływem terminu rejestracji do wykazu wpisano już ponad 80 tys. podmiotów – to kilka razy więcej niż zakładały szacunki Ministerstwa Cyfryzacji.
