Rozdział 2. Wykaz podmiotów kluczowych i podmiotów ważnych

Podmioty spełniające wymogi dla podmiotów kluczowych i podmiotów ważnych będą obowiązane do zarejestrowania się w tym rejestrze w terminie 6 miesięcy od dnia spełnienia przesłanek uznania za podmiot kluczowy albo podmiot ważny.

Pierwszą taką analizę należy przeprowadzić więc na moment wejścia w życie ustawy, czyli dzień 3 kwietnia 2026 r.

Podmioty, które na dzień wejścia w życie ustawy, tj. 3 kwietnia 2026 r., spełniają warunki uznania za podmiot kluczowy lub podmiot ważny są obowiązane złożyć wniosek o wpis do wykazu do 3 października 2026 r.

Wpisu dokonuje się za pomocą systemu S46.

Wnioski będą składane w systemie teleinformatycznym S46. Wniosek będzie mógł być podpisany kwalifikowanym podpisem elektronicznym, podpisem zaufanym, podpisem osobistym kierownika podmiotu kluczowego lub podmiotu ważnego albo osoby upoważnionej albo kwalifikowaną pieczęcią elektroniczną.

Minister właściwy do spraw informatyzacji dokona z urzędu wpisu do wykazu:

• •
  przedsiębiorców telekomunikacyjnych,
• •
  dostawców usług zaufania,
• •
  podmiotów publicznych,
• •
  dotychczasowych operatorów usług kluczowych.

Takiego wpisu dokonuje się na podstawie danych zawartych w rejestrach publicznych, danych zawartych w bazie adresów elektronicznych oraz danych przekazanych przez właściwe organy nadzorcze.

Jeżeli minister właściwy do spraw informatyzacji stwierdzi brak danych, które wymagane są do dokonania wpisu do wykazu, zwróci się do takiego podmiotu z wezwaniem do uzupełnienia danych, w terminie 6 w miesięcy od dnia doręczenia wezwania.

Doręczenie jest realizowane na adres do doręczeń elektronicznych lub z wykorzystaniem publicznej usługi hybrydowej, o których mowa w ustawie

o doręczeniach elektronicznych. W przypadku przedsiębiorców telekomunikacyjnych doręczenie może być realizowane za pomocą Platformy Usług Elektronicznych Urzędu Komunikacji Elektronicznej.

Wezwanie zawiera w szczególności:

• •
  dane podmiotu wpisane do Wykazu KSC,
• •
  wskazanie brakujących danych, które podmiot musi uzupełnić,
• •
  dane pozwalające na zalogowanie się do aplikacji Wykaz KSC na konto podmiotu.

Podmiot wpisany z urzędu otrzyma zawiadomienie o tym fakcie.

Wobec tego konieczne jest aby jak najszybciej podmioty publiczne, które tego nie zrobiły, założyły i aktywowały adres do doręczeń elektronicznych.

Tak, organ właściwy do spraw cyberbezpieczeństwa będzie mógł również z urzędu wpisać dany podmiot do wykazu podmiotów kluczowych i podmiotów ważnych jeżeli podmiot spełnia kryteria podmiotu kluczowego lub podmiotu ważnego, a podmiot ten nie wpisał się do wykazu w terminie 6 miesięcy od spełnienia przesłanek uznania za podmiot kluczowy lub podmiot ważny. To rozwiązanie gwarantuje, że nawet jeśli dany podmiot nie będzie chciał się wpisać do wykazu, będzie możliwe włączenie go do rejestru.

Operatorzy usług kluczowych zostaną wpisani do wykazu podmiotów kluczowych i podmiotów ważnych z urzędu przez Ministra Cyfryzacji.

Wszystkie urzędy gmin staną się podmiotami krajowego systemu cyberbezpieczeństwa. Urzędy gmin, które zatrudniają na dzień 1 stycznia danego roku w przeliczeniu na pełny wymiar czasu pracy na podstawie umowy o pracę co

najmniej 50 osób będą podmiotami kluczowymi. Pozostałe urzędy gmin będą co do zasady podmiotami ważnymi.

Minister Cyfryzacji wpisze z urzędu wszystkie urzędy gmin do wykazu podmiotów kluczowych i podmiotów ważnych - podmioty te otrzymają ewentualnie wezwanie do uzupełnienia brakujących danych.

Zarówno w wykazie podmiotów kluczowych i podmiotów ważnych jak i w pozostałych rejestrach publicznych należy wykazywać działalność faktycznie wykonywaną.

Ustawie KSC podlega działalność podmiotu wskazana w załącznikach do ustawy, niezależnie od tego, czy jest to działalność główna czy pomocnicza.

Wyjątki dotyczą kilku sektorów – sektora zaopatrzenia w wodę i jej dystrybucji, zbiorowego odprowadzania ścieków, gospodarowania odpadami, gdzie regulacje dotyczą wyłącznie działalności głównej. W tym przypadku istotna jest główna działalność podmiotu.

Spółki zależne od operatora usług kluczowych powinny samodzielnie zarejestrować się w wykazie podmiotów kluczowych i podmiotów ważnych, jeżeli spełniają kryteria podmiotu kluczowego lub podmiotu ważnego.

Wykaz będzie zawierał wszystkie informacje niezbędne do skutecznego nadzoru nad tymi podmiotami. Przede wszystkim będą to dane identyfikujące podmiot – nazwa (firma) podmiotu, sektor, podsektor i rodzaj lub rodzaje podmiotu, zgodnie z załącznikiem nr 1 lub 2 do ustawy o KSC, siedzibę i adres do korespondencji, adres do doręczeń elektronicznych, jeżeli został nadany, adres poczty

elektronicznej, numer identyfikacji podatkowej (NIP), numer w krajowym rejestrze urzędowym podmiotów gospodarki narodowej (REGON) oraz numer we właściwym rejestrze działalności regulowanej.

