Został miesiąc na rejestrację w wykazie podmiotów kluczowych i ważnych

Już 3 października 2026 r. upływa termin na złożenie wniosku o wpis do wykazu podmiotów kluczowych i ważnych przez podmioty, które spełniały przesłanki do uznania za podmiot najważniejszy lub istotny w dniu wejścia w życie nowelizacji ustawy o krajowym systemie cyberbezpieczeństwa, tj. 3 kwietnia 2026 r. Przypomnijmy, kto podlega obowiązkowi wpisu do wykazu podmiotów kluczowych i ważnych oraz w jaki sposób złożyć wniosek o wpis.

Kto podlega obowiązkowi wpisu do wykazu?

Ustawa o krajowym systemie cyberbezpieczeństwa („UKSC”) określa szereg reguł, które pozwalają ustalić, jakie podmioty będą zobowiązane do stosowania przepisów tej regulacji, a więc będą również zobowiązane do złożenia wniosku o wpis do wykazu podmiotów kluczowych i ważnych. Ogólną zasadą jest to, iż do stosowania przepisów UKSC są zobowiązane podmioty, które łącznie spełniają następujące kryteria:

• działają w sektorach kluczowych lub ważnych wskazanych w załączniku nr 1 lub nr 2 do UKSC;
• spełniają kryteria do uznania za przedsiębiorstwo co najmniej średnie (tj. takie, które zatrudnia co najmniej 50 pracowników lub którego roczny obrót oraz suma bilansowa przekraczają 10 mln euro); oraz
• podlegają polskiej ustawie, a więc – co do zasady – prowadzą działalność na terytorium Polski przez swoje siedziby, oddziały lub w ramach działalności transgranicznej.

Pierwsze kryterium – przedmiot działalności

Przepisy UKSC wymieniają sektory, które są regulowane przez ustawę. Należą do nich:

W praktyce ustalenie spełniania kryterium prowadzonej działalności wielokrotnie może okazać się niezwykle problematyczne. Wynika to z następujących faktów:

1. UKSC zawiera szereg pojęć, które są zdefiniowane w innych aktach prawnych lub nigdzie nie zdefiniowano ich wprost. Ponadto definicje te nie zawsze znajdują odzwierciedlenie w praktyce rynkowej lub w innych aktach prawnych, w których ich użyto.
2. UKSC posługuje się kazuistycznym sposobem klasyfikowania podmiotów podlegających tej regulacji. W konsekwencji powoduje to uznanie bardzo dużej liczby podmiotów za podmioty najważniejsze i ważne. Szczególnie widać to w sektorze produkcji, gdzie producenci choćby kilku tysięcy rodzajów produktów mogą podlegać pod przepisy UKSC.
3. Często trudnością jest określenie, czy dana działalność stanowi „podstawową” lub „istotną” część działalności danego podmiotu, szczególnie iż pojęcia te także nie znalazły swojej definicji w UKSC.

W praktyce oznacza to, iż przed wieloma podmiotami stoi ogromne wyzwanie zarówno w zakresie prawnej interpretacji przepisów, jak też drobiazgowej analizy faktycznie prowadzonej działalności.

Drugie kryterium – wielkość przedsiębiorstwa

Co do zasady przepisom UKSC będą podlegać średnie i duże przedsiębiorstwa, identyfikowane zgodnie z unijnym rozporządzeniem 651/2014/UE[1]. Rozporządzenie to określa następujące progi do ustalenia wielkości przedsiębiorstwa:

Co istotne, badanie wielkości podmiotu powinno zachodzić z uwzględnieniem danych dotyczących przedsiębiorstw partnerskich i powiązanych badanego podmiotu. W przypadku podmiotów należących do grup kapitałowych oznacza to, iż powinno się brać pod uwagę także dane innych spółek z tej grupy.

Od powyższej zasady wprowadzono jednak pewien wyjątek. W przypadku, gdy:

• system informacyjny danego podmiotu jest niezależny od systemów informacyjnych jego przedsiębiorstw powiązanych lub partnerskich lub
• dany podmiot nie świadczy usług wspólnie z jego przedsiębiorstwami powiązanymi lub partnerskimi,

obowiązek sumowania wielkości przedsiębiorstw podlega wyłączeniu (co oznacza, iż określając wielkość przedsiębiorstwa nie musimy uwzględniać danych o jego przedsiębiorstwach partnerskich i powiązanych).

