Aktualizacja danych w Wykazie KSC jest odrębną czynnością od pierwotnej rejestracji podmiotu. Jeżeli zmieni się informacja objęta wpisem, podmiot kluczowy lub ważny powinien złożyć podpisany wniosek o zmianę wpisu w terminie 14 dni od dnia tej zmiany. Dotyczy to nie tylko nazwy albo adresu firmy, lecz także administratora S46, osób kontaktowych, domen, publicznych adresów IP, klasyfikacji działalności oraz niektórych informacji o dostawcach cyberbezpieczeństwa.
Wykaz KSC wymaga utworzenia nowego wniosku, wskazania zmienianych danych, złożenia oświadczenia o ich prawdziwości oraz podpisu osoby uprawnionej. Samo poprawienie danych w systemie wewnętrznym, książce kontaktowej albo S46 Cyber Hub nie aktualizuje wpisu.
Trybwniosek o zmianę wpisu
Dowódhistoria i zaświadczenie
Art. 7c ust. 3 UoKSC wiąże termin z dniem zmiany danych wskazanych w art. 7 ust. 2 pkt 1–18. Organizacja powinna więc posiadać wewnętrzny mechanizm, dzięki któremu HR, IT, administracja, zakupy i zarząd przekazują informacje do właściciela wpisu zanim ustawowy termin upłynie.
Pierwotny wpis, zmiana wpisu i wykreślenie – trzy różne czynności
Pierwotna rejestracja służy umieszczeniu podmiotu w Wykazie KSC. Zmiana wpisu aktualizuje istniejący rekord, gdy zmieniły się dane ustawowe. Wykreślenie dotyczy sytuacji, w której organizacja przestała spełniać przesłanki statusu podmiotu kluczowego lub ważnego albo zakończyła określony rodzaj działalności.
Wniosek o wpis
Składa go podmiot, który spełnił przesłanki ustawowe i nie został wpisany z urzędu. Obejmuje pełny zestaw danych z art. 7 ust. 2 pkt 1–18 UoKSC.
Zmiana wpisu
Dotyczy istniejącego rekordu. Wniosek wskazuje numer podmiotu oraz dane, które uległy zmianie. Ustawowy termin wynosi 14 dni od zmiany.
Wykreślenie
Może dotyczyć całego podmiotu albo określonego sektora, podsektora lub rodzaju działalności. Wymaga wskazania podstawy i uzasadnienia.
Jeżeli organizacja dopiero przygotowuje pierwszy wpis, właściwym materiałem jest poradnik jak zarejestrować się w Systemie S46 i złożyć wniosek o wpis do Wykazu. Poniższa procedura zakłada, że podmiot posiada już aktywny rekord.
Jakie zmiany trzeba zgłaszać w Wykazie KSC?
Obowiązek obejmuje zmianę każdej informacji należącej do katalogu z art. 7 ust. 2 pkt 1–18 UoKSC. Nie wszystkie dane dotyczą każdego podmiotu, ale organizacja powinna rozumieć, które procesy wewnętrzne mogą uruchomić termin aktualizacyjny.
