Terminy KSC i NIS2 2026 tworzą dwa równoległe kalendarze obowiązków. Pierwszy obejmuje daty wdrożenia nowych wymagań: wpis do Wykazu, uruchomienie obsługi w Systemie S46, wdrożenie Systemu Zarządzania Bezpieczeństwem Informacji oraz pierwszy audyt. Drugi działa stale i obejmuje między innymi 14 dni na aktualizację danych, 24 i 72 godziny na raportowanie poważnego incydentu oraz coroczne szkolenie kierownictwa. Zarząd powinien znać oba kalendarze, ponieważ powierzenie zadań prokurentowi, działowi IT albo zewnętrznemu dostawcy nie usuwa odpowiedzialności kierownika podmiotu.
Daty 3 października 2026 r., 3 kwietnia 2027 r. i 3 kwietnia 2028 r. dotyczą organizacji, które spełniały przesłanki uznania za podmiot kluczowy lub ważny w dniu wejścia nowelizacji w życie. Firma obejmowana ustawą później liczy własne terminy od dnia spełnienia ustawowych przesłanek.
Rejestracja istniejących podmiotów do 3 października 2026 r.
Pełne wdrożenie obowiązków do 3 kwietnia 2027 r.
Przed wpisem do Wykazu trzeba potwierdzić status organizacji i przygotować dane. Przed wdrożeniem SZBI należy przeprowadzić analizę ryzyka, przydzielić odpowiedzialność, zabezpieczyć budżet i przyjąć procedury. Przed audytem system powinien już działać i pozostawiać dowody skuteczności, a nie dopiero istnieć na papierze.
Terminy KSC i NIS2 2026 – od kiedy liczyć obowiązki?
Nowelizacja ustawy o krajowym systemie cyberbezpieczeństwa weszła w życie 3 kwietnia 2026 r. Nie oznacza to jednak, że każda firma w Polsce automatycznie otrzymała identyczny zestaw dat. Kalendarz zależy od tego, kiedy organizacja spełniła wszystkie przesłanki uznania jej za podmiot kluczowy albo ważny.
Podmiot objęty ustawą 3 kwietnia 2026 r.
Korzysta z terminów przejściowych wskazanych dla organizacji już spełniających kryteria: wpis do Wykazu do 3 października 2026 r., wdrożenie obowiązków i obsługa S46 do 3 kwietnia 2027 r., a w przypadku właściwych podmiotów kluczowych pierwszy audyt do 3 kwietnia 2028 r.
Podmiot spełniający przesłanki później
Liczy terminy indywidualnie od dnia spełnienia warunków ustawowych. W szczególności ma sześć miesięcy na złożenie wniosku o wpis do Wykazu. Dlatego kwalifikacja powinna mieć wskazaną datę, podstawę prawną i dane użyte do oceny wielkości oraz działalności organizacji.
Ocena nie może opierać się wyłącznie na liczbie pracowników. Znaczenie mają między innymi sektor, rodzaj usług, wielkość przedsiębiorstwa, powiązania kapitałowe oraz wyjątki, w których ustawa obejmuje również mikro- i małe przedsiębiorstwa. Szczegółowe przesłanki opisujemy w artykule Kogo dotyczy ustawa KSC/NIS2?.
Uchwała lub notatka kwalifikacyjna chroni ciągłość decyzji
Zarząd powinien zachować dokument wskazujący, dlaczego organizacja została uznana za podmiot kluczowy, ważny albo pozostający poza zakresem. Taka analiza pozwala uzasadnić przyjętą datę początkową i pokazuje, że obowiązek samoidentyfikacji nie został pozostawiony przypadkowi.
Kalendarz wdrożenia KSC na lata 2026-2028
Dla organizacji spełniających przesłanki 3 kwietnia 2026 r. trzy daty tworzą podstawowy kalendarz strategiczny. Każda z nich powinna mieć wewnętrznego właściciela, rezultat i zestaw dowodów potwierdzających wykonanie zadania.
Rejestracja podmiotu
Wniosek składa się elektronicznie przez System S46. Przed wysłaniem trzeba potwierdzić kwalifikację, dane podmiotu, osoby kontaktowe, administratorów konta, reprezentację oraz wymagane informacje techniczne.
Wdrożenie obowiązków
Organizacja powinna mieć działający SZBI, zarządzanie ryzykiem, procedury reagowania, ciągłość działania, ochronę łańcucha dostaw, wyznaczone osoby oraz zdolność zgłaszania incydentów w S46.
Pierwszy audyt
Podmiot kluczowy objęty obowiązkiem audytowym powinien przeprowadzić pierwszy niezależny audyt. Kolejne audyty odbywają się co najmniej raz na trzy lata. Audyt ocenia system działający w praktyce, nie tylko komplet dokumentów.
Co powinno być gotowe przed 3 października 2026 r.?
Wpis do Wykazu jest obowiązkiem formalnym, lecz zebranie informacji potrzebnych do wniosku wymaga współpracy prawa, zarządu i IT. Trzeba określić status podmiotu, przygotować dane osób kontaktowych i administratorów, wskazać reprezentację oraz zgromadzić informacje o domenach, publicznych adresach IP i dostawcach usług zarządzanych.
Wniosek może podpisać kierownik podmiotu albo osoba umocowana. Prokurent ujawniony w KRS może reprezentować organizację bez dołączania odrębnego pełnomocnictwa, lecz nie oznacza to przejęcia przez niego wszystkich obowiązków zarządczych wynikających z ustawy. Praktyczną instrukcję formularza zawiera poradnik Jak zarejestrować się w Systemie S46?.
Co oznacza wdrożenie obowiązków do 3 kwietnia 2027 r.?
Wdrożenie nie polega na zakupie jednego produktu IT ani podpisaniu polityki bezpieczeństwa. Organizacja powinna uruchomić system zarządzania ryzykiem obejmujący ludzi, procesy, technologie i dostawców. Zarząd zatwierdza kierunek, zapewnia zasoby i kontroluje skuteczność, natomiast właściciele procesów realizują przydzielone zadania.
- Analiza ryzyka: identyfikacja krytycznych usług, aktywów, zależności, zagrożeń i podatności.
- Dokumentacja SZBI: polityki, procedury, role, zasady kontroli dostępu, backupu, kryptografii i bezpiecznego utrzymania systemów.
- Obsługa incydentów: klasyfikacja zdarzeń, eskalacja, zabezpieczanie dowodów i raportowanie w S46.
- Ciągłość działania: scenariusze BCP i DRP, wartości RTO/RPO oraz udokumentowane testy odtworzeniowe.
- Łańcuch dostaw: ocena dostawców ICT, wymagania umowne, prawo audytu i obowiązki informacyjne.
- Nadzór zarządu: budżet, cykliczne raportowanie, szkolenia i dokumentowanie decyzji dotyczących ryzyka.
Zakres dokumentacji i sposób wdrożenia powinny odpowiadać skali organizacji oraz ryzyku. Punkt wyjścia dla średniej firmy przedstawia artykuł Polityka bezpieczeństwa informacji ISO 27001, a zakres pierwszej diagnozy opisujemy w materiale Audyt zerowy KSC/NIS2 – cena i zakres.
Dlaczego audytu nie można zostawić na 2028 r.?
Audytor będzie szukał dowodów, że system był stosowany: protokołów przeglądów, wyników szkoleń, rejestrów incydentów, testów kopii zapasowych, przeglądów dostępów, ocen dostawców i realizacji planu postępowania z ryzykiem. Dokument przyjęty kilka dni przed audytem nie pokaże skuteczności mechanizmów. Dlatego przygotowanie do audytu rozpoczyna się wraz z wdrożeniem SZBI.
Nie wiesz, od której daty liczyć obowiązki swojej firmy?
W ramach bezpłatnej oceny sprawdzimy, czy organizacja jest podmiotem kluczowym, ważnym albo pozostaje poza zakresem KSC/NIS2. Otrzymasz klasyfikację, listę obowiązków, najbliższe terminy oraz pisemne stanowisko prawne.
Terminy operacyjne, które obowiązują przez cały rok
Daty wdrożeniowe mijają tylko raz. Terminy operacyjne uruchamiają się natomiast za każdym razem, gdy wystąpi określone zdarzenie: zmiana danych, wykrycie incydentu, zakończenie roku kalendarzowego albo dopuszczenie osoby do wykonywania zadań związanych z bezpieczeństwem.
Na aktualizację danych ujawnionych w Wykazie po ich zmianie.
Na przekazanie wczesnego ostrzeżenia od wykrycia incydentu.
Na pełne zgłoszenie zawierające aktualne ustalenia i ocenę skutków.
Na sprawozdanie końcowe liczone od zgłoszenia dokonanego w ciągu 72 godzin.
Na udokumentowane szkolenie w każdym roku kalendarzowym.
14 dni na aktualizację danych w Wykazie
Zmiana adresu, danych kontaktowych, administratora S46, osoby właściwej do kontaktu albo innych informacji objętych wpisem uruchamia krótki termin aktualizacyjny. Aby go zachować, dział prawny lub osoba prowadząca obsługę S46 powinna być informowana o zmianach organizacyjnych przed ich wejściem w życie, a nie dopiero podczas corocznego przeglądu dokumentacji.
24 godziny, 72 godziny i miesiąc przy incydencie
Wczesne ostrzeżenie o incydencie poważnym należy przekazać niezwłocznie, nie później niż w ciągu 24 godzin od jego wykrycia. Na tym etapie organizacja nie musi znać wszystkich przyczyn, ale powinna umieć wskazać podstawowe okoliczności, możliwość bezprawnego działania i potencjalne skutki transgraniczne.
W ciągu 72 godzin przekazuje się właściwe zgłoszenie incydentu. Następnie, na żądanie właściwego CSIRT, mogą być potrzebne sprawozdania okresowe. Sprawozdanie końcowe należy przesłać nie później niż w ciągu miesiąca od zgłoszenia dokonanego w terminie 72 godzin. Jeżeli obsługa nadal trwa, przekazuje się raport z postępu, a raport końcowy po zakończeniu działań.
Szczegółowy zakres obu zgłoszeń i praktyczny podział zadań omawiamy w artykule Zgłoszenie incydentu NIS2 – 24 i 72 godziny.
Coroczne szkolenie oraz weryfikacja personelu
Kierownik podmiotu oraz osoba, której powierzono wykonywanie jego obowiązków dotyczących cyberbezpieczeństwa, powinni odbywać udokumentowane szkolenie raz w każdym roku kalendarzowym. Bezpieczna praktyka polega na ustaleniu stałego miesiąca szkolenia i włączeniu go do kalendarza posiedzeń zarządu.
Osoby wykonujące określone zadania związane z wdrożeniem zabezpieczeń i obsługą incydentów powinny przed rozpoczęciem tych czynności przedstawić informację o niekaralności za właściwe przestępstwa przeciwko ochronie informacji. Nie jest to cykliczny obowiązek wobec całego personelu IT. Ponowne sprawdzenie następuje, gdy pojawi się uzasadnione podejrzenie, że dana osoba została prawomocnie skazana. Ważne poświadczenie bezpieczeństwa do klauzuli „poufne” lub wyższej może spełniać ustawowe wymaganie.
Za co odpowiada zarząd, a za co prokurent?
Skuteczny kalendarz nie może być jedynie listą dat. Przy każdym zadaniu trzeba wskazać osobę odpowiedzialną za wynik, wykonawcę, konsultowanych ekspertów i odbiorcę raportu. Ustawa pozostawia odpowiedzialność za wykonywanie obowiązków po stronie kierownika podmiotu również wtedy, gdy zadania zostały powierzone innej osobie.
Zarząd
Zatwierdza kwalifikację, strategię, SZBI i budżet, przydziela zadania, ocenia ryzyko oraz odbiera raporty o wdrożeniu. Nie traci odpowiedzialności przez delegowanie czynności.
Prokurent
Może reprezentować podmiot i podpisywać wniosek w S46 w granicach prokury. Może także prowadzić kalendarz formalny, ale sama prokura nie czyni go automatycznie kierownikiem podmiotu.
Pełnomocnik SZBI / CISO
Koordynuje analizę ryzyka, dokumentację, przeglądy, szkolenia, plan naprawczy i raportowanie. Powinien regularnie przedstawiać zarządowi stan realizacji obowiązków.
IT / SOC / MSSP
Wdraża zabezpieczenia, monitoruje systemy, zabezpiecza logi, wykrywa i powstrzymuje incydenty. Dostarcza dane techniczne, ale nie powinien samodzielnie przesądzać oceny prawnej.
Prawo i IOD
Oceniają kwalifikację incydentu, obowiązki wobec CSIRT i UODO, umowy z dostawcami, treść zgłoszeń oraz ryzyko związane z zapewnieniami składanymi organom.
Właściciele procesów
Określają krytyczność usług, wymagania ciągłości, akceptują ryzyko biznesowe i potwierdzają, czy zabezpieczenia umożliwiają bezpieczną realizację procesu.
| Obowiązek | Właściciel decyzji | Wykonawca / wsparcie | Dowód wykonania |
|---|---|---|---|
| Kwalifikacja i wpis | Zarząd | Prawo, prokurent, administrator S46 | Analiza statusu, uchwała lub notatka, UPO wniosku. |
| Wdrożenie SZBI | Zarząd | Pełnomocnik SZBI, IT, właściciele procesów | Polityki, analiza ryzyka, plan postępowania z ryzykiem, protokoły przeglądów. |
| Zgłoszenie incydentu | Wyznaczony decydent | SOC/IT, prawo, IOD, osoby kontaktowe | Zgłoszenie w S46, chronologia, raport techniczny, decyzje i potwierdzenia. |
| Szkolenie kierownictwa | Zarząd | Pełnomocnik SZBI, ekspert prowadzący | Program, lista obecności, certyfikat lub protokół i materiały szkoleniowe. |
| Aktualizacja Wykazu | Zarząd / osoba umocowana | Prokurent, administrator S46, prawo | Rejestr zmian, potwierdzenie aktualizacji i aktualna karta podmiotu. |
| Audyt podmiotu kluczowego | Zarząd | Niezależny audytor, SZBI, IT i prawo | Raport audytowy, plan działań korygujących i monitoring realizacji zaleceń. |
Jak przygotować organizację na kolejne terminy?
Jeżeli firma rozpoczyna projekt dopiero w 2026 r., potrzebuje planu, który najpierw usuwa ryzyko przekroczenia terminów formalnych, a następnie buduje działający system. Poniższy układ 30-60-90 dni można zastosować niezależnie od branży, dostosowując zakres do wielkości i profilu ryzyka.
Status i odpowiedzialność
Potwierdź kwalifikację i datę jej powstania. Powołaj właściciela projektu, wskaż dwie osoby kontaktowe, przygotuj dane do S46, zabezpiecz budżet i zatwierdź harmonogram wdrożenia.
Ryzyko i procedury
Zmapuj usługi, systemy, dane i dostawców. Przeprowadź analizę luk i ryzyka. Przygotuj procedurę incydentową, ciągłość działania, zarządzanie dostępem oraz wymagania dla dostawców ICT.
Testy i dowody
Przeszkol zarząd i personel, przeprowadź ćwiczenie incydentowe, sprawdź backupy, zamknij najważniejsze luki, uruchom raportowanie do zarządu i rozpocznij gromadzenie dowodów do audytu.
Checklista kalendarza dla zarządu
Co grozi za niedotrzymanie terminów KSC?
Brak wpisu, aktualizacji danych, SZBI, szkolenia, prawidłowej obsługi incydentu albo wymaganego audytu może prowadzić do działań nadzorczych oraz sankcji. Dla podmiotu kluczowego ustawowy limit zasadniczej kary wynosi do 10 mln EUR albo 2% przychodów z działalności gospodarczej osiągniętych w poprzednim roku obrotowym, w zależności od tego, która wartość jest wyższa. Dla podmiotu ważnego limity wynoszą do 7 mln EUR albo 1,4% takich przychodów.
Kierownik podmiotu może zostać ukarany odrębnie do wysokości 300% wynagrodzenia obliczanego według zasad stosowanych przy ustalaniu ekwiwalentu za urlop. Szczegółowe rodzaje sankcji, zasady ich wymiaru i środki nadzorcze opisujemy w artykule Kary KSC i NIS2 dla zarządu.
Najbezpieczniejszą pozycję tworzy nie sam komplet polityk, lecz ciąg dowodów: kwalifikacja, uchwały, budżet, przydział odpowiedzialności, analiza ryzyka, testy, szkolenia i protokoły przeglądów. Stałe wsparcie w utrzymaniu takiego systemu opisujemy w materiale Pełnomocnik ds. cyberbezpieczeństwa w abonamencie.
FAQ: terminy KSC i NIS2 2026
Czy 3 października 2026 r. jest terminem wpisu dla każdej firmy?
Nie. Jest to termin przejściowy dla podmiotów, które spełniały przesłanki w dniu wejścia nowelizacji w życie. Organizacja obejmowana ustawą później powinna złożyć wniosek w ciągu sześciu miesięcy od dnia spełnienia warunków uznania jej za podmiot kluczowy albo ważny.
Od kiedy liczyć 12 miesięcy na wdrożenie obowiązków?
Dla organizacji spełniających kryteria 3 kwietnia 2026 r. termin przejściowy upływa 3 kwietnia 2027 r. Jeżeli przesłanki zostaną spełnione później, trzeba ustalić indywidualną datę początkową i zastosować terminy przewidziane w ustawie dla nowo kwalifikującego się podmiotu.
Czy prokurent przejmuje odpowiedzialność zarządu za KSC?
Nie przez sam fakt ustanowienia prokury. Prokurent może reprezentować organizację i wykonywać czynności formalne, w tym podpisać wniosek w Systemie S46 w granicach umocowania. Odpowiedzialność kierownika podmiotu za wykonywanie obowiązków pozostaje jednak po stronie osób wskazanych przez ustawę i nie znika przez delegowanie zadań.
Czy szkolenie zarządu trzeba powtarzać co 12 miesięcy?
Ustawa posługuje się obowiązkiem odbycia udokumentowanego szkolenia raz w roku kalendarzowym. Najprościej przyjąć stały termin każdego roku i zachować program, listę uczestników oraz potwierdzenie odbycia szkolenia.
Kto powinien przedstawić informację z KRK?
Obowiązek dotyczy osób wykonujących określone ustawą zadania związane między innymi z wdrażaniem środków bezpieczeństwa i obsługą incydentów. Nie oznacza automatycznej weryfikacji całego działu IT. Zakres osób należy ustalić na podstawie rzeczywiście powierzonych obowiązków.
Czy możliwość nakładania części kar dopiero w 2028 r. daje więcej czasu na wdrożenie?
Nie. Przepis przejściowy dotyczący momentu nałożenia części kar nie zmienia wcześniejszych terminów rejestracji, wdrożenia obowiązków, aktualizacji danych, zgłaszania incydentów ani audytu. Oczekiwanie do 2028 r. oznaczałoby narastanie zaległości i brak dowodów działania systemu.
Ustal właściwy kalendarz KSC/NIS2 dla swojej organizacji
Sprawdzimy status firmy, datę powstania obowiązków i najbliższe terminy. Wskażemy, co powinien zatwierdzić zarząd, jakie czynności może prowadzić prokurent oraz które dokumenty, procedury i dowody należy przygotować przed wpisem, wdrożeniem SZBI i audytem.