Termin wpisu do Wykazu KSC upłynął 3 października 2026 r. dla podmiotów, które już w dniu wejścia w życie nowelizacji spełniały przesłanki uznania za podmiot kluczowy albo ważny. Jeżeli firma nie złożyła wniosku, obowiązek nie wygasł. Pierwszym krokiem powinno być ustalenie, czy termin rzeczywiście został przekroczony, a następnie niezwłoczne przeprowadzenie samorejestracji albo uzupełnienie danych po wpisie z urzędu.
Organ właściwy może samodzielnie wpisać spóźniony podmiot do Wykazu, ale ustawa nie gwarantuje, kiedy to nastąpi. Samodzielne usunięcie uchybienia, zabezpieczenie dowodów i uruchomienie dalszych prac zgodnościowych są bezpieczniejsze niż bierne oczekiwanie na korespondencję urzędową.
Po terminiewniosek nadal trzeba złożyć
Kolejny etapSZBI do 3 kwietnia 2027 r.
Równolegle sporządź notatkę kwalifikacyjną i dokument naprawczy dla zarządu. Samo utworzenie konta, rozpoczęcie formularza albo zapisanie szkicu nie oznacza wykonania obowiązku.
Czy termin 3 października 2026 r. dotyczył każdej firmy?
Nie. Data 3 października 2026 r. wynika z przepisów przejściowych i harmonogramu dla organizacji, które spełniały przesłanki uznania za podmiot kluczowy albo podmiot ważny już 3 kwietnia 2026 r., czyli w dniu wejścia w życie nowelizacji UoKSC.
Podmiot, który zaczął spełniać przesłanki później, stosuje zasadę ogólną z art. 7c ust. 1 ustawy: wniosek składa w terminie 6 miesięcy od dnia spełnienia kryteriów. Zanim zarząd uzna firmę za spóźnioną, powinien więc ustalić właściwą datę początkową.
Status istniał 3 kwietnia
Termin przejściowy na wniosek upłynął 3 października 2026 r.
Status powstał później
Termin 6 miesięcy należy liczyć indywidualnie od dnia spełnienia przesłanek.
Wpis z urzędu
Podmiot wykonuje wezwanie i uzupełnia brakujące dane w terminie wskazanym przez ustawę.
Data objęcia regulacją może zależeć od rozpoczęcia określonej działalności, zmiany skali przedsiębiorstwa, reorganizacji grupy kapitałowej albo uzyskania szczególnego statusu regulacyjnego. Sama liczba pracowników nie wystarcza. Znaczenie mają również przychody, suma bilansowa, podmioty partnerskie i powiązane, sektor oraz faktycznie świadczone usługi.
Najpierw potwierdź kwalifikację i datę
Analiza powinna kończyć się krótką notatką wskazującą podstawę prawną, sektor, rodzaj działalności, wielkość przedsiębiorstwa, dane grupowe oraz dzień, od którego firma spełniała wszystkie przesłanki. Pomocny jest także poradnik kogo dotyczy ustawa KSC/NIS2.
Co się dzieje, gdy minął termin wpisu do Wykazu KSC?
Przekroczenie terminu nie powoduje, że firma przestaje być podmiotem kluczowym albo ważnym. Wpis ma charakter deklaratoryjny: potwierdza status wynikający z ustawy, ale go nie tworzy. Obowiązki są więc związane ze spełnieniem przesłanek prawnych, a nie dopiero z momentem pojawienia się rekordu w systemie.
Brak wniosku uruchamia dwa odrębne ryzyka. Po pierwsze, właściwy organ może wpisać podmiot do Wykazu na podstawie art. 7j UoKSC. Po drugie, niezłożenie wniosku w terminie jest naruszeniem wskazanym w przepisach o karach pieniężnych.
Spóźniona samorejestracja
Podmiot sam ustala status, przygotowuje dane, podpisuje wniosek i zachowuje dowody niezwłocznego usunięcia uchybienia.
