Question 1

Kto musi złożyć wniosek o wpis do wykazu KSC?

Accepted Answer

Firma, która spełnia przesłanki ustawy o krajowym systemie cyberbezpieczeństwa i nie jest wpisywana z urzędu: działa w sektorze z załącznika nr 1 lub 2 i jest co najmniej średnim przedsiębiorcą albo należy do grup objętych bez względu na wielkość lub według niższych progów, np. dostawców usług DNS, rejestrów TLD, usług rejestracji nazw domen czy usług zarządzanych w zakresie cyberbezpieczeństwa (art. 5). Przedsiębiorców telekomunikacyjnych, dostawców usług zaufania, podmioty krytyczne, podmioty publiczne i dotychczasowych operatorów usług kluczowych minister wpisuje z urzędu (art. 7a ust. 2). Stan prawny na 25.09.2026.

Question 2

Do kiedy trzeba złożyć wniosek?

Accepted Answer

Firmy, które spełniały przesłanki 3 kwietnia 2026 r., składają wniosek do 3 października 2026 r. (art. 33 ust. 3 i art. 34 ust. 3 pkt 1 ustawy nowelizującej; komunikat MC, Dz. Urz. MC 2026 poz. 7). Pozostałe mają 6 miesięcy od dnia spełnienia przesłanek (art. 7c ust. 1). 3 października 2026 r. wypada w sobotę — nie zakładaj przesunięcia terminu. Stan prawny na 25.09.2026.

Question 3

Gdzie składa się wniosek i kto go podpisuje?

Accepted Answer

Wniosek składa się elektronicznie w aplikacji „Wykaz KSC” (wykaz-ksc.gov.pl), logując się przez login.gov.pl. Składa go kierownik podmiotu albo osoba przez niego upoważniona, z podpisem kwalifikowanym, zaufanym albo osobistym lub kwalifikowaną pieczęcią elektroniczną (art. 7c ust. 6). Pełnomocnictwo dołączasz, chyba że pełnomocnik jest ujawniony w CEIDG albo prokurent w KRS (art. 7c ust. 7). Wpis następuje z chwilą złożenia wniosku (art. 7d ust. 1).

Question 4

Co grozi za niezłożenie wniosku w terminie?

Accepted Answer

Organ może wpisać firmę do wykazu z urzędu i wezwać ją do uzupełnienia danych w ciągu 6 miesięcy pod rygorem kary (art. 7j ust. 1 i 3). Za niezłożenie wniosku w terminie organ może nałożyć karę, jeżeli przemawia za tym waga i znaczenie naruszenia (art. 73 ust. 1a pkt 1); karze może podlegać też kierownik podmiotu (art. 73a ust. 1 pkt 1). Kary pieniężne mogą być nałożone po raz pierwszy po 3 kwietnia 2028 r. (art. 35 ustawy nowelizującej) — odroczone jest nałożenie kary, a nie sam obowiązek. Stan prawny na 25.09.2026.

Question 5

Moja firma nie podlega ustawie — czy NIS2 mnie dotyczy?

Accepted Answer

Pośrednio tak, jeśli dostarczasz sprzęt, oprogramowanie, usługi IT albo inne produkty, usługi lub procesy ICT firmom objętym ustawą. Twoi klienci muszą zapewnić bezpieczeństwo i ciągłość łańcucha dostaw ICT i uwzględniać podatności związane z dostawcą (art. 8 ust. 1 pkt 2 lit. e i ust. 2 pkt 1–2), więc spodziewaj się ankiet i klauzul w umowach. Organ może też decyzją uznać za podmiot kluczowy lub ważny mniejszą firmę z sektora z załącznika nr 1 lub 2 (art. 7l ust. 1).

Czy Twoja firma musi złożyć wniosek do wykazu KSC?

Test w 6 krokach

Najczęstsze pytania

Źródła i stan prawny

Czytaj dalej