Wykaz KSC do 3 października. O czym się nie mówi.

Zostało siedem tygodni. Same terminy są dziś powtarzane w każdym opracowaniu, więc nie o nich jest ten tekst. Chodzi o zmianę, której w kalendarzu nie widać: znowelizowana ustawa o krajowym systemie cyberbezpieczeństwa przeniosła ustalenie statusu regulacyjnego z organu na podmiot. Kto podlega ustawie, rozstrzyga dziś sam zainteresowany — i sam ponosi konsekwencje pomyłki.

Na czym polega przesunięcie

W poprzednim stanie prawnym operatorem usługi kluczowej stawało się na mocy decyzji administracyjnej. Organ prowadził analizę, organ wskazywał podmiot, a zainteresowany dowiadywał się o swoim statusie z pisma. Wątpliwości interpretacyjne rozstrzygał ten, kto wydawał decyzję.

Po nowelizacji (Dz.U. 2026 poz. 252, obowiązuje od 3 kwietnia 2026 r.) konstrukcja jest odwrotna. Podmiot kluczowy albo ważny ma sześć miesięcy od dnia spełnienia przesłanek na złożenie wniosku o wpis do Wykazu. Dla większości adresatów dniem tym jest 3 kwietnia, więc termin zamyka się 3 października 2026 r. Zakwalifikowanie się stało się czynnością własną, a we wniosku składa się oświadczenie o statusie pod rygorem odpowiedzialności karnej za złożenie fałszywego oświadczenia. Podpisuje je kierownik podmiotu albo osoba przez niego upoważniona.

Trzy następstwa tej konstrukcji bywają pomijane:

• Wpis sam w sobie nie tworzy obowiązków ani ich nie odsuwa. Obowiązki wynikają z przesłanek ustawowych i biegną niezależnie od tego, czy wniosek został złożony.
• System nie ocenia merytorycznie tego, co zostanie zadeklarowane. Przyjmuje deklarację; weryfikacja jej trafności należy do organu i przychodzi w innym momencie.
• Wpis nie mówi nic o dojrzałości organizacji. Jest informacją o statusie, nie potwierdzeniem, że cokolwiek zostało wdrożone.

Formularz na wykaz-ksc.gov.pl jest krótki i nie stanowi żadnej trudności. Cała praca leży przed nim — w ustaleniu, co należy w nim wpisać.

Dwa testy, które trzeba przeprowadzić samodzielnie

Kwalifikacja opiera się na sektorze działalności (załączniki nr 1 i 2 do ustawy) oraz na wielkości przedsiębiorstwa (rozporządzenie Komisji (UE) nr 651/2014). Oba testy łączy jedna cecha: czyta się je z innego poziomu niż ten, na którym organizacja zwykle sama siebie opisuje.

Test sektorowy czyta się od usługi. Punktem odniesienia jest to, co organizacja faktycznie świadczy i komu, a nie przedmiot działalności ujawniony w KRS ani kod PKD. Usługa pre-weryfikacji na Biznes.gov.pl operuje na klasyfikacji PKD i bywa przydatna jako pierwszy sygnał, natomiast nie odpowiada na pytanie, czy konkretna usługa mieści się w pozycji załącznika.

Test wielkościowy czyta się od grupy. Zatrudnienie, obrót i sumę bilansową ustala się z uwzględnieniem przedsiębiorstw partnerskich i powiązanych. Organizacja, która samodzielnie mieści się w kategorii małego przedsiębiorcy, po doliczeniu jednostki dominującej i spółek siostrzanych potrafi znaleźć się w kategorii średniej lub dużej. To najczęstsza przyczyna samooceny zaniżonej o cały szczebel — i przyczyna dość systematyczna, ponieważ dane potrzebne do tego rachunku leżą zwykle poza działem, na którego biurko trafia temat KSC.