Wpis z urzędu
Organ może zidentyfikować podmiot, wpisać dostępne dane i doręczyć zawiadomienie wraz z wezwaniem do ich uzupełnienia.
Firma objęta KSC od 3 kwietnia 2026 r. nie powinna liczyć nowego okresu 12 miesięcy od spóźnionego wniosku. Termin realizacji obowiązków rozdziału 3, w tym wdrożenia adekwatnego SZBI, pozostaje związany z 3 kwietnia 2027 r.
Czy po 3 października można nadal złożyć wniosek?
Tak. Oficjalna instrukcja Systemu S46 nadal przewiduje samorejestrację przez Wykaz KSC. Kierownik podmiotu albo osoba przez niego upoważniona loguje się przez login.gov.pl, wybiera opcję wpisania nowego podmiotu, uzupełnia formularz, przechodzi do podpisu i składa wniosek.
Zgodnie z art. 7d UoKSC wpis jest dokonywany z chwilą złożenia prawidłowego wniosku w systemie. Nie nastąpi jednak, jeżeli dokument nie zawiera wymaganych danych, oświadczenia, podpisu albo dotyczy podmiotu już wpisanego. Dlatego po wysłaniu należy sprawdzić kartę wniosku oraz jego status.
| Sytuacja w systemie | Co oznacza | Co zrobić | Jakie dowody zachować |
|---|---|---|---|
| Szkic formularza | Wniosek nie został jeszcze złożony. | Uzupełnić, podpisać i skutecznie wysłać. | Nie traktować szkicu jako dowodu wykonania obowiązku. |
| Oczekuje na podpis | Brakuje skutecznego podpisu i wysyłki. | Podpisać Profilem Zaufanym albo w aplikacji zewnętrznej. | Podpisany plik i potwierdzenie złożenia. |
| Zatwierdzony | Wpis został dokonany, a podmiot pojawia się na liście. | Pobrać dokumenty i zweryfikować dane. | Identyfikator, kopię wniosku i zaświadczenie. |
| Oczekuje na weryfikację | Wystąpił konflikt danych, np. podmiot może już istnieć. | Sprawdzić wpis z urzędu lub wcześniejszy wniosek i skontaktować się z właściwym organem. | Zrzut statusu, korespondencję i numer zgłoszenia. |
| Otrzymano kod wezwania | Podmiot został wpisany z urzędu. | Nie tworzyć konkurencyjnego wpisu; użyć kodu i uzupełnić rekord. | Zawiadomienie, wezwanie i złożony wniosek o zmianę. |
Szczegółową obsługę formularza opisuje poradnik jak zarejestrować się w Systemie S46 i złożyć wniosek o wpis.
Plan naprawczy dla spóźnionego podmiotu
UoKSC nie ustanawia specjalnego „czynnego żalu” dla spóźnionej rejestracji. Organizacja może jednak wykazać, że sama zidentyfikowała problem, niezwłocznie usunęła uchybienie i wdrożyła mechanizmy zapobiegające jego powtórzeniu. Taki materiał nie usuwa naruszenia, ale porządkuje odpowiedzialność i dowody należytej staranności.
Zweryfikuj status
Potwierdź sektor, rodzaj działalności, wielkość firmy, podmioty powiązane i dokładną datę spełnienia przesłanek.
Sprawdź istniejący wpis
Ustal, czy podmiot nie został wpisany z urzędu albo czy inna osoba nie złożyła już wniosku z tym samym NIP lub REGON.
Przydziel odpowiedzialność
Wyznacz koordynatora, administratora S46, osoby kontaktowe, źródła danych oraz osobę uprawnioną do podpisu.
Zbierz dane
Przygotuj identyfikację, klasyfikację, adresy, kontakty, domeny, publiczne zasoby sieciowe i wymagane informacje o działalności.
Złóż wniosek
Sprawdź oświadczenie, reprezentację i pełnomocnictwo. Podpisz dokument oraz zweryfikuj końcowy status w systemie.
