NIS2: rejestracja do wykazu KSC do 3 października 2026, checklista przed terminem

Czas czytania: około 8 minut

Spis treści

1. Co dokładnie mija 3 października
2. Samoidentyfikacja: kto sam ocenia, czy podlega
3. Kto jest podmiotem kluczowym, a kto ważnym
4. Kogo wpisują z urzędu, a kto musi zgłosić się sam
5. Jak przebiega wpis do wykazu, krok po kroku
6. Checklista przed 3 października
7. Co dzieje się po rejestracji: kolejne zegary NIS2
8. Gdzie tu wchodzi wdrożenie AI
9. Częsty błąd: mylenie rejestracji z pełną zgodnością
10. FAQ

Odpowiedź najpierw

Jeśli twoja firma działa w jednym z sektorów objętych znowelizowaną ustawą o krajowym systemie cyberbezpieczeństwa i przekracza próg wielkości, masz czas do 3 października 2026, żeby wpisać się do wykazu podmiotów kluczowych i ważnych. Nowelizacja, która wdraża dyrektywę NIS2, weszła w życie 3 kwietnia 2026 i działa w modelu samoidentyfikacji: to ty oceniasz, czy podlegasz ustawie, i sam składasz wniosek, a nie czekasz na pismo z urzędu. Wpisu dokonuje się elektronicznie przez aplikację „Wykaz KSC” na wykaz-ksc.gov.pl, po zalogowaniu przez Węzeł Krajowy i podpisaniu wniosku przez kierownika podmiotu. Rejestracja to dopiero wejście do systemu, nie komplet obowiązków, ale to pierwszy twardy termin i jedyny, którego nie da się nadrobić później bez ryzyka.

Co dokładnie mija 3 października

Nowelizacja ustawy o krajowym systemie cyberbezpieczeństwa, w skrócie ustawy o KSC, jest polskim wdrożeniem dyrektywy NIS2. Weszła w życie 3 kwietnia 2026 i od tego dnia biegnie sześciomiesięczne okno na jedną konkretną czynność: wpis do wykazu podmiotów kluczowych i ważnych. Okno zamyka się 3 października 2026.

To nie jest termin na wdrożenie środków bezpieczeństwa ani na zbudowanie procedury incydentowej. To termin na formalne zgłoszenie państwu, że twoja organizacja mieści się w zakresie ustawy. Dopiero po wpisie zaczynają realnie biec terminy na resztę obowiązków, a te mają własne, późniejsze daty. Rejestracja jest więc bramką: przechodzisz przez nią raz, na czas, i dopiero za nią otwiera się reszta harmonogramu.

Znaczenie tej daty bywa mylone w dwie strony. Jedni zakładają, że skoro pełne obowiązki bezpieczeństwa są dopiero za rok, to i rejestracja może poczekać. Nie może, bo to dwie różne czynności z dwoma różnymi terminami. Drudzy zakładają, że wpis do wykazu wymaga, by w dniu zgłoszenia mieć już domknięty cały system zarządzania bezpieczeństwem. Nie wymaga, bo wpis to deklaracja przynależności do zakresu ustawy, nie oświadczenie o gotowości.

Samoidentyfikacja: kto sam ocenia, czy podlega

Najważniejsza mechanika tej ustawy to samoidentyfikacja. W poprzednim reżimie to organ wskazywał operatorów usług kluczowych decyzją administracyjną. Teraz ciężar przeszedł na firmę: sama masz ocenić, czy prowadzisz działalność w sektorze objętym ustawą i czy przekraczasz próg wielkości, a jeśli tak, sama masz się wpisać do wykazu w terminie.

To zmienia charakter ryzyka. Brak decyzji z urzędu nie oznacza, że ustawa cię nie dotyczy. Jeśli spełniasz kryteria, obowiązek istnieje niezależnie od tego, czy ktokolwiek ci o nim przypomniał. Najczęstsza pułapka nie polega na tym, że firma wie o obowiązku i go ignoruje, tylko na tym, że w ogóle nie przeprowadziła analizy i żyje w przekonaniu, że cyberbezpieczeństwo to temat dla banków i telekomów. Tymczasem zakres NIS2 jest wyraźnie szerszy niż poprzedniej dyrektywy i sięga między innymi produkcji, gospodarki odpadami, żywności i chemii.

