Nowelizacja ustawy o krajowym systemie cyberbezpieczeństwa obowiązuje od 3 kwietnia 2026 r. Wdraża do polskiego prawa dyrektywę NIS2. Pierwszy termin już biegnie. Mija 3 października 2026 r. Do tego dnia podmioty objęte ustawą składają wniosek o wpis do Wykazu KSC. Urząd nie przyśle wezwania. Nie przyśle też przypomnienia. Sprawdzasz sam, czy Twoja firma podlega, i sam składasz wniosek.
Brak wpisu jest naruszeniem ustawy. Nie ma znaczenia, jak dobre masz zabezpieczenia. Liczy się wniosek złożony w terminie. A po wniosku zaczyna się dwanaście miesięcy wdrożenia, które też już biegną.
Kogo dotyczy termin
Ustawa obejmuje firmy, które spełniają dwa warunki naraz. Pierwszy to sektor. Załączniki nr 1 i 2 do ustawy wymieniają osiemnaście sektorów. Jest wśród nich energetyka, transport, bankowość, ochrona zdrowia, woda pitna i ścieki, infrastruktura cyfrowa, zarządzanie usługami ICT, produkcja, chemikalia, żywność, gospodarowanie odpadami, usługi pocztowe i badania naukowe. Drugi warunek to wielkość. Co do zasady chodzi o firmy co najmniej średnie, czyli zatrudniające 50 osób albo osiągające obrót lub sumę bilansową powyżej 10 mln euro.
Przy liczeniu wielkości bierzesz pod uwagę powiązania kapitałowe. Spółka zatrudnia 30 osób, ale należy do grupy, która łącznie zatrudnia 200. Taka spółka może przekroczyć próg. To częsty błąd w samoocenie. Drugi częsty błąd to poleganie na kodzie PKD. Kod PKD nie rozstrzyga. Rozstrzyga faktyczna działalność. Trzeci błąd to uznanie, że skoro firma ma dobrego informatyka, to sprawa jest załatwiona. Status to pytanie prawne, nie techniczne.
Część podmiotów podlega ustawie niezależnie od wielkości. Dotyczy to między innymi dostawców usług DNS, rejestrów nazw domen, dostawców usług zaufania i przedsiębiorców telekomunikacyjnych. Jeśli działasz w którejś z tych branż, progi zatrudnienia nie mają zastosowania.
Przykład: spółka z o.o. w ochronie zdrowia
Weźmy spółkę z o.o., która prowadzi przychodnię z kilkoma placówkami. Zatrudnia 70 osób, w tym personel medyczny na umowach cywilnoprawnych. Ochrona zdrowia jest w załączniku nr 1. Spółka przekracza próg 50 osób. Podlega ustawie.
Pozostaje pytanie o status. W sektorach z załącznika nr 1 podmiot duży jest podmiotem kluczowym, a podmiot średni podmiotem ważnym. Nasza spółka jest średnia, więc jest podmiotem ważnym. Różnica ma znaczenie. Podmiot kluczowy ma obowiązek cyklicznego audytu i wyższe progi kar. Podmiot ważny ma obowiązki lżejsze, ale wpis, system zarządzania bezpieczeństwem i zgłaszanie incydentów dotyczą go tak samo.
Zarząd tej spółki ma do 3 października czas na dwie rzeczy. Na udokumentowaną analizę statusu i na złożenie wniosku. Analizę trzeba spisać także wtedy, gdy wychodzi, że ustawa nie obejmuje firmy. Jeśli organ kiedyś zapyta, dlaczego nie ma wpisu, zarząd musi mieć odpowiedź na papierze. Notatka „sprawdziliśmy, nie podlegamy" bez uzasadnienia nie jest taką odpowiedzią.
Dwa tryby wpisu
Ustawa przewiduje wpis z urzędu i wpis na wniosek. Z urzędu Minister Cyfryzacji wpisał między 13 kwietnia a 6 maja 2026 r. podmioty publiczne, przedsiębiorców telekomunikacyjnych, dostawców usług zaufania i dotychczasowych operatorów usług kluczowych. Te podmioty dostają wezwanie do uzupełnienia danych i nie składają drugiego wniosku.
Wszyscy pozostali rejestrują się sami. Samorejestracja działa od 7 maja 2026 r. w aplikacji Wykaz KSC, która jest częścią Systemu S46. Wniosek składasz elektronicznie. Podpisuje go kierownik podmiotu albo osoba przez niego upoważniona. W spółce z o.o. kierownikiem podmiotu jest zarząd. Do podpisu służy kwalifikowany podpis elektroniczny, podpis zaufany, podpis osobisty albo kwalifikowana pieczęć elektroniczna. Instrukcję i formularz znajdziesz na stronie Ministerstwa Cyfryzacji.
We wniosku podajesz dane identyfikacyjne spółki, sektor i podsektor, kwalifikację jako podmiot kluczowy albo ważny oraz dane osób do kontaktu w sprawach cyberbezpieczeństwa. Te osoby trzeba wyznaczyć przed złożeniem wniosku, nie po. Kwalifikację wpisujesz na własną odpowiedzialność. Jeśli wpiszesz „ważny", a organ uzna, że jesteś „kluczowy", problem jest Twój, nie urzędu.
Termin liczy się osobno dla każdej firmy
Ustawa daje sześć miesięcy od dnia, w którym firma spełniła przesłanki. Dla firm, które spełniały je 3 kwietnia 2026 r., termin mija 3 października 2026 r. Stąd ta data. Jeśli Twoja firma przekroczy próg później, na przykład po przejęciu albo po wzroście zatrudnienia, sześć miesięcy liczysz od tego dnia. Termin październikowy Cię nie dotyczy, ale własny termin tak.