Oprócz samych danych identyfikujących będą w nim zawarte informacje takie jak:

• 1)
  zakres publicznych adresów IP wykorzystywanych przez podmiot wykorzystywanych w sposób ciągły;
• 2)
  zakres nazw domen wykorzystywane przez ten podmiot w sposób ciągły;
• 3)
  dane osób do kontaktu z podmiotami krajowego systemu cyberbezpieczeństwa zawierające imię i nazwisko, numer telefonu służbowego oraz adres służbowej poczty elektronicznej (w przypadku mikro i małych przedsiębiorców – jednej osoby);
• 4)
  w przypadku osoby która będzie pełnić rolę administratora konta podmiotu w systemie S46 dodatkowo numer PESEL lub niepowtarzalny identyfikator środka identyfikacji elektronicznej;
• 5)
  numer telefonu przyporządkowany do wykonywanej działalności;
• 6)
  deklarację podmiotu, czy spełnia kryteria mikroprzedsiębiorcy, małego przedsiębiorcy, średniego przedsiębiorcy lub przewyższa te progi;
• 7)
  informację określającą, w których państwach członkowskich Unii Europejskiej podmiot wykonuje działalność, wraz z określeniem wykonywanej działalności;
• 8)
  w przypadku dostawcy usług DNS, rejestru nazw domen najwyższego poziomu (TLD), podmiotu świadczącego usługi rejestracji nazw domen, dostawcy chmury obliczeniowej, dostawcy usługi centrum przetwarzania danych, dostawcy sieci dostarczania treści, dostawcy usług zarządzanych, dostawcy usług zarządzanych w zakresie cyberbezpieczeństwa, dostawcy internetowej platformy handlowej, dostawcy wyszukiwarki internetowej oraz dostawcy platformy usług sieci społecznościowych –główne miejsce prowadzenia działalności;
• 9)
  informację o zawarciu umowy z dostawcą usług zarządzanych w zakresie bezpieczeństwa na realizację zadań z zakresu SZBI wraz z danymi tego podmiotu;
• 10)
  informację o ustanowieniu przedstawiciela podmiotu kluczowego lub podmiotu ważnego z sektora infrastruktury cyfrowej, który nie ma siedziby na terytorium;
• 11)
  informację w sprawie zawarcia porozumienia o wymianie informacji w zakresie cyberbezpieczeństwa.

Minister Cyfryzacji dokonał wpisów z urzędu do wykazu dotychczas zidentyfikowanych podmiotów. Wysyłka zawiadomień o wpisie wraz z wezwaniami do uzupełnienia brakujących danych została już rozpoczęta i jest prowadzona sukcesywnie w maju i czerwcu 2026 r. Wysyłka realizowana jest przez NASK-PIB, któremu Minister Cyfryzacji powierzył realizację zadań związanych z prowadzeniem Systemu S46 i Wykazu KSC.

W przypadku, gdy podmiot powinien zostać wpisany do Wykazu z urzędu, jednak w najbliższych tygodniach nie otrzyma zawiadomienia o wpisie wraz z wezwaniem do uzupełnienia brakujących danych, powinien o powstałej sytuacji poinformować przesyłając wiadomość na adres S46-admin@nask.pl, a takie zgłoszenie zostanie zweryfikowane przez operatora Wykazu.

Taka sytuacja może wystąpić, jeżeli instytucja kierująca wezwanie do uzupełnienia wpisu nie dysponuje kompletem danych niezbędnych do prawidłowej klasyfikacji podmiotu. Dotyczy to w szczególności przypadków takich jak:

• •
  brak informacji o wielkości zatrudnienia, lub
• •
  brak danych potwierdzających spełnienie kryteriów dla mikro-, małego lub średniego przedsiębiorcy, określonych w art. 2 ust. 1 załącznika I do rozporządzenia Komisji (UE) nr 651/2014.

Po uzupełnieniu wpisu o wymagane informacje Wykaz KSC przypisze podmiotowi właściwy typ (podmiot kluczowy lub podmiot ważny) zgodnie z dostarczonymi danymi.

Po dokonaniu wpisu lub uzupełnieniu wpisu informacja o klasyfikacji podmiotu jako kluczowy lub ważny jest dostępna w polu „Typ podmiotu”. Pole to znajduje się w zakładce „Szczegóły wpisu”, w sekcji „H. Przypisanie”.

Minister właściwy do spraw informatyzacji lub organ właściwy do spraw cyberbezpieczeństwa posiadają uprawnienia do wpisania z urzędu podmiotu do Wykazu KSC. Dotyczy to w szczególności kilkudziesięciu tysięcy podmiotów publicznych w Polsce. Przy wpisach z urzędu, dane są czerpane przede wszystkim z dostępnych rejestrów publicznych, które mogą zawierać dane niepełne lub nieaktualne. Przy takiej liczbie podmiotów, niestety mogą pojawić się błędne wpisy w Wykazie KSC.

Jeżeli otrzymasz zawiadomienie o wpisie z urzędu z wezwaniem do uzupełnienia danych, a uważasz, że nie spełniasz przesłanek uznania za podmiot kluczowy lub podmiot ważny, złóż wniosek o wykreślenie z Wykazu KSC. Wniosek ten zostanie rozpatrzony w ciągu miesiąca przez organ właściwy do spraw cyberbezpieczeństwa. Jeżeli zgadzasz się z wpisem do Wykazu KSC, ale dane wpisane z urzędu są według ciebie nieprawidłowe lub niepełne, złóż wniosek o zmianę wpisu i podaj w nim poprawne dane dotyczące np. nazwy podmiotu, adresu lub rodzaju prowadzonej działalności. Części pól we wpisie do wykazu nie możesz samodzielnie zmienić, np. przypisanego właściwego zespołu CSIRT. Jeżeli widzisz w nich nieprawidłowość, zgłoś to na adres S46-admin@nask.pl, a takie zgłoszenie zostanie zweryfikowane przez operatora Wykazu. W zgłoszeniu podaj swoje dane kontaktowe, jednoznaczne wskazanie, którego podmiotu dotyczy błędny wpis, które dane są według ciebie nieprawidłowe, a jakie uznajesz za prawidłowe.