Analiza sprowadza się do trzech pytań: czy działam w którymś z sektorów wymienionych w ustawie, czy przekraczam próg wielkości, i czy w związku z tym jestem podmiotem kluczowym czy ważnym. Dopiero odpowiedź na te trzy pytania mówi, czy i jak się rejestrować.

Kto jest podmiotem kluczowym, a kto ważnym

Ustawa dzieli adresatów na dwie kategorie, a podział przekłada się na sposób nadzoru. Podmioty kluczowe to co do zasady duże organizacje w sektorach o najwyższej krytyczności, takich jak energetyka, transport, bankowość, infrastruktura rynków finansowych, ochrona zdrowia, woda i infrastruktura cyfrowa. Podlegają nadzorowi proaktywnemu, czyli organ może je kontrolować, nie czekając na incydent.

Podmioty ważne to pozostałe sektory objęte ustawą oraz mniejsze organizacje. Tu nadzór jest reaktywny: wkracza wtedy, gdy pojawi się sygnał o naruszeniu obowiązków. Do sektorów, które trafiają najczęściej do tej kategorii, należą między innymi produkcja, gospodarka odpadami, produkcja żywności i wyrobów chemicznych oraz usługi cyfrowe niebędące infrastrukturą krytyczną.

Przynależność do kategorii wynika z połączenia sektora i wielkości firmy, mierzonej zatrudnieniem oraz obrotem lub sumą bilansową. Kryterium wielkości odcina co do zasady mikro i małe firmy, choć ustawa przewiduje wyjątki, w których wielkość nie ma znaczenia, bo o objęciu decyduje sama rola podmiotu. Konkretne progi i przypisanie sektora do kategorii trzeba sprawdzić dla własnego PKD, bo to właśnie tu najłatwiej o błąd w samoidentyfikacji.

Kogo wpisują z urzędu, a kto musi zgłosić się sam

Nie każdy podmiot musi składać wniosek. Część organizacji trafia do wykazu z urzędu, na podstawie danych, którymi państwo już dysponuje. Dotyczy to zwykle podmiotów publicznych, przedsiębiorców telekomunikacyjnych, dostawców usług zaufania oraz dawnych operatorów usług kluczowych z poprzedniego reżimu. Jeśli jesteś w tej grupie, twoja rola sprowadza się do sprawdzenia i uzupełnienia wpisu, a nie do zakładania go od zera.

Reszta, czyli w praktyce większość prywatnych firm z sektorów objętych ustawą, musi zgłosić się sama. To one są głównym adresatem terminu 3 października i to one najczęściej nie wiedzą, że ich to dotyczy. Jeśli nie masz pewności, do której grupy należysz, załóż, że musisz działać sam, i zweryfikuj, czy wpis z urzędu już istnieje, zamiast zakładać, że ktoś zrobił to za ciebie.

Jak przebiega wpis do wykazu, krok po kroku

Rejestracja jest w całości elektroniczna. Odbywa się przez aplikację „Wykaz KSC” dostępną pod adresem wykaz-ksc.gov.pl. Logowanie idzie przez Węzeł Krajowy, czyli ten sam mechanizm tożsamości, który obsługuje profil zaufany, mObywatel, e-dowód, bankowość elektroniczną oraz certyfikat kwalifikowany.

Wniosek podpisuje kierownik podmiotu, czyli osoba lub organ zarządzający, albo osoba przez nią upoważniona. To nie jest formalność bez znaczenia: nowelizacja mocno akcentuje odpowiedzialność kierownictwa za cyberbezpieczeństwo, więc podpis pod wpisem jest częścią szerszej konstrukcji, w której zarząd odpowiada osobiście za realizację obowiązków. Piszemy o tym w osobnej notatce o odpowiedzialności zarządu po nowelizacji UKSC.

