Poradnik NIS2
Wpis do wykazu podmiotów kluczowych i ważnych
Każdy podmiot kluczowy i ważny musi znaleźć się w wykazie prowadzonym w systemie S46. Dla firm objętych ustawą od 3 kwietnia 2026 r. okno na złożenie wniosku trwało od 7 maja do 3 października 2026 r. Kto go nie złożył, powinien zrobić to teraz.
Stan prawny: październik 2026 · Podstawa: ustawa o krajowym systemie cyberbezpieczeństwa (Dz.U. 2026 poz. 252)
Po co jest wykaz
Wykaz podmiotów kluczowych i podmiotów ważnych służy identyfikacji tych podmiotów, wymianie informacji o incydentach, podatnościach i cyberzagrożeniach oraz prowadzeniu nadzoru (art. 7 ust. 1 ustawy o KSC). Prowadzą go organy właściwe do spraw cyberbezpieczeństwa dla swoich sektorów, a technicznie zapewnia go minister właściwy do spraw informatyzacji w systemie teleinformatycznym, o którym mowa w art. 46 ust. 1, czyli w systemie S46 (art. 7 ust. 4 i 6).
Wpis ma charakter deklaratoryjny (art. 7d ust. 5). Obowiązki z ustawy wynikają więc z samego spełnienia przesłanek, a nie z wpisu. Brak wpisu nie zwalnia z wdrożenia SZBI ani ze zgłaszania incydentów.
Terminy
Podstawowa zasada z art. 7c ust. 1: wniosek o wpis składa się w terminie 6 miesięcy od dnia spełnienia przesłanek uznania za podmiot kluczowy lub ważny. Dla podmiotów, które spełniały je już w dniu wejścia w życie nowelizacji, minister ogłosił harmonogram (art. 33 ust. 3 i art. 34 ust. 3 ustawy nowelizującej). Według Ministerstwa Cyfryzacji wnioski można było składać od 7 maja do 3 października 2026 r.
| Sytuacja | Termin | Podstawa |
|---|---|---|
| Podmiot objęty ustawą od 3.04.2026 | 3.10.2026 (upłynął) | art. 33 ust. 3, art. 34 ust. 3 ustawy nowelizującej |
| Podmiot objęty później, np. po wzroście zatrudnienia | 6 miesięcy od spełnienia przesłanek | art. 7c ust. 1 |
| Zmiana danych we wpisie | 14 dni od zmiany | art. 7c ust. 3 |
| Uzupełnienie danych po wpisie z urzędu | 6 miesięcy od doręczenia wezwania | art. 7b ust. 2 |
Kto jest wpisywany z urzędu
Minister wpisuje do wykazu z urzędu przedsiębiorców telekomunikacyjnych, dostawców usług zaufania, podmioty publiczne i podmioty krytyczne, na podstawie rejestrów publicznych lub danych od organów nadzoru (art. 7a ust. 2). Z urzędu trafili też do wykazu dotychczasowi operatorzy usług kluczowych (art. 34 ust. 2 ustawy nowelizującej). Te podmioty nie składają wniosku o wpis. Dostają zawiadomienie i wezwanie do uzupełnienia brakujących danych w ciągu 6 miesięcy, pod rygorem kary (art. 7b). Uzupełniają je wnioskiem o zmianę wpisu, także w zakresie działalności, której wpis z urzędu nie objął (art. 7b ust. 4).
Jak złożyć wniosek
Logowanie
Wniosek składa się w aplikacji Wykaz KSC pod adresem wykaz-ksc.gov.pl, która jest częścią systemu S46. Logowanie odbywa się przez Węzeł Krajowy, na przykład profilem zaufanym, mObywatelem, e-dowodem, bankowością elektroniczną lub certyfikatem kwalifikowanym.
Formularz
Należy wybrać opcję wpisania nowego podmiotu i podać dane podmiotu, klasyfikację sektorową i dane kontaktowe. Podmiot prowadzący kilka rodzajów działalności wykazuje je odrębnie (art. 7d ust. 2).
Podpis
Wniosek podpisuje kierownik podmiotu lub osoba upoważniona: kwalifikowanym podpisem elektronicznym, podpisem zaufanym, podpisem osobistym albo kwalifikowaną pieczęcią elektroniczną (art. 7c ust. 6). Pełnomocnik dołącza pełnomocnictwo, chyba że jest ujawniony w CEIDG lub jest prokurentem ujawnionym w KRS (art. 7c ust. 7).
Wpis następuje z chwilą złożenia wniosku (art. 7d ust. 1). Na żądanie minister wydaje elektroniczne zaświadczenie o wpisie (art. 7d ust. 6).
Jakie dane trzeba przygotować
Wniosek zawiera dane z art. 7 ust. 2 pkt 1–18. Najwięcej pracy wymagają zwykle:
- sektor, podsektor i rodzaj podmiotu według załącznika nr 1 lub 2,
- NIP, REGON i numer w rejestrze działalności regulowanej, jeśli został nadany,
- zakresy publicznych adresów IP i domeny używane w sposób ciągły,
- dane osób do kontaktu, a dla administratora konta w S46 dodatkowo PESEL lub identyfikator środka identyfikacji elektronicznej,
- deklaracja wielkości przedsiębiorstwa i państwa UE, w których podmiot działa,
- informacja o umowie z dostawcą usług zarządzanych w zakresie cyberbezpieczeństwa, jeśli taka jest.
Wniosek zawiera oświadczenie kierownika podmiotu złożone pod rygorem odpowiedzialności karnej za fałszywe oświadczenie z art. 233 § 6 Kodeksu karnego (art. 7c ust. 5). Odpowiedzialność ta nie obejmuje zakresów adresów IP i nazw domen. Wniosek bez tego oświadczenia albo bez podpisu nie prowadzi do wpisu (art. 7d ust. 3).
Po wpisie
Po uzyskaniu wpisu podmiot rozpoczyna korzystanie z systemu S46 (art. 9 ust. 1 pkt 4). Przez S46 zgłasza się incydenty poważne, więc dostęp i dyżury warto ustalić od razu, a nie dopiero przy pierwszym incydencie. Gdy podmiot przestanie spełniać przesłanki, składa wniosek o wykreślenie z uzasadnieniem (art. 7f ust. 3). Czy ten obszar jest uporządkowany, sprawdza NIS2-Scoring w części o wpisie i zgłoszeniach.
Najczęstsze pytania
Czy brak wpisu oznacza, że ustawa mnie nie dotyczy?
Nie. Wpis ma charakter deklaratoryjny (art. 7d ust. 5 ustawy o KSC). Obowiązki wynikają ze spełnienia przesłanek z art. 5, niezależnie od wpisu.
Co zrobić, jeśli termin 3 października 2026 r. minął?
Złożyć wniosek niezwłocznie w aplikacji Wykaz KSC. Organ może nałożyć karę za niezłożenie wniosku w terminie (art. 73 ust. 1a pkt 1), ale kary można nakładać dopiero od 3 kwietnia 2028 r.
Kto podpisuje wniosek?
Kierownik podmiotu albo osoba przez niego upoważniona, podpisem kwalifikowanym, zaufanym lub osobistym albo kwalifikowaną pieczęcią elektroniczną (art. 7c ust. 6 ustawy o KSC).
Czy przedsiębiorca telekomunikacyjny musi składać wniosek?
Nie. Przedsiębiorcy telekomunikacyjni są wpisywani z urzędu i uzupełniają dane po wezwaniu, w terminie 6 miesięcy od jego doręczenia (art. 7a ust. 2 i art. 7b ustawy o KSC).