Pozostał tylko miesiąc na wpis do wykazu podmiotów kluczowych i ważnych
Już 3 października 2026 roku upływa termin na złożenie wniosku o wpis do wykazu podmiotów kluczowych i podmiotów ważnych. Obowiązek ten wynika z ustawy z dnia 5 lipca 2018 r. o krajowym systemie cyberbezpieczeństwa (dalej jako „UKSC”) w brzmieniu nadanym ustawą z dnia 23 stycznia 2026 r. o zmianie ustawy o krajowym systemie cyberbezpieczeństwa oraz niektórych innych ustaw wdrażającą dyrektywę NIS2, która weszła w życie 3 kwietnia 2026 roku. O tym, kogo obowiązek dotyczy i jakie obowiązki to ze sobą niesie, przeczytacie Państwo poniżej.
Czym jest krajowy system cyberbezpieczeństwa?
Cyberataki, które jeszcze kilka lat temu uderzały głównie w pojedyncze firmy, dotykają dziś całych sektorów gospodarki i podstawowych usług publicznych, a koszty przestojów liczą się w milionach – dlatego zarówno prawodawca europejski, jak i polski zdecydowali się objąć cyberbezpieczeństwo twardymi obowiązkami regulacyjnymi. UKSC tworzy ramy prawne i organizacyjne cyberbezpieczeństwa na poziomie krajowym – m.in. wyznacza organy właściwe dla poszczególnych sektorów, zespoły CSIRT oraz system teleinformatyczny S46 służący do zgłaszania incydentów. Nowelizacja rozszerza krąg adresatów z kilkuset operatorów usług kluczowych do kilkudziesięciu tysięcy podmiotów z osiemnastu sektorów gospodarki.
Co istotne, bardzo zmienił się przy tym mechanizm kwalifikacji. Dotychczas status operatora usługi kluczowej nadawany był decyzją administracyjną, a obecnie obowiązuje model samoidentyfikacji – status powstaje z mocy prawa z chwilą spełnienia przesłanek ustawowych, wpis ma charakter deklaratoryjny, a ciężar prawidłowej oceny spoczywa na samym podmiocie.
Kto jest podmiotem kluczowym, a kto ważnym?
Kwalifikacja opiera się na dwóch osiach: (i) rodzaju działalności oraz (ii) wielkości podmiotu, mierzonej kryteriami z załącznika I do rozporządzenia 651/2014/UE. Rodzaje podmiotów wymienia załącznik nr 1 (sektory kluczowe – m.in. energetyka, transport, bankowość, ochrona zdrowia, infrastruktura cyfrowa, podmioty publiczne) oraz załącznik nr 2 (sektory ważne – m.in. usługi pocztowe i kurierskie, gospodarowanie odpadami, produkcja żywności i chemikaliów, produkcja przemysłowa, dostawcy usług cyfrowych, badania naukowe).
W uproszczeniu można powiedzieć, że duży przedsiębiorca z załącznika nr 1 jest podmiotem kluczowym, średni z tego załącznika – podmiotem ważnym, a średni i duży z załącznika nr 2 – podmiotem ważnym. Mikro- i mali przedsiębiorcy co do zasady pozostają poza zakresem UKSC. Przewidziano jednak liczne wyjątki – niezależnie od wielkości podmiotami kluczowymi są m.in. dostawcy usług DNS, rejestry nazw domen najwyższego poziomu, kwalifikowani dostawcy usług zaufania i podmioty krytyczne, a odrębne zasady dotyczą przedsiębiorców komunikacji elektronicznej, dostawców usług zarządzanych w zakresie cyberbezpieczeństwa i podmiotów leczniczych.
Należy też podkreślić, że przy ustalaniu wielkości dolicza się dane przedsiębiorstw powiązanych i partnerskich, co może powodować, że podmioty stosunkowo małe, przez swoje powiązania kapitałowe i tak wpadną w reżim UKSC. Na szczęście i w tym zakresie są pewne wyjątki.
