3 października 2026 r. upłynął termin na złożenie wniosku o wpis do wykazu podmiotów kluczowych i ważnych na podstawie znowelizowanej ustawy o krajowym systemie cyberbezpieczeństwa.
Nie oznacza to jednak końca procesu dostosowania do nowych przepisów. Dla podmiotów objętych ustawą najważniejszym zadaniem jest obecnie wdrożenie wymaganych rozwiązań organizacyjnych i technicznych, w tym systemu zarządzania bezpieczeństwem informacji (SZBI). Dla podmiotów objętych ustawą od dnia jej wejścia w życie termin na wdrożenie obowiązków upływa 3 kwietnia 2027 r.
Spółki, które nie oceniły jeszcze, czy ustawa je obejmuje, powinny zrobić to teraz. Jeżeli spełniają kryteria podmiotu kluczowego lub ważnego, a nie złożyły wniosku o wpis do wykazu, obowiązek wpisu nadal pozostaje aktualny i nie należy zwlekać z jego wykonaniem.
Nowe przepisy już obowiązują
Nowelizacja ustawy o krajowym systemie cyberbezpieczeństwa (ustawa o KSC) wdraża dyrektywę NIS2 i znacząco rozszerza krąg przedsiębiorców objętych regulacją. Obok energetyki, transportu czy bankowości obejmuje m.in. produkcję wybranych wyrobów, chemikalia, żywność, gospodarkę odpadami i usługi cyfrowe.
Podmioty kluczowe i ważne mają co do zasady te same obowiązki w zakresie cyberbezpieczeństwa. Różnice dotyczą przede wszystkim zakresu nadzoru, audytu oraz wysokości kar pieniężnych.
Pierwszym krokiem dla każdej spółki powinno być zatem ustalenie, czy znajduje się w zakresie ustawy. Jeżeli odpowiedź jest pozytywna, kolejnym zadaniem jest zaplanowanie i przeprowadzenie procesu dostosowania organizacji do nowych wymagań.
Przedsiębiorca sam ocenia, czy podlega ustawie
To przedsiębiorca ustala, czy jest podmiotem kluczowym lub ważnym. Kwalifikacja opiera się na trzech elementach:
- sektor – decyduje faktycznie prowadzona działalność, a nie kody PKD;
- wielkość – znaczenie mają zatrudnienie, obrót i suma bilansowa, z uwzględnieniem zasad dotyczących grupy kapitałowej;
- wyjątki – w określonych przypadkach ustawa obejmuje podmiot niezależnie od jego wielkości albo przewiduje obniżone progi.
Spółka, która samodzielnie jest małym lub średnim przedsiębiorstwem, może po uwzględnieniu danych innych podmiotów z grupy spełnić kryteria objęcia ustawą. Dlatego wynik analizy kwalifikacyjnej warto odpowiednio udokumentować, także jeżeli prowadzi ona do wniosku, że spółka nie podlega ustawie.
Termin na wpis minął, ale obowiązek pozostał
Termin na złożenie wniosku w systemie S46 dla podmiotów, które spełniały przesłanki w dniu wejścia w życie ustawy, wyznaczył harmonogram ogłoszony przez Ministra Cyfryzacji. Upłynął on 3 października 2026 r.
Upływ terminu nie powoduje jednak wygaśnięcia obowiązku wpisu. Spółka, która podlega ustawie, ale nie złożyła jeszcze wniosku, powinna zrobić to bez zbędnej zwłoki.
Kierownik podmiotu składa we wniosku oświadczenie o zgodności danych z prawdą pod rygorem odpowiedzialności karnej.
Podmioty, które zaczną spełniać przesłanki w późniejszym okresie, np. na skutek wzrostu zatrudnienia lub zmiany skali działalności, mają na złożenie wniosku sześć miesięcy od spełnienia odpowiednich przesłanek.
Najważniejszy kolejny krok: wdrożenie SZBI
Sam wpis do wykazu nie oznacza wykonania obowiązków wynikających z ustawy. Dla podmiotów objętych regulacją kolejnym, znacznie bardziej złożonym etapem jest wdrożenie wymagań w zakresie cyberbezpieczeństwa, w tym systemu zarządzania bezpieczeństwem informacji (SZBI).
Dla podmiotów podlegających ustawie od dnia jej wejścia w życie termin na wdrożenie tych obowiązków upływa 3 kwietnia 2027 r.