Zabezpiecz dowody
Pobierz kopię wniosku, identyfikator, potwierdzenia, historię, zaświadczenie i notatkę opisującą działania naprawcze.
Uruchom dostęp do S46
Sprawdź zaproszenia administratorów, przestrzeń podmiotu, zastępstwa, role użytkowników oraz kanał kontaktu z właściwym CSIRT.
Nie zatrzymuj wdrożenia
Równolegle kontynuuj analizę ryzyka, dokumentację, procedurę incydentową, ciągłość działania i nadzór nad dostawcami.
Jakie dane i dokumenty przygotować do spóźnionej rejestracji?
Praca nad formularzem powinna być poprzedzona krótkim zebraniem osób odpowiedzialnych za kwestie prawne, techniczne i korporacyjne. Kierownik podmiotu składa oświadczenie o prawdziwości danych pod rygorem odpowiedzialności karnej, dlatego nie powinien podpisywać zestawienia przygotowanego bez wskazania źródeł i właścicieli informacji.
| Obszar | Zakres informacji | Typowy właściciel | Przykładowy dowód |
|---|---|---|---|
| Kwalifikacja | Sektor, podsektor, rodzaj działalności i status kluczowy albo ważny. | Prawo / compliance | Notatka kwalifikacyjna i uchwała lub decyzja zarządu. |
| Wielkość | Zatrudnienie, obrót, suma bilansowa i dane przedsiębiorstw powiązanych. | Finanse / HR | Sprawozdania i kalkulacja statusu MŚP. |
| Reprezentacja | Kierownik podmiotu, prokurent albo właściwie umocowany pełnomocnik. | Zarząd / prawo | KRS, CEIDG lub podpisane pełnomocnictwo elektroniczne. |
| Kontakty | Administrator S46 i osoby odpowiedzialne za kontakt z KSC. | Zarząd / cyber | Zakresy obowiązków, zgody i plan zastępstw. |
| Sieć i domeny | Publiczne adresy IP, domeny i inne dane techniczne wymagane w formularzu. | IT / dostawcy | Inwentaryzacja, umowy, konfiguracja i potwierdzenie administratora. |
| Działania naprawcze | Przyczyna opóźnienia, data wykrycia, decyzje i kolejne terminy. | Zarząd / pełnomocnik | Notatka, rejestr działań i raport do kierownictwa. |
Co zrobić, jeżeli organ wpisał firmę z urzędu?
Art. 7j UoKSC pozwala organowi właściwemu do spraw cyberbezpieczeństwa wpisać podmiot, który spełnia ustawowe przesłanki, lecz nie złożył wniosku w terminie. Organ może wykorzystać dane z rejestrów publicznych, informacje dostępne na podstawie innych przepisów oraz dane uzyskane bezpośrednio od podmiotu.
Po wpisie organ doręcza zawiadomienie i wzywa do uzupełnienia brakujących danych. Termin wynosi 6 miesięcy od otrzymania zawiadomienia. W korespondencji znajduje się kod, który należy wprowadzić w Wykazie KSC, aby uzyskać dostęp do rekordu i rozpocząć jego uzupełnianie.
Nie twórz drugiego wpisu dla tego samego podmiotu
Jeżeli firma została wpisana z urzędu, właściwą ścieżką jest przejęcie dostępu kodem z wezwania i uzupełnienie istniejącego rekordu. Próba samorejestracji może spowodować konflikt NIP albo REGON i skierowanie wniosku do dodatkowej weryfikacji.
Wpis z urzędu wymaga uzasadnienia i może zostać zaskarżony do sądu administracyjnego jako inna czynność z zakresu administracji publicznej. Zanim firma podejmie spór, powinna jednak sprawdzić faktyczny zakres działalności i podstawę kwalifikacji. Sam brak wcześniejszego wniosku nie oznacza automatycznie, że wpis organu jest nieprawidłowy.
Czy spóźniony wpis przesuwa termin wdrożenia SZBI?