Obowiązek utrzymania SZBI
Podmioty kluczowe i ważne mają obowiązek wdrożyć i utrzymywać system zarządzania bezpieczeństwem informacji (SZBI) w systemach informacyjnych wykorzystywanych w procesach wpływających na świadczenie usługi kluczowej lub ważnej. Punktem wyjścia jest więc systematyczne szacowanie ryzyka, a dobierane środki muszą być proporcjonalne do tego ryzyka, wielkości podmiotu i skutków ewentualnego incydentu. Katalog obszarów, które trzeba wdrożyć, jest szeroki – obejmuje m.in. polityki bezpieczeństwa, bezpieczeństwo w cyklu życia systemu i łańcucha dostaw ICT, plany ciągłości działania, ciągły monitoring, kryptografię i uwierzytelnianie wieloskładnikowe, zarządzanie aktywami, kontrolę dostępu oraz edukację personelu. Wdrożenie i utrzymanie SZBI nie jest projektem jednorazowym, gdyż wymaga cyklicznego przeglądu, oceny skuteczności i aktualizacji, a certyfikat ISO/IEC 27001 skraca drogę, lecz nie zastępuje wymogów ustawowych.
Czym jest wykaz i do kiedy trzeba się wpisać?
Wykaz podmiotów kluczowych i ważnych prowadzi minister właściwy do spraw informatyzacji. Od 7 maja 2026 roku działa samorejestracja pod adresem www.wykaz-ksc.gov.pl – do logowania będzie potrzebny Profil Zaufany, aplikacja mObywatel, E-dowód albo profil z bankowości elektronicznej. Wniosek składa i podpisuje zarząd albo osoba przez zarząd upoważniona, wraz z oświadczeniem o prawdziwości danych pod rygorem odpowiedzialności karnej. Poza danymi identyfikacyjnymi i sektorowymi wniosek obejmuje adres do doręczeń elektronicznych, zakresy publicznych adresów IP i nazwy domen wykorzystywanych w sposób ciągły, dane osób do kontaktu i administratora konta w S46 oraz informacje o działalności w innych państwach członkowskich.
Podmioty publiczne, przedsiębiorcy telekomunikacyjni, dostawcy usług zaufania i dotychczasowi operatorzy usług kluczowych wpisywani są z urzędu, co nie zwalnia ich z uzupełnienia danych po otrzymaniu wezwania.
Za naruszenie obowiązków ustawowych grożą administracyjne kary pieniężne – dla podmiotów kluczowych do 10 mln EUR lub 2% przychodu, dla podmiotów ważnych do 7 mln EUR lub 1,4% przychodu, w zależności od tego, która wartość jest wyższa.
Kalendarium związane z UKSC prezentuje się następująco:
- do 3 października 2026 r. – należy złożyć wniosek o wpis dla podmiotów spełniających przesłanki w dniu wejścia nowelizacji w życie;
- do 3 kwietnia 2027 r. – należy wdrożyć SZBI i spełnić pozostałe obowiązki z UKSC, a także rozpocząć korzystanie z systemu S46;
- od 3 kwietnia 2028 r. – od tej daty mogą być nakładane kary na podmioty kluczowe i ważne oraz na członków zarządu tych podmiotów.
Co to oznacza dla Państwa organizacji?
W naszej ocenie wypełnienie wniosku jest ostatnim etapem procesu polegającego na dokładnym ustaleniu statusu podmiotu wobec UKSC. W związku z powyższym rekomendujemy następującą kolejność działań:
- Ustalenie statusu organizacji – analiza, czy organizacja jest podmiotem kluczowym, ważnym, czy pozostaje poza zakresem UKSC, z uwzględnieniem wszystkich rodzajów działalności oraz przedsiębiorstw powiązanych i partnerskich;
- Udokumentowanie wyniku analizy, również gdy prowadzi ona do wniosku o braku obowiązku wpisu;
- Zebranie danych do wniosku, wyznaczenie osób do kontaktu i administratora konta w S46 oraz złożenie wniosku po weryfikacji umocowania osoby podpisującej;
- Rozpoczęcie prac nad SZBI z myślą o terminie 3 kwietnia 2027 roku – przy wdrożeniu od podstaw to może zająć kilka do kilkunastu miesięcy.
Podsumowanie
Przyjęty w nowelizacji model samoidentyfikacji przenosi całe ryzyko błędnej kwalifikacji na organizację i jej zarząd. Dlatego warto zacząć od ustalenia lub upewnienia się, czy są Państwo podmiotem ważnym lub kluczowym.
KONTAKT
E: magdalena.patryas@pl.Andersen.com
T: +48 32 731 68 84
M: +48 502 392 419
