Firma z sektora chemicznego ustaliła, że jest podmiotem ważnym. Zarząd odetchnął z ulgą – i na tym poprzestał. Tymczasem sama kwalifikacja to dopiero początek. Kolejnym obowiązkiem jest wpis do wykazu podmiotów kluczowych i podmiotów ważnych. Termin dla firm spełniających kryteria w dniu wejścia ustawy w życie mija 3 października 2026 r.
Wykaz to centralny rejestr wszystkich podmiotów objętych znowelizowaną ustawą o KSC. Część firm musi zgłosić się do niego samodzielnie. Inne zostaną wpisane z urzędu – i o tym fakcie jedynie zawiadomione. W tym artykule wyjaśniamy, kogo dotyczy który tryb, jakie terminy obowiązują i jakie dane trafią do rejestru.1. Kiedy należy zarejestrować się w wykazie podmiotów?
Ustawa daje na rejestrację 6 miesięcy. Termin liczy się od dnia, w którym podmiot spełnił przesłanki uznania za kluczowy albo ważny. Nie jest to zatem jedna sztywna data dla wszystkich firm. Pierwszą analizę statusu należało przeprowadzić na moment wejścia ustawy w życie, czyli 3 kwietnia 2026 r. W konsekwencji firmy, które tego dnia spełniały kryteria, muszą złożyć wniosek do 3 października 2026 r. Wpisu dokonuje się za pomocą systemu S46. Sam wniosek składa się w formie elektronicznej. Można go podpisać kwalifikowanym podpisem elektronicznym, podpisem zaufanym lub podpisem osobistym. Dopuszczalna jest także kwalifikowana pieczęć elektroniczna. Podpis składa kierownik podmiotu albo osoba upoważniona.| Obowiązek | Termin | Data graniczna* |
|---|---|---|
| Wpis do wykazu | 6 miesięcy od spełnienia przesłanek | 3 października 2026 r. |
| Podłączenie do systemu S46 | 12 miesięcy od spełnienia przesłanek | 3 kwietnia 2027 r. |
* Dla podmiotów spełniających kryteria w dniu wejścia ustawy w życie, tj. 3 kwietnia 2026 r.
⚖️ Komentarz prawny Kancelaria IT
Termin 6 miesięcy działa również w przyszłości. Firma, która dopiero za rok przekroczy próg średniego przedsiębiorstwa, będzie miała 6 miesięcy od tego momentu. Dlatego monitorowanie własnego statusu powinno stać się stałym elementem procedur wewnętrznych – nie jednorazową analizą.
2. Które podmioty zostaną wpisane do wykazu z urzędu?
Nie każdy podmiot musi rejestrować się samodzielnie. Minister właściwy do spraw informatyzacji dokona z urzędu wpisu czterech grup:- przedsiębiorców telekomunikacyjnych,
- dostawców usług zaufania,
- podmiotów publicznych,
- dotychczasowych operatorów usług kluczowych.
„Podmiot wpisany z urzędu otrzyma zawiadomienie o tym fakcie – doręczone na adres do doręczeń elektronicznych lub z wykorzystaniem publicznej usługi hybrydowej.”Warto pamiętać o jeszcze jednej możliwości. Organ właściwy do spraw cyberbezpieczeństwa może wpisać z urzędu każdy podmiot spełniający kryteria, który sam nie zarejestrował się w terminie. Uchylanie się od wpisu nie chroni więc przed obecnością w rejestrze.
📌 Rekomendacja praktyczna
Podmioty publiczne, które nie mają aktywnego adresu do doręczeń elektronicznych, powinny założyć go jak najszybciej. Bez niego korespondencja dotycząca wpisu i wezwań może po prostu do nich nie dotrzeć. Dla przedsiębiorców telekomunikacyjnych doręczenie może nastąpić także przez Platformę Usług Elektronicznych UKE.
