KSC po nowelizacji: jak MŚP sprawdzić, czy podlega wpisowi, i jakie minimum organizacyjne wdrożyć po 3 października 2026
Co zmieniła nowelizacja KSC i dlaczego temat dotyczy także części MŚP
Nowelizacja ustawy o krajowym systemie cyberbezpieczeństwa wdraża dyrektywę NIS2 i nakłada obowiązki na podmioty kluczowe oraz ważne. Z opublikowanej przez administrację rządową informacji wynika wprost, że do tych obowiązków należą w szczególności dokonanie wpisu do Wykazu KSC oraz wdrożenie Systemu Zarządzania Bezpieczeństwem Informacji. Źródło rządowe wskazuje też, że podmioty powinny przeanalizować swoją działalność pod kątem spełnienia kryteriów uznania za podmiot kluczowy lub ważny, zwłaszcza w zakresie sektorów wskazanych w załącznikach do ustawy, kryteriów wielkościowych przedsiębiorstwa oraz art. 5 ustawy.
Dla MŚP najważniejsze jest to, że obowiązek nie wynika z samego faktu prowadzenia działalności gospodarczej, lecz z dopasowania firmy do ustawowych kryteriów. Materiał Ministerstwa Rozwoju i Technologii podaje, że obowiązek wpisu dotyczy firm z sektorów istotnych dla funkcjonowania państwa i gospodarki, a przedsiębiorcy sami muszą zweryfikować, czy obowiązek ich dotyczy. Jako przykłady wskazano sektory kluczowe, takie jak energia, transport czy przestrzeń kosmiczna, oraz sektory ważne, do których należą gospodarka odpadami oraz produkcja, wytwarzanie i dystrybucja chemikaliów.
Punktem wyjścia pozostaje sama ustawa nowelizująca. W Dzienniku Ustaw opublikowano ustawę z 23 stycznia 2026 r., ogłoszoną 2 marca 2026 r., która weszła w życie 3 kwietnia 2026 r. To właśnie od wejścia w życie nowych przepisów należy oceniać obowiązki opisane w komunikatach administracji.
Jak sprawdzić, czy firma podpada pod obowiązek wpisu
Jeżeli firma nie ma pewności, czy podlega pod KSC, warto zacząć od literalnego podejścia do źródeł. Rządowa informacja o obowiązkach podmiotów kluczowych i ważnych wskazuje trzy osie analizy: sektory wymienione w załącznikach do ustawy, kryteria wielkościowe przedsiębiorstwa oraz art. 5 ustawy. To bezpieczny porządek pracy także dla MŚP, bo pozwala oddzielić intuicję od wymagań wynikających z przepisów.
Drugie źródło rządowe doprecyzowuje, że przedsiębiorcy mogą samodzielnie zweryfikować obowiązek wpisu i że mogą skorzystać z usługi „Pre-weryfikacja zgodności z zaleceniami NIS2” dostępnej na portalu Biznes.gov.pl. Sam artykuł nie opisuje jednak szczegółowego testu kwalifikacyjnego ani nie rozpisuje pełnej listy przesłanek. Dlatego przy weryfikacji warto opierać się wyłącznie na tym, co da się potwierdzić w ustawie i w rządowych materiałach towarzyszących.
Proponujemy, aby w małej lub średniej firmie taka weryfikacja została udokumentowana w prostej notatce zarządczej. W praktyce można w niej zebrać odpowiedzi na trzy pytania: w jakim sektorze działa spółka, czy spełnia kryteria wielkościowe oraz czy występują przesłanki z art. 5 ustawy. Taka notatka nie zastępuje analizy prawnej, ale porządkuje tok rozumowania i ułatwia wykazanie, że decyzja o wpisie albo o jego braku nie była przypadkowa.
Wpis do Wykazu KSC po upływie terminu
Na dzień 27 października 2026 r. termin wskazany w materiałach rządowych już minął. Zarówno baza wiedzy gov.pl, jak i komunikat Ministerstwa Rozwoju i Technologii podawały, że podmioty kluczowe i ważne, które w dniu wejścia w życie nowelizacji spełniały ustawowe kryteria, miały obowiązek dokonania wpisu do Wykazu KSC do 3 października 2026 r. Tego terminu nie należy już opisywać jako przyszłego.
Z opisu na gov.pl wynika również, że rejestracja odbywa się wyłącznie online za pośrednictwem strony Wykazu KSC, a wniosek musi zostać opatrzony kwalifikowanym podpisem elektronicznym. To są informacje bezpośrednio potwierdzone przez źródło. Jednocześnie artykuł ministerialny zaznacza, że na firmy, które nie dokonają wpisu lub nie wdrożą odpowiednich rozwiązań, może zostać nałożona kara finansowa. Źródło nie rozwija jednak w tym miejscu katalogu sankcji ani ich wysokości, więc nie warto dopowiadać więcej ponad to, co zostało opublikowane.
