Jak złożyć wniosek o wpis do wykazu podmiotów kluczowych i ważnych? Ile masz czasu na wpis do wykazu KSC?

Czym jest wykaz KSC?

Rejestr KSC to oficjalny wykaz podmiotów kluczowych i podmiotów ważnych objętych ustawą o krajowym systemie cyberbezpieczeństwa. Stanowi część systemu S46 i służy przede wszystkim temu, aby właściwe organy mogły identyfikować organizacje podlegające KSC, kontaktować się z nimi i sprawować nad nimi nadzór.

W wykazie znajdują się m.in. dane identyfikacyjne i kontaktowe podmiotu oraz informacje dotyczące jego statusu i działalności. Z rejestru korzystają przede wszystkim organy właściwe do spraw cyberbezpieczeństwa i zespoły CSIRT. 

Kto ma obowiązek wpisu do wykazu KSC?

Do Wykazu KSC wpisywane są podmioty kluczowe i podmioty ważne. Jeżeli nie ustaliłeś jeszcze, czy Twoja organizacja ma jeden z tych statusów, punktem wyjścia powinna być realizacja obowiązku samoidentyfikacji NIS2, czyli weryfikacja, czy Twoja firma podlega ustawie KSC. Jeśli natomiast obowiązek samoidentyfikacji masz już za sobą, kolejnym krokiem w większości przypadków będzie realizacja wniosku samorejestracji, czyli złożenie wniosku o dokonanie wpisu do wykazu KSC.

Kim jest podmiot kluczowy?

Podmiot kluczowy to organizacja, której działalność ma szczególnie istotne znaczenie dla funkcjonowania państwa, gospodarki lub społeczeństwa, a jej zakłócenie mogłoby mieć poważne skutki. Do tej grupy należą m.in. organizacje działające w sektorach wskazanych w ustawie o krajowym systemie cyberbezpieczeństwa (KSC), takich jak energia, transport, bankowość, ochrona zdrowia czy infrastruktura cyfrowa.

O tym, czy dana organizacja jest podmiotem kluczowym, decydują konkretne kryteria określone w ustawie KSC, w szczególności rodzaj prowadzonej działalności, sektor oraz spełnienie określonych warunków. Podmioty kluczowe podlegają obowiązkom związanym z zapewnieniem cyberbezpieczeństwa oraz nadzorowi przewidzianemu w ustawie.

Kim jest podmiot ważny?

Podmiot ważny to również organizacja, której działalność ma znaczenie z punktu widzenia cyberbezpieczeństwa, ale ustawodawca traktuje ją jako kategorię o mniejszym znaczeniu niż podmiot kluczowy. Do podmiotów ważnych mogą należeć organizacje działające w sektorach objętych ustawą KSC, które spełniają określone w niej kryteria.

Podmioty ważne, podobnie jak podmioty kluczowe, mają obowiązki w zakresie cyberbezpieczeństwa i są ujmowane w Wykazie KSC. Różnica polega przede wszystkim na zakresie obowiązków oraz sposobie sprawowania nad nimi nadzoru.

Czy wszystkie podmioty wpisują się samodzielnie do KSC?

Nie wszystkie podmioty objęte KSC muszą samodzielnie składać wniosek o wpis do Wykazu KSC. W zależności od kategorii podmiotu wpis może nastąpić na dwa sposoby: na wniosek organizacji albo z urzędu.

W przypadku samorejestracji to organizacja musi ustalić, że podlega przepisom ustawy KSC, a następnie złożyć elektroniczny wniosek o wpis do Wykazu KSC.

W niektórych przypadkach wpis następuje natomiast z urzędu. Oznacza to, że organizacja nie musi składać wniosku – zostaje ujęta w Wykazie KSC na podstawie informacji dostępnych organowi właściwemu do dokonania wpisu.

Dlatego jeśli ustalisz, że Twoja organizacja podlega KSC, nie zaczynaj od składania wniosku. Najpierw sprawdź, czy nie została już wpisana do Wykazu KSC z urzędu. 

Jak wygląda procedura wpisu do wykazu KSC?

Jeżeli Twoja organizacja nie została wpisana do wykazu z urzędu, musisz samodzielnie złożyć wniosek o wpis. Cała procedura odbywa się elektronicznie i składa się z kilku podstawowych kroków. Samorejestracja jest dostępna od 7 maja 2026 r. i odbywa się elektronicznie w ramach Wykazu KSC.