W praktyce oznacza to, że przed samym kliknięciem trzeba mieć gotowe trzy rzeczy: rozstrzygniętą samoidentyfikację, dane podmiotu potrzebne do wniosku oraz osobę z prawem podpisu i działającym środkiem uwierzytelnienia w Węźle Krajowym. Najwięcej czasu zjada nie sam wniosek, tylko ustalenie, kto ma go podpisać i czy ta osoba ma czym się zalogować.

Checklista przed 3 października

Sensowna kolejność działań wygląda tak.

Po pierwsze, ustal PKD i profil działalności i sprawdź, czy któryś z twoich rodzajów działalności mieści się w sektorach objętych ustawą. Jedna firma może prowadzić kilka działalności i wystarczy jedna kwalifikująca.

Po drugie, sprawdź próg wielkości, licząc zatrudnienie oraz obrót lub sumę bilansową, i pamiętaj o regułach łączenia danych z podmiotami powiązanymi, bo one potrafią przesunąć małą z pozoru firmę ponad próg.

Po trzecie, przypisz się do kategorii, kluczowy albo ważny, bo od tego zależy zakres późniejszych obowiązków i sposób nadzoru.

Po czwarte, sprawdź, czy nie jesteś już wpisany z urzędu, zanim złożysz wniosek od zera.

Po piąte, wskaż kierownika podmiotu lub osobę upoważnioną do podpisania wniosku i upewnij się, że ma działający środek uwierzytelnienia w Węźle Krajowym, na przykład profil zaufany lub certyfikat kwalifikowany.

Po szóste, zbierz dane podmiotu potrzebne do wpisu i wyznacz osobę do kontaktu w sprawach cyberbezpieczeństwa, bo to naturalny punkt styku z organem po rejestracji.

Po siódme, złóż wniosek przez wykaz-ksc.gov.pl przed 3 października, a nie w ostatnim tygodniu, bo problem z logowaniem albo z podpisem w dniu terminu nie jest już do naprawienia.

Po ósme, zapisz potwierdzenie wpisu i wpisz do kalendarza kolejne daty NIS2, żeby rejestracja nie została jedyną rzeczą, którą zrobiłeś.

Co dzieje się po rejestracji: kolejne zegary NIS2

Wpis do wykazu otwiera, a nie zamyka harmonogram. Po nim biegną dwa kolejne twarde terminy. Pełne obowiązki bezpieczeństwa, czyli wdrożenie systemu zarządzania ryzykiem, środków technicznych i organizacyjnych z zakresu ustawy, wchodzą od 3 kwietnia 2027. Pierwszy obowiązkowy audyt oraz realna możliwość nakładania kar przypadają na 3 kwietnia 2028, po dwuletnim okresie przejściowym.

Osobnym obowiązkiem, który zaczyna działać wraz z byciem podmiotem w systemie, jest zgłaszanie incydentów. NIS2 opiera je na wieloetapowym modelu z wczesnym ostrzeżeniem liczonym w godzinach i pełnym zgłoszeniem w kolejnych dobach, kierowanym do właściwego CSIRT. To ten sam wzorzec zegarów, który opisaliśmy przy raportowaniu podatności w CRA, z tą różnicą, że NIS2 patrzy na incydent w twoich usługach, a nie na podatność w produkcie, który wprowadzasz do obrotu. Jak te reżimy się nakładają i gdzie działają osobno, rozkładamy w cross-mappingu NIS2, AI Act, RODO i ISO 27001.

Gdzie tu wchodzi wdrożenie AI

Dla firmy, która wdraża AI, rejestracja w wykazie KSC ma dwa skutki. Pierwszy jest bezpośredni: jeśli sama podlegasz NIS2, twój system AI jest częścią infrastruktury, którą ustawa każe zabezpieczyć i monitorować, a incydent w tym systemie może być incydentem podlegającym zgłoszeniu. Drugi jest pośredni, ale często ważniejszy: NIS2 rozciąga obowiązki na łańcuch dostaw, więc twój dostawca AI staje się elementem twojej analizy ryzyka, niezależnie od tego, czy on sam jest podmiotem kluczowym. Mapujemy to na konkretne wymagania w notatce o NIS2 a vendor AI w łańcuchu dostaw.

