Nowelizacja ustawy o krajowym systemie cyberbezpieczeństwa, wdrażająca dyrektywę NIS2 do polskiego porządku prawnego, weszła w życie 3 kwietnia 2026 r. Od 7 maja 2026 r. podmioty kluczowe i podmioty ważne mogą samodzielnie dokonywać wpisu do Wykazu KSC, a termin na złożenie wniosku dla podmiotów spełniających przesłanki podlegania w dniu wejścia ustawy w życie upływa 3 października 2026 r.
W praktyce wpis do Wykazu KSC nie powinien być traktowany jako szybka formalność do „wyklikania” w systemie. Wniosek składany w aplikacji S46 to uporządkowany zbiór informacji, które trzeba wcześniej zebrać, zweryfikować i przypisać do właściwych kategorii. Część z nich wynika bezpośrednio z przeprowadzonej kwalifikacji podmiotu, część wymaga współpracy z działem IT, zarządem, działem prawnym, compliance albo dostawcami usług ICT.
Dlatego przed rozpoczęciem pracy w systemie warto wiedzieć, jakie dane będą potrzebne, kto powinien podpisać wniosek, jakie osoby należy wskazać do kontaktu i gdzie najczęściej pojawiają się błędy.
Wpis do Wykazu KSC — od czego zacząć?
Wykaz KSC jest prowadzony w Systemie S46, ale jako osobna aplikacja webowa dostępna pod adresem wykaz-ksc.gov.pl. Wnioski o wpis, zmianę wpisu i wykreślenie podmiotu z wykazu składa się elektronicznie.
To oznacza, że przed rozpoczęciem pracy w systemie warto przygotować komplet danych. W przeciwnym razie proces może utknąć na etapie pozyskiwania informacji od różnych osób w organizacji albo — co gorsza — zakończyć się złożeniem wniosku zawierającego niepełne lub niespójne dane.
Najlepszym punktem wyjścia jest analiza podlegania pod ustawę. To właśnie z niej powinny wynikać najważniejsze informacje potrzebne do wypełnienia wniosku: sektor, podsektor, rodzaj działalności, wielkość podmiotu oraz podstawa kwalifikacji jako podmiot kluczowy albo podmiot ważny.
Bez wcześniejszej, udokumentowanej kwalifikacji łatwo o błąd w formularzu. A błąd na tym etapie może przełożyć się bezpośrednio na ocenę zakresu obowiązków organizacji.
Krok 1. Ustal, jakie dane trzeba wpisać do wniosku
Wniosek o wpis do Wykazu KSC obejmuje kilka grup informacji. Należy przygotować przede wszystkim:
- nazwę podmiotu,
- sektor, podsektor i rodzaj działalności,
- adresy, w tym adres do doręczeń elektronicznych,
- numery identyfikacyjne, takie jak NIP, REGON oraz — jeżeli dotyczy — numer w rejestrze działalności regulowanej,
- deklarację wielkości podmiotu,
- zakresy publicznych adresów IP i domen,
- dane osób kontaktowych,
- dane administratora konta w S46,
- dane przedstawiciela, jeżeli jest wymagany,
- dane dostawcy usług zarządzanych w zakresie cyberbezpieczeństwa, jeżeli organizacja korzysta z takiego outsourcingu.
Szczególnej uwagi wymaga ostatni element. Jeżeli podmiot korzysta z dostawcy usług zarządzanych w zakresie cyberbezpieczeństwa, jego dane należy wskazać w formularzu. W praktyce oznacza to konieczność wcześniejszej weryfikacji umowy z dostawcą — przede wszystkim tego, jakie usługi zostały zakontraktowane i czy rzeczywiście mieszczą się w zakresie wymagającym ujawnienia we wniosku.
To dobry moment, aby nie ograniczać się do nazwy kontrahenta. Warto sprawdzić zakres usługi, model odpowiedzialności, zapisy dotyczące obsługi incydentów, monitoringu, SOC, reagowania na podatności i raportowania.
Krok 2. Ustal, kto podpisuje wniosek — zarząd czy pełnomocnik
Jedną z pierwszych decyzji organizacyjnych jest ustalenie, kto będzie podpisywał wniosek. Może to być:
- reprezentant albo reprezentanci podmiotu, zgodnie z zasadami reprezentacji wynikającymi z KRS,
- osoba upoważniona, czyli pełnomocnik.
Jeżeli wniosek ma zostać podpisany przez członków zarządu, należy wcześniej zweryfikować aktualne zasady reprezentacji. W przypadku reprezentacji łącznej konieczne może być zapewnienie podpisów kilku osób. Jeżeli natomiast organizacja działa przez pełnomocnika, trzeba przygotować pełnomocnictwo w odpowiedniej postaci elektronicznej.
Pełnomocnictwo powinno być opatrzone kwalifikowanym podpisem elektronicznym, podpisem zaufanym, podpisem osobistym albo kwalifikowaną pieczęcią elektroniczną. Co do zasady od pełnomocnictwa należna jest również opłata skarbowa w wysokości 17 zł, choć sam system nie gromadzi dowodu jej uiszczenia.
