Wpisano Cię do Wykazu KSC bez Twojej wiedzy? Sprawdź, co musisz teraz zrobić i ile masz czasu

• Wpisy z urzędu wyprzedziły uruchomienie samorejestracji
• Które podmioty zostały wpisane z urzędu?
• Kto wysyła pisma i do kiedy zakończy się ich wysyłka?
• Sześć miesięcy na uzupełnienie – od doręczenia, nie od wejścia ustawy w życie
• Co zrobić po otrzymaniu zawiadomienia i wezwania?

Wpisy z urzędu wyprzedziły uruchomienie samorejestracji

Jak pisaliśmy przy okazji startu samorejestracji w Wykazie KSC, który ruszył 7 maja 2026 r., istnieją dwa odrębne tryby wpisu do Wykazu podmiotów kluczowych i podmiotów ważnych. Tryb samorejestracji jest przeznaczony dla podmiotów, które samodzielnie identyfikują się jako objęte regulacjami ustawy o krajowym systemie cyberbezpieczeństwa (KSC). Wpis z urzędu natomiast dotyczy określonych kategorii podmiotów, które państwo wpisuje do wykazu samodzielnie – bez konieczności składania wniosku przez samą organizację.

Jeszcze przed uruchomieniem samorejestracji, a więc przed 7 maja 2026 r., Minister Cyfryzacji dokonał wpisów z urzędu w odniesieniu do podmiotów wcześniej już zidentyfikowanych. Teraz – od 11 maja – wystartował kolejny etap tego procesu: wysyłka zawiadomień o wpisie wraz z wezwaniami do uzupełnienia brakujących danych.

Które podmioty zostały wpisane z urzędu?

Wpisy z urzędu dokonane przed 7 maja 2026 r. objęły cztery kategorie podmiotów: przedsiębiorców telekomunikacyjnych, dostawców usług zaufania, podmioty publiczne oraz dotychczasowych operatorów usług kluczowych, czyli organizacje posiadające ten status jeszcze przed wejściem w życie nowelizacji ustawy o KSC implementującej dyrektywę NIS2.

Ministerstwo Cyfryzacji informuje jednocześnie, że trwa identyfikacja pozostałych podmiotów sektora publicznego. W szczególności wpisy z urzędu oraz wysyłka zawiadomień i wezwań dotyczących samorządowych instytucji kultury mają być realizowane w kolejnych tygodniach.

Kto wysyła pisma i do kiedy zakończy się ich wysyłka?

Wysyłkę zawiadomień i wezwań prowadzi NASK-PIB, któremu Minister Cyfryzacji powierzył realizację zadań związanych z prowadzeniem Systemu S46 i Wykazu KSC. Proces wysyłki jest realizowany sukcesywnie – Ministerstwo planuje jego zakończenie do końca maja 2026 r. Oznacza to, że podmioty wpisane z urzędu mogą otrzymywać pisma w różnych dniach, a bieg 6-miesięcznego terminu na uzupełnienie danych będzie się różnił w zależności od daty doręczenia wezwania do konkretnej organizacji.

Sześć miesięcy na uzupełnienie – od doręczenia, nie od wejścia ustawy w życie

To kluczowa kwestia praktyczna: termin na uzupełnienie danych w wykazie wynosi 6 miesięcy od dnia doręczenia wezwania. Ministerstwo Cyfryzacji wyraźnie podkreśla, że termin ten nie jest liczony od dnia wejścia w życie ustawy ani od dnia samego wpisu do wykazu – liczy się wyłącznie data doręczenia wezwania do konkretnego podmiotu. Ma to istotne znaczenie dla organizacji, które otrzymają pismo później niż inne, ponieważ ich termin będzie odpowiednio przesunięty.

Ministerstwo zaleca przy tym, aby nie odkładać uzupełnienia danych na ostatnią chwilę i wykonać ten obowiązek z odpowiednim wyprzedzeniem przed upływem ustawowego terminu.

Co zrobić po otrzymaniu zawiadomienia i wezwania?

Podmioty, do których trafi zawiadomienie o wpisie z urzędu wraz z wezwaniem, powinny przede wszystkim dokładnie zapoznać się z jego treścią. Pismo zawiera niezbędne informacje do dalszego działania – w tym odpowiedni link oraz kod dostępu do systemu, umożliwiający uzupełnienie wpisu. Uzupełnienia dokonuje się za pośrednictwem platformy wykaz-ksc.gov.pl, w ramach której działa Wykaz KSC jako element Systemu S46. Dane zawarte w wykazie służą m.in. nawiązaniu współpracy z zespołami CSIRT i innymi organami cyberbezpieczeństwa oraz są podstawą do wypełnienia obowiązku zgłaszania incydentów.

Źródło: Ministerstwo Cyfryzacji