| Obszar zmiany | Przykłady informacji podlegających aktualizacji | Kto powinien zgłosić zmianę wewnętrznie | Dowód daty zmiany |
|---|---|---|---|
| Dane podmiotu | Nazwa, adres siedziby, adres korespondencyjny, e-Doręczenia, e-mail, NIP, REGON lub numer rejestru działalności regulowanej. | Zarząd, administracja, prawo | Odpis z rejestru, uchwała, potwierdzenie aktywacji adresu |
| Działalność i klasyfikacja | Sektor, podsektor, rodzaj działalności, deklarowana wielkość przedsiębiorstwa i działalność prowadzona w innych państwach UE. | Zarząd, finanse, prawo | Sprawozdanie finansowe, dane grupy, decyzja o rozpoczęciu lub zakończeniu usługi |
| Domeny i sieci | Stale wykorzystywane domeny główne oraz zakresy publicznych adresów IPv4 i IPv6. | IT, administrator sieci, dostawca infrastruktury | Protokół uruchomienia, dokumentacja DNS, przydział adresacji |
| Osoby kontaktowe | Imię i nazwisko, służbowy telefon oraz służbowy e-mail osoby kontaktowej z krajowym systemem cyberbezpieczeństwa. | HR, przełożony, Pełnomocnik SZBI | Zmiana stanowiska, rozwiązanie umowy, decyzja o wyznaczeniu |
| Administrator S46 | Dane kontaktowe, PESEL albo właściwy identyfikator środka identyfikacji elektronicznej administratora wskazanego w Wykazie. | HR, administrator, zarząd | Odwołanie upoważnienia, offboarding, nowe umocowanie |
| Kontakt firmowy | Numer telefonu przyporządkowany do wykonywanej działalności. | Administracja, dział komunikacji | Umowa telekomunikacyjna lub protokół zmiany numeru |
| Dostawca cyberbezpieczeństwa | Zawarcie lub zmiana właściwej umowy z dostawcą usług zarządzanych w zakresie cyberbezpieczeństwa realizującym zadania z art. 8 i 11 UoKSC oraz jego dane. | Zakupy, prawo, bezpieczeństwo | Podpisana umowa, aneks, protokół rozpoczęcia lub zakończenia usługi |
| Przedstawiciel | Ustanowienie albo zmiana przedstawiciela wymaganego dla określonych dostawców niemających jednostki organizacyjnej w UE. | Prawo, zarząd | Pełnomocnictwo lub umowa i data ich wejścia w życie |
| Porozumienie ustawowe | Informacja o zawarciu porozumienia dotyczącego korzystania z systemu teleinformatycznego, o którym mowa w art. 8h ust. 6 UoKSC. | Zarząd, prawo, bezpieczeństwo | Podpisane porozumienie |
Nie wszystkie dane w Wykazie zmienia sam podmiot
Informacje takie jak właściwy organ, właściwy CSIRT, numer w Wykazie, data wpisu czy podstawa prawna należą do części uzupełnianej przez administrację. Wniosek podmiotu obejmuje dane z art. 7 ust. 2 pkt 1–18, a nie techniczne i nadzorcze elementy wskazane w dalszych punktach.
Od kiedy liczy się termin 14 dni?
Ustawa posługuje się sformułowaniem „od dnia ich zmiany”. Punktem wyjścia jest więc data, w której dana informacja rzeczywiście uległa zmianie. Nie należy automatycznie przesuwać początku terminu na dzień, w którym wiadomość dotarła do administratora S46, działu prawnego albo zarządu.
W praktyce data początkowa zależy od rodzaju informacji. Dla odejścia osoby kontaktowej może to być dzień ustania jej funkcji, dla uruchomienia nowej domeny dzień rozpoczęcia jej stałego wykorzystywania, a dla umowy z dostawcą dzień, od którego dostawca rozpoczyna wykonywanie zadań objętych wpisem. Jeżeli moment nie jest oczywisty, organizacja powinna zachować dokument źródłowy i krótką notatkę wyjaśniającą przyjętą datę.
Jeżeli HR poinformuje administratora S46 dopiero dziesiątego dnia po odejściu osoby kontaktowej, na przygotowanie, podpis i złożenie wniosku pozostaną cztery dni. Bezpieczna procedura wewnętrzna powinna wymagać przekazania zmiany właścicielowi wpisu najpóźniej w ciągu 2–3 dni.
Kto może podpisać wniosek o zmianę wpisu?
Wniosek może złożyć i podpisać kierownik podmiotu kluczowego lub ważnego albo osoba przez niego upoważniona. Dokument sporządza się elektronicznie i opatruje kwalifikowanym podpisem elektronicznym, podpisem zaufanym, podpisem osobistym albo kwalifikowaną pieczęcią elektroniczną ze wskazaniem osoby opatrującej pismo pieczęcią.
