Wykaz KSC po 3 października: co zrobić, jeśli firma nie jest wpisana

Termin na wniosek o wpis do wykazu KSC, czyli wykazu podmiotów kluczowych i podmiotów ważnych, minął 3 października 2026. Jeśli Wasza firma spełnia przesłanki ustawy o krajowym systemie cyberbezpieczeństwa (KSC), a wniosku nie złożyła, zróbcie to teraz w systemie wykaz-ksc.gov.pl. System nadal przyjmuje wnioski, a obowiązki z ustawy dotyczą Was z wpisem albo bez niego. Przegląd przed audytem i wdrożenie KSC robimy w ramach konsultingu IT.

Czy po 3 października można jeszcze złożyć wniosek?

Tak. Ustawa nie zamyka drogi do wpisu po terminie. Art. 7c ust. 1 ustawy o KSC każe złożyć wniosek w ciągu 6 miesięcy od dnia spełnienia przesłanek, a dla podmiotów, które spełniały je w dniu wejścia w życie nowelizacji (3 kwietnia 2026), Ministerstwo Cyfryzacji wyznaczyło okno od 7 maja do 3 października 2026.

Wpis następuje z chwilą złożenia wniosku. Art. 7d ust. 5 mówi wprost, że wpis „ma charakter deklaratoryjny”. To znaczy, że Wasz status wynika z ustawy, a nie z wykazu. Spóźniony wniosek tylko potwierdza stan, który już istnieje. Tekst przepisów: Dz.U. 2026 poz. 252.

Stan na 9 października 2026: ministerstwo nie ogłosiło przedłużenia terminu. Ostatni komunikat, z 28 września, przypominał tylko o 3 października. Jeśli w tej sprawie coś się zmieni, ministerstwo opublikuje to na stronie z terminami nowelizacji KSC.

Organ może Was wpisać sam

Jeśli podmiot spełnia przesłanki, a nie złożył wniosku w terminie, organ właściwy do spraw cyberbezpieczeństwa może go wpisać do wykazu z urzędu (art. 7j ust. 1). Następnie wzywa do uzupełnienia danych, pod rygorem kary (art. 7j ust. 3). Na taki wpis przysługuje skarga (art. 7j ust. 5). Nie czekajcie na to wezwanie: wpis z urzędu zostawia w aktach ślad, że firma przegapiła termin.

Wykaz nie jest publiczny: do danych z wykazu nie stosuje się ustawy o dostępie do informacji publicznej (art. 7 ust. 3), a ministerstwo publikuje tylko liczbę podmiotów w podziale na sektory (art. 7i). Nie sprawdzicie więc w nim, czy ktoś już Was wpisał. Część podmiotów organ wpisuje z urzędu niezależnie od terminu: podmioty publiczne, przedsiębiorców telekomunikacyjnych, dostawców usług zaufania i dawnych operatorów usług kluczowych. Te podmioty uzupełniają dane dopiero po wezwaniu.

Wykaz KSC: kogo dotyczy obowiązek wpisu?

Obowiązek dotyczy każdego podmiotu objętego ustawą. Ministerstwo nie udostępnia kalkulatora: samoidentyfikację przeprowadzacie sami, w trzech krokach: sektor, wielkość, przypadki szczególne z art. 5.