Nie należy zostawiać tej kwestii na koniec. Do czasu podpisania wniosek pozostaje szkicem, a wniosek bez prawidłowego podpisu nie skutkuje wpisem do wykazu.
Krok 3. Wskaż właściwe osoby kontaktowe
System wymaga wskazania osób do kontaktu z podmiotami krajowego systemu cyberbezpieczeństwa. Co do zasady należy wskazać co najmniej dwie osoby. Jedna osoba wystarczy w określonych przypadkach, m.in. gdy podmiot jest mikroprzedsiębiorcą, małym przedsiębiorcą albo podmiotem ważnym będącym podmiotem publicznym.
Dla każdej osoby kontaktowej należy podać:
- imię i nazwisko,
- służbowy numer telefonu,
- służbowy adres poczty elektronicznej.
Brak drugiej osoby kontaktowej należy do najczęstszych braków formalnych. Nie chodzi jednak wyłącznie o liczbę osób. Ważne jest także to, kto zostanie wskazany.
Kontakt z podmiotami KSC może dotyczyć incydentów, cyberzagrożeń, podatności i działań wymagających szybkiej reakcji. Dlatego osoby wskazane we wniosku powinny rozumieć tę problematykę, mieć dostęp do właściwych informacji w organizacji i wiedzieć, jaką rolę pełnią.
W praktyce nie zawsze będą to wyłącznie osoby z działu IT. Czasem właściwy model wymaga połączenia kompetencji technicznych, prawnych i organizacyjnych. Najważniejsze jest to, aby wskazane osoby nie były przypadkowe.
Krok 4. Wyznacz administratora konta w S46
Osobną rolą jest administrator konta podmiotu w systemie S46. To osoba, która po wpisie będzie zarządzać kontem, danymi oraz dostępami.
W tym przypadku system wymaga szerszego zakresu danych niż przy osobach kontaktowych. Poza imieniem, nazwiskiem i danymi służbowymi konieczne jest podanie numeru PESEL albo niepowtarzalnego identyfikatora środka identyfikacji elektronicznej.
To z pozoru techniczny element formularza, ale wymaga ostrożności. Numer PESEL jest daną osobową, której nie należy pozyskiwać i przesyłać w sposób przypadkowy. W szczególności nie powinien być przekazywany w niezaszyfrowanym załączniku ani zwykłą wiadomością e-mail.
Warto również sprawdzić poprawność numeru PESEL albo identyfikatora eID przed wpisaniem danych do systemu. Błąd w tym zakresie może utrudnić albo uniemożliwić prawidłowe założenie i obsługę konta.
Krok 5. Pozyskaj dane techniczne od działu IT
Jedną z sekcji wniosku jest specyfikacja sieci. Zwykle wymaga ona danych, których nie da się rzetelnie uzupełnić bez udziału działu IT albo dostawcy odpowiedzialnego za infrastrukturę.
Należy przygotować przede wszystkim:
- zakresy publicznych adresów IP, zarówno IPv4, jak i IPv6,
- domeny wykorzystywane przez podmiot w sposób ciągły.
Te dane najlepiej pozyskać bezpośrednio od osób odpowiedzialnych za infrastrukturę, sieć, hosting, utrzymanie systemów albo bezpieczeństwo IT. W organizacjach korzystających z outsourcingu konieczne może być zaangażowanie zewnętrznego dostawcy.
Choć odpowiedzialność karna za oświadczenie o zgodności danych z prawdą nie obejmuje zakresów adresów IP ani nazw domenowych, nie oznacza to, że można potraktować tę sekcję pobieżnie. Dane powinny być zebrane rzetelnie i odpowiadać rzeczywistemu wykorzystaniu infrastruktury przez podmiot.
Warto pamiętać, że adresy IP i domeny są danymi zmiennymi. Dlatego organizacja powinna nie tylko zebrać je na potrzeby pierwszego wpisu, ale również ustalić, kto będzie odpowiadał za ich aktualizację w przyszłości.
Krok 6. Zweryfikuj treść wniosku przed podpisem
Wniosek kończy się oświadczeniem osoby reprezentującej podmiot o zgodności danych z prawdą, składanym pod rygorem odpowiedzialności karnej. Dopuszczalną formą podpisu jest m.in. kwalifikowany podpis elektroniczny, podpis zaufany, podpis osobisty albo kwalifikowana pieczęć elektroniczna.
To nie jest wyłącznie techniczny podpis pod formularzem. Oświadczenie ma charakter osobisty i powinno być poprzedzone realnym zapoznaniem się z treścią wniosku.
Jeżeli wniosek przygotowuje pełnomocnik, zarząd powinien otrzymać pełną treść zgłoszenia przed podpisem. Osoby kierujące podmiotem muszą wiedzieć, jakie dane są składane, na jakiej podstawie ustalono status organizacji oraz jakie informacje wskazano w zakresie sektora, wielkości, osób kontaktowych, dostawców usług i infrastruktury.
To także dobry moment, aby przypomnieć, że zgodność z NIS2 i uKSC nie jest wyłącznie sprawą działu IT. Nowe obowiązki dotyczą zarządzania organizacją, odpowiedzialności kierownictwa, procesów bezpieczeństwa, dokumentacji i reagowania na incydenty.
Co dzieje się po złożeniu wniosku?
Po złożeniu wniosku wpis następuje co do zasady automatycznie, a podmiot może samodzielnie pobrać zaświadczenie w systemie. Sam wpis do Wykazu KSC jest jednak dopiero jednym z etapów dostosowania organizacji do nowych obowiązków.
Podmioty kluczowe i ważne mają również obowiązki związane m.in. z przygotowaniem i wdrożeniem systemu zarządzania bezpieczeństwem informacji, zgłaszaniem i obsługą incydentów, wyznaczeniem osób odpowiedzialnych za kontakt z podmiotami KSC oraz wdrożeniem odpowiednich środków organizacyjnych i technicznych. Ministerstwo Cyfryzacji wskazuje 3 kwietnia 2027 r. jako termin wdrożenia obowiązków wynikających z nowych przepisów oraz podłączenia do systemu S46.
Co istotne, zwlekanie z wpisem nie daje organizacji więcej czasu na zapewnienie zgodności. Terminy realizacji obowiązków biegną od dnia spełnienia przesłanek, a nie od dnia faktycznego złożenia wniosku.
Najczęstsze błędy przy wpisie do Wykazu KSC
W praktyce problemy przy wpisie do Wykazu KSC najczęściej wynikają nie z samego systemu, ale z braku wcześniejszego przygotowania. Do typowych błędów należą:
- rozpoczęcie wypełniania wniosku bez wcześniejszej analizy podlegania pod ustawę,
- błędne wskazanie sektora, podsektora albo rodzaju działalności,
- nieprawidłowe ustalenie wielkości podmiotu,
- pominięcie danych dostawcy usług zarządzanych w zakresie cyberbezpieczeństwa,
- brak weryfikacji zasad reprezentacji,
- nieprzygotowanie pełnomocnictwa w odpowiedniej formie,
- wskazanie tylko jednej osoby kontaktowej mimo obowiązku wskazania dwóch,
- wyznaczenie osób kontaktowych bez świadomości ich roli,
- nieostrożne pozyskiwanie numeru PESEL administratora konta,
- brak danych technicznych od działu IT,
- podpisanie wniosku bez pełnej weryfikacji jego treści przez zarząd.
Każdy z tych błędów można ograniczyć, jeżeli proces wpisu zostanie potraktowany jako projekt organizacyjny, a nie jako jednorazowe wypełnienie formularza.
Jak przygotować się do wpisu?
Przed wejściem do systemu warto przejść przez krótką listę kontrolną:
- Czy mamy udokumentowaną analizę podlegania pod uKSC?
- Czy ustaliliśmy sektor, podsektor i rodzaj działalności?
- Czy prawidłowo określiliśmy wielkość podmiotu?
- Czy wiemy, kto podpisze wniosek?
- Czy potrzebne jest pełnomocnictwo?
- Czy mamy dane co najmniej dwóch osób kontaktowych, jeżeli są wymagane?
- Czy wyznaczyliśmy administratora konta i bezpiecznie pozyskaliśmy jego dane?
- Czy dział IT przekazał aktualne zakresy publicznych adresów IP i domeny?
- Czy zweryfikowaliśmy umowy z dostawcami usług cyberbezpieczeństwa?
- Czy zarząd zapoznał się z pełną treścią wniosku przed podpisem?
Dopiero po zebraniu tych informacji wpis do Wykazu KSC staje się procesem możliwym do spokojnego przeprowadzenia.
Podsumowanie
Wpis do Wykazu KSC to jeden z pierwszych formalnych kroków w dostosowaniu organizacji do wymogów wynikających z NIS2 i znowelizowanej ustawy o krajowym systemie cyberbezpieczeństwa. Nie powinien być jednak traktowany jako izolowana czynność administracyjna.
Prawidłowe wypełnienie wniosku wymaga wcześniejszej kwalifikacji podmiotu, zebrania danych organizacyjnych i technicznych, ustalenia osób odpowiedzialnych, weryfikacji zasad reprezentacji oraz świadomego podpisania oświadczenia o zgodności danych z prawdą.
Im wcześniej organizacja uporządkuje ten proces, tym mniejsze ryzyko błędów, opóźnień i niespójności w dalszym wdrożeniu obowiązków cyberbezpieczeństwa.
DSK Kancelaria wspiera podmioty kluczowe i ważne w procesie wpisu do Wykazu KSC. Pomagamy skompletować dane, przygotować pełnomocnictwa i oświadczenia, zweryfikować treść wniosku oraz przeprowadzić organizację przez cały proces w systemie S46.
Sprawdź też: NIS2 Insights #2
