3 pa\u017adziernika 2026 r. up\u0142yn\u0105\u0142 termin na z\u0142o\u017cenie wniosku o wpis do wykazu podmiot\u00f3w kluczowych i wa\u017cnych na podstawie znowelizowanej ustawy o krajowym systemie cyberbezpiecze\u0144stwa.<\/p>\n\n
Nie oznacza to jednak ko\u0144ca procesu dostosowania do nowych przepis\u00f3w. Dla podmiot\u00f3w obj\u0119tych ustaw\u0105 najwa\u017cniejszym zadaniem jest obecnie wdro\u017cenie wymaganych rozwi\u0105za\u0144 organizacyjnych i technicznych, w tym systemu zarz\u0105dzania bezpiecze\u0144stwem informacji (SZBI). Dla podmiot\u00f3w obj\u0119tych ustaw\u0105 od dnia jej wej\u015bcia w \u017cycie termin na wdro\u017cenie obowi\u0105zk\u00f3w up\u0142ywa 3 kwietnia 2027 r.<\/p>\n\n
Sp\u00f3\u0142ki, kt\u00f3re nie oceni\u0142y jeszcze, czy ustawa je obejmuje, powinny zrobi\u0107 to teraz. Je\u017celi spe\u0142niaj\u0105 kryteria podmiotu kluczowego lub wa\u017cnego, a nie z\u0142o\u017cy\u0142y wniosku o wpis do wykazu, obowi\u0105zek wpisu nadal pozostaje aktualny i nie nale\u017cy zwleka\u0107 z jego wykonaniem.<\/p>\n\n
<\/p>\n\n
<\/p>\n\n
Nowelizacja ustawy o krajowym systemie cyberbezpiecze\u0144stwa (ustawa o KSC) wdra\u017ca dyrektyw\u0119 NIS2 i znacz\u0105co rozszerza kr\u0105g przedsi\u0119biorc\u00f3w obj\u0119tych regulacj\u0105. Obok energetyki, transportu czy bankowo\u015bci obejmuje m.in. produkcj\u0119 wybranych wyrob\u00f3w, chemikalia, \u017cywno\u015b\u0107, gospodark\u0119 odpadami i us\u0142ugi cyfrowe.<\/p>\n\n
Podmioty kluczowe i wa\u017cne maj\u0105 co do zasady te same obowi\u0105zki w zakresie cyberbezpiecze\u0144stwa. R\u00f3\u017cnice dotycz\u0105 przede wszystkim zakresu nadzoru, audytu oraz wysoko\u015bci kar pieni\u0119\u017cnych.<\/p>\n\n
Pierwszym krokiem dla ka\u017cdej sp\u00f3\u0142ki powinno by\u0107 zatem ustalenie, czy znajduje si\u0119 w zakresie ustawy. Je\u017celi odpowied\u017a jest pozytywna, kolejnym zadaniem jest zaplanowanie i przeprowadzenie procesu dostosowania organizacji do nowych wymaga\u0144.<\/p>\n\n
<\/p>\n\n
<\/p>\n\n
To przedsi\u0119biorca ustala, czy jest podmiotem kluczowym lub wa\u017cnym. Kwalifikacja opiera si\u0119 na trzech elementach:<\/p>\n\n
Sp\u00f3\u0142ka, kt\u00f3ra samodzielnie jest ma\u0142ym lub \u015brednim przedsi\u0119biorstwem, mo\u017ce po uwzgl\u0119dnieniu danych innych podmiot\u00f3w z grupy spe\u0142ni\u0107 kryteria obj\u0119cia ustaw\u0105. Dlatego wynik analizy kwalifikacyjnej warto odpowiednio udokumentowa\u0107, tak\u017ce je\u017celi prowadzi ona do wniosku, \u017ce sp\u00f3\u0142ka nie podlega ustawie.<\/p>\n\n
<\/p>\n\n
<\/p>\n\n
Termin na z\u0142o\u017cenie wniosku w systemie S46 dla podmiot\u00f3w, kt\u00f3re spe\u0142nia\u0142y przes\u0142anki w dniu wej\u015bcia w \u017cycie ustawy, wyznaczy\u0142 harmonogram og\u0142oszony przez Ministra Cyfryzacji. Up\u0142yn\u0105\u0142 on 3 pa\u017adziernika 2026 r.<\/p>\n\n
Up\u0142yw terminu nie powoduje jednak wyga\u015bni\u0119cia obowi\u0105zku wpisu. Sp\u00f3\u0142ka, kt\u00f3ra podlega ustawie, ale nie z\u0142o\u017cy\u0142a jeszcze wniosku, powinna zrobi\u0107 to bez zb\u0119dnej zw\u0142oki.<\/p>\n\n
Kierownik podmiotu sk\u0142ada we wniosku o\u015bwiadczenie o zgodno\u015bci danych z prawd\u0105 pod rygorem odpowiedzialno\u015bci karnej.<\/p>\n\n