Działa to też w drugą stronę. Firma, która 3 kwietnia była średnia, a dziś jest mała, nadal miała obowiązek na dzień wejścia ustawy w życie. Zanim uznasz, że sprawa Cię ominęła, sprawdź to z prawnikiem.
Wpis to początek
Po wpisie zaczyna się właściwa praca. Ustawa daje dwanaście miesięcy od spełnienia przesłanek na wdrożenie obowiązków. Dla większości firm to 3 kwietnia 2027 r. W tym czasie spółka wdraża system zarządzania bezpieczeństwem informacji. Robi analizę ryzyka. Pisze polityki i procedury. Sprawdza dostawców i poprawia umowy z nimi. Wprowadza uwierzytelnianie wieloskładnikowe, kopie zapasowe i plan ciągłości działania. Uczy się obsługi incydentów.
Większość z tego to dokumenty i umowy, nie serwery. Informatyk skonfiguruje kopie zapasowe i logowanie dwuskładnikowe. Nie napisze polityki bezpieczeństwa, która obroni się przed organem. Nie przepisze umów z dostawcami ICT tak, żeby odpowiedzialność za incydent po ich stronie była wpisana czarno na białym. Nie przygotuje procedury zgłaszania incydentu, w której o trzeciej w nocy wiadomo, kto dzwoni, gdzie i z jakimi danymi.
Incydenty poważne trzeba zgłaszać. Wczesne ostrzeżenie w 24 godziny, zgłoszenie w 72 godziny, raport końcowy w ciągu miesiąca. Zgłoszenia idą przez System S46, więc podłączenie do niego jest osobnym obowiązkiem w tym samym rocznym terminie.
Zarząd odpowiada osobiście. Kierownik podmiotu ma obowiązek przejść szkolenie, zatwierdzić dokumentację i nadzorować wdrożenie. Za zaniedbania grozi mu kara pieniężna liczona od jego wynagrodzenia. Spółce grozi kara do 10 mln euro lub 2 proc. obrotu, jeśli jest podmiotem kluczowym, oraz do 7 mln euro lub 1,4 proc. obrotu, jeśli jest podmiotem ważnym. Podmioty kluczowe mają dodatkowo audyt bezpieczeństwa co dwa lata. Pierwszy do 3 kwietnia 2028 r.
Co robi kancelaria
Harbor LEGAL prowadzi wdrożenie NIS2 w trzech etapach. Każdy etap ma osobną wycenę ryczałtową, ustaloną przed rozpoczęciem pracy. Możesz zamówić jeden etap albo wszystkie. Praca odbywa się zdalnie, w całej Polsce.
Pierwszy etap to status i wniosek. Dostajesz pisemną analizę, czy Twoja firma jest podmiotem kluczowym, podmiotem ważnym, czy nie podlega ustawie. Analiza obejmuje sektor, faktyczną działalność, wielkość i powiązania w grupie. Jest podpisana przez radcę prawnego, więc nadaje się do pokazania organowi. Jeśli podlegasz, kancelaria przygotowuje wniosek do Wykazu KSC, ustala z Tobą osoby do kontaktu i prowadzi zarząd przez podpis i złożenie w Systemie S46. Analiza i wniosek zajmują zwykle kilka dni roboczych, więc do 3 października jest jeszcze czas.
Drugi etap to wdrożenie. Dostajesz komplet dokumentów prawnych systemu zarządzania bezpieczeństwem informacji: politykę bezpieczeństwa, analizę ryzyka w części prawnej, procedurę obsługi i zgłaszania incydentów, zasady bezpieczeństwa łańcucha dostaw i poprawione umowy z dostawcami ICT, regulamin dla pracowników. Kancelaria pracuje razem z Twoim działem IT albo z zewnętrznym informatykiem. Prawnik pisze dokumenty i umowy, informatyk wdraża technikę, a oba tory spotykają się w jednym harmonogramie z terminem 3 kwietnia 2027 r. Do tego szkolenie zarządu, którego ustawa wymaga od kierownika podmiotu, z potwierdzeniem na piśmie do akt.
Trzeci etap to utrzymanie. Zgłoszenie incydentu w 24 godziny bez gotowej procedury nie wychodzi nikomu. Kancelaria jest dostępna przy zgłoszeniu, pisze raport końcowy i odpowiada na pytania organu w Twoim imieniu. Aktualizuje dokumenty, gdy zmienia się ustawa albo Twoja firma. Podmioty kluczowe przygotowuje do audytu, żeby audytor dostał komplet, a nie stertę.
Od czego zacząć
Od sprawdzenia statusu. Jeśli wolisz zrobić pierwszy krok sam, bezpłatne narzędzie na app.harbor.legal sprawdza w kilka minut, czy Twoja firma podlega pod NIS2, i pokazuje status oraz termin. Wynik dostajesz od razu i możesz z nim przyjść na rozmowę.
Jeśli masz grupę kapitałową, działasz w kilku sektorach naraz albo wynik z narzędzia zostawia wątpliwości, prościej jest porozmawiać. Pół godziny wystarczy, żeby ustalić, czy podlegasz, jaki masz status i co dokładnie trzeba złożyć do 3 października. Po rozmowie dostajesz wycenę pierwszego etapu i decydujesz, czy idziemy dalej. Do października zostało kilka tygodni. To dość, żeby zrobić wniosek bez pośpiechu, o ile analiza zacznie się teraz, a nie w ostatnim tygodniu.
Powyższy tekst ma charakter informacyjny i nie stanowi porady prawnej w indywidualnej sprawie. Ocena obowiązków konkretnej firmy wymaga analizy jej sektora, faktycznej działalności i powiązań kapitałowych.