1. Sektor. Sprawdźcie, czy Wasza działalność jest w załączniku 1 (np. energia, transport, zdrowie, infrastruktura cyfrowa) albo w załączniku 2 (np. poczta, odpady, chemia, żywność, produkcja z działów PKD 26-30). Liczy się faktyczna działalność, nie tylko kod w rejestrze.
2. Wielkość. Progi pochodzą z załącznika I do rozporządzenia 651/2014: średnie przedsiębiorstwo to co najmniej 50 osób albo obrót i suma bilansowa powyżej 10 mln euro, duże to co najmniej 250 osób albo obrót powyżej 50 mln euro i suma bilansowa powyżej 43 mln euro. Liczy się dzień sprawozdania finansowego (art. 5 ust. 5).
3. Przypadki szczególne. Niektóre podmioty są objęte bez względu na wielkość (m.in. dostawcy DNS, kwalifikowani dostawcy usług zaufania, podmioty krytyczne). Dostawcy usług zarządzanych w zakresie bezpieczeństwa (MSSP) są objęci ustawą już od progu małego przedsiębiorstwa (status w tabeli poniżej).
4. Grupa kapitałowa. Jeśli progi przekraczacie tylko dzięki danym spółek powiązanych, a Wasz system informacyjny jest od grupy niezależny, ustawa Was nie obejmuje (art. 5 ust. 6 i 7). Opiszcie ten wyjątek na piśmie.

Jeśli spełniacie kryteria obu kategorii, jesteście podmiotem kluczowym (art. 5 ust. 4). Banki i infrastruktura rynków finansowych też składają wniosek do wykazu, choć SZBI i raportowanie poważnych incydentów regulują u nich przepisy DORA (art. 8i).

Co grozi za spóźniony wniosek o wpis?

Kara jest możliwa, ale nie automatyczna. Art. 73 ust. 1a pkt 1 pozwala organowi nałożyć karę pieniężną na podmiot, który nie złożył wniosku w terminie, „jeżeli przemawia za tym waga i znaczenie naruszonych przepisów”. Górne granice to 10 mln euro albo 2% przychodów z poprzedniego roku obrotowego dla podmiotu kluczowego, wyższa z tych kwot (art. 73 ust. 3), i 7 mln euro albo 1,4% przychodów dla podmiotu ważnego (art. 73 ust. 4). Kara minimalna to 20 000 zł i 15 000 zł.

Osobno odpowiada kierownik podmiotu: za niezłożenie wniosku w terminie albo niezgłoszenie zmian grozi mu kara do 300% miesięcznego wynagrodzenia (art. 73a ust. 1 pkt 1 i ust. 4). Wniosek zawiera też oświadczenie kierownika, że dane są zgodne z prawdą, złożone pod rygorem odpowiedzialności karnej z art. 233 § 6 Kodeksu karnego (art. 7c ust. 5). Nie obejmuje ono zakresów IP i domen, ale resztę danych trzeba sprawdzić.

Art. 35 ustawy nowelizującej pozwala nałożyć kary z art. 73 ust. 1-4 i art. 73a po raz pierwszy po upływie 2 lat od wejścia w życie nowelizacji, czyli od 3 kwietnia 2028. To nie jest zwolnienie z obowiązku. Organ, który za półtora roku zobaczy datę Waszego wniosku, oceni też, czy spóźnienie było świadome i czy przez ten czas coś zrobiliście.

Jak złożyć wniosek do wykazu KSC po terminie?

Procedura jest taka sama jak przed terminem. Opis krok po kroku ministerstwo publikuje na stronie systemu S46. W praktyce zajmuje to jedno popołudnie, jeśli dane macie zebrane wcześniej.

1. Zbierzcie dane z art. 7 ust. 2 pkt 1-18: nazwę, sektor i rodzaj podmiotu, adresy, NIP i REGON, publiczne zakresy adresów IP, domeny, osoby kontaktowe, oświadczenie o wielkości, państwa UE, w których świadczycie usługi, i główną jednostkę organizacyjną.
2. Zalogujcie się na wykaz-ksc.gov.pl przez Węzeł Krajowy. Za pierwszym razem zakładacie konto użytkownika; podmioty zagraniczne mogą użyć eID.
3. Kliknijcie „Wpisz nowy podmiot” i wypełnijcie sekcje formularza. NIP albo REGON uzupełnia część pól automatycznie.
4. Podpiszcie wniosek Profilem Zaufanym albo pobierzcie go jako plik XML i podpiszcie podpisem kwalifikowanym, osobistym lub pieczęcią kwalifikowaną (art. 7c ust. 6).
5. Sprawdźcie, kto podpisuje. Wniosek składa kierownik podmiotu albo osoba przez niego upoważniona, z dołączonym pełnomocnictwem. Prokurent wpisany do KRS pełnomocnictwa nie potrzebuje.
6. Zachowajcie potwierdzenie. Dostaniecie e-mail, a w „Liście wniosków” status „Zatwierdzony” albo „Oczekuje na weryfikację” (np. gdy NIP jest już w wykazie, bo organ wpisał Was z urzędu).