Dla firm, które dopiero teraz porządkują temat, praktyczny wniosek jest prosty: najpierw trzeba ustalić, czy obowiązek rzeczywiście istniał, a dopiero potem kompletować dokumenty i działania następcze. Proponujemy sprawdzić wewnętrznie, kto w organizacji odpowiadał za analizę obowiązku wpisu, czy zachowała się dokumentacja tej analizy oraz czy spółka posiada dowód złożenia albo niezłożenia wniosku wraz z uzasadnieniem.
Minimum organizacyjne, które da się potwierdzić w źródłach
W publicznym materiale dotyczącym obowiązków podmiotów kluczowych i ważnych administracja wskazuje wprost kilka obszarów organizacyjnych. Po pierwsze, mowa o przygotowaniu i wdrożeniu SZBI. Po drugie, o zgłaszaniu incydentów do zespołów CSIRT i zarządzaniu incydentami. Po trzecie, o wyznaczaniu osób odpowiedzialnych za utrzymywanie kontaktów z podmiotami KSC. Po czwarte, o weryfikacji niekaralności personelu. To jest bezpieczne minimum faktograficzne, którego nie trzeba uzupełniać domysłami.
Z perspektywy MŚP najważniejsze bywa nie samo nazwanie tych obowiązków, lecz przypisanie im właściciela. Proponujemy zacząć od wskazania jednej osoby odpowiedzialnej za koordynację tematu KSC wewnątrz firmy oraz jednej osoby do kontaktu operacyjnego. Następnie warto uporządkować, gdzie w organizacji znajduje się dokumentacja bezpieczeństwa, kto obsługuje incydenty i jak wygląda ścieżka eskalacji. To redakcyjna propozycja uporządkowania prac, a nie cytat ze źródeł.
Rządowa baza wiedzy podaje także dalsze terminy, ale trzeba je czytać precyzyjnie. Obowiązek podłączenia do systemu S46 do 3 kwietnia 2027 r. oraz wdrożenia obowiązków wynikających z nowych przepisów do 3 kwietnia 2027 r. został wprost odniesiony do podmiotów kluczowych i ważnych, które w dniu wejścia w życie nowelizacji spełniały ustawowe kryteria. Nie należy rozszerzać tego sformułowania na wszystkie podmioty bez takiego zastrzeżenia.
Jak podejść do części technicznej bez dopowiadania rzeczy, których źródła nie potwierdzają
W przedstawionych źródłach nie ma szczegółowej listy narzędzi technicznych, które każda firma musi wdrożyć. Nie ma tam zamkniętego katalogu w rodzaju MFA, EDR, segmentacji czy monitoringu opisanych jako obowiązkowe minimum dla wszystkich. Z tego powodu nie warto przedstawiać takiej listy jako faktu wynikającego bezpośrednio z tych stron.
Można jednak bezpiecznie powiedzieć, że po dokonaniu wpisu kolejnym krokiem jest wdrożenie środków bezpieczeństwa i rozpoczęcie raportowania w systemie S46 w ciągu roku od dokonania wpisu, ponieważ właśnie taką informację publikuje Ministerstwo Rozwoju i Technologii. Jeżeli firma kwalifikuje się do KSC, część techniczna powinna więc wynikać z wcześniejszej analizy obowiązku oraz z prac nad SZBI, a nie z przypadkowej listy zakupowej.
Proponujemy, aby MŚP potraktowały etap techniczny jako uporządkowanie tego, co już istnieje: systemów objętych zakresem, odpowiedzialności za ich utrzymanie, sposobu zgłaszania incydentów oraz dokumentowania zmian. Taki sposób pracy pomaga przygotować organizację do dalszych obowiązków bez ryzyka, że autorski katalog środków zostanie błędnie uznany za oficjalną interpretację ustawy.
Plan działań po 3 października 2026
Ponieważ termin wpisu do Wykazu KSC już upłynął, sensowny plan dla MŚP powinien zaczynać się od uporządkowania stanu faktycznego. Proponujemy najpierw zebrać podstawę kwalifikacji firmy: sektor działalności, wielkość przedsiębiorstwa i ocenę przesłanek ustawowych. Drugi krok to sprawdzenie, czy wpis został wykonany, a jeśli tak, to kiedy i przez kogo. Trzeci krok to ustalenie, jakie obowiązki organizacyjne zostały już wdrożone, a jakie pozostają otwarte.
Następnie warto odnieść stan firmy do informacji z rządowej bazy wiedzy: czy przygotowano i wdrożono SZBI, czy wyznaczono osoby do kontaktu, czy ustalono sposób zgłaszania incydentów i zarządzania nimi oraz czy uwzględniono wymóg weryfikacji niekaralności personelu tam, gdzie ma on zastosowanie. Taki przegląd można przeprowadzić nawet w niewielkiej organizacji, o ile zakres odpowiedzialności zostanie jasno przypisany.
Najczęstszy problem praktyczny nie musi polegać na braku pojedynczego dokumentu, lecz na braku jednej, spójnej teczki decyzyjnej. Dlatego proponujemy zakończyć prace zebraniem dowodów: notatki z kwalifikacji, decyzji o wpisie albo o jego braku, potwierdzeń działań organizacyjnych oraz listy osób odpowiedzialnych. Przy temacie KSC porządek dokumentacyjny jest równie ważny jak sama ocena obowiązku.