Krok 1. Ustal status swojej organizacji

Zanim rozpoczniesz samorejestrację, musisz mieć pewność, że Twoja organizacja rzeczywiście jest podmiotem kluczowym lub podmiotem ważnym. To właśnie wynik samoidentyfikacji przesądza o tym, czy masz obowiązek znaleźć się w wykazie KSC. Jeżeli nie masz jeszcze pewności co do swojego statusu, zacznij od analizy podlegania pod NIS2/KSC.

Krok 2. Sprawdź, czy nie dokonano wpisu z urzędu

Część organizacji jest wpisywana do wykazu z urzędu na podstawie danych z rejestrów publicznych. Jeżeli z urzędu wpisano Twój podmiot do rejestru KSC, otrzymasz zawiadomienie i wezwanie do uzupełnienia wymaganych danych.

Krok 3. Zaloguj się do Wykazu KSC

Wniosek składa się elektronicznie w aplikacji Wykaz KSC. Logowanie odbywa się przez Węzeł Krajowy, m.in. z wykorzystaniem Profilu Zaufanego, aplikacji mObywatel, e-Dowodu, bankowości elektronicznej lub kwalifikowanego certyfikatu. Przy pierwszym logowaniu trzeba założyć konto użytkownika.

Krok 4. Wypełnij wniosek o wpis do rejestru

Po zalogowaniu wybierasz opcję „Wpisz nowy podmiot” i uzupełniasz formularz. Podajesz w nim dane dotyczące organizacji, jej klasyfikacji sektorowej oraz dane kontaktowe wymagane przez ustawę.

Krok 5. Podpisz i złóż wniosek

Po uzupełnieniu wszystkich wymaganych danych sprawdź formularz i złóż wniosek elektronicznie. Zrobisz to za pośrednictwem Systemu S46, czyli systemu teleinformatycznego wykorzystywanego do obsługi zadań związanych z krajowym systemem cyberbezpieczeństwa.

Po złożeniu wniosku możesz sprawdzić jego status w systemie. Jeżeli procedura zakończy się prawidłowo, organizacja zostanie ujęta w Wykazie KSC.

Jakie dane trzeba przygotować przed wpisem do wykazu podmiotów kluczowych i ważnych?

Przed rozpoczęciem samorejestracji warto zebrać wszystkie informacje potrzebne do wypełnienia formularza, a  przede wszystkim:

• dane identyfikacyjne organizacji, m.in. nazwę, NIP i REGON,
• informacje o sektorze, podsektorze i rodzaju działalności objętej KSC,
• dane adresowe i kontaktowe, w tym adres e-mail, numer telefonu i adres do doręczeń elektronicznych,
• dane osób wyznaczonych do kontaktu w sprawach KSC oraz administratora konta w Systemie S46,
• informacje o publicznych adresach IP i domenach internetowych,
• dane dotyczące działalności regulowanej, jeżeli ma zastosowanie,
• informacje o dostawcach usług zarządzanych w obszarze cyberbezpieczeństwa,
• dane przedstawiciela, jeżeli został ustanowiony,
• pełnomocnictwo, jeżeli wniosek składa osoba działająca w imieniu kierownika podmiotu.

Warto też pamiętać, że wniosek zawiera oświadczenie kierownika podmiotu składane pod rygorem odpowiedzialności karnej za podanie fałszywych informacji. 

Ile masz czasu, by złożyć wniosek o wpis do wykazu KSC? Jak liczyć termin 6 miesięcy dla samorejestracji?

Na złożenie wniosku masz 6 miesięcy od dnia, w którym Twoja organizacja spełni przesłanki obowiązku samorejestracji w wykazie KSC. Nie oznacza to więc, że termin upływa 3 października 2026 r. dla każdego podmiot kluczowego lub ważnego. 

Jeżeli Twoja organizacja spełnia przesłanki uznania za podmiot kluczowy lub ważny już w dniu wejścia w życie nowych przepisów, wniosek o wpis do Wykazu KSC rzeczywiście należy złożyć do 3 października 2026 r. Natomiast jeśli firma zacznie prowadzić działalność objętą KSC dopiero później albo wskutek zmian w organizacji zacznie spełniać wymagane kryteria, sześciomiesięczny termin będzie liczony od momentu powstania tego obowiązku.

