Wpisany do wykazu KSC, a nie podlegasz? Wniosek o wykreślenie krok po kroku

Twoja firma jest w wykazie podmiotów kluczowych i ważnych, a uważasz, że nie podlega ustawie o krajowym systemie cyberbezpieczeństwa? Ustawa przewiduje wniosek o wykreślenie. Piszę, kiedy go składać, co musi zawierać i kiedy lepiej go nie składać.

Przepisy o wykazie KSC obowiązują od 3 kwietnia 2026 r., a samodzielny wpis jest możliwy od 7 maja 2026 r. Część firm trafiła do niego z urzędu, część złożyła wniosek sama, czasem na wszelki wypadek. Po 3 października 2026 r. wiele zarządów sprawdza wpis jeszcze raz. Zdarza się, że wpis jest błędny albo przestał być aktualny. Ten tekst dotyczy właśnie tej sytuacji. Jeśli dopiero ustalasz, czy Twoja firma podlega ustawie, zacznij od wpisu NIS2 w Polsce. Kogo dotyczy i co musisz wdrożyć.

Wpis nie tworzy statusu

Najpierw rzecz, od której zależy wszystko dalej. Wpis, zmiana wpisu i wykreślenie z wykazu są czynnościami materialno-technicznymi o charakterze deklaratoryjnym (art. 7d ust. 5 ustawy o krajowym systemie cyberbezpieczeństwa w brzmieniu nadanym ustawą z 23 stycznia 2026 r., Dz.U. 2026 poz. 252).

Status podmiotu kluczowego albo ważnego wynika z ustawy, a nie z wykazu. Firma, która spełnia przesłanki, ma obowiązki także wtedy, gdy w wykazie jej nie ma. Firma, która przesłanek nie spełnia, nie staje się podmiotem kluczowym tylko dlatego, że ktoś ją wpisał. Wykreślenie porządkuje wykaz. Samo w sobie nie zdejmuje obowiązków, jeśli status nadal istnieje.

Dlatego wniosek o wykreślenie zaczyna się od analizy, a nie od formularza. Trzeba ustalić, czy firma działa w sektorze z załącznika nr 1 albo nr 2 do ustawy, jaka jest jej faktyczna działalność, jaką ma wielkość i jakie ma powiązania w grupie.

Kiedy wykreślenie jest obowiązkiem

Ustawa przewiduje trzy drogi do wykreślenia.

• Minister właściwy do spraw informatyzacji wykreśla podmiot, gdy dowie się o jego wykreśleniu z REGON, KRS albo CEIDG (art. 7f ust. 1). To przypadek na przykład likwidacji, zakończenia działalności albo połączenia spółek.
• Organ właściwy do spraw cyberbezpieczeństwa wykreśla podmiot w zakresie nadzorowanego sektora, podsektora albo rodzaju działalności, jeżeli podmiot nie jest podmiotem kluczowym ani ważnym (art. 7f ust. 2 pkt 1) albo utracił ten status po wpisie (art. 7f ust. 2 pkt 2).
• Sam podmiot składa wniosek o wykreślenie w zakresie sektora, podsektora albo rodzaju działalności, „jeżeli przestały spełniać przesłanki uznania za podmiot kluczowy lub podmiot ważny” (art. 7f ust. 3).

Brzmienie art. 7f ust. 3 jest stanowcze. Przepis mówi, że podmiot składa wniosek, a nie że może go złożyć. Moim zdaniem oznacza to obowiązek po stronie firmy, która przestała spełniać przesłanki. Przepis nie wskazuje terminu na złożenie takiego wniosku.

Typowe sytuacje to sprzedaż działalności, która kwalifikowała firmę do sektora z załącznika, albo trwałe wyjście poza progi wielkości. Gdy firma nigdy nie spełniała przesłanek i trafiła do wykazu omyłkowo, na przykład w sektorze, w którym nie działa, przepis z ust. 3 do niej nie pasuje. Wtedy podstawą jest wykreślenie przez organ (art. 7f ust. 2 pkt 1), o które firma może wystąpić z takim samym uzasadnieniem. Inną sytuacją jest zakończenie tylko jednego z kilku rodzajów działalności. Wykreślenie dotyczy wtedy tego sektora albo rodzaju działalności, a pozostałe wpisy zostają.