Z tej perspektywy sposób, w jaki uruchamiasz model, przestaje być wyłącznie decyzją inżynierską. Model postawiony lokalnie, z kontrolą nad przepływem danych i możliwością logowania tego, co dzieje się w systemie, jest łatwiejszy do zaudytowania i do wpięcia w obowiązki NIS2 niż zależność od usługi, której wnętrza nie widzisz. To nie jest argument, że chmura wyklucza zgodność, tylko że zgodność wymaga wtedy pracy nad widocznością zależności, którą przy on-prem masz bliżej ręki. Rozwijamy ten wątek w tekście o minimalnych wymaganiach NIS2 dla izolacji sieciowej on-prem AI.

Częsty błąd: mylenie rejestracji z pełną zgodnością

Warto rozdzielić dwie rzeczy, bo ich pomieszanie kończy się albo spóźnieniem, albo niepotrzebnym pośpiechem. Rejestracja do 3 października 2026 to zadeklarowanie, że jesteś w zakresie ustawy. Zgodność, czyli faktyczne wdrożenie środków bezpieczeństwa, to osobny proces z terminem 3 kwietnia 2027 i egzekwowaniem od 3 kwietnia 2028.

Spóźnienie wygląda tak: firma czeka z rejestracją, bo „przecież i tak mamy czas na wdrożenie do 2027”. Myli termin wpisu z terminem zgodności i przegapia ten pierwszy. Niepotrzebny pośpiech wygląda odwrotnie: firma odkłada rejestrację, bo najpierw chce mieć „wszystko gotowe”, i traktuje wpis jak nagrodę za skończone wdrożenie. Wpis nie jest nagrodą, tylko wejściem do systemu, którego trzeba dokonać na czas, a resztę budować już wewnątrz. Na 3 października potrzebujesz rozstrzygniętej samoidentyfikacji i złożonego wniosku, nie kompletnego systemu zarządzania bezpieczeństwem.

FAQ

Do kiedy trzeba się zarejestrować w wykazie KSC? Do 3 października 2026. To termin na wpis do wykazu podmiotów kluczowych i ważnych, liczony od wejścia nowelizacji ustawy o KSC w życie 3 kwietnia 2026.

Czy dostanę pismo z urzędu, że muszę się zarejestrować? Co do zasady nie. Ustawa działa w modelu samoidentyfikacji: sam oceniasz, czy podlegasz, i sam składasz wniosek. Część podmiotów, jak publiczne, telekomunikacyjne czy dostawcy usług zaufania, jest wpisywana z urzędu, ale większość prywatnych firm musi zgłosić się samodzielnie.

Skąd mam wiedzieć, czy jestem podmiotem kluczowym czy ważnym? Z połączenia sektora działalności i wielkości firmy, mierzonej zatrudnieniem oraz obrotem lub sumą bilansową. Podmioty kluczowe to zwykle duże organizacje w sektorach najwyższej krytyczności pod nadzorem proaktywnym, podmioty ważne to pozostałe sektory i mniejsze organizacje pod nadzorem reaktywnym. Progi i przypisanie sektora trzeba sprawdzić dla własnego PKD.

Jak technicznie złożyć wniosek? Elektronicznie, przez aplikację „Wykaz KSC” na wykaz-ksc.gov.pl. Logowanie przez Węzeł Krajowy, czyli profil zaufany, mObywatel, e-dowód, bankowość elektroniczną lub certyfikat kwalifikowany. Wniosek podpisuje kierownik podmiotu lub osoba przez niego upoważniona.