Przepisy UKSC przewidują jednak szereg wyjątków od zasady, zgodnie z którą to średnie i duże przedsiębiorstwa podlegają pod regulacje tej ustawy. Część podmiotów będzie bowiem podlegać pod przepisy UKSC bez względu na spełnienie kryterium wielkości, a dla części rodzajów działalności zostały obniżone progi do podlegania pod UKSC.

Trzecie kryterium – podleganie polskiej ustawie

Zasadą jest, iż przepisom UKSC może podlegać podmiot, który ma miejsce zamieszkania na terytorium RP lub prowadzi działalność na terytorium RP przez swoją siedzibę, oddział lub w ramach działalności transgranicznej.

Przepisy UKSC wprowadzają jednak pewne odstępstwa od powyższej zasady. Zgodnie z nimi powyższe zasady nie mają wprost zastosowania do:

1. przedsiębiorców komunikacji elektronicznej, którzy podlegają obowiązkom wynikającym z UKSC, o ile świadczą usługi na terytorium Polski;
2. podmiotów publicznych (w rozumieniu UKSC), które podlegają obowiązkom wynikającym z UKSC niezależnie od miejsca ich siedziby;
3. pozostałych podmiotów działających w sektorach „cyfrowych”[2], świadczących usługi na terytorium Polski, którzy podlegają obowiązkom wynikającym z UKSC, o ile w Polsce ma siedzibę kierownik podmiotu, który podejmuje decyzje w sprawie systemu zarządzania bezpieczeństwem informacji.

Jak złożyć wniosek o wpis do wykazu?

Wniosek o wpis do wykazu podmiotów kluczowych i ważnych składa się w postaci elektronicznej za pośrednictwem systemu S46. Moduł umożliwiający składanie wniosków o wpis jest już dostępny pod adresem: https://wykaz-ksc.gov.pl.

Wniosek o wpis powinien zawierać m.in. następujące dane:

1. wszystkie sektory, podsektory i rodzaje podmiotu – zgodnie z załącznikiem nr 1 lub 2 do UKSC,
2. numer we adekwatnym rejestrze działalności regulowanej (jeżeli został nadany),
3. zakres publicznych adresów IP oraz domeny internetowe wykorzystywane przez podmiot w sposób ciągły,
4. dane osób do kontaktu z podmiotami z krajowego systemu cyberbezpieczeństwa,
5. wielkość przedsiębiorstwa,
6. informację, w których państwach UE podmiot wykonuje działalność, wraz z określeniem rodzaju wykonywanej działalności,
7. informację o zawarciu umowy z dostawcą usług zarządzanych w zakresie cyberbezpieczeństwa.

Do wniosku należy również dołączyć oświadczenie kierownika podmiotu kluczowego lub ważnego potwierdzające, iż podane informacje są zgodne z prawdą. Oświadczenie to jest składane pod rygorem odpowiedzialności karnej.

Co dalej?

W TKP przygotowaliśmy formularz online wstępnej, uproszczonej samooceny. Pomaga on w dokonaniu pierwszej, ogólnej weryfikacji podlegania pod przepisy UKSC. Formularz jest dostępny pod linkiem: https://www.traple.pl/formularz-samosprawdzenie-nis2/

[1] Rozporządzenie Komisji (UE) nr 651/2014 z 17.06.2014 r. uznające niektóre rodzaje pomocy za zgodne z rynkiem wewnętrznym w zastosowaniu art. 107 i 108 Traktatu

[2] Są to: dostawcy usług DNS, rejestry nazw domen najwyższego poziomu (TLD), podmioty świadczące usługi rejestracji nazw domen, dostawcy chmury obliczeniowej, dostawcy usług centrum przetwarzania danych, dostawcy usług sieci dostarczania treści oraz dostawcy usług zarządzanych (w tym w zakresie cyberbezpieczeństwa), dostawcy internetowej platformy handlowej, wyszukiwarki internetowej oraz platformy usług sieci społecznościowych.