Nie. Dla podmiotów spełniających przesłanki w dniu wejścia nowelizacji w życie termin wdrożenia obowiązków został wyznaczony niezależnie od dnia faktycznego złożenia wniosku. Spóźniona rejestracja nie daje dodatkowych miesięcy na analizę ryzyka, dokumentację, środki bezpieczeństwa czy procedury incydentowe.
Do 3 kwietnia 2027 r. organizacja powinna być zdolna do wykonywania obowiązków wynikających z rozdziału 3 UoKSC. Obejmuje to między innymi działający System Zarządzania Bezpieczeństwem Informacji, obsługę incydentów, ciągłość działania, bezpieczeństwo łańcucha dostaw, zarządzanie podatnościami, szkolenia i nadzór kierownictwa.
Wpis do Wykazu
Termin przejściowy dla organizacji objętych regulacją 3 kwietnia 2026 r.
Gotowość operacyjna
Realizacja obowiązków, SZBI i korzystanie z S46 zgodnie z ustawą.
Pierwszy audyt
Termin pierwszego audytu dla właściwych podmiotów kluczowych objętych przepisami przejściowymi.
Dalsze etapy opisuje materiał co po wpisie do Wykazu KSC – plan działań do 3 kwietnia 2027 r.. Pełny kalendarz znajduje się również w artykule terminy KSC i NIS2 2026.
Jakie kary grożą za brak terminowego wniosku?
Art. 73 ust. 1a pkt 1 UoKSC stanowi, że organ właściwy do spraw cyberbezpieczeństwa może nałożyć karę pieniężną na podmiot, który nie złożył wniosku w terminie, jeżeli przemawia za tym waga i znaczenie naruszonych przepisów. Sformułowanie „może” oznacza, że kara nie jest automatycznym skutkiem każdego jednodniowego opóźnienia. Nie oznacza jednak, że naruszenie można pozostawić bez reakcji.
Ustawa przewiduje również możliwość odpowiedzialności kierownika podmiotu za niewykonanie obowiązku z art. 7c ust. 1. Ocena ryzyka powinna więc obejmować zarówno sytuację organizacji, jak i sposób sprawowania nadzoru przez zarząd.
Art. 35 ustawy nowelizującej stanowi, że nowe kary mogą zostać po raz pierwszy nałożone po upływie 2 lat od wejścia ustawy w życie, czyli po 3 kwietnia 2028 r. Nie przesuwa to terminu wpisu, nie legalizuje opóźnienia i nie wyłącza działań nadzorczych ani wpisu z urzędu.
Przy ocenie naruszenia znaczenie mogą mieć czas opóźnienia, reakcja po jego wykryciu, stopień uporządkowania danych, współpraca z organem, wcześniejsze uchybienia i wpływ braku wpisu na zdolność komunikacji w krajowym systemie cyberbezpieczeństwa. Zamiast budować obronę wyłącznie wokół odroczenia kar, lepiej możliwie szybko usunąć niezgodność i zachować pełną historię działań.
Jak zarząd powinien udokumentować działania naprawcze?
Ślad decyzyjny powinien pokazywać nie tylko, kiedy wysłano formularz, lecz również jak organizacja wykryła problem, kto ocenił status, kto zatwierdził dane i jakie zabezpieczenia wdrożono, aby opóźnienie się nie powtórzyło.
Pakiet dowodowy po przekroczeniu terminu
Lista może zostać wykorzystana przez zarząd, prawnika albo pełnomocnika jako kontrola kompletności sprawy.
Po dokonaniu wpisu każdą zmianę danych objętych art. 7 ust. 2 pkt 1–18 należy analizować pod kątem obowiązku aktualizacji. Szczegółową instrukcję zawiera poradnik aktualizacja danych w Wykazie KSC w terminie 14 dni.
Najczęstsze błędy po przekroczeniu terminu
- Oczekiwanie na wezwanie organu. Możliwość wpisu z urzędu nie zwalnia firmy z obowiązku samodzielnego złożenia wniosku.