Wdrożenie SZBI może być procesem długotrwałym i angażującym wiele obszarów organizacji. Nie sprowadza się wyłącznie do przygotowania dokumentacji. Wymaga m.in. uporządkowania odpowiedzialności wewnątrz organizacji, oceny ryzyka, wdrożenia odpowiednich środków organizacyjnych i technicznych oraz uwzględnienia cyberbezpieczeństwa w relacjach z dostawcami ICT.
Dlatego z rozpoczęciem prac nie warto czekać do ostatnich miesięcy przed 3 kwietnia 2027 r. Dla wielu organizacji proces dostosowania powinien już trwać.
Zarząd odpowiada za organizację procesu
The new rules give the head of the entity a significant role. For members of the management board, the key point is to ensure that the organisation identifies and meets the obligations set out in the Act and puts in place the required cybersecurity risk-management measures.
The Act also requires annual training for those serving as the head of the entity.
The rules also allow a financial penalty to be imposed directly on the head of the entity, in addition to any penalty imposed on the entity itself. Sanctions, however, are a consequence of non-compliance. From the management board’s perspective, what matters most now is to organise and document the company’s compliance process properly.
Odroczony termin nakładania kar pieniężnych nie oznacza odroczenia obowiązków
Ustawa przewiduje kary pieniężne za naruszenie określonych w niej obowiązków, m.in. dotyczących wpisu do wykazu, bezpieczeństwa informacji, obsługi incydentów, szkoleń i audytu.
Podmiotowi kluczowemu grozi kara do 10 mln EUR albo 2% przychodów, a podmiotowi ważnemu do 7 mln EUR albo 1,4% przychodów. Karą może zostać objęte także niezłożenie wniosku o wpis do wykazu w terminie. Niezależnie od kary nałożonej na podmiot organ może również nałożyć karę pieniężną na kierownika podmiotu.
Termin nakładania większości kar pieniężnych został jednak odroczony do 3 kwietnia 2028 r.
Co szczególnie istotne, odroczony termin nakładania kar pieniężnych nie oznacza odroczenia obowiązków wynikających z ustawy. Nie zawiesza również nadzoru. Organy mogą już teraz prowadzić kontrole i wydawać nakazy.
Dlatego okresu do 3 kwietnia 2028 r. nie należy traktować jako dodatkowego czasu na rozpoczęcie dostosowania do ustawy. Dla podmiotów objętych ustawą od dnia jej wejścia w życie kluczową datą jest obecnie 3 kwietnia 2027 r.
Brak możliwości nakładania większości kar pieniężnych przed 3 kwietnia 2028 r. nie jest więc powodem, aby czekać z wdrożeniem wymaganych rozwiązań.
Co zrobić teraz?
Spółki, które mogą znajdować się w zakresie ustawy o KSC, powinny przede wszystkim:
- zweryfikować i udokumentować kwalifikację podmiotu, uwzględniając faktycznie prowadzoną działalność, wielkość przedsiębiorstwa oraz powiązania w grupie;
- złożyć wniosek o wpis w systemie S46, jeżeli spółka spełnia przesłanki objęcia ustawą, a dotychczas tego nie zrobiła;
- zaplanować i przeprowadzić proces wdrożenia SZBI, tak aby wymagania zostały spełnione do 3 kwietnia 2027 r.;
- zweryfikować rozwiązania organizacyjne i techniczne, w tym podział odpowiedzialności, zarządzanie ryzykiem oraz procesy związane z obsługą incydentów;
- przejrzeć umowy oraz relacje z dostawcami ICT pod kątem wymogów dotyczących bezpieczeństwa łańcucha dostaw;
- przeprowadzić wymagane szkolenie członków zarządu i odpowiednio dokumentować działania podejmowane w celu dostosowania organizacji.
Jak możemy pomóc
Zespół LYNX wspiera spółki na każdym etapie dostosowania do ustawy o KSC: od oceny, czy organizacja podlega nowym regulacjom i wsparcia w procesie wpisu do wykazu, przez przygotowanie i wdrożenie wymaganej dokumentacji oraz SZBI, po przegląd umów z dostawcami ICT i przygotowanie organizacji do audytu.
Kontakt: Marcin Kroll, Aneta Kiser, Rafał Wieczerzak