Czas czytania: około 8 minut
Jeśli jesteście podmiotem kluczowym albo ważnym w rozumieniu znowelizowanej ustawy o krajowym systemie cyberbezpieczeństwa (KSC), macie czas do 3 października 2026 na wpis do Wykazu KSC. Nikt nie przyśle wam pisma: obowiązuje samoidentyfikacja, czyli sami musicie ustalić, czy podlegacie regulacji, i sami złożyć wniosek. Nowelizacja wdrażająca dyrektywę NIS2 weszła w życie 3 kwietnia 2026, a rejestracja to pierwszy z rozłożonych w czasie terminów. Poniżej pokazujemy w jednym miejscu, kogo to dotyczy, jak wygląda kalendarz do 2028, ile wynoszą kary i jak przygotować zakład krok po kroku. To nie jest porada prawna, tylko praktyczne uporządkowanie tematu z perspektywy firmy produkcyjnej.
Co dokładnie trzeba zrobić do 3 października
Sedno tego terminu jest proste: podmioty kluczowe i ważne muszą złożyć wniosek o wpis do Wykazu KSC, prowadzonego przez ministra właściwego do spraw informatyzacji. Wpis to nie formalność dla urzędu, tylko moment, w którym firma oficjalnie wchodzi do systemu i zaczyna biec dla niej zegar dalszych obowiązków. Część podmiotów, na przykład dotychczasowych operatorów usług kluczowych, minister wpisuje z urzędu. Cała reszta, która spełnia kryteria, ma obowiązek zgłosić się sama, a graniczną datą jest właśnie 3 października 2026. Termin ten jest dziś szeroko sygnalizowany, bo dotyka znacznie szerszej grupy firm niż poprzednia ustawa, w tym wielu producentów, którzy wcześniej nie mieli z KSC nic wspólnego.
Wniosek składa się elektronicznie i wymaga podpisania. To nie jest jednorazowe odhaczenie: po wpisie firma musi wyznaczyć osobę do kontaktu, podłączyć się do systemu S46, przez który raportuje incydenty, i wdrożyć środki bezpieczeństwa opisane w ustawie. Rejestracja jest więc bramą, a nie metą.
Kogo dotyczy NIS2: podmiot kluczowy czy ważny
O tym, czy firma jest objęta regulacją, decydują dwie rzeczy naraz: sektor działalności i wielkość przedsiębiorstwa. Ustawa wskazuje sektory w załącznikach, dzieląc je na sektory wysokiej krytyczności (energia, transport, bankowość, infrastruktura cyfrowa, ochrona zdrowia, woda i podobne) oraz pozostałe sektory krytyczne, do których należy między innymi produkcja, na przykład wyrobów medycznych, elektroniki, maszyn i pojazdów.
Do tego dochodzi próg wielkości oparty na definicji unijnej. W uproszczeniu: podmiot kluczowy to duże przedsiębiorstwo (od 250 pracowników albo z obrotem powyżej 50 mln euro) działające w sektorze wysokiej krytyczności. Podmiot ważny to przedsiębiorstwo średnie (od 50 do 249 pracowników albo obrót od 10 do 50 mln euro), a także duże firmy w sektorach z drugiego załącznika, takich jak produkcja. Mikro i małe firmy, poniżej 50 osób i poniżej 10 mln euro obrotu, co do zasady zostają poza systemem, choć od tej reguły są wyjątki. W praktyce większość średnich i dużych producentów trafia do kategorii podmiotów ważnych, a część, która działa też w sektorze wysokiej krytyczności, do kluczowych. Obowiązki bezpieczeństwa z artykułu regulującego zarządzanie ryzykiem są dla obu kategorii takie same; różnica leży głównie w intensywności nadzoru i w tym, że pierwszy obowiązkowy audyt dotyczy podmiotów kluczowych.
Tabela decyzyjna: czy jesteś objęty i co z tego wynika
Najprościej ustalić swoją sytuację, zestawiając sektor i wielkość firmy z wynikającą z nich kategorią i działaniem.
| Sytuacja firmy | Kategoria | Co zrobić |
|---|---|---|
| Duża firma w sektorze wysokiej krytyczności (np. energia, infrastruktura cyfrowa) | Podmiot kluczowy | Wpis do 3.10.2026, przygotowanie do audytu do 3.04.2028 |
| Producent (maszyny, elektronika, wyroby medyczne, motoryzacja), średni lub duży | Podmiot ważny | Wpis do 3.10.2026, wdrożenie obowiązków do 3.04.2027 |
| Mikro lub mała firma (poniżej 50 osób i poniżej 10 mln euro obrotu) | Zwykle poza systemem | Sprawdzić wyjątki (np. status jedynego dostawcy) i udokumentować ustalenie |
| Dostawca ICT lub usług cyfrowych dla podmiotu objętego | Zależne od profilu, często ważny | Zweryfikować status, bo wejście może nastąpić przez łańcuch dostaw |
| Brak pewności co do sektora lub progu wielkości | Do ustalenia | Przeprowadzić samoidentyfikację i zachować dokumentację decyzji |
Wzorzec jest czytelny: samo słowo „produkcja” nie przesądza kategorii, przesądza połączenie sektora z załącznika i progu wielkości. Jeśli w którymkolwiek wierszu rozpoznajecie swoją firmę powyżej progu, rejestracja was dotyczy.
Pełny kalendarz terminów do 2028
Rejestracja to pierwszy próg, ale nie jedyny. Żeby nie potraktować 3 października jako końca tematu, warto zobaczyć całą oś czasu, którą porządkuje Ministerstwo Cyfryzacji.
| Data | Co się dzieje |
|---|---|
| 3 kwietnia 2026 | Wejście w życie nowelizacji ustawy o KSC wdrażającej NIS2 |
| 3 października 2026 | Termin na wpis do Wykazu KSC dla podmiotów kluczowych i ważnych |
| 3 kwietnia 2027 | Podłączenie do systemu S46 i wdrożenie obowiązków bezpieczeństwa |
| 3 kwietnia 2028 | Pierwszy obowiązkowy audyt cyberbezpieczeństwa (podmioty kluczowe) |
Kalendarz mówi jedno: rejestracja jest blisko, a właściwa praca zaczyna się zaraz po niej. Wdrożenie obowiązków do kwietnia 2027 brzmi jak odległa perspektywa, dopóki nie policzycie, ile trwa inwentaryzacja systemów, uporządkowanie dostawców i wybór narzędzi, których nie da się wymienić z dnia na dzień.
Wdrożenie NIS2 układa się w sekwencję: rejestracja w 2026, obowiązki w 2027, pierwszy audyt w 2028.
Samoidentyfikacja: nikt nie przyśle pisma
To najczęściej mylona część nowego systemu. W poprzednim modelu firma czekała, aż organ uzna ją za operatora usługi kluczowej i wyda decyzję. Teraz jest odwrotnie: ciężar ustalenia statusu leży po stronie przedsiębiorstwa. Jak podkreśla analiza serwisu prawo.pl, każda firma korzystająca z rozwiązań cyfrowych musi sama zbadać, czy spełnia kryteria podmiotu kluczowego lub ważnego, a wniosek składa się pod rygorem odpowiedzialności za fałszywe oświadczenie.
Praktyczny wniosek jest taki, że brak pisma z urzędu nie oznacza braku obowiązku. Firma, która założy „skoro nikt się nie odezwał, to nas nie dotyczy”, może obudzić się po terminie, formalnie w zwłoce. Dlatego samoidentyfikację warto przeprowadzić jako świadomy, udokumentowany proces: ustalić sektor, policzyć próg wielkości, zapisać wynik i uzasadnienie. Ta dokumentacja przyda się podwójnie, bo jest też pierwszym elementem, o który zapyta audytor.
Kary, czyli dlaczego to nie jest opcjonalne
Skala sankcji tłumaczy, dlaczego rejestracji nie warto odkładać. Dla podmiotu kluczowego kara administracyjna może sięgnąć 10 mln euro albo 2% rocznego obrotu, w zależności od tego, która kwota jest wyższa. Dla podmiotu ważnego pułap to 7 mln euro albo 1,4% obrotu. Do tego dochodzi odpowiedzialność osobista: wobec kierownika podmiotu ustawa przewiduje karę pieniężną nawet do 300% jego rocznego wynagrodzenia za rażące zaniedbania. To przenosi temat z działu IT na poziom zarządu, bo ryzyko przestaje być abstrakcyjne.
Warto pamiętać, że kara jest górnym pułapem, a nie automatem. Organ nadzoru bierze pod uwagę wagę naruszenia i to, czy firma działała w dobrej wierze. Udokumentowane przygotowanie, nawet jeśli niedoskonałe, działa na waszą korzyść. To kolejny argument, żeby samoidentyfikację i rejestrację potraktować jako ślad na papierze, a nie ustną decyzję, o której nikt nie pamięta pół roku później.
Jak przygotować zakład krok po kroku
Rejestracja to punkt na dłuższej ścieżce. Poniżej praktyczna kolejność działań, która pozwala wejść w termin bez pośpiechu.