- Uznanie, że firma jest spóźniona bez ustalenia daty. Podmiot objęty ustawą później może nadal mieścić się we własnym okresie 6 miesięcy.
- Traktowanie szkicu jako złożonego wniosku. Dokument musi zostać podpisany i skutecznie wysłany.
- Założenie drugiego wpisu po otrzymaniu kodu wezwania. Kod służy do przejęcia i uzupełnienia istniejącego rekordu.
- Brak weryfikacji statusu po wysyłce. Konflikt NIP albo REGON może skierować wniosek do sprawdzenia.
- Przesunięcie terminu SZBI. Późniejszy wpis nie zmienia terminu wynikającego z przepisów przejściowych.
- Brak dowodów. Sam e-mail „rejestracja wykonana” nie odtwarza podstawy kwalifikacji, treści wniosku ani decyzji zarządu.
- Zaprzestanie monitorowania danych. Po wpisie zmiany podlegają odrębnemu terminowi aktualizacyjnemu.
Najczęściej zadawane pytania
Czy Wykaz KSC przestał przyjmować wnioski po 3 października 2026 r.?
Oficjalna instrukcja nadal opisuje samorejestrację. Podmiot powinien niezwłocznie spróbować złożyć prawidłowy wniosek, zamiast zakładać, że po terminie pozostaje wyłącznie oczekiwanie na organ.
Czy jeden dzień opóźnienia oznacza automatyczną karę?
Nie. Art. 73 ust. 1a przewiduje możliwość nałożenia kary, jeżeli przemawia za tym waga i znaczenie naruszenia. Nie zmienia to faktu, że obowiązek został przekroczony i powinien zostać wykonany bez dalszej zwłoki.
Czy trzeba wysłać do organu osobne pismo z wyjaśnieniami?
Ustawa nie ustanawia obowiązkowego „czynnego żalu” dla spóźnionego wpisu. W zależności od okoliczności można przygotować wewnętrzną notatkę i materiał do ewentualnych wyjaśnień. Decyzję o odrębnym piśmie warto podjąć po analizie konkretnej sytuacji i właściwości organu.
Czy spóźniona firma ma 12 miesięcy na SZBI od dnia wpisu?
Nie w przypadku podmiotu, który spełniał kryteria 3 kwietnia 2026 r. Dla niego okres przejściowy na realizację obowiązków kończy się 3 kwietnia 2027 r., niezależnie od późniejszego złożenia wniosku.
Co zrobić, gdy system pokazuje konflikt NIP lub REGON?
Należy sprawdzić, czy podmiot został wpisany z urzędu albo czy inna osoba nie złożyła wcześniej wniosku. Warto zachować status i identyfikator, a następnie skontaktować się z właściwym organem lub obsługą Systemu S46.
Kto może podpisać spóźniony wniosek?
Kierownik podmiotu albo osoba przez niego upoważniona. Prokurent ujawniony w KRS oraz pełnomocnik ujawniony w CEIDG nie muszą dołączać odrębnego pełnomocnictwa. W innych przypadkach dokument umocowania należy dołączyć elektronicznie.
Ile czasu jest na uzupełnienie danych po wpisie z urzędu?
Organ wzywa podmiot do uzupełnienia brakujących informacji w ciągu 6 miesięcy od otrzymania zawiadomienia. Nie należy mylić tego terminu z pierwotnym terminem na samorejestrację.
Czy po wpisie trzeba jeszcze aktualizować dane?
Tak. Zmianę danych objętych wpisem zgłasza się zasadniczo w terminie 14 dni od dnia jej wystąpienia, składając wniosek o zmianę wpisu.
Termin minął? Najważniejsze jest teraz uporządkowane działanie
Możemy zweryfikować, czy firma rzeczywiście podlega KSC, ustalić datę powstania obowiązku, przygotować dane do wniosku i zaplanować działania wymagane do 3 kwietnia 2027 r. Analiza obejmuje zarówno podstawę prawną, jak i praktyczną gotowość organizacji do działania w Systemie S46.