Co jeśli przegapię termin? Rejestracja to obowiązek ustawowy, a jego naruszenie wchodzi w zakres nadzoru i sankcji przewidzianych ustawą. Realna możliwość nakładania kar zaczyna się po okresie przejściowym, ale spóźniona rejestracja pozostaje naruszeniem, a nie kwestią uznaniową. Zamiast liczyć na to, że termin się przesunie, bezpieczniej złożyć wniosek przed 3 października.

Czy rejestracja oznacza, że muszę mieć już wdrożone wszystkie zabezpieczenia? Nie. Wpis to deklaracja przynależności do zakresu ustawy. Pełne obowiązki bezpieczeństwa mają termin 3 kwietnia 2027, a pierwszy audyt i egzekwowanie 3 kwietnia 2028.

// co tu nie pokrywamCzego tu nie pokrywam

Nie omawiam pełnego katalogu środków zarządzania ryzykiem z art. 21 dyrektywy ani szczegółowej treści obowiązków bezpieczeństwa wchodzących od 3 kwietnia 2027, bo to materiał na osobne teksty. Nie podaję dokładnych progów zatrudnienia i obrotu ani listy wszystkich sektorów z załączników, bo te trzeba czytać wprost z ustawy dla własnego PKD. Nie wchodzę w wysokość kar ani w tryb postępowania nadzorczego. Pomijam sektorowe reżimy nakładające własne obowiązki, jak DORA dla łańcucha finansowego czy CRA dla producentów produktów z elementami cyfrowymi, które prowadzimy osobno.

// disclosure i biasesDisclosure i biases

Piszę z perspektywy osoby pracującej nad wdrożeniami AI uruchamianymi poza chmurą publiczną, więc naturalnie akcentuję kontrolę nad przepływem danych, logowanie i możliwość zaudytowania zależności. Starałem się oddzielić treść przepisów od tej preferencji architektonicznej i nie sugerować, że jedna droga wdrożenia automatycznie załatwia zgodność z NIS2. Ten tekst nie jest opinią prawną. Kwalifikacja podmiotu, progi wielkości i przypisanie sektora zależą od szczegółów konkretnej organizacji, a praktyka stosowania znowelizowanej ustawy o KSC dopiero się kształtuje. Przed decyzjami compliance skonsultuj się z prawnikiem specjalizującym się w cyberbezpieczeństwie.

Następny krok

Jeśli podlegasz NIS2, rejestracja jest dopiero wejściem, a prawdziwa praca zaczyna się przy analizie ryzyka i łańcuchu dostaw. Zobacz, jak mapować obowiązki NIS2 na dostawcę AI, w notatce NIS2 a vendor AI w łańcuchu dostaw: mapowanie Art. 21.

Powiązane

• NIS2 a vendor AI w łańcuchu dostaw: mapowanie Art. 21 dla podmiotów kluczowych
• Personal liability zarządu po nowelizacji UKSC: co to znaczy dla decyzji AI
• Network isolation dla on-prem AI: minimalne wymagania NIS2
• Cross-mapping NIS2, AI Act, RODO i ISO 27001 bez dublowania
• CRA od 11 września 2026: raportowanie podatności w 24 godziny

Źródła

• prawo.pl, Powstał nowy wykaz z ustawy o cyberbezpieczeństwie. Firmy mają czas do 3 października, potwierdza termin 3.10.2026, model samoidentyfikacji, kanał wykaz-ksc.gov.pl i podpis kierownika podmiotu.
• KPMG, Dyrektywa NIS2 wdrożona w Polsce. Nowe obowiązki cyberbezpieczeństwa dla przedsiębiorców, zakres sektorowy i okno rejestracji.
• biznes.gov.pl, NIS2 w Polsce, obowiązki podmiotów kluczowych i ważnych.
• Certum, Nowelizacja ustawy o KSC (NIS2): rejestracja podmiotów i podpisy elektroniczne, logowanie przez Węzeł Krajowy i podpis wniosku.

Fryderyk Pryjma. Zajmuje się wdrożeniami AI on-prem dla europejskiej produkcji i pisze o styku architektury, compliance i regulacji.