Po wpisie każdą zmianę danych zgłaszacie w ciągu 14 dni (art. 7c ust. 3). Najczęściej zapomina się o nowych zakresach IP, nowych domenach i odejściu osoby kontaktowej.

Jak udokumentować ocenę zakresu i spóźnienie?

Ustawa nie wymaga osobnej notatki z samoidentyfikacji, ale organ może zażądać informacji (art. 43 ust. 1), a kierownik odpowiada osobiście. Dlatego zalecamy krótką notatkę, 1-2 strony, podpisaną przez zarząd. Ten sam dokument przyda się, jeśli dojdziecie do wniosku, że ustawa Was nie obejmuje.

• data oceny i kto ją przeprowadził;
• faktyczna działalność i odpowiadająca jej pozycja z załącznika 1 lub 2, z kodami PKD;
• dane o wielkości z ostatniego sprawozdania finansowego, z uwzględnieniem spółek powiązanych albo z uzasadnieniem wyjątku z art. 5 ust. 6 i 7;
• wniosek co do statusu (albo brak objęcia ustawą) i data kolejnego przeglądu;
• data złożenia wniosku, potwierdzenie e-mail i krótkie wyjaśnienie, dlaczego wniosek wpłynął po terminie;
• lista działań wykonanych od tego dnia, by spełnić wymagania rozdziału 3.

Przyczynę spóźnienia zapiszcie rzeczowo: na przykład zmiana struktury grupy, nowa linia działalności albo błędna wcześniejsza ocena progów. Notatka z datą i planem działań pokaże organowi, że po terminie coś się działo.

Spóźniony wpis nie przesuwa terminu 3 kwietnia 2027

Obowiązki z rozdziału 3 ustawy o KSC (SZBI, zarządzanie ryzykiem, obsługa incydentów, ciągłość działania, łańcuch dostaw, szkolenie kierownictwa) obowiązują podmioty, które spełniały przesłanki 3 kwietnia 2026, od 3 kwietnia 2027 (art. 33 ust. 1 ustawy nowelizującej). Data wpisu do wykazu niczego tu nie zmienia. Podmiot, który spełnił przesłanki później, ma 12 miesięcy od tego dnia (art. 16).

Od dziś do 3 kwietnia 2027 zostało niecałe 26 tygodni. Rozpisaliśmy je na etapy w artykule o planie wdrożenia KSC na 26 tygodni. Jeśli macie już SZBI według normy, sprawdźcie, co z niej przenosi się na KSC, w tekście o ISO/IEC 27001. Wymagania z przypisanymi dowodami zebraliśmy w macierzy dowodów KSC.

Przegląd stanu przed formalnym audytem opisujemy w artykule o tym, czym jest audyt IT. Formalnego audytu KSC z art. 15 nie przeprowadzamy: robimy przegląd przed audytem KSC i mówimy, kto może Was audytować.

Plan na najbliższe dwa tygodnie

1. Dni 1-3: samoidentyfikacja w trzech krokach i decyzja zarządu.
2. Dni 4-6: zebranie danych z art. 7 ust. 2, w tym zakresów IP i domen od zespołu IT.
3. Dzień 7: złożenie wniosku i zapisanie potwierdzenia.
4. Dni 8-14: notatka z oceny, właściciel tematu KSC i harmonogram prac do 3 kwietnia 2027.

Jeśli chcecie przejść ocenę zakresu z nami, zajrzyjcie na stronę o wdrożeniu KSC i NIS2 albo napiszcie do nas.