Wynik obu testów prowadzi do jednego z dwóch statusów, a różnica między nimi rozciąga się na lata:

	Kto najczęściej	Nadzór	Audyt
Podmiot kluczowy	Duże przedsiębiorstwo z załącznika nr 1: energia, transport, bankowość i infrastruktura rynków finansowych, ochrona zdrowia, woda i ścieki, infrastruktura cyfrowa, zarządzanie usługami ICT, administracja publiczna, przestrzeń kosmiczna	Prewencyjny i następczy	Obowiązkowy, co najmniej raz na trzy lata
Podmiot ważny	Średnie przedsiębiorstwo z załącznika nr 1 oraz średnie i duże z załącznika nr 2: usługi pocztowe, gospodarowanie odpadami, chemia, żywność, produkcja, dostawcy usług cyfrowych, badania naukowe	Następczy	Bez obowiązku ustawowego

Poza tym schematem funkcjonują kategorie, w których wielkość nie ma znaczenia — między innymi kwalifikowani dostawcy usług zaufania, rejestry nazw domen najwyższego poziomu, dostawcy usług DNS, przedsiębiorcy komunikacji elektronicznej oraz wskazane podmioty publiczne. Dostawcy zarządzanych usług bezpieczeństwa podlegają ustawie już od progu małego przedsiębiorcy. Organ właściwy może również uznać podmiot za kluczowy w drodze decyzji, jeżeli zakłócenie jego działalności groziłoby poważnymi skutkami.

Cztery miejsca, w których samokwalifikacja zawodzi

Z rozmów prowadzonych w ostatnich miesiącach wyłania się dość powtarzalny obraz. Błąd rzadko dotyczy przypadków oczywistych. Pojawia się tam, gdzie organizacja nie rozpoznaje siebie w opisie ustawowym.

1. Dostawcy technologii, którzy widzą siebie jako podwykonawców. Zarządzanie usługami ICT znalazło się w załączniku nr 1. Spółka utrzymująca środowiska dla innych podmiotów z grupy albo dla klientów z sektorów regulowanych bywa adresatem ustawy na własny rachunek, niezależnie od statusu obsługiwanych. Rola podwykonawcy nie jest kategorią, którą ustawa w tym miejscu uwzględnia.
2. Sektory objęte regulacją po raz pierwszy. Ścieki, gospodarowanie odpadami, chemia, żywność, usługi pocztowe, badania naukowe, przestrzeń kosmiczna. Organizacje z tych obszarów nie mają za sobą doświadczenia poprzedniego reżimu, więc analizy najczęściej w ogóle nie rozpoczynają.
3. Wpisani z urzędu, którzy uznali sprawę za zamkniętą. Podmioty publiczne, przedsiębiorcy komunikacji elektronicznej, dostawcy usług zaufania oraz dotychczasowi operatorzy usług kluczowych znaleźli się w Wykazie bez własnego wniosku. Otrzymują natomiast wezwanie do uzupełnienia danych i mają na to sześć miesięcy liczone od doręczenia. Wezwanie leżące w nieobsługiwanej skrzynce podawczej biegu terminu nie wstrzymuje.
4. Rynek finansowy poza klasyczną bankowością. Art. 8i ust. 1 ustawy wyłącza wobec sektora bankowości i infrastruktury rynków finansowych większość przepisów o systemie zarządzania bezpieczeństwem informacji i o zgłaszaniu poważnych incydentów, zastępując je rozporządzeniem DORA. Zbiór podmiotów finansowych w rozumieniu DORA jest jednak szerszy niż katalog sektora bankowego z załącznika nr 1. Instytucje płatnicze, instytucje pieniądza elektronicznego czy dostawcy usług w zakresie kryptoaktywów podlegają rozporządzeniu w pełni, ale w tym katalogu ich nie ma — wyłączenie z art. 8i nie działa więc wobec nich wprost. Doktryna nie mówi tu jeszcze jednym głosem, a to oznacza, że stanowisko trzeba zająć samodzielnie i umieć je uzasadnić.

Dokument, którego nikt nie zażąda, a który warto mieć

Skoro rozstrzygnięcie należy do Państwa, warto je zapisać. Nie dla organu — 3 października nikt tej notatki nie będzie chciał zobaczyć. Dla własnej organizacji.

Notatka kwalifikacyjna, która obroni się za rok i za trzy lata, odpowiada na cztery pytania:

• Co świadczymy naprawdę i którym pozycjom załączników to odpowiada — łącznie z tymi, które rozważono i odrzucono, wraz z powodem odrzucenia.
• Jak policzono wielkość — z listą przedsiębiorstw partnerskich i powiązanych oraz wskazaniem, czyje dane zostały doliczone.
• Gdzie leży wątpliwość i dlaczego przyjęto tę, a nie inną interpretację.
• Kto zatwierdził wynik i kiedy. Nazwisko, funkcja, data.

Dwa lata to w organizacji dużo. Zmienia się skład zarządu, zmienia się osoba odpowiedzialna za bezpieczeństwo, potrafi zmienić się profil działalności. Kiedy w 2028 r. audytor zapyta o podstawę przyjętego statusu, różnica między udokumentowanym stanowiskiem a rekonstrukcją z pamięci jest różnicą między spokojną rozmową a tygodniem odtwarzania faktów.

Co przygotować, zanim otworzymy formularz

Większość pól wniosku to dane identyfikacyjne, kontaktowe i wpisy do rejestrów działalności regulowanej — część z nich system uzupełnia sam na podstawie NIP i REGON. Trzy pozycje wymagają jednak pracy poza formularzem.

Umocowanie i podpis. Wniosek można podpisać w aplikacji Profilem Zaufanym albo pobrać plik XML, podpisać go zewnętrznie i wgrać z powrotem. Pełnomocnictwo w postaci elektronicznej jest potrzebne, gdy działa pełnomocnik; nie jest potrzebne przy prokurencie ujawnionym w KRS ani pełnomocniku ujawnionym w CEIDG. Ważność certyfikatu i zakres umocowania warto potwierdzić teraz, a nie w tygodniu, w którym wniosek ma wyjść.

Osoby. Wymagane są co najmniej dwie osoby do kontaktu — u mikro i małych przedsiębiorców jedna — oraz administrator konta podmiotu w Systemie S46. Warto przypisać do nich role, nie tylko nazwiska, ponieważ wpis ma żyć dłużej niż obecna obsada stanowisk.

Zasoby widoczne z internetu. Zakresy publicznych adresów IP i nazwy domen to jedyne pole wniosku o charakterze technicznym i jednocześnie najbardziej pracochłonne. Deklarują w nim Państwo własny obszar ekspozycji, a deklaracja trafia do systemu obsługiwanego na potrzeby krajowego CSIRT. Inwentaryzacja robiona pod ten wniosek zwykle kończy się listą dłuższą, niż ktokolwiek zakładał: środowiska testowe, które miały być tymczasowe, domeny kampanijne, adresacja utrzymywana po stronie zewnętrznego partnera, zasoby po projektach zamkniętych kilka lat temu. Jeżeli mieliby Państwo w tym roku wykonać jedno nieplanowane ćwiczenie techniczne, to właśnie ono ma najlepszy stosunek nakładu do efektu.

Co dzieje się po 3 października

Wpis uruchamia obowiązek ciągły: zmianę danych objętych wnioskiem zgłasza się w ciągu 14 dni. Nowy adres, inna osoba kontaktowa, zmiana adresacji IP albo dostawcy usług zarządzanych — każde z tych zdarzeń uruchamia ten termin. Bez przypisania tego obowiązku do konkretnej roli wpis dezaktualizuje się w ciągu kilku miesięcy.

Właściwy ciężar leży jednak w dwóch datach:

• 3 kwietnia 2027 r. — podłączenie do Systemu S46 oraz wdrożenie obowiązków materialnych: systemu zarządzania bezpieczeństwem informacji opartego na systematycznej analizie ryzyka, obsługi i zgłaszania incydentów (wczesne ostrzeżenie w 24 godziny, zgłoszenie w 72 godziny, sprawozdanie końcowe w miesiąc), wyznaczenia osób do kontaktu, weryfikacji personelu oraz corocznego szkolenia kierownika podmiotu z udokumentowanym uczestnictwem.
• 3 kwietnia 2028 r. — pierwszy obowiązkowy audyt cyberbezpieczeństwa dla podmiotów kluczowych, które nie były wcześniej operatorami usług kluczowych; kolejne co najmniej raz na trzy lata.

Kary. Art. 35 ustawy nowelizującej odracza większość kar pieniężnych do 3 kwietnia 2028 r. Odroczenie nie obejmuje kary nadzwyczajnej z art. 73 ust. 5, sięgającej 100 mln zł — ta jest dostępna organowi od początku. Nie obejmuje też środków nadzoru: kontrole, żądania informacji czy zobowiązanie do przeprowadzenia audytu obowiązują od kwietnia 2026 r. Pozostałe pułapy: podmiot kluczowy do 10 mln euro albo 2% obrotu, podmiot ważny do 7 mln euro albo 1,4% obrotu, w obu przypadkach z zastosowaniem kwoty wyższej i z dolną granicą odpowiednio 20 i 15 tys. zł. Kierownikowi podmiotu grozi kara do 300% wynagrodzenia poza sektorem publicznym i do 100% w sektorze publicznym.

Odroczenie kar bywa odczytywane jako zapas czasu. Zapas jest pozorny, ponieważ 3 kwietnia 2028 r. spina dwie rzeczy naraz: moment, od którego sankcje stają się dostępne, oraz termin pierwszego audytu podmiotu kluczowego. Dokładnie wtedy, gdy kara przestaje być hipotetyczna, organizacja musi mieć za sobą niezależną weryfikację.

Na koniec

Przeniesienie kwalifikacji na podmioty nie jest złą konstrukcją — nikt nie zna organizacji lepiej niż ona sama. Wymaga jednak, żeby decyzja zapadła świadomie, u właściwej osoby i z zapisanym uzasadnieniem. Formularz wypełniony w ostatnim tygodniu września tego warunku nie spełnia, choć formalnie zamyka termin.

Jak możemy Państwa wesprzeć

Secureside prowadzi organizacje przez zgodność z NIS2 i ustawą o KSC — od ustalenia statusu i rejestracji, po wdrożenie obowiązków materialnych i przygotowanie do audytu. Wsparcie układamy w trzy zakresy, które można prowadzić osobno albo jako jeden proces.

Ocena statusu i rejestracja — do 3 października. Przegląd faktycznie świadczonych usług i struktury właścicielskiej, ustalenie statusu podmiotu, przygotowanie notatki kwalifikacyjnej do zatwierdzenia przez kierownika podmiotu, skompletowanie danych do wniosku wraz z inwentaryzacją zasobów widocznych z internetu oraz przeprowadzenie przez formularz i podpis. Zakres zamknięty i krótki: po Państwa stronie zostaje kilka rozmów i jedna decyzja.

Wdrożenie obowiązków materialnych — do 3 kwietnia 2027 r. System zarządzania bezpieczeństwem informacji oparty na analizie ryzyka, procedury obsługi i zgłaszania incydentów w reżimie 24/72 godziny wraz ze sprawozdaniem końcowym, wymagania wobec dostawców i przegląd umów, osoby do kontaktu, weryfikacja personelu, szkolenia kierownictwa. Dokumentację budujemy w spójności z ISO 27001 i ISO 22301, żeby jeden system obsługiwał kilka reżimów zamiast równoległych, powielających się zestawów.

Rynek finansowy: zestawienie DORA i KSC. Ustalenie, który reżim ma pierwszeństwo w danym obszarze, gdzie art. 8i faktycznie działa, a gdzie pozostaje podwójny zakres obowiązków. Prowadzimy również kompleksową obsługę zgodności z DORA oraz audyty zgodności z ISO 27001, ISO 22301, NIS2 i DORA.

Pracujemy zawsze od sytuacji konkretnej organizacji, a nie od gotowego szablonu. Kolejność zadań ustalamy tak, żeby najpierw zamknąć to, co ma termin, a zaangażowanie Państwa zespołu utrzymać na możliwie niskim poziomie — po naszej stronie zostaje analiza i dokumentacja, po Państwa decyzje i wiedza, której nikt z zewnątrz nie zastąpi. Przez cały czas mają Państwo jedną, stałą osobę do kontaktu.

Jeżeli nie mają Państwo pewności, czy ustawa dotyczy Państwa organizacji, albo chcą Państwo domknąć rejestrację i zaplanować drogę do kwietnia 2027 r. — prosimy o kontakt. Zaczynamy od krótkiej rozmowy i wstępnej oceny statusu, bez zobowiązań.