Kierownik, ujawniony prokurent lub pełnomocnik CEIDG
Kierownik podmiotu działa w ramach swojej funkcji. Ustawa nie wymaga dołączania pełnomocnictwa, gdy prokurent jest ujawniony w KRS albo pełnomocnik przedsiębiorcy figuruje w CEIDG.
Pracownik, prawnik lub zewnętrzny pełnomocnik
Osoba spoza powyższej grupy powinna posiadać umocowanie obejmujące czynności w Wykazie KSC. Elektroniczne pełnomocnictwo należy dołączyć do każdego właściwego wniosku.
Sam dostęp do rekordu albo rola administratora S46 nie oznaczają jeszcze prawa do złożenia oświadczenia w imieniu podmiotu. Dział IT może przygotować dane techniczne, ale podpisze i złoży wniosek tylko wtedy, gdy posiada odpowiednie upoważnienie. Wniosek zawiera również oświadczenie o zgodności danych z prawdą składane ze świadomością odpowiedzialności karnej za fałszywe oświadczenie.
Jak zmienić administratora S46 lub osobę kontaktową?
Dane osób kontaktowych są elementem Wykazu KSC. Jeżeli osoba odchodzi, zmienia zakres obowiązków, traci służbowy numer lub adres e-mail albo przestaje pełnić funkcję administratora, nie wystarczy dodać nowego użytkownika w S46 Cyber Hub.
Administratorzy utworzeni na podstawie danych z Wykazu otrzymują pełne uprawnienia do przestrzeni podmiotu. Takiego konta nie można usunąć ani zmodyfikować bezpośrednio w Cyber Hub. Aktualizacja wymaga wniosku o zmianę wpisu. Dopiero po zatwierdzeniu dane trafiają do przestrzeni S46.
- wyznacz następcę przed odebraniem dostępu poprzedniej osobie;
- potwierdź jego służbowy telefon, e-mail oraz właściwy identyfikator;
- zapewnij co najmniej wymagane osoby kontaktowe i praktyczne zastępstwo;
- po zatwierdzeniu zmiany sprawdź logowanie, powiadomienia oraz widoczność przestrzeni;
- zachowaj protokół odebrania i nadania dostępu.
Szerszy podział odpowiedzialności omawia poradnik o Pełnomocniku ds. cyberbezpieczeństwa jako osobie kontaktowej z CSIRT.
Zmiana domen, adresów IP i klasyfikacji podmiotu
Domeny i publiczne adresy IP
FAQ Ministerstwa Cyfryzacji potwierdza, że każda zmiana domeny albo zakresu publicznych adresów IP objętych Wykazem wymaga aktualizacji. W przypadku domen podaje się domeny główne aktywnie i stale wykorzystywane przez podmiot, nawet jeżeli są utrzymywane u zewnętrznego dostawcy. Nie trzeba wymieniać każdej subdomeny technicznej.
Przykładowo organizacja powinna wykazać domeny „firma.pl”, „firma.com” i „marka.pl”, ale nie musi oddzielnie wpisywać „poczta.firma.pl” oraz „logowanie.firma.pl”. IT powinno prowadzić roboczy rejestr domen i adresacji z informacją, które elementy są odzwierciedlone w Wykazie.
Wielkość, sektor i rodzaj działalności
Zmiana liczby personelu, obrotu, sumy bilansowej, powiązań grupowych albo profilu działalności może wpływać na deklarowaną wielkość i kwalifikację podmiotu. Nie należy ograniczać analizy do zmiany etykiety „kluczowy” lub „ważny”. Najpierw trzeba udokumentować dane źródłowe, ustalić rzeczywisty sektor, podsektor i rodzaj działalności, a następnie wybrać właściwy tryb: zmianę wpisu albo wniosek o wykreślenie z określonej działalności.
Jeżeli aktualizacja dotyczy kilku rodzajów działalności, każdy z nich należy przeanalizować odrębnie. Zmiana klasyfikacji może też wpływać na właściwy organ i CSIRT, dlatego po zatwierdzeniu wniosku trzeba sprawdzić dane przestrzeni oraz adresatów przyszłych zgłoszeń incydentów.