Zgodnie z harmonogramem opublikowanym w Dzienniku Urzędowym Ministra Cyfryzacji https://www.gov.pl/web/cyfryzacja/du-mc-poz-7, podmioty kluczowe i podmioty ważne, które zostały wpisane do Wykazu KSC z urzędu lub na wniosek i uzupełniły w wykazie komplet niezbędnych danych, od 12 czerwca 2026 r. mogą rozpocząć korzystanie z Systemu S46 Cyber Hub. Na podany w Wykazie KSC adres poczty elektronicznej administratora konta podmiotu w Systemie S46,

wysłane zostaną informacje, które pozwolą zalogować się do konta podmiotu. Dostęp do Systemu S46 Cyber Hub będzie przyznawany po tej dacie sukcesywnie dla podmiotów, które będą dokonywać wpisu na wniosek lub uzupełniać dane na wezwanie po wpisie z urzędu. Podmioty, które uzyskały dostęp do Systemu S46 Cyber Hub przed wejściem w życie nowelizacji ustawy o KSC, czyli przed 3 kwietnia 2026 r., zachowują przyznany dostęp do konta podmiotu. Jeżeli taki podmiot podlega wpisowi do Wykazu KSC, to podaje w nim dodatkową informację o kodzie przestrzeni w Systemie S46 Cyber Hub, co pozwala na powiązanie wpisu z istniejącą przestrzenią, zamiast tworzenia nowej.

Sama forma prawna nie decyduje o objęciu ustawą o KSC. O obowiązkach wynikających z ustawy decyduje przede wszystkim rodzaj faktycznie wykonywanej działalności oraz spełnienie przesłanek uznania za podmiot kluczowy lub podmiot ważny (w szczególności wielkość podmiotu).

Co do zasady termin liczony jest od momentu spełnienia przesłanek uznania za podmiot kluczowy lub ważny. Dla podmiotów spełniających przesłanki już w dniu wejścia w życie ustawy, termin liczony jest od 3 kwietnia 2026 r.

Jeżeli działasz przez pełnomocnika, do każdego wniosku o wpis, zmianę wpisu albo o wykreślenie z Wykazu dołącz pełnomocnictwo w postaci elektronicznej, podpisane:

• o
  kwalifikowanym podpisem elektronicznym,
• o
  podpisem zaufanym,
• o
  podpisem osobistym,
• o
  kwalifikowaną pieczęcią elektroniczną.

Pełnomocnictwa nie dołącza się w przypadku, gdy pełnomocnik podmiotu jest ujawniony w Centralnej Ewidencji i Informacji o Działalności Gospodarczej albo gdy prokurent jest ujawniony w Krajowym Rejestrze Sądowym.

Przypominamy, że w przypadku udzielenia pełnomocnictwa do reprezentowania podmiotu należy uiścić stosowną opłatę skarbową.

Jednocześnie informujemy, że w systemie jest możliwość złożenia dowodu wniesienia opłaty skarbowej.

Dane w Wykazie KSC powinny być aktualne. Ich aktualizowanie możliwe jest poprzez złożenie wniosku o zmianę danych w wykazie. Zgłoszenia zmiany danych w wykazie dokonuje osoba upoważniona do dokonania wpisu, w tym pełnomocnik działający na podstawie udzielonego pełnomocnictwa. Podmiot ma 14 dni na aktualizację danych z art. 7 ust. 2 pkt 1-18 ustawy o KSC od dnia ich zmiany.

Podmiot, który dokonał wpisu do wykazu, ma możliwość samodzielnego wygenerowania zaświadczenia o wpisie do Wykazu KSC na stronie https://wykaz-ksc.gov.pl. Może tego dokonać we wniosku, poprzez wybór opcji “pobierz”, a następnie wybór typu zaświadczenia pn. “Zaświadczenie o wpisie do wykazu” lub “Zaświadczenie o zmianie wpisu w wykazie”.

Bezpośredni dostęp do danych podmiotu wpisanego do wykazu posiada właściciel wpisu, organy właściwe do sprawy cyberbezpieczeństwa, pod które podlega podmiot, CSIRT sektorowy oraz krajowy, a także operator wykazu (Minister Cyfryzacji). Właściciel wpisu może również udzielić dostępu do wykazu innym osobom, poprzez zaproszenie e-mail. Zawiera ono jednorazowy kod dostępu do wpisu podmiotu.

Podmiot może zostać całkowicie usunięty z wykazu albo wykreślony tylko z tych sektorów, podsektorów lub rodzajów działalności, w których już nie prowadzi działalności.

W tym celu należy we wpisie w wykazie wybrać opcję „Utwórz nowy wniosek”, a następnie „Wniosek o wykreślenie podmiotu z Wykazu”. Dalej należy określić, z których sektorów lub działalności podmiot ma zostać wykreślony oraz podać uzasadnienie takiego wniosku, wskazując podstawę wykreślenia podmiotu.

Po sprawdzeniu poprawności danych w podsumowaniu osoba upoważniona podpisuje wniosek o wykreślenie. Organ właściwy w ciągu miesiąca rozpatruje wniosek, a następnie informuje podmiot o wykreśleniu albo odmowie wykreślenia z wykazu.

Komunikaty dotyczące wykazu publikowane są na następujących stronach internetowych:

• o
  https://cyber.gov.pl/
• o
  https://www.gov.pl/web/cyfryzacja/
• o
  https://cyberpolicy.nask.pl/aktualnosci/

Wniosek wypełnia i podpisuje osoba upoważniona do złożenia wniosku. Jeżeli osoba z działu IT posiada pełnomocnictwo do działania w imieniu podmiotu w zakresie wykazu, to może wypełnić, podpisać i złożyć wniosek.

Po złożeniu wniosku system nadaje mu odpowiedni status. W przypadku statusu „Zatwierdzony” wpis do wykazu następuje automatycznie. W sytuacji konfliktu danych wniosek może wymagać dodatkowej weryfikacji. Więcej informacji dot. samorejestracji można znaleźć na stronie: Samorejestracja (wpis do Wykazu KSC) - System S46 - Portal Gov.pl.

Tak, korekta danych podmiotu wymaga złożenia i podpisania wniosku o zmianę danych w wykazie.

Tak. Dane w wykazie powinny być aktualne. Ich aktualizowanie możliwe jest poprzez złożenie wniosku o zmianę danych w Wykazie KSC.

Po zakończeniu działań związanych z likwidacją podmiot/likwidatorzy (gdy są nimi członkowie zarządu) składają wniosek o wykreślenie podmiotu z wykazu. W innym przypadku, jeżeli podmiot nie złoży takiego wniosku, organ właściwy wykreśli podmiot z wykazu dopiero po uzyskaniu informacji o wykreśleniu podmiotu z REGON, KRS lub CEIDG.

Obowiązek wyznaczenia przedstawiciela dotyczy:

• •
  dostawców usług DNS,
• •
  rejestrów nazw domen najwyższego poziomu, czyli TLD,
• •
  podmiotów świadczących usługi rejestracji nazw domen,
• •
  dostawców chmury obliczeniowej,
• •
  dostawców usługi centrum przetwarzania danych,
• •
  dostawców sieci dostarczania treści,
• •
  dostawców usług zarządzanych,
• •
  dostawców usług zarządzanych w zakresie cyberbezpieczeństwa,
• •
  dostawców internetowej platformy handlowej,
• •
  dostawców wyszukiwarki internetowej,
• •
  dostawców platformy usług sieci społecznościowych,

którzy nie posiadają jednostki organizacyjnej w żadnym państwie członkowskim Unii Europejskiej, ale oferują swoje usługi na terytorium Rzeczypospolitej Polskiej. Podmiot taki powinien wyznaczyć przedstawiciela posiadającego jednostkę organizacyjną w Polsce, chyba że wyznaczył już przedstawiciela w innym państwie członkowskim UE.

Należy podkreślić, że podmiot, który wyznaczy przedstawiciela w Polsce, podlega właściwości polskiego organu właściwego do spraw cyberbezpieczeństwa zgodnie z art. 5a ust. 9 ustawy o KSC.

Przedstawicielem może być osoba fizyczna, osoba prawna albo jednostka organizacyjna nieposiadająca osobowości prawnej, ustanowiona na terytorium Rzeczypospolitej Polskiej albo innego państwa członkowskiego Unii Europejskiej. Przedstawiciel jest wyznaczany do występowania w imieniu podmiotu spoza UE w zakresie obowiązków wynikających z ustawy, w szczególności na potrzeby kontaktu z organem właściwym do spraw cyberbezpieczeństwa, CSIRT MON, CSIRT NASK, CSIRT GOV lub CSIRT sektorowym.

W Wykazie KSC w sekcji domen internetowych należy wymienić wszystkie domeny, które aktywnie i w sposób ciągły wykorzystywane są przez podmiot. Wskazane domeny muszą należeć do podmiotu, nawet jeśli utrzymywane są u zewnętrznego dostawcy.

Nie należy wpisywać każdej subdomeny czy adresu technicznego (np. „logowanie.firma.pl”), lecz domeny główne wykorzystywane przez podmiot (np. „firma.pl”, „firma.com”, „marka.pl”).

Nie. Termin do 3 października 2026 r. dotyczy wyłącznie wpisu do wykazu. Co do zasady termin na realizację obowiązków liczy się od momentu spełnienia przesłanek uznania za podmiot kluczowy lub ważny, a nie od dnia wpisu.

Samorejestracja dostępna jest dla podmiotów przez cały czas. Podmiot, który zacznie spełniać przesłanki uznania za podmiot kluczowy lub podmiot ważny po 3 października 2026 r., również będzie zobowiązany do dokonania samodzielnej rejestracji w wykazie w terminie 6 miesięcy od spełnienia przesłanek uznania za podmiot kluczowy lub podmiot ważny.

Termin 3 października 2026 r. jest ostatnim dniem rejestracji dla podmiotów, które spełniały przesłanki wpisu do wykazu na dzień wejścia w życie ustawy o KSC.

Zgodnie z Komunikatem Ministra Cyfryzacji z dnia 8 kwietnia 2026 r. w sprawie harmonogramu złożenia wniosków o wpis do wykazu podmiotów kluczowych i podmiotów ważnych oraz rozpoczęcia korzystania z systemu teleinformatycznego przez podmioty kluczowe lub podmioty ważne od dnia 7 maja 2026 r. podmioty, które spełniają przesłanki uznania za podmiot kluczowy lub ważny, nie należą do sektora administracji publicznej i nie zostały wpisane do wykazu z urzędu, mogą składać wnioski o wpis.

W przypadku wpisów z urzędu w pierwszej kolejności realizowana jest wysyłka zawiadomień do podmiotów posiadających adres do doręczeń elektronicznych (ADE). W przypadku podmiotów, które nie posiadają takiego adresu, zawiadomienia będą wysyłane przez NASK-PIB za pośrednictwem Poczty Polskiej z wykorzystaniem Publicznej Usługi Hybrydowej w najbliższych tygodniach.

Adres do doręczeń elektronicznych jest jednym z elementów danych podlegających uzupełnieniu w wykazie podmiotów kluczowych i podmiotów ważnych. W przypadku utworzenia i aktywowania ADE należy zatem uzupełnić odpowiednie dane w wykazie.

Szczegółowe informacje dotyczące e-Doręczeń są dostępne na stronach:

• •
  dla podmiotów publicznych:

Najważniejsze informacje dla podmiotu publicznego - e-Doręczenia - Portal Gov.pl

• •
  dla przedsiębiorców:

e-Doręczenia dla przedsiębiorców.

• 1.
  W celu złożenia wniosku należy wejść na stronę https://wykaz-ksc.gov.pl i zalogować się przez Węzeł Krajowy.
• 2.
  Następnie należy zarejestrować konto użytkownika.
• 3.
  Potem należy kliknąć „Wpisz nowy podmiot” i wypełnić formularz.
• 4.
  Na końcu trzeba podpisać wniosek elektronicznie.

Uzupełnienie brakujących danych musi nastąpić w terminie 6 miesięcy od dnia doręczenia wezwania (a nie od dnia wejścia w życie ustawy czy dnia wpisu do wykazu).

Zachęcamy jednocześnie do podejmowania działań związanych z uzupełnieniem brakujących danych z odpowiednim wyprzedzeniem i nieodkładania ich na koniec ustawowego terminu.

Na obecnym etapie podmioty mogą podlegać wpisowi do Wykazu KSC jako podmioty kluczowe albo podmioty ważne, jeżeli spełniają przesłanki określone w ustawie o KSC. Przepisy ustawy o KSC przewidują obowiązek ujęcia w wykazie informacji o uznaniu danego podmiotu za podmiot krytyczny oraz wpisywania

określonych danych dotyczących podmiotów krytycznych z urzędu. Jednak praktyczne zastosowanie tego mechanizmu wymaga uprzedniego formalnego ustalenia statusu podmiotu krytycznego na podstawie właściwych przepisów ustawy o zarządzaniu kryzysowym.

W dniu 15 maja 2026 r. Sejm uchwalił ustawę o zmianie ustawy o zarządzaniu kryzysowym oraz niektórych innych ustaw. Ustawa ta przewiduje m.in. mechanizm identyfikacji podmiotów krytycznych. Organy do spraw podmiotów krytycznych po raz pierwszy zidentyfikują podmioty krytyczne i wpiszą je do wykazu podmiotów krytycznych w terminie 9 miesięcy od dnia wejścia w życie tej ustawy.

Rządowe Centrum Bezpieczeństwa przekaże katalog zidentyfikowanych podmiotów krytycznych Ministrowi Cyfryzacji. Na podstawie tych informacji Minister dokona wpisu do wykazu z urzędu nowych podmiotów uznanych za krytyczne.

W przypadku, kiedy podmioty już wpisane do wykazu KSC zostaną uznane za podmioty krytyczne, Minister Cyfryzacji zaktualizuje ich status zgodnie z przekazaną informacją.

Do czasu wejścia w życie nowelizacji ustawy o zarządzaniu kryzysowym oraz rozpoczęcia identyfikacji podmiotów krytycznych, sam fakt potencjalnego spełniania przyszłych kryteriów nie oznacza jeszcze automatycznego wpisu do Wykazu KSC jako podmiot krytyczny. Podmiot powinien sam ocenić, czy spełnia przesłanki uznania za podmiot kluczowy albo podmiot ważny na gruncie ustawy o KSC i — jeśli tak — dokonać wpisu do wykazu na zasadach określonych w tej ustawie.

Uzupełnienie danych w wykazie jest obowiązkiem podmiotu publicznego. Jednocześnie podmioty publiczne obowiązane są do stosowania ustawy w terminie 12 miesięcy od wejścia w życie ustawy. Od tego terminu podmiot publiczny musi spełnić wszystkie wymagania.

Przepisy dotyczące wykazu podmiotów kluczowych i podmiotów ważnych już obowiązują i zakres danych objętych wykazem wynika bezpośrednio z przepisów ustawy – w tym zakresie dane, które powinny zostać wskazane muszą być

uzupełnione niezależnie od pozostałych działań. Okres przejściowy dotyczący obowiązków wskazanych w rozdziale 3 ustawy, czyli m. in. dotyczącym wdrożenia systemu zarządzania bezpieczeństwem informacji.

Samorządowe biblioteki publiczne jako samorządowe instytucje kultury są podmiotami ważnymi. Podlegają one wpisowi z urzędu do wykazu podmiotów kluczowych i podmiotów ważnych i stosują uproszczony system zarządzania bezpieczeństwem informacji zgodnie z wymogami zawartymi w załączniku nr 4 do UKSC. Nie muszą dokonać samorejestracji. Po wpisie z urzędu otrzymają zawiadomienie o wpisie i wezwanie do uzupełnienia brakujących danych w wykazie. Termin na uzupełnienie danych to 6 miesięcy od otrzymania wezwania.

Działalność prowadzona przez podmiot może odpowiadać zakresowi kilku sektorów wskazanych w załączniku nr 1 i 2 do ustawy o KSC. Wpis z urzędu nie zwalnia podmiotu z obowiązku weryfikacji poprawności wpisanych danych oraz uzupełnienia brakujących danych – w tym w zakresie dodatkowej działalności. Jeżeli więc podmiot prowadzi działalność w pozostałych sektorach objętych ustawą (załącznik nr 1 lub nr 2) i spełnia kryteria kwalifikacyjne (w tym wielkościowe), a działalność ta nie podlega wpisowi z urzędu do Wykazu, wówczas taki podmiot po otrzymaniu zawiadomienia o wpisie z urzędu i wezwaniu do uzupełnienia danych powinien uzupełnić w Wykazie również informacje w zakresie dodatkowej działalności kwalifikującej się pod zakres ustawy o KSC.

Sam fakt otwarcia likwidacji nie powoduje automatycznej utraty statusu podmiotu kluczowego lub podmiotu ważnego. Podmiot w likwidacji nadal istnieje i może nadal spełniać przesłanki określone w ustawie o krajowym systemie

cyberbezpieczeństwa. W takim przypadku powinien pozostać w wykazie oraz, w terminie 14 dni, zaktualizować dane, które uległy zmianie.

W przypadku otrzymania zawiadomienia o wpisie do wykazu z urzędu wraz z wezwaniem do uzupełnienia danych podmiot w likwidacji powinien uzupełnić wymagane informacje, jeżeli według stanu na dzień przypadający 6 miesięcy od dnia otrzymania wezwania nadal będzie spełniał przesłanki uznania go za podmiot kluczowy albo podmiot ważny.

Jeżeli w związku z likwidacją podmiot zakończy działalność objętą ustawą lub z innej przyczyny przestanie spełniać przesłanki uznania go za podmiot kluczowy albo podmiot ważny przed upływem 6 miesięcy od dnia otrzymania wezwania do uzupełnienia danych, nie będzie zobowiązany do ich uzupełnienia.

W takim przypadku powinien złożyć wniosek o wykreślenie z wykazu. Wniosek może zostać złożony najwcześniej 30 dni przed planowanym dniem zakończenia likwidacji i wykreśleniem podmiotu z REGON, KRS lub CEIDG.

Po otrzymaniu zawiadomienia o wpisie z urzędu do Wykazu KSC wraz z wezwaniem do uzupełnienia danych szkoła powinna ustalić, czy w dniu upływu 6-miesięcznego terminu nadal będzie istniała i spełniała przesłanki uznania jej za podmiot kluczowy albo podmiot ważny.

Jeżeli szkoła zostanie zlikwidowana przed upływem tego terminu, nie ma obowiązku uzupełnienia danych w wykazie. Może jednak zrobić to dobrowolnie, jeżeli uzna to za zasadne.

Po podjęciu decyzji o likwidacji rekomendowane jest samodzielne złożenie w aplikacji Wykaz KSC wniosku o wykreślenie szkoły z wykazu. Do wniosku należy dołączyć uzasadnienie oraz dokument potwierdzający likwidację, np. uchwałę organu prowadzącego.

Wniosek o wykreślenie można złożyć nie wcześniej niż 30 dni przed dniem następującym po dniu likwidacji szkoły. Jeżeli zatem szkoła zostanie zlikwidowana z dniem 31 sierpnia 2026 r., wniosek może zostać złożony nie wcześniej niż 2 sierpnia 2026 r.

Wszystkie kody w aplikacji są jednorazowe. W momencie wykorzystania 10-znakowego kodu jednorazowego, do konta użytkownika, na którym ta operacja jest wykonywana, zostaje przypisany wpis podmiotu. Użytkownik w takim momencie staje się właścicielem wpisu. Następnie, jeżeli dany użytkownik nie jest uprawniony do reprezentacji podmiotu, może wpis udostępnić innym współpracownikom, wśród których powinny być osoby uprawnione do reprezentowanie podmiotu i tym samym składania wniosków w jego imieniu. Wpis udostępnia się poprzez przejście do listy podmiotów „Podmioty” i wybranie nazwy odpowiedniego podmiotu. Następnie, w karcie podmiotu, należy przejść do zakładki „Dostęp do wpisu”, kliknąć „Udostępnij wpis”, wpisać adres e-mail współpracownika (zalecane jest użycie służbowego adresu e-mail) i wybrać opcję „Udostępnij”. Należy bardzo dokładnie sprawdzić wpisany e-mail. Do czasu aż kod nie zostanie wykorzystany, można usunąć go z systemu kasując go z listy 'Zaproszenia e-mail'.

Zaświadczenie o wpisie zawiera aktualną i obowiązującą treść wpisu w Wykazie w chwili jego pobrania.

Zaświadczenie o zmianie wpisu zawiera całą historię wpisów i zmian dokonanych w Wykazie w kolejności chronologicznej. Obejmuje ono:

• •
  pierwotny wpis podmiotu (dane wpisane z urzędu albo podczas samorejestracji),
• •
  kolejne modyfikacje i zmiany wpisów,
• •
  finalne dane podmiotu na dzień wskazany w wygenerowanym zaświadczeniu (stan wpisu na wskazany dzień).

W zaświadczeniu o wpisie do Wykazu informacja o aktualnym typie podmiotu – kluczowy, ważny znajduje się w sekcji H1 Przypisanie – rodzaj podmiotu. Natomiast w zaświadczeniu o zmianie wpisu znajduje się w danych podmiotu w

Wykazie na dzień wybrany podczas wygenerowania zaświadczenia, również sekcji – H1 Przypisanie.

Nie musisz nic cofać ani prostować na własną rękę. Wpis do wykazu ma charakter deklaratoryjny – nie nadaje statusu podmiotu kluczowego albo ważne, tylko go ujawnia. Status wynika wprost z ustawy i z tego, czym Twój podmiot się zajmuje.

Co zrobić:

• 1)
  Nie składaj kolejnego wniosku i nie zakładaj nowego wpisu.
• 2)
  Poczekaj na zawiadomienie o wpisie z urzędu. Jeżeli je dostaniesz, uzupełnij dane w tym wpisie, który wskaże Ci operator wykazu.
• 3)
  Jeżeli zobaczysz w wykazie dwa wpisy dotyczące Twojego podmiotu, napisz na s46-admin@nask.pl. Podaj nazwę podmiotu, NIP, REGON i jednoznaczne wskazanie obu wpisów. Operator uporządkuje je tak, żeby został jeden aktualny wpis.

Wniosek podpisywany jest poza aplikacją Wykazu KSC – w usłudze zewnętrznej, np. serwisie podpisu zaufanego na gov.pl albo w aplikacji dostawcy kwalifikowanego podpisu elektronicznego.

W przypadku błędu:

• 1)
  Upewnij się, że podpisujesz dokładnie ten plik wniosku, który został wygenerowany i pobrany z aplikacji Wykaz KSC. Nie zmieniaj jego nazwy ani zawartości – jakakolwiek modyfikacja pliku po wygenerowaniu spowoduje negatywną weryfikację podpisu.
• 2)
  Sprawdź, czy używasz dopuszczalnego rodzaju podpisu: kwalifikowanego podpisu elektronicznego, podpisu zaufanego, podpisu osobistego albo kwalifikowanej pieczęci elektronicznej.
• 3)
  Sprawdź ważność certyfikatu podpisu oraz – w przypadku profilu zaufanego – czy nie wygasła sesja logowania. W razie potrzeby ponów podpisanie.
• 4)
  Po prawidłowym podpisaniu wczytaj podpisany plik z powrotem do aplikacji Wykaz KSC zgodnie z instrukcją wyświetlaną we wniosku.
• 5)
  Jeżeli błąd pojawia się po stronie usługi zewnętrznej (np. komunikat błędu w serwisie błędu podpisu zaufanego), zapoznaj się z komunikatami tej usługi i spróbuj ponownie po kilku minutach.

Jeśli problem się powtarza, zgłoś go na adres s46-admin@nask.pl. Do zgłoszenia dołącz zrzut ekranu z treścią błędu, datę i godzinę próby podpisania, nazwę używanej przeglądarki oraz rodzaj używanego podpisu. Zgłoszenie zostanie zweryfikowane przez operatora wykazu.

To ograniczenie czasowe. W przypadku wpisów dotyczących sektora „podmioty publiczne”, które są dokonywane wyłącznie z urzędu, pola sektora, podsektora i rodzaju podmiotu były inicjalnie zablokowane do samodzielnej edycji. Możliwość samodzielnej zmiany (np. w celu uzupełnienia pozostałego zakresu danych dot. innych sektorów i podsektorów) została udostępniona w aktualizacji 1.1.7 aplikacji Wykazu KSC.

Kiedy wypełniasz to pole: Tylko wtedy, gdy Twój podmiot zawarł z zewnętrzną firmą umowę na realizację zadań z art. 8 ustawy albo art. 11. Jeśli robisz to własnymi siłami – zostaw pole puste.

To nie jest decyzja uznaniowa. Klasyfikacja podmiotu – kluczowy albo ważny – wynika wprost z ustawy (rodzaj prowadzonej działalności i wielkość podmiotu). Operator wykazu niczego nie „przyznaje”, tylko doprowadza wpis do zgodności z danymi.

Najczęstsza przyczyna zmiany: wpis został uzupełniony o dane, których wcześniej brakowało – zwykle o wielkość zatrudnienia albo deklarację spełnienia kryteriów MŚP. Zmiana może też wynikać z weryfikacji danych przez operatora. Aktualne dane sprawdzisz w zakładce Szczegóły wpisu, w sekcji H. Przypisanie.

W przypadku szkoły, upoważniony do składania wniosków o wpis, zmianę wpisu lub wykreślenie z wykazu jest jej dyrektor, czyli kierownik podmiotu. Dyrektor nie musi dołączać do wniosku dokumentu potwierdzającego powierzenie mu stanowiska. Dyrektor może natomiast upoważnić inną osobę np. pracownika szkoły do składania wniosków w wykazie. W takim wypadku do wniosku powinno być jednak dołączone upoważnienie od dyrektora szkoły podpisane podpisem elektronicznym.

Przyczyną zatrzymania wniosku o wpis do wykazu w statusie „Oczekuje na weryfikację” najczęściej jest konflikt danych np. REGON i/lub NIP z danymi podmiotu już wpisanego do wykazu. Taki konflikt jest komunikowany użytkownikowi w trakcie wpisywania danych w formularzu wniosku o wpis, ale możliwość złożenia wniosku nie jest blokowana. Najczęstszą sytuacją jest złożenie wniosku o wpis przez podmiot, który został wpisany do wykazu z urzędu, ale np. nie otrzymał jeszcze zawiadomienia o wpisie. Każdy wniosek w statusie „Oczekuje na weryfikację” jest rozpatrywany indywidualnie przez operatora systemu i ostatecznie zatwierdzany lub odrzucany.

Nie. Wniosek o wpis, zmianę wpisu lub o wykreślenie z wykazu jest wypełniany w aplikacji Wykazu KSC przez osobę, która jest przypisana do niego jako właściciel. Ta sama osoba musi następnie podpisać wniosek podpisem elektronicznym. Niezgodność tożsamości właściciela wniosku i osoby podpisującej jest wykrywana w aplikacji Wykazu KSC, a wniosek jest oznaczany statusem „Błąd podpisu”. Nie ma takiej możliwości, aby pracownik wypełnił wniosek, a następnie przekazał go kierownikowi do podpisu ani w formie elektronicznej, ani tym bardziej w formie wydruku.

Minister Cyfryzacji wpisuje do wykazu z urzędu podmioty publiczne na podstawie danych w rejestrach publicznych. Jednym ze źródeł jest Katalog Pomiotów Publicznych. W przypadku szkół jest to również System Informacji Oświatowej. Jeżeli wpisana do wykazu szkoła faktycznie nie istnieje np. została zlikwidowana odpowiednią uchwałą rady gminy, to nie powinna być wpisana do wykazu. W takim wypadku należy przesłać stosowną informację na adres s46-admin@nask.pl i dołączyć do niej taką uchwałę. Po weryfikacji, podmiot zostanie wykreślony z wykazu. Nie należy w takim wypadku składać w aplikacji Wykaz KSC wniosku o wykreślenie podmiotu, ponieważ zlikwidowana szkoła nie posiada właściwej reprezentacji do składania oświadczeń. Przy okazji należy zadbać o usunięcie wpisu szkoły w innych rejestrach.

Natomiast jeżeli szkoła znajduje się w trakcie likwidacji i posiada wciąż osobę uprawnioną do jej reprezentacji, to w aplikacji Wykaz KSC należy złożyć wniosek o wykreślenie podmiotu z wykazu.

Jeżeli zarówno szkoła, jak i zespół szkół stanowią samodzielnie samorządowe jednostki budżetowe, to uzasadnione jest wpisanie do wykazu i szkoły i zespołu. Ustawa o krajowym systemie cyberbezpieczeństwa nie wyróżnia rodzajowo szkół i ich zespołów jako podmiotów krajowego systemu cyberbezpieczeństwa. Zgodnie z ustawą podmiotem ważnym jest samorządowa jednostka budżetowa. W przypadku, gdy szkoła wchodząc w skład zespołu szkół utraciła status samorządowej jednostki budżetowej na rzecz zespołu szkół, nie powinna ona znajdować się w wykazie podmiotów kluczowych i podmiotów ważnych. W takim przypadku dyrektor zespołu szkół musi złożyć wniosek w wykazie o wykreślenie poszczególnych placówek, które utraciły samodzielny status samorządowej jednostki budżetowej, załączając np. stosowną uchwałę rady gminy. Po weryfikacji, podmiot zostanie wykreślony z wykazu.

W przypadku szkół i zespołów szkół kluczowym kryterium w kontekście wpisu do Wykazu KSC jest posiadanie statusu jednostki budżetowej w rozumieniu ustawy o finansach publicznych.

Jeżeli szkoły wchodzące w skład zespołu szkół nie są odrębnymi jednostkami budżetowymi, obowiązki ustawowe, w tym obowiązek wpisu do Wykazu KSC, dotyczą zespołu szkół jako jednostki organizacyjnej będącej jednostką budżetową. Poszczególne szkoły wchodzące w jego skład nie podlegają wówczas odrębnemu wpisowi.

Jeżeli natomiast szkoły wchodzące w skład zespołu szkół zachowują status odrębnych jednostek budżetowych, obowiązki ustawowe ciążą zarówno na zespole szkół, jak i odrębnie na każdej ze szkół wchodzących w jego skład.

Należy wskazać ogólny adres poczty elektronicznej podmiotu – taki, który umożliwi kancelarii rejestrację korespondencji mailowej.

Może to być osoba zatrudniona przez jeden podmiot, jeżeli jest związana z innym podmiotem stosunkiem prawnym, który umożliwia jej nałożenie takich

obowiązków – np. umowa o pracę, umowa cywilnoprawna czy umowa z osobą fizyczną wykonującą działalność gospodarczą.

Osoba ta musi być powiązana z podmiotem kluczowym lub podmiotem ważnym stosunkiem prawnym, który umożliwia na nią nałożenie jej takich obowiązków w tym obowiązek zachowania w poufności.

Koncesje, licencje lub zezwolenia nie podlegają wpisowi do wykazu podmiotów kluczowych i podmiotów ważnych w polu dotyczącym rejestru działalności regulowanej.

Ustawa o krajowym systemie cyberbezpieczeństwa (dopuszcza możliwość złożenia wniosku o wpis do wykazu przez pełnomocnika (art. 7c ust. 7). Należy wtedy dołączyć pełnomocnictwo w postaci elektronicznej podpisane kwalifikowanym podpisem elektronicznym, podpisem zaufanym, podpisem osobistym albo kwalifikowaną pieczęcią elektroniczną.

Pełnomocnictwo musi być sporządzone w języku polskim zgodnie z art. 5 ust. 1 w związku z ust. 2 i art. 4 ustawy z dnia 7 października 1999 r. o języku polskim.

Tak jest dostawcą usługi DNS i w zakresie świadczenia usługi DNS powinien stosować przepisy rozporządzenia wykonawczego Komisji (UE) 2024/2690 z dnia 17 października 2024 r. ustanawiającego zasady stosowania dyrektywy (UE) 2022/2555 w odniesieniu do wymogów technicznych i metodycznych dotyczących środków zarządzania ryzykiem w cyberbezpieczeństwie oraz doprecyzowujące przypadki, w których incydent uznaje się za poważny w odniesieniu do dostawców usług DNS, rejestrów nazw TLD, dostawców usług chmurowych, dostawców usług ośrodka przetwarzania danych, dostawców sieci dostarczania treści, dostawców usług zarządzanych, dostawców usług zarządzanych w zakresie bezpieczeństwa, dostawców internetowych platform handlowych, wyszukiwarek internetowych i platform usług sieci społecznościowych oraz dostawców usług zaufania (Dz. Urz. UE L 2024/2690 z 18.10.2024, z późn. zm.).

Nie. Zgodnie z art. 7 ust. 2 pkt 9 ustawy o krajowym systemie cyberbezpieczeństwa w „Wykazie podmiotów kluczowych i podmiotów ważnych” należy wskazać zakresy publicznych adresów IP wykorzystywanych przez podmiot kluczowy lub podmiot ważny w sposób ciągły.

Przepis ten należy interpretować z uwzględnieniem motywu 18 dyrektywy NIS2, który określa cel przekazywania danych do wykazu. Motyw ten wymienia zakresy adresów IP obok takich danych identyfikacyjnych jak nazwa podmiotu, adres, dane kontaktowe czy numery telefonów i przynależność do sektora. Świadczy to o tym, że przekazywane informacje mają służyć identyfikacji podmiotu objętego regulacją oraz umożliwieniu właściwym organom i CSIRT-om sprawnego kontaktu oraz powiązania podmiotu z wykorzystywanymi przez niego zasobami teleinformatycznymi.

W konsekwencji przez „zakresy publicznych adresów IP wykorzystywanych przez podmiot” należy rozumieć przede wszystkim adresację wykorzystywaną w sposób stały na potrzeby własnej działalności oraz własnej infrastruktury teleinformatycznej podmiotu. Nie ma natomiast podstaw do przyjęcia, że obowiązek ten obejmuje całą pulę publicznych adresów IP przeznaczoną do przydzielania abonentom lub użytkownikom końcowym.

Adresy IP wykorzystywane wyłącznie przez abonentów lub użytkowników końcowych nie stanowią, co do zasady, adresacji „wykorzystywanej przez podmiot” w rozumieniu tego przepisu.

Tak. Pełnomocnictwo do złożenia wniosku o wpis do Wykazu KSC obejmuje wszystkie czynności niezbędne do prawidłowego złożenia tego wniosku, w tym do złożenia oświadczenia, które stanowi integralną część wniosku.

Działanie przez pełnomocnika nie zwalnia kierownika podmiotu kluczowego lub podmiotu ważnego z odpowiedzialności za prawidłowe złożenie wniosku o wpis do wykazu podmiotów kluczowych i podmiotów ważnych.