Organizacje zobowiązane do samodzielnego zgłoszenia się do Wykazu podmiotów kluczowych i podmiotów ważnych (Wykaz KSC) mają czas tylko do 3 października 2026 roku. To finałowy moment dla firm i instytucji, które spełniały warunki uznania za podmiot kluczowy lub ważny już 3 kwietnia 2026 roku – czyli w dniu, gdy zaczęła obowiązywać nowelizacja ustawy o krajowym systemie cyberbezpieczeństwa (UKSC).
Kogo dotyczy obowiązek samorejestracji?
Nowe przepisy rozszerzyły katalog sektorów i rodzajów działalności objętych regulacjami. Każda organizacja powinna więc zweryfikować, czy nie znalazła się w grupie podmiotów zobowiązanych. Kluczowym krokiem jest samoidentyfikacja – analiza własnego profilu działalności. Należy wziąć pod uwagę m.in.: sektor, w którym działa podmiot, charakter świadczonych usług, wielkość organizacji oraz dodatkowe kryteria zapisane w UKSC.
Jeśli z przeprowadzonej oceny wynika, że dana firma lub instytucja kwalifikuje się jako podmiot kluczowy bądź ważny i nie jest wpisywana do Wykazu KSC z urzędu, musi złożyć elektroniczny wniosek o wpis. Termin mija 3 października 2026 r.
Kto nie musi składać wniosku?
Nie wszystkie podmioty przechodzą procedurę samorejestracji. Część z nich trafia do Wykazu KSC automatycznie – z urzędu. Dotyczy to:
- podmiotów publicznych,
- przedsiębiorców telekomunikacyjnych,
- dostawców usług zaufania,
- dotychczasowych operatorów usług kluczowych.
Te organizacje nie składają wniosku, ale po otrzymaniu wezwania muszą uzupełnić wymagane dane.
Jak przebiega samorejestracja?
Wniosek składa się wyłącznie drogą elektroniczną, przez aplikację Wykaz KSC. Może to zrobić kierownik podmiotu lub upoważniona przez niego osoba. W razie wątpliwości, czy organizacja podlega UKSC, Ministerstwo Cyfryzacji udostępniło materiały pomocnicze dotyczące samoidentyfikacji i samorejestracji.
Co po wpisie do Wykazu KSC?
Rejestracja to dopiero początek nowych obowiązków. Podmioty kluczowe i ważne muszą przygotować się do wdrożenia m.in. zarządzania ryzykiem, zabezpieczenia systemów informacyjnych oraz obsługi i zgłaszania incydentów. Dla podmiotów, które spełniały kryteria już w dniu wejścia w życie nowelizacji, termin na wdrożenie tych wymogów upływa 3 kwietnia 2027 roku.
Ministerstwo Cyfryzacji przygotowało również film instruktażowy pokazujący, jak uzupełnić dane po wpisie z urzędu i otrzymaniu wezwania z kodem. Informacje w nim zawarte są przydatne także dla podmiotów objętych samorejestracją, ponieważ zakres wymaganych danych jest identyczny. Podmioty zagraniczne mogą logować się do Wykazu za pomocą eID.
„Wpis do Wykazu KSC to jeden z pierwszych kroków związanych z nowymi przepisami” – przypomina Ministerstwo Cyfryzacji.
Szczegółowe informacje, w tym linki do aplikacji Wykaz KSC, materiałów o samoidentyfikacji oraz FAQ, znajdują się na stronach gov.pl i cyber.gov.pl.
Źródło: Ministerstwo Cyfryzacji
Fot. gov.pl