Jak złożyć wniosek o zmianę wpisu krok po kroku?
Ustal zmianę i datę
Zbierz dokument źródłowy, określ dzień zmiany i sprawdź, czy informacja należy do danych z art. 7 ust. 2 pkt 1–18.
Otwórz kartę podmiotu
Zaloguj się do Wykazu KSC, przejdź do listy podmiotów i wybierz nazwę właściwego podmiotu.
Utwórz nowy wniosek
Na karcie podmiotu wybierz „Utwórz nowy wniosek”, a następnie „Wniosek o zmianę wpisu”.
Zmień właściwe sekcje
Formularz zawiera aktualne dane. Popraw tylko wymagane sekcje, uzupełnij załączniki i oświadczenia prawne.
Zweryfikuj i podpisz
Sprawdź numer podmiotu, zmieniane informacje, umocowanie podpisującego i zgodność danych ze stanem faktycznym.
Sprawdź rezultat
Monitoruj status, pobierz wniosek i zaświadczenie o modyfikacji oraz sprawdź, czy zmiana trafiła do S46 Cyber Hub.
Nie trzeba ponownie uzupełniać wszystkich pól wpisu. Wniosek o zmianę zawiera numer podmiotu i wskazanie zmienianych danych. Zmienione sekcje są oznaczane w formularzu, a po zatwierdzeniu aktualne informacje są przekazywane do przestrzeni podmiotu.
Jak udokumentować terminowe zgłoszenie?
Dowodem wykonania obowiązku nie powinien być wyłącznie e-mail „aktualizacja zrobiona”. Karta wniosku zawiera identyfikator, status, daty utworzenia, modyfikacji, złożenia i rozpatrzenia oraz historię zmian. System pozwala także pobrać wniosek i elektroniczne zaświadczenie o modyfikacji wpisu.
Checklista dowodowa aktualizacji Wykazu KSC
Zachowaj komplet dokumentów pozwalających odtworzyć, co się zmieniło, kiedy rozpoczął się termin i kto zatwierdził dane.
Zaświadczenie o modyfikacji pokazuje dane zmienione w ramach konkretnego wniosku. Dla pełnego obrazu aktualnego wpisu można pobrać również zaświadczenie o wpisie obejmujące wszystkie aktualne dane podmiotu.
Najczęstsze błędy przy zmianie wpisu
Zmiana tylko w Cyber Hub
Dane przestrzeni pochodzą z Wykazu. Poprawienie zwykłego użytkownika albo wewnętrznej książki kontaktowej nie zastępuje wniosku o zmianę wpisu.
Liczenie od dnia powzięcia informacji
Termin ustawowy jest związany z dniem zmiany danych. Późne przekazanie wiadomości między działami nie uruchamia nowego okresu 14 dni.
Pominięcie domeny lub dostawcy
Wpis obejmuje nie tylko dane formalne. Nowa domena, adresacja lub umowa z właściwym dostawcą cyberbezpieczeństwa również mogą uruchomić aktualizację.
Brak podpisu lub umocowania
Szkic nie jest złożonym wnioskiem. Brak podpisu, wskazania zmienianych danych, numeru podmiotu albo wymaganego oświadczenia uniemożliwia zmianę wpisu.
Co grozi za brak aktualizacji danych?
Nieaktualny wpis może zakłócić dostęp do S46, obsługę ostrzeżeń i komunikację z właściwym CSIRT lub organem. Ma więc znaczenie nie tylko formalne. Jeżeli w czasie incydentu konto administratora jest przypisane do byłego pracownika albo zgłoszenie kierowane jest na nieaktualne dane, organizacja może stracić czas potrzebny do wykonania obowiązków 24- i 72-godzinnych.
Organ właściwy może prowadzić czynności sprawdzające dotyczące zgodności wpisu ze stanem faktycznym. Jeżeli wykryje rozbieżność, wzywa podmiot do zmiany wpisu w terminie 7 dni od doręczenia wezwania, pod rygorem nałożenia kary pieniężnej. Ten siedmiodniowy termin nie zastępuje podstawowego obowiązku samodzielnej aktualizacji w ciągu 14 dni.
