Miesiąc do 3 października. Cena spóźnienia nie jest karą pieniężną

Do 3 października 2026 r. wniosek o wpis do Wykazu podmiotów kluczowych i podmiotów ważnych muszą złożyć organizacje, które 3 kwietnia 2026 r. spełniały przesłanki ustawowe i nie zostały wpisane do wykazu z urzędu. Podstawą jest art. 7c ust. 1 ustawy o krajowym systemie cyberbezpieczeństwa: sześć miesięcy od dnia spełnienia przesłanek.

Pytanie o skutki spóźnienia pada ostatnio coraz częściej. Odpowiedzi krążące w obiegu prowadzą zwykle do tabeli kar i do kwoty 10 mln euro. To najmniej użyteczna część tej analizy. Kara za samo niezłożenie wniosku nie zostanie w tym roku nałożona — i właśnie dlatego warto rozumieć, co spóźnienie kosztuje naprawdę.

Moratorium jest realne i szersze, niż się przyjmuje

Art. 35 ustawy nowelizującej z 23 stycznia 2026 r. (Dz.U. 2026 poz. 252) przesuwa moment, w którym kary pieniężne z art. 73 ust. 1–4, art. 73a–73c oraz art. 76b ustawy o KSC mogą zostać nałożone po raz pierwszy, na dzień przypadający po upływie dwóch lat od jej wejścia w życie, czyli po 3 kwietnia 2028 r. Obejmuje to karę na podmiot za niezłożenie wniosku o wpis, karę osobistą na kierownika podmiotu oraz okresowe kary za zwłokę w wykonaniu nakazu.

Poza moratorium pozostaje kara kwalifikowana z art. 73 ust. 5, sięgająca 100 mln zł. Bywa przywoływana w rozmowach o rejestracji i tu należy się Państwu uczciwe zastrzeżenie. Jej przesłanką jest naruszenie powodujące bezpośrednie i poważne cyberzagrożenie dla obronności, bezpieczeństwa państwa, bezpieczeństwa i porządku publicznego albo życia i zdrowia ludzi, wraz z zagrożeniem wywołania poważnej szkody majątkowej lub poważnych utrudnień w świadczeniu usług. Brak wpisu sam z siebie takiego stanu nie wywołuje. Wskazywanie tej kary jako sankcji za spóźnioną rejestrację jest zabiegiem retorycznym, nie wykładnią przepisu.

Kalendarz nie zależy od daty wpisu

Tu zaczyna się rzecz istotna. Art. 16 ustawy wiąże dwa najpoważniejsze terminy nie z wpisem do wykazu, lecz z dniem spełnienia przesłanek uznania za podmiot kluczowy albo ważny: dwanaście miesięcy na realizację obowiązków rozdziału 3, w tym wdrożenie systemu zarządzania bezpieczeństwem informacji, oraz dwadzieścia cztery miesiące na pierwszy audyt podmiotu kluczowego. Dla organizacji, które spełniały przesłanki 3 kwietnia 2026 r., są to odpowiednio 3 kwietnia 2027 r. i 3 kwietnia 2028 r.

Wszystkie te daty mają zatem ten sam punkt odniesienia. Ruchoma jest tylko jedna — ta, którą organizacja może przekroczyć. Przesunięcie wniosku z sierpnia na ostatni tydzień września nie przesuwa kwietnia 2027 r. Zabiera natomiast kilka tygodni z okresu przeznaczonego na pracę, która rzeczywiście kosztuje: szacowanie ryzyka, polityki bezpieczeństwa, bezpieczeństwo łańcucha dostaw, ciągłość działania, monitorowanie, szkolenia. To jest realna cena zwłoki i nie widać jej w żadnym zestawieniu sankcji.

Asymetria, o której rzadko się pisze

Ustawa zna sytuacje, w których zegar z art. 16 rusza od nowa. Art. 7l ust. 7 stanowi, że podmiot uznany decyzją organu za kluczowy albo ważny realizuje obowiązki rozdziału 3 w terminie dwunastu miesięcy, a pierwszy audyt zapewnia w terminie dwudziestu czterech miesięcy — liczonych od dnia doręczenia tej decyzji. Analogiczne rozwiązanie przewiduje art. 7m ust. 6 dla państwowych osób prawnych uznanych za podmioty kluczowe.

Art. 7j, czyli wpis z urzędu dokonywany właśnie dlatego, że podmiot nie złożył wniosku w terminie z art. 7c ust. 1, takiego przepisu nie zawiera. Organ zawiadamia podmiot i wzywa go do uzupełnienia danych w terminie sześciu miesięcy, pod rygorem kary pieniężnej. Nic ponadto. Terminy z art. 16 biegną dalej od dnia spełnienia przesłanek.

Wniosek jest niewygodny, ale prosty. Nowy okres na wdrożenie otrzymuje organizacja, którą organ wciąga do systemu uznaniowo, a więc taka, która wcześniej nie mogła wiedzieć, że podlega ustawie. Organizacja, która podlega jej z mocy prawa i po prostu zwleka, nie otrzymuje niczego.

Rozróżnienie to ma systemowe uzasadnienie i trudno je uznać za niedopatrzenie ustawodawcy. Praktyczny skutek dla podmiotu, który poczeka i zobaczy, pozostaje jednak taki sam: wchodzi w etap wdrożenia z krótszym czasem i bez formalnej możliwości jego odzyskania.

Wniosek składany w pośpiechu przenosi ryzyko na osobę

Art. 7c ust. 5 wymaga, aby wniosek zawierał oświadczenie kierownika podmiotu składane pod rygorem odpowiedzialności karnej z art. 233 § 6 Kodeksu karnego. Ustawodawca wyłączył z tej odpowiedzialności dwie pozycje: zakresy adresów IP oraz zakresy nazw domenowych. Wyłączenie jest wąskie i przez to wymowne. Rubryka sektora, podsektora i rodzaju działalności — ta, która przesądza o statusie podmiotu, zakresie nadzoru i obowiązku audytu — objęta jest rygorem w pełni.

To zmienia adresata ryzyka. Kara administracyjna na spółkę jest odroczona do 2028 r. Odpowiedzialność karna osoby podpisującej oświadczenie nie jest odroczona wcale. Podmiot, który zwleka do końca września, a potem wypełnia formularz pod presją, przesuwa ryzyko z bilansu spółki na kierownika podmiotu. W drugą stronę ta operacja już nie działa.

Warto sprawdzić także drobiazg, który potrafi zatrzymać wniosek w ostatnim tygodniu. Art. 7c ust. 6 dopuszcza kwalifikowany podpis elektroniczny, podpis zaufany, podpis osobisty kierownika podmiotu lub osoby przez niego upoważnionej albo kwalifikowaną pieczęć elektroniczną. Wariantów jest kilka, ale każdy wymaga potwierdzenia ważności i dostępności zawczasu, a nie 2 października.

Co warto zamknąć do połowy września

Najpierw kwalifikacja na piśmie. Sektor i rodzaj działalności czyta się od faktycznie świadczonych usług, nie od kodów PKD, a wielkość — z uwzględnieniem przedsiębiorstw powiązanych i partnerskich. Notatka powinna powstać także wtedy, gdy wynik jest negatywny, bo to ona uzasadnia decyzję o niezłożeniu wniosku. Następnie osoba i podpis: rozstrzygnięcie, kto składa oświadczenie, oraz sprawdzenie środka podpisu warto zamknąć przed przygotowaniem treści wniosku.

Jeżeli termin już upłynął, wniosek i tak trzeba złożyć. Obowiązek nie wygasa wraz z terminem, a każdy tydzień zwłoki wydłuża okres, w którym organizacja pozostaje w stanie naruszenia, i skraca czas na wdrożenie.

Jeżeli mają Państwo wątpliwość co do statusu własnej organizacji albo spółek zależnych, proponujemy jedno konkretne działanie: proszę wyznaczyć wewnętrzną datę na 18 września i do tego dnia domknąć notatkę kwalifikacyjną wraz z decyzją o podpisie. Dwa tygodnie zapasu przed 3 października to margines na sytuację, w której notatka pokaże wynik inny niż zakładany.

W Secureside wspieramy organizacje w ocenie statusu, przygotowaniu notatki kwalifikacyjnej i wniosku oraz w ułożeniu prac wdrożeniowych do 3 kwietnia 2027 r. w spójności z ISO/IEC 27001 i ISO 22301. Pracujemy tak, aby obciążenie Państwa zespołu było możliwie małe, a kolejność działań wynikała z tego, co ma termin.

Grzegorz Bielecki

vCISO, vCIO i certyfikowany ekspert ds. bezpieczeństwa (CISM, CDPSE, CEH, ISO 27001 Lead Auditor). Od ponad 15 lat wspiera głównie sektor finansowy w budowaniu odporności cyfrowej. Architekt wdrożeń DORA, NIS2\UKSC oraz norm ISO 27001 (SZBI) i ISO 22301 (SZCD). Posiada doświadczenie w projektach zgodności IT przy pozyskiwaniu licencji KIP KNF. Członek ISSA Polska.