Uzasadnienie i oświadczenie kierownika

Wniosek o wykreślenie składasz przez system teleinformatyczny z art. 46 ust. 1 (art. 7f ust. 3), w praktyce przez aplikację Wykaz KSC w Systemie S46. Wniosek zawiera uzasadnienie. Ma postać elektroniczną i jest opatrzony kwalifikowanym podpisem elektronicznym, podpisem zaufanym albo podpisem osobistym kierownika podmiotu lub osoby przez niego upoważnionej, albo kwalifikowaną pieczęcią elektroniczną ze wskazaniem w treści pisma osoby, która ją przyłożyła (art. 7c ust. 6). Pełnomocnik dołącza pełnomocnictwo w postaci elektronicznej, z wyjątkiem prokurenta ujawnionego w KRS i pełnomocnika ujawnionego w CEIDG (art. 7c ust. 7).

Wniosek o wykreślenie, tak jak wniosek o wpis, zawiera oświadczenie kierownika podmiotu (art. 7c ust. 5). Kierownik oświadcza, że dane we wniosku są zgodne z prawdą, i składa to oświadczenie pod rygorem odpowiedzialności karnej za fałszywe oświadczenie z art. 233 § 6 Kodeksu karnego. W spółce kapitałowej kierownikiem podmiotu są członkowie zarządu.

To zmienia wagę uzasadnienia. Zdanie „nie prowadzimy działalności w sektorze” podpisuje osoba, która za nie odpowiada osobiście. Uzasadnienie powinno więc opierać się na dokumentach: opisie faktycznej działalności, danych o zatrudnieniu, obrotach i sumie bilansowej z uwzględnieniem powiązań w grupie oraz na umowach, z których wynika na przykład sprzedaż części przedsiębiorstwa. Dobrze, jeśli te dokumenty zostają w aktach spółki razem z kopią wniosku.

Miesiąc na rozpatrzenie i skutek braku odmowy

Organ właściwy do spraw cyberbezpieczeństwa rozpatruje wniosek w terminie miesiąca od dnia jego złożenia i informuje o wykreśleniu albo o odmowie wykreślenia (art. 7f ust. 4). Odmawia, jeżeli podmiot nadal spełnia przesłanki uznania za podmiot kluczowy albo ważny (art. 7f ust. 5).

Brak odmowy wykreślenia w tym terminie skutkuje wykreśleniem podmiotu z wykazu (art. 7f ust. 7). Milczenie organu działa więc na korzyść wnioskodawcy. Nie zmienia to jednak zasady z pierwszej sekcji. Jeśli firma w rzeczywistości spełnia przesłanki, wykreślenie z braku odpowiedzi nie zdejmuje z niej obowiązków, a organ może później wpisać ją ponownie (art. 7j ust. 1).

Warto pilnować daty złożenia wniosku i zachować potwierdzenie z systemu. Od tej daty liczy się miesiąc organu.

Skarga do sądu administracyjnego

Ustawa daje drogę sądową w kilku miejscach.

• Odmowa wykreślenia jest inną czynnością z zakresu administracji publicznej. Wymaga uzasadnienia i przysługuje na nią skarga do sądu administracyjnego (art. 7f ust. 6).
• Samo wykreślenie też jest taką czynnością i też przysługuje na nie skarga (art. 7f ust. 8). Ma to znaczenie, gdy organ wykreśla firmę z własnej inicjatywy, a firma uważa, że powinna pozostać w wykazie.
• Wpis z urzędu dokonany przez organ właściwy wobec firmy, która nie złożyła wniosku w terminie, również wymaga uzasadnienia i podlega skardze (art. 7j ust. 5). Inaczej jest przy wpisach dokonanych przez ministra na podstawie art. 7a, na przykład podmiotów publicznych i przedsiębiorców telekomunikacyjnych. Na taki wpis ustawa skargi nie przewiduje, więc zostaje wystąpienie o wykreślenie.

Zawiadomienie o wpisie z urzędu warto więc przeczytać od razu. Organ wzywa w nim do uzupełnienia brakujących danych w terminie 6 miesięcy od otrzymania zawiadomienia, pod rygorem nałożenia kary pieniężnej (art. 7j ust. 3; przy wpisach ministra podobnie art. 7b ust. 2). Firma wpisana przez organ właściwy, która uważa, że nie podlega ustawie, ma do wyboru skargę na wpis albo wystąpienie o wykreślenie. Wybór zależy od dokumentów i od tego, czy sporna jest sama kwalifikacja, czy tylko jej zakres. Skargę na inną czynność z zakresu administracji publicznej wnosi się w terminie 30 dni od dnia, w którym firma dowiedziała się o czynności (art. 53 § 2 prawa o postępowaniu przed sądami administracyjnymi), za pośrednictwem organu (art. 54 § 1). Ten termin łatwo przeoczyć.

Kiedy nie składać wniosku

Wniosek o wykreślenie nie jest sposobem na uniknięcie obowiązków. Nