Do 3 października 2026 roku firmy objęte znowelizowaną ustawą o krajowym systemie cyberbezpieczeństwa muszą same wpisać się do wykazu KSC. Nikt tego za nie nie zrobi i nikt o tym nie przypomni. Poniżej konkret: kogo to dotyczy, ile czasu zostało, jakie kary grożą i od kiedy realnie zaczną być nakładane.
Kogo dotyczy NIS2 w Polsce
Dyrektywa NIS2 weszła do polskiego porządku prawnego przez nowelizację ustawy o krajowym systemie cyberbezpieczeństwa, obowiązującą od 3 kwietnia 2026 roku. Ustawa dzieli objęte firmy na dwie kategorie: podmioty kluczowe i podmioty ważne. O przypisaniu decydują trzy rzeczy naraz: sektor działalności z załącznika do ustawy, wielkość firmy liczona według definicji MŚP oraz rodzaj świadczonych usług.
Sektory objęte obowiązkiem to między innymi energetyka, transport, bankowość, infrastruktura rynków finansowych, ochrona zdrowia, woda pitna i ścieki, infrastruktura cyfrowa, zarządzanie usługami ICT, administracja publiczna i przestrzeń kosmiczna. Do tego dochodzą sektory z drugiego załącznika: usługi pocztowe i kurierskie, gospodarowanie odpadami, produkcja i dystrybucja chemikaliów, produkcja i dystrybucja żywności, produkcja wyrobów medycznych, komputerów, maszyn i pojazdów, dostawcy usług cyfrowych oraz jednostki naukowe.
Kluczowa pułapka: firma sama musi ocenić, czy podlega pod ustawę. Organ nie przysyła zawiadomienia. Ministerstwo Cyfryzacji zaleca sprawdzenie trzech rzeczy przed rejestracją: faktycznego profilu działalności, prawidłowego kodu PKD i wielkości przedsiębiorstwa z uwzględnieniem przedsiębiorstw powiązanych i partnerskich. Ten ostatni punkt wywraca wiele kalkulacji. Mała spółka w grupie kapitałowej potrafi przekroczyć próg, bo liczy się razem z właścicielem.
Terminy, które już biegną
| Termin | Obowiązek |
|---|---|
| 7 maja 2026 | ruszyła samorejestracja w aplikacji Wykaz KSC |
| 3 października 2026 | ostateczny termin wpisu do wykazu KSC |
| 3 kwietnia 2027 | wdrożony system zarządzania bezpieczeństwem informacji |
| 3 kwietnia 2028 | pierwszy obowiązkowy audyt i pierwsze kary pieniężne |
Część podmiotów trafia do wykazu automatycznie: jednostki sektora publicznego, przedsiębiorcy telekomunikacyjni, dostawcy usług zaufania i dawni operatorzy infrastruktury krytycznej. Reszta, czyli większość firm prywatnych, rejestruje się sama przez aplikację pod adresem wykaz-ksc.gov.pl. Logowanie idzie przez Węzeł Krajowy: profil zaufany, mObywatel, e-dowód, bankowość elektroniczną albo certyfikat kwalifikowany. Wniosek podpisuje osoba uprawniona do reprezentacji, przy pełnomocniku potrzebne jest pełnomocnictwo wraz z opłatą skarbową.
Kary za brak zgodności z NIS2
Widełki są ustawione tak, żeby bolały większe podmioty, ale dolny próg uderza też w mniejsze.
- Podmiot kluczowy: do 10 mln euro albo 2 procent rocznego przychodu, przy czym nie mniej niż 20 tysięcy złotych.
- Podmiot ważny: do 7 mln euro albo 1,4 procent rocznego przychodu, nie mniej niż 15 tysięcy złotych.
- Kara nadzwyczajna: do 100 mln złotych, gdy incydent spowodował poważną szkodę.
- Odpowiedzialność kierownika: do 300 procent jego wynagrodzenia, a w podmiocie publicznym do 100 procent. Do tego zakaz pełnienia funkcji zarządczych.
Pierwsze kary pieniężne organ może nakładać od 3 kwietnia 2028 roku. To nie znaczy, że do tego czasu można nic nie robić. Wdrożenie systemu zarządzania bezpieczeństwem informacji zajmuje od kilku do kilkunastu miesięcy, a termin na to mija rok wcześniej, w kwietniu 2027.
Co zrobić w najbliższych dniach
- Sprawdź swój PKD wobec obu załączników ustawy i policz wielkość firmy razem z podmiotami powiązanymi.
- Jeżeli podlegasz, wyznacz osobę, która podpisze wniosek, i przygotuj pełnomocnictwo, o ile podpisuje pełnomocnik.
- Zarejestruj się w wykazie KSC. Wpis to formalność, która zajmuje godzinę. Jego brak to kwota z tabeli powyżej.
- Zrób inwentaryzację systemów i danych. Bez niej nie da się napisać analizy ryzyka, a na niej stoi cały system zarządzania bezpieczeństwem.
- Zaplanuj audyt z wyprzedzeniem. W 2027 roku kolejka do audytorów będzie długa, a ceny wyższe niż dziś.
Najczęstsze pytania
Czy mała firma podlega pod NIS2
Co do zasady ustawa obejmuje firmy średnie i duże, ale są wyjątki, w których wielkość nie ma znaczenia, na przykład dostawcy usług zaufania, rejestry nazw domen czy podmioty administracji publicznej. Liczenie wielkości uwzględnia przedsiębiorstwa powiązane, więc mała spółka w grupie może zostać uznana za średnią.
Kto sprawdza zgodność z NIS2
Organy właściwe dla poszczególnych sektorów oraz zespoły CSIRT na poziomie krajowym. Kontrola obejmuje dokumentację systemu zarządzania bezpieczeństwem, zgłaszanie incydentów i wyniki audytu.
Czy wpis do wykazu KSC kosztuje
Samo zgłoszenie jest bezpłatne. Opłata skarbowa dotyczy wyłącznie pełnomocnictwa, jeżeli wniosek składa pełnomocnik.
Jeżeli chcesz sprawdzić własną gotowość bez czytania całej ustawy, przygotowaliśmy bezpłatny test gotowości pod adresem testnis2.pl oraz kalkulator wysokości kar na karynis2.pl. Monitoringiem zgodności i wykrywaniem incydentów zajmuje się u nas agent Wartownik NIS2, część Tarczy Archaios.