Nowelizacja KSC po pół roku: wpis do wykazu zamknięty, obowiązki od 3 kwietnia 2027 r.

Ustawa z 23 stycznia 2026 r. o zmianie ustawy o krajowym systemie cyberbezpieczeństwa oraz niektórych innych ustaw została ogłoszona 2 marca 2026 r. w Dz.U. 2026 poz. 252. Weszła w życie 3 kwietnia 2026 r., po upływie miesiąca od ogłoszenia (art. 49). Wdraża dyrektywę (UE) 2022/2555 (NIS2) i zastępuje operatorów usług kluczowych i dostawców usług cyfrowych dwiema kategoriami: podmiotami kluczowymi i podmiotami ważnymi.

Prezydent podpisał ustawę 19 lutego 2026 r. i jednocześnie skierował ją do Trybunału Konstytucyjnego w trybie kontroli następczej. Zastrzeżenia dotyczą objęcia ustawą 18 branż, przepisów o dostawcach wysokiego ryzyka i poleceniach zabezpieczających, gwarancji proceduralnych oraz wysokości kar. Kontrola następcza nie wstrzymuje stosowania ustawy; w bazie ELI Sejmu akt ma status obowiązującego.

Wpis do wykazu: termin minął 3 października

Harmonogram ogłosił Minister Cyfryzacji w komunikacie z 8 kwietnia 2026 r. Podmioty, które 3 kwietnia 2026 r. spełniały przesłanki uznania za kluczowe albo ważne, składały wnioski o wpis od 7 maja do 3 października 2026 r. Nie dotyczyło to podmiotów wpisywanych z urzędu, w tym byłych operatorów usług kluczowych; te dostają wezwanie i mają 6 miesięcy od jego doręczenia na uzupełnienie danych.

Wniosek składa się elektronicznie w aplikacji Wykaz KSC, w ramach systemu S46. Kto przekroczy próg później, ma 6 miesięcy od spełnienia przesłanek (art. 7c ust. 1). Każdą zmianę danych zgłasza się w 14 dni (art. 7c ust. 3). Niezłożenie wniosku w terminie jest wprost wymienione wśród podstaw kary pieniężnej.

Co i do kiedy

Kierownik podmiotu odpowiada osobiście

Kierownikiem podmiotu jest kierownik jednostki w rozumieniu ustawy o rachunkowości, czyli w spółce zarząd. Zgodnie z art. 8c odpowiada on za wykonywanie obowiązków z zakresu cyberbezpieczeństwa, także wtedy, gdy powierzył je innej osobie za jej zgodą. Jeśli kierownikiem jest organ wieloosobowy i nie wskazano osoby odpowiedzialnej, odpowiadają wszyscy jego członkowie.

Art. 8d wylicza zadania kierownika: decyzje o systemie zarządzania bezpieczeństwem informacji, planowanie środków finansowych, przydział zadań i nadzór. Art. 8e nakłada coroczne, udokumentowane szkolenie kierownika i osoby, której powierzono jego obowiązki. Kara dla kierownika może sięgnąć 300% wynagrodzenia (art. 73a ust. 4). Kara dla podmiotu kluczowego to do 10 mln euro albo 2% przychodów, według kwoty wyższej; dla podmiotu ważnego do 7 mln euro albo 1,4% przychodów.

Zarząd, który nie wskazał osoby odpowiedzialnej, odpowiada w całości.

Sektor finansowy: DORA przed KSC, ale nie w całości

Art. 8i wyłącza wobec podmiotów kluczowych i ważnych z sektora bankowości i infrastruktury rynków finansowych przepisy o systemie zarządzania bezpieczeństwem informacji i zgłaszaniu poważnych incydentów. Te obszary reguluje rozporządzenie (UE) 2022/2554 (DORA), a właściwym organem w jego rozumieniu jest KNF. Wyłączenie ma jednak wyjątki: m.in. art. 7 do 7m o wykazie stosuje się wprost, a art. 8c do 8f o odpowiedzialności i szkoleniu kierownika odpowiednio.

Druga rzecz to dostawcy wysokiego ryzyka. Decyzja ministra uznająca dostawcę za DWR obejmuje także podmioty finansowe w rozumieniu DORA, z wyłączeniem podmiotów z art. 16 DORA, nawet jeśli nie są kluczowe ani ważne (art. 67b, art. 67k). Takie podmioty nie wprowadzają do użytku objętych decyzją produktów i usług ICT, a dotychczasowe wycofują najpóźniej w 7 lat od ogłoszenia decyzji. Karę za naruszenie nakłada KNF (art. 74 ust. 3). Te przepisy są przedmiotem wniosku Prezydenta do TK.

Co zrobić w tym kwartale

• Potwierdzić, czy podmiot złożył wniosek o wpis albo dostał wezwanie z urzędu, i zarchiwizować dowód; jeśli nie, złożyć wniosek bez zwłoki.
• Ustalić, kto w zarządzie jest osobą odpowiedzialną w rozumieniu art. 8c ust. 2, i zapisać to uchwałą.
• Zaplanować coroczne szkolenie kierownika z art. 8e na 2026 r. i sposób jego dokumentowania.
• W podmiotach finansowych zmapować, które obowiązki KSC zostają mimo DORA, i dopisać je do mapy regulacyjnej.
• Sprawdzić w rejestrze informacji z DORA, które usługi ICT pochodzą od dostawców, wobec których może zapaść decyzja DWR.