3. Czy spółki zależne od operatora usługi kluczowej też podlegają wpisowi?
To pytanie regularnie pojawia się w grupach kapitałowych. Sam operator usługi kluczowej nie musi nic robić – zostanie wpisany do wykazu z urzędu przez Ministra Cyfryzacji. Inaczej wygląda sytuacja jego spółek zależnych. Każda z nich musi przeprowadzić własną, odrębną analizę statusu. Jeżeli spełnia kryteria podmiotu kluczowego lub ważnego, rejestruje się w wykazie samodzielnie. Status spółki matki nie przenosi się automatycznie na spółki córki – ani w jedną, ani w drugą stronę.⚖️ Komentarz prawny Kancelaria IT
W grupach kapitałowych rekomendujemy zmapowanie wszystkich spółek pod kątem działalności z załączników nr 1 i 2 do ustawy. Zdarza się, że spółka serwisowa lub logistyczna wpada w reżim ustawy niezależnie od podmiotu dominującego. Pamiętajmy też, że przy ustalaniu wielkości firmy dolicza się dane podmiotów powiązanych i partnerskich – z wyjątkami, o których pisaliśmy w poprzednim artykule.
4. Jakie dane będą znajdowały się w wykazie?
Wykaz ma umożliwić skuteczny nadzór nad podmiotami KSC. Z tego względu zakres gromadzonych informacji jest szeroki. Pierwszą grupę stanowią dane identyfikujące podmiot:- nazwa (firma) podmiotu,
- sektor, podsektor i rodzaj podmiotu zgodnie z załącznikiem nr 1 lub 2,
- siedziba i adres do korespondencji,
- adres do doręczeń elektronicznych (jeżeli został nadany) oraz adres poczty elektronicznej,
- NIP, REGON i numer we właściwym rejestrze działalności regulowanej.
- zakres publicznych adresów IP wykorzystywanych przez podmiot w sposób ciągły,
- zakres nazw domen używanych w sposób ciągły,
- dane osób kontaktowych – imię i nazwisko, służbowy telefon oraz służbowy e-mail (mikro- i mali przedsiębiorcy wskazują jedną osobę),
- numer PESEL administratora konta w systemie S46 lub identyfikator środka identyfikacji elektronicznej,
- deklarację wielkości przedsiębiorstwa oraz państwa UE, w których podmiot prowadzi działalność,
- informację o umowie z dostawcą usług zarządzanych w zakresie bezpieczeństwa,
- informację o ustanowieniu przedstawiciela oraz o porozumieniu w sprawie wymiany informacji o cyberbezpieczeństwie.
📌 Rekomendacja praktyczna
Zanim złożysz wniosek, przygotuj inwentaryzację adresów IP i domen wykorzystywanych w sposób ciągły. W wielu firmach nikt nie prowadzi takiego zestawienia na bieżąco. Zebranie tych danych na ostatnią chwilę bywa trudniejsze niż samo wypełnienie formularza w systemie S46.
Co zabrać z tej analizy
Podsumowując, wpis do wykazu to pierwszy formalny obowiązek po ustaleniu statusu podmiotu. Zaniedbanie tego kroku uruchamia wpis z urzędu, a w dalszej perspektywie czynności nadzorcze i ryzyko kary pieniężnej. Trzy zasady, które warto zapamiętać:- Rejestracja następuje w terminie 6 miesięcy od spełnienia przesłanek – dla firm objętych ustawą od początku oznacza to 3 października 2026 r.
- Wpis z urzędu obejmuje tylko cztery grupy podmiotów. Pozostali rejestrują się samodzielnie – dotyczy to także spółek zależnych od operatorów usług kluczowych.
- Do wniosku potrzebne są dane techniczne, w tym zakresy adresów IP i domen. Ich zebranie warto rozpocząć z wyprzedzeniem.
Podstawy prawne: art. 7-7m ustawy z dnia 5 lipca 2018 r. o krajowym systemie cyberbezpieczeństwa, w brzmieniu nadanym nowelizacją z 2025 r.; dyrektywa Parlamentu Europejskiego i Rady (UE) 2022/2555 z dnia 14 grudnia 2022 r. (NIS2); ustawa o doręczeniach elektronicznych.
Nie wiesz, jak przygotować wniosek o wpis do wykazu KSC?
Kancelaria IT wspiera firmy w rejestracji w wykazie podmiotów kluczowych i ważnych oraz w podłączeniu do systemu S46. Ustalamy status prawny, kompletujemy wymagane dane i pilnujemy terminów ustawowych.
Napisz po darmową wycenę →Artykuł ma charakter informacyjny. Nie stanowi porady prawnej w rozumieniu przepisów o świadczeniu pomocy prawnej. W celu uzyskania porady prawnej w konkretnej sprawie zapraszamy do kontaktu: kancelaria-it.pl
