Wpis do wykazu z ustawy o KSC do 3 października! Uważaj, moratorium na kary może okazać się pułapką!

• Nikt ci nie przypomni o wpisie do wykazu KSC
• Wpis to dopiero początek
• Moratorium to nie wakacje
• Odpowiada zarząd, nie tylko dział IT
• Ustawa o KSC dotyczy, nawet jeśli formalnie nie podlegasz

Nikt ci nie przypomni o wpisie do wykazu KSC

Nowelizacja ustawy o krajowym systemie cyberbezpieczeństwa (KSC), wdrażająca dyrektywę NIS2, weszła w życie 3 kwietnia 2026 r. Zmieniła zasady gry: dziś status podmiotu kluczowego lub ważnego powstaje z mocy prawa, gdy tylko spełnisz kryteria. Nikt nie wydaje w tej sprawie decyzji ani nie przysyła zawiadomienia.

Żeby ustalić, czy podlegasz ustawie, sprawdź dwie rzeczy:

• czy działasz w jednym z 18 sektorów z załączników nr 1 i 2 (m.in. energetyka, zdrowie, transport, woda, ICT, ale też produkcja, żywność, chemia, odpady, usługi pocztowe),
• czy spełniasz kryteria wielkościowe – co do zasady status średniego przedsiębiorstwa (próg liczony według reguł unijnych, z uwzględnieniem firm powiązanych i partnerskich).

Uważaj na grupy kapitałowe. Progi liczysz łącznie z podmiotami powiązanymi, więc mała spółka w większej grupie też może wpaść w reżim ustawy. Nie opieraj analizy wyłącznie na kodach PKD – liczy się faktyczna działalność.

Termin dla firm, które spełniały kryteria już 3 kwietnia 2026 r., mija 3 października 2026 r. Samorejestracja w systemie S46 działa od 7 maja, a z platformy S46 Cyber Hub korzysta już ponad 2 tys. podmiotów.

Wpis to dopiero początek

Sam wpis nie kończy sprawy – otwiera dostęp do S46 Cyber Hub i uruchamia kolejne obowiązki. Jeśli spełniałeś kryteria 3 kwietnia 2026 r., masz czas:

• do 3 kwietnia 2027 r. – na wdrożenie systemu zarządzania bezpieczeństwem informacji (SZBI),
• do 3 kwietnia 2028 r. – na pierwszy audyt (dotyczy podmiotów kluczowych).

Te terminy biegną niezależnie od kar. Jeśli odłożysz rejestrację, skrócisz sobie czas na przygotowanie systemów.

Moratorium to nie wakacje

To prawda, że najdotkliwsze kary pieniężne z ustawy o KSC są odroczone. Po raz pierwszy będą mogły zostać nałożone dopiero po 3 kwietnia 2028 r. Dotyczy to kar dla firmy (do 10 mln euro lub 2 proc. przychodów), kar dla kierownictwa (do 300 proc. wynagrodzenia) oraz kar okresowych za zwłokę.

Ale to nie znaczy, że przez dwa lata nic ci nie grozi. Poza moratorium zostają m.in.:

• kara nadzwyczajna do 100 mln zł – za naruszenie powodujące poważne cyberzagrożenie; organ może ją nałożyć już teraz,
• odpowiedzialność karna za fałszywe oświadczenie o prawdziwości danych we wniosku,
• instrumenty nadzorcze: ostrzeżenia, nakazy i kontrole.

Jest jeszcze jedno ryzyko. Jeśli nie zgłosisz się sam, organ może wpisać cię do wykazu z urzędu – i od razu wszcząć kontrolę wobec firmy, która niczego nie przygotowała.

Odpowiada zarząd, nie tylko dział IT

Ustawa o KSC przenosi odpowiedzialność na kierownictwo. Za wykonanie obowiązków odpowiada kierownik podmiotu – i nie zdejmuje z niego tego ani umowa z zewnętrzną firmą, ani powołanie własnego specjalisty. Jeżeli w zarządzie nie wskażesz osoby odpowiedzialnej za cyberbezpieczeństwo, odpowiadają wszyscy jego członkowie. Dochodzi obowiązek corocznego, udokumentowanego szkolenia kierownictwa. Nie licz też, że ochroni cię polisa D&O – administracyjne kary z zakresu prawa publicznego zwykle nie są nią objęte.

Ustawa o KSC dotyczy, nawet jeśli formalnie nie podlegasz

Nie jesteś podmiotem kluczowym ani ważnym? I tak możesz odczuć skutki ustawy. Duże firmy, które jej podlegają, muszą kontrolować bezpieczeństwo swoich dostawców. Dlatego już dziś aneksują umowy z mniejszymi kontrahentami, wymagając m.in. uwierzytelniania wieloskładnikowego, prawa do audytu i szybkiego zgłaszania incydentów. Odmowa może cię kosztować kontrakt.

Im wcześniej zaczniesz, tym mniej ryzykujesz. Zwłoka nie wynika dziś z braku narzędzi – system działa – lecz z bierności, która sama w sobie staje się ryzykiem.