Pełny kalendarz terminów rejestracyjnych, wdrożeniowych i incydentowych opisuje artykuł Terminy KSC i NIS2 – kalendarz obowiązków dla zarządu. Z kolei działania organizacyjne po uzyskaniu wpisu przedstawia poradnik Co po wpisie do Wykazu KSC?.
Jak zorganizować proces aktualizacji w firmie?
Wpis powinien mieć formalnego właściciela, zastępcę i rejestr zmian. Dobrym rozwiązaniem jest włączenie Wykazu KSC do istniejących procesów HR, IT, prawnych i zakupowych. Formularz offboardingu powinien pytać o funkcję kontaktową i rolę administratora S46, proces uruchamiania domeny powinien zawierać kontrolę wpisu, a zakup usług bezpieczeństwa – ocenę, czy nowa umowa należy do danych wykazowych.
- HR zgłasza zmianę osoby kontaktowej lub administratora przed ustaniem funkcji;
- IT informuje o uruchomieniu i wycofaniu domen oraz publicznych zakresów IP;
- zakupy i prawo raportują umowy oraz aneksy dotyczące usług cyberbezpieczeństwa;
- finanse i zarząd monitorują zmianę wielkości oraz powiązań przedsiębiorstwa;
- właściciel wpisu raz na kwartał porównuje kartę podmiotu z rejestrami wewnętrznymi;
- zarząd otrzymuje informację o przekroczeniach terminu i nierozstrzygniętych rozbieżnościach.
Najczęściej zadawane pytania
Czy każda zmiana domeny lub publicznego adresu IP wymaga aktualizacji?
Tak, jeżeli zmiana dotyczy danych wykazywanych zgodnie z art. 7 ust. 2 pkt 9–10 UoKSC. Ministerstwo potwierdza obowiązek aktualizacji po każdej zmianie domeny lub IP. W przypadku domen wykazuje się domeny główne aktywnie i stale używane przez podmiot, nie każdą subdomenę techniczną.
Czy dział IT może złożyć wniosek o zmianę wpisu?
Może go przygotować, a także podpisać i złożyć, jeżeli osoba działająca po stronie IT posiada odpowiednie upoważnienie do działania w imieniu podmiotu w zakresie Wykazu KSC. Sam dostęp techniczny do systemu nie jest wystarczającym umocowaniem.
Czy trzeba ponownie uzupełnić cały formularz?
Nie. Formularz wyświetla aktualne dane podmiotu. Wniosek o zmianę powinien wskazywać numer podmiotu i zmieniane dane. Należy jednak sprawdzić całe podsumowanie, ponieważ podpisujący składa oświadczenie o prawdziwości danych zawartych we wniosku.
Czy administratora S46 można usunąć bezpośrednio w Cyber Hub?
Nie, jeżeli konto administratora zostało utworzone na podstawie danych z Wykazu KSC. Aby zmienić takiego administratora albo odebrać mu dostęp, należy złożyć wniosek o zmianę wpisu.
Jak potwierdzić wykonanie aktualizacji?
Należy zachować kopię podpisanego wniosku, jego identyfikator, historię operacji i status. Po dokonaniu zmiany można pobrać elektroniczne zaświadczenie o modyfikacji wpisu opatrzone kwalifikowaną pieczęcią.
Czy wezwanie organu daje kolejne 14 dni?
Nie. Jeżeli organ podczas czynności sprawdzających stwierdzi niezgodność danych ze stanem faktycznym, może wezwać do zmiany wpisu w terminie 7 dni od doręczenia wezwania. Jest to odrębny i krótszy termin.
Nie masz pewności, czy wpis w Wykazie KSC jest aktualny?
Możemy zweryfikować dane podmiotu, ustalić zakres wymaganej aktualizacji, przygotować umocowanie i przeprowadzić zmianę wpisu. Łączymy analizę prawną z praktyczną znajomością S46, obowiązków osób kontaktowych oraz organizacji SZBI.