- Ustalcie status. Sprawdźcie sektor w załącznikach i policzcie próg wielkości. Zapiszcie wynik razem z uzasadnieniem, to jest wasza samoidentyfikacja.
- Złóżcie wniosek do 3 października 2026. Wyznaczcie osobę do kontaktu i przygotujcie podpis elektroniczny, bo bez niego wniosku nie da się skutecznie złożyć.
- Zinwentaryzujcie dane i systemy. Gdzie trafiają wasze wrażliwe dokumenty, łącznie z narzędziami AI używanymi nieformalnie przez zespoły. Bez tej mapy nie da się ocenić ryzyka.
- Przejrzyjcie łańcuch dostaw. Dostawcy, w tym dostawcy AI i chmury, stają się częścią waszej powierzchni ryzyka. Musicie umieć wskazać, gdzie i jak przetwarzają wasze dane.
- Zaplanujcie wdrożenie do 3 kwietnia 2027. Podłączenie do S46, procedury zgłaszania incydentów i środki techniczne to praca na miesiące, nie na tydzień przed terminem.
Dobra wiadomość jest taka, że większość z tych kroków to porządkowanie, a nie przebudowa firmy. Najgorszy scenariusz to zostawienie wyboru technologii, zwłaszcza narzędzi AI pracujących na wrażliwych danych, na ostatni kwartał przed audytem. Jeśli chcecie sprawdzić swoją gotowość bez zobowiązań, nasz mini-audyt gotowości zajmuje 10 minut i nie wymaga zostawiania danych. Szerszy obraz tego, co NIS2 znaczy dla wdrożenia AI, rozkładamy w przewodniku NIS2 a AI: co obowiązuje i jak się przygotować.
Gdzie w tym wszystkim jest AI
Dla producenta rejestracja NIS2 i wdrożenie AI to nie dwa osobne tematy, tylko ten sam krajobraz. Obowiązki bezpieczeństwa wymagają, żebyście wiedzieli, gdzie są wasze dane i kto ma do nich dostęp, a coraz więcej pracy z dokumentami przenosi się właśnie do narzędzi AI. Jeśli takie narzędzie wysyła rysunki i dokumentację do publicznej chmury bez kontroli nad tym, gdzie trafiają, staje się problemem na audycie, a nie pomocą. Rozłożyliśmy to w tekstach o tym, dlaczego publiczna AI nie przejdzie waszego audytu oraz kiedy prywatna AI wygrywa z publiczną. Rejestracja jest dobrym momentem, żeby te dwie sprawy połączyć, zamiast prowadzić je osobno.
Najczęstsze pytania
Do kiedy trzeba się zarejestrować w ramach NIS2?
Podmioty kluczowe i ważne mają czas na wpis do Wykazu KSC do 3 października 2026. Część podmiotów minister wpisuje z urzędu, ale reszta, która spełnia kryteria, musi złożyć wniosek sama.
Skąd mam wiedzieć, czy moja firma podlega NIS2?
Obowiązuje samoidentyfikacja. Trzeba sprawdzić, czy działacie w jednym z sektorów wskazanych w ustawie, i czy przekraczacie próg wielkości: średnie przedsiębiorstwo to zwykle podmiot ważny, duże w sektorze wysokiej krytyczności to podmiot kluczowy.
Czym różni się podmiot kluczowy od ważnego?
Obowiązki bezpieczeństwa w zakresie zarządzania ryzykiem są dla obu takie same. Różnica leży w intensywności nadzoru, wysokości maksymalnych kar i tym, że pierwszy obowiązkowy audyt dotyczy podmiotów kluczowych.
Jakie kary grożą za brak rejestracji lub zaniedbania?
Dla podmiotu kluczowego do 10 mln euro albo 2% rocznego obrotu, dla ważnego do 7 mln euro albo 1,4% obrotu. Wobec kierownika podmiotu ustawa przewiduje dodatkowo karę osobistą do 300% rocznego wynagrodzenia.
Co jeśli nie zdążymy do 3 października?
Obowiązek wpisu nie znika po terminie, a firma formalnie znajduje się w zwłoce, co zwiększa ryzyko sankcji. Lepiej złożyć wniosek z opóźnieniem i udokumentować podjęte działania niż nie zrobić nic. W razie wątpliwości warto skonsultować się z prawnikiem lub doradcą do spraw zgodności.
To nie jest porada prawna. Zakres obowiązków zależy od profilu organizacji, w razie wątpliwości skonsultujcie się z prawnikiem lub doradcą do spraw zgodności.