Z tego też powodu statusu firmy pod kątem KSC nie wystarczy ustalić raz. Istotne zmiany w działalności mogą sprawić, że obowiązek wpisu powstanie również w przyszłości.

Co się dzieje po samorejestracji w KSC?

Wpis do Wykazu KSC nie oznacza, że możesz uznać temat NIS2 za zakończony. To dopiero realizacja jednego z  obowiązków wynikających z ustawy. Musisz również m.in.:

• wdrożyć odpowiednie środki techniczne i organizacyjne w zakresie cyberbezpieczeństwa,
• przygotować procedury zarządzania ryzykiem i reagowania na incydenty,
• wyznaczyć osoby odpowiedzialne za realizację obowiązków wynikających z KSC,
• zgłaszać incydenty zgodnie z ustawowymi terminami,
• dbać o bezpieczeństwo łańcucha dostaw,
• aktualizować dane przekazane do Wykazu KSC, jeśli ulegną zmianie,
• przygotować organizację na kontrole i audyty przewidziane w ustawie.

Najczęstsze błędy związane z wpisem do Wykazu KSC

Sam obowiązek wpisu do Wykazu KSC może wydawać się prosty, ale w praktyce łatwo popełnić błąd, który opóźni dalsze działania albo sprawi, że organizacja w ogóle nie dopełni obowiązku. Najczęściej spotykamy się z następującymi sytuacjami:

• Zakończenie całego procesu na samoidentyfikacji - ustalenie, że firma jest podmiotem kluczowym lub ważnym, to dopiero pierwszy etap. Jeżeli podmiot nie jest wpisywany z urzędu, kolejnym krokiem powinno być złożenie wniosku o wpis.
• Brak wpisu mimo spełnienia przesłanek – samo podleganie ustawie nie powoduje automatycznie, że organizacja znajdzie się w Wykazie KSC. W przypadkach wymagających samorejestracji trzeba podjąć odpowiednie działanie.
• Mylenie kwalifikacji z wpisem - uznanie firmy za podmiot kluczowy albo ważny i formalny wpis do wykazu to dwa różne etapy. Sam wynik analizy nie zastępuje rejestracji.
• Założenie, że wpis kończy obowiązki – w praktyce jest odwrotnie. Po wpisie organizacja musi realizować kolejne wymagania związane m.in. z zarządzaniem ryzykiem, incydentami, bezpieczeństwem i aktualizacją danych.
• Odkładanie wpisu na ostatnią chwilę – formularz wymaga zebrania konkretnych danych i ich weryfikacji. Im później rozpoczniesz przygotowania, tym większe ryzyko błędów, braków albo przekroczenia terminu.

Zadbaj o prawidłowy wpis do Wykazu KSC z pomocą JDS Consulting

Wpis do Wykazu KSC może wydawać się prostą formalnością, ale błędnie złożony wniosek, brak wymaganych danych albo przekroczenie terminu mogą niepotrzebnie zwiększyć ryzyko po stronie organizacji. W JDS Consulting pomożemy Ci przejść przez proces samorejestracji, przygotować potrzebne informacje i zweryfikować, czy wpis został dokonany prawidłowo.

WIĘCEJ>>>

FAQ – samorejestracja w Wykazie KSC

1. Czy wpis do Wykazu KSC jest obowiązkowy?

Tak, jeżeli Twoja organizacja jest podmiotem kluczowym lub ważnym objętym ustawą KSC i nie została wpisana do wykazu z urzędu.

2. Kto dokonuje wpisu do Wykazu KSC?

Wpisu dokonuje sam podmiot w drodze samorejestracji albo właściwy organ z urzędu, jeśli ustawa przewiduje taki tryb.

3. Czy każdy podmiot objęty NIS2 wpisuje się samodzielnie? 

Nie, część podmiotów trafia do Wykazu KSC z urzędu i nie musi składać własnego wniosku.

4. Jaka jest różnica między samoidentyfikacją a wpisem do Wykazu?

Samoidentyfikacja służy ustaleniu, czy organizacja podlega KSC i jaki ma status, a wpis do Wykazu KSC jest formalnym zgłoszeniem tego podmiotu do systemu.

5. Co zrobić po wpisie do Wykazu KSC?

Po wpisie trzeba przejść do realizacji dalszych obowiązków wynikających z KSC, m.in. w zakresie zarządzania ryzykiem, incydentami i cyberbezpieczeństwem.