Podmioty, kt\u00f3re zaczn\u0105 spe\u0142nia\u0107 przes\u0142anki w p\u00f3\u017aniejszym okresie, np. na skutek wzrostu zatrudnienia lub zmiany skali dzia\u0142alno\u015bci, maj\u0105 na z\u0142o\u017cenie wniosku sze\u015b\u0107 miesi\u0119cy od spe\u0142nienia odpowiednich przes\u0142anek.<\/p>\n\n
<\/p>\n\n
<\/p>\n\n
Sam wpis do wykazu nie oznacza wykonania obowi\u0105zk\u00f3w wynikaj\u0105cych z ustawy. Dla podmiot\u00f3w obj\u0119tych regulacj\u0105 kolejnym, znacznie bardziej z\u0142o\u017conym etapem jest wdro\u017cenie wymaga\u0144 w zakresie cyberbezpiecze\u0144stwa, w tym systemu zarz\u0105dzania bezpiecze\u0144stwem informacji (SZBI).<\/p>\n\n
Dla podmiot\u00f3w podlegaj\u0105cych ustawie od dnia jej wej\u015bcia w \u017cycie termin na wdro\u017cenie tych obowi\u0105zk\u00f3w up\u0142ywa 3 kwietnia 2027 r.<\/p>\n\n
Wdro\u017cenie SZBI mo\u017ce by\u0107 procesem d\u0142ugotrwa\u0142ym i anga\u017cuj\u0105cym wiele obszar\u00f3w organizacji. Nie sprowadza si\u0119 wy\u0142\u0105cznie do przygotowania dokumentacji. Wymaga m.in. uporz\u0105dkowania odpowiedzialno\u015bci wewn\u0105trz organizacji, oceny ryzyka, wdro\u017cenia odpowiednich \u015brodk\u00f3w organizacyjnych i technicznych oraz uwzgl\u0119dnienia cyberbezpiecze\u0144stwa w relacjach z dostawcami ICT.<\/p>\n\n
Dlatego z rozpocz\u0119ciem prac nie warto czeka\u0107 do ostatnich miesi\u0119cy przed 3 kwietnia 2027 r. Dla wielu organizacji proces dostosowania powinien ju\u017c trwa\u0107.<\/p>\n\n
<\/p>\n\n
<\/p>\n\n
The new rules give the head of the entity a significant role. For members of the management board, the key point is to ensure that the organisation identifies and meets the obligations set out in the Act and puts in place the required cybersecurity risk-management measures.<\/p>\n\n
The Act also requires annual training for those serving as the head of the entity.<\/p>\n\n
The rules also allow a financial penalty to be imposed directly on the head of the entity, in addition to any penalty imposed on the entity itself. Sanctions, however, are a consequence of non-compliance. From the management board’s perspective, what matters most now is to organise and document the company’s compliance process properly.<\/p>\n\n
<\/p>\n\n
<\/p>\n\n
Ustawa przewiduje kary pieni\u0119\u017cne za naruszenie okre\u015blonych w niej obowi\u0105zk\u00f3w, m.in. dotycz\u0105cych wpisu do wykazu, bezpiecze\u0144stwa informacji, obs\u0142ugi incydent\u00f3w, szkole\u0144 i audytu.<\/p>\n\n
Podmiotowi kluczowemu grozi kara do 10 mln EUR albo 2% przychod\u00f3w, a podmiotowi wa\u017cnemu do 7 mln EUR albo 1,4% przychod\u00f3w. Kar\u0105 mo\u017ce zosta\u0107 obj\u0119te tak\u017ce niez\u0142o\u017cenie wniosku o wpis do wykazu w terminie. Niezale\u017cnie od kary na\u0142o\u017conej na podmiot organ mo\u017ce r\u00f3wnie\u017c na\u0142o\u017cy\u0107 kar\u0119 pieni\u0119\u017cn\u0105 na kierownika podmiotu.<\/p>\n\n
Termin nak\u0142adania wi\u0119kszo\u015bci kar pieni\u0119\u017cnych zosta\u0142 jednak odroczony do 3 kwietnia 2028 r.<\/p>\n\n
Co szczeg\u00f3lnie istotne, odroczony termin nak\u0142adania kar pieni\u0119\u017cnych nie oznacza odroczenia obowi\u0105zk\u00f3w wynikaj\u0105cych z ustawy. Nie zawiesza r\u00f3wnie\u017c nadzoru. Organy mog\u0105 ju\u017c teraz prowadzi\u0107 kontrole i wydawa\u0107 nakazy.<\/p>\n\n
Dlatego okresu do 3 kwietnia 2028 r. nie nale\u017cy traktowa\u0107 jako dodatkowego czasu na rozpocz\u0119cie dostosowania do ustawy. Dla podmiot\u00f3w obj\u0119tych ustaw\u0105 od dnia jej wej\u015bcia w \u017cycie kluczow\u0105 dat\u0105 jest obecnie 3 kwietnia 2027 r.<\/strong><\/p>\n\n Brak mo\u017cliwo\u015bci nak\u0142adania wi\u0119kszo\u015bci kar pieni\u0119\u017cnych przed 3 kwietnia 2028 r. nie jest wi\u0119c powodem, aby czeka\u0107 z wdro\u017ceniem wymaganych rozwi\u0105za\u0144.<\/p>\n\n <\/p>\n\n <\/p>\n\n Sp\u00f3\u0142ki, kt\u00f3re mog\u0105 znajdowa\u0107 si\u0119 w zakresie ustawy o KSC, powinny przede wszystkim:<\/p>\n\n <\/p>\n\n <\/p>\n\n Zesp\u00f3\u0142 LYNX wspiera sp\u00f3\u0142ki na ka\u017cdym etapie dostosowania do ustawy o KSC: od oceny, czy organizacja podlega nowym regulacjom i wsparcia w procesie wpisu do wykazu, przez przygotowanie i wdro\u017cenie wymaganej dokumentacji oraz SZBI, po przegl\u0105d um\u00f3w z dostawcami ICT i przygotowanie organizacji do audytu.<\/p>\n\n Kontakt: Marcin Kroll<\/a>, Aneta Kiser<\/a>, Rafa\u0142 Wieczerzak<\/a><\/p>\n\n <\/p>\n","protected":false},"excerpt":{"rendered":" 3 pa\u017adziernika 2026 r. up\u0142yn\u0105\u0142 termin na z\u0142o\u017cenie wniosku o wpis do wykazu podmiot\u00f3w kluczowych i wa\u017cnych na podstawie znowelizowanej ustawy o krajowym systemie cyberbezpiecze\u0144stwa. Nie oznacza to jednak ko\u0144ca procesu dostosowania do nowych przepis\u00f3w. Dla podmiot\u00f3w obj\u0119tych ustaw\u0105 najwa\u017cniejszym zadaniem jest obecnie wdro\u017cenie wymaganych rozwi\u0105za\u0144 organizacyjnych i technicznych, w tym systemu zarz\u0105dzania bezpiecze\u0144stwem informacji […]<\/p>\n","protected":false},"author":4,"featured_media":19467,"comment_status":"closed","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"_acf_changed":false,"footnotes":""},"categories":[55],"tags":[],"class_list":["post-19654","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-bez-kategorii"],"acf":[],"_links":{"self":[{"href":"https:\/\/lynx.legal\/pl\/wp-json\/wp\/v2\/posts\/19654","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/lynx.legal\/pl\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/lynx.legal\/pl\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/lynx.legal\/pl\/wp-json\/wp\/v2\/users\/4"}],"replies":[{"embeddable":true,"href":"https:\/\/lynx.legal\/pl\/wp-json\/wp\/v2\/comments?post=19654"}],"version-history":[{"count":1,"href":"https:\/\/lynx.legal\/pl\/wp-json\/wp\/v2\/posts\/19654\/revisions"}],"predecessor-version":[{"id":19655,"href":"https:\/\/lynx.legal\/pl\/wp-json\/wp\/v2\/posts\/19654\/revisions\/19655"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/lynx.legal\/pl\/wp-json\/wp\/v2\/media\/19467"}],"wp:attachment":[{"href":"https:\/\/lynx.legal\/pl\/wp-json\/wp\/v2\/media?parent=19654"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/lynx.legal\/pl\/wp-json\/wp\/v2\/categories?post=19654"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/lynx.legal\/pl\/wp-json\/wp\/v2\/tags?post=19654"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}Co zrobi\u0107 teraz?<\/h2>\n\n
\n
Jak mo\u017cemy pom\u00f3c<\/h2>\n\n