Termin na wpis do Wykazu KSC w systemie S46: czy 3 października dotyczy akurat Twojej firmy?

Rejestracja w Wykazie KSC ruszyła 7 maja 2026 roku. Wielu przedsiębiorców słyszało już o terminie 3 października 2026 - to podstawowy termin dla podmiotów spełniających kryteria ustawowe w dniu wejścia w życie ustawy o KSC. Ale nie jest to termin uniwersalny. Zanim zaczniesz wypełniać formularz, sprawdź który termin dotyczy akurat Twojej firmy.

Czy termin 3 października dotyczy właśnie Twojej firmy?

Nie zawsze. Art. 7c ust. 1 ustawy o KSC przewiduje ogólną zasadę: podmiot kluczowy lub podmiot ważny składa wniosek o wpis do wykazu w terminie 6 miesięcy od dnia spełnienia przesłanek uznania go za taki podmiot. Data 3 października 2026 roku dotyczy firm, które spełniały przesłanki już w dniu wejścia w życie nowelizacji ustawy o KSC (3 kwietnia 2026).

Jeśli Twoja firma zaczęła spełniać przesłanki później - na przykład przez wzrost zatrudnienia lub rozszerzenie działalności - termin 6 miesięcy liczy się od dnia, w którym te przesłanki faktycznie zaczęły być spełnione.

Analogicznie działają terminy na wdrożenie obowiązków merytorycznych. Art. 16 ustawy o KSC przewiduje: podmiot kluczowy lub ważny realizuje obowiązki związane z systemem zarządzania bezpieczeństwem informacji w terminie 12 miesięcy, a podmiot kluczowy dodatkowo zapewnia przeprowadzenie pierwszego audytu w terminie 24 miesięcy - licząc od dnia spełnienia przesłanek. Data 3 kwietnia 2027 (wdrożenie) i 3 kwietnia 2028 (pierwszy audyt) to terminy dla podmiotów które kwalifikowały się już 3 kwietnia 2026. Kto zaczął podlegać ustawie później, liczy swoje terminy indywidualnie.

Czy firma wpisuje się sama, czy zostanie wpisana z urzędu?

Zanim cokolwiek wpiszesz w systemie, ustal jedną rzecz: czy Twoja firma rejestruje się samodzielnie, czy zostanie wpisana z urzędu przez Ministra Cyfryzacji.

Wpis z urzędu dotyczy między innymi przedsiębiorców telekomunikacyjnych, dostawców usług zaufania, podmiotów publicznych i podmiotów krytycznych. Dotychczasowi operatorzy usług kluczowych zostali objęci wpisem z urzędu na podstawie przepisów przejściowych. Jeśli jesteś średniej wielkości firmą produkcyjną, podwykonawcą dla sektora energetycznego albo dostawcą usług cyfrowych - w większości przypadków rejestrujesz się samodzielnie w trybie samorejestracji.

Co musisz mieć gotowe, zanim klikniesz „Wpisz nowy podmiot"

Formularz w S46 logicznie prowadzi przez kolejne sekcje. Problem w tym, że część danych wymaganych do wpisu należy przygotować wcześniej - bo wymagają one decyzji wewnątrz firmy, a nie jedynie wyszukania danych w KRS. Trzy kwestie które najczęściej blokują szybką rejestrację:

• Kto jest „kierownikiem podmiotu" w rozumieniu ustawy. W spółkach z rozbudowaną strukturą zarządu nie zawsze jest to oczywiste. Wniosek składa i podpisuje kierownik albo osoba przez niego upoważniona - w drugim przypadku wymagane jest elektroniczne pełnomocnictwo (wyjątek: prokurenci ujawnieni w KRS i pełnomocnicy ujawnieni w CEIDG). Oświadczenie składane jest pod rygorem odpowiedzialności karnej za złożenie fałszywego oświadczenia z art. 233 § 6 Kodeksu karnego.
• Prawidłowy sektor, podsektor i rodzaj działalności zgodnie z załącznikami do ustawy. Nie sugeruj się ślepo kodami PKD - ustawa patrzy na faktycznie wykonywane operacje i skalę biznesu. Jeśli firma prowadzi kilka rodzajów działalności objętej ustawą, każdą wykazuje się osobno.
• Zakresy publicznych adresów IP i domen internetowych. Wymóg dotyczy wszystkich podmiotów, nie tylko dostawców usług cyfrowych. Zebranie tych danych od działu IT często zajmuje kilka dni - nikt nie ma tej listy gotowej. Warto przygotować je przed rozpoczęciem wypełniania wniosku.

Co się dzieje po złożeniu wniosku

Po podpisaniu i złożeniu wniosku system nadaje mu jeden z dwóch statusów. „Zatwierdzony" oznacza, że wpis do Wykazu KSC został dokonany - to czynność materialno-techniczna o charakterze deklaratoryjnym, więc nie wymaga decyzji administracyjnej ani oczekiwania na potwierdzenie, a Ty dodatkowo otrzymujesz e-mail. „Oczekuje na weryfikację" pojawia się gdy w systemie wystąpi konflikt danych - na przykład gdy NIP lub REGON jest już zarejestrowany: wniosek trafia wtedy do sprawdzenia przez operatora, o czym zostaniesz powiadomiony mailowo.

Po co w ogóle jest ten wpis?

Rejestracja w Wykazie KSC to nie formalność dla samej formalności. Ministerstwo Cyfryzacji opisuje trzy funkcje tego wpisu: identyfikację podmiotów objętych ustawą, prowadzenie nadzoru nad nimi oraz kontakt i wymianę informacji o incydentach, zagrożeniach i podatnościach między podmiotami a CSIRT-ami i właściwymi organami.

Innymi słowy: wpis do wykazu to wejście do kanału komunikacji, przez który zgłaszasz incydenty, otrzymujesz ostrzeżenia o zagrożeniach dotyczących Twojej branży i przez który organ nadzoru się z Tobą kontaktuje. Docelowo to właśnie System S46 Cyber Hub ma być miejscem, w którym zgłaszasz poważne incydenty w wymaganych terminach: wczesne ostrzeżenie do 24 godzin i zgłoszenie do 72 godzin.

Wpis do wykazu nie zastępuje jednak samego obowiązku korzystania z S46 Cyber Hub jako platformy do zgłaszania incydentów. To osobny wymóg, na który ustawa daje 12 miesięcy od dnia spełnienia przesłanek - niezależnie od terminu na sam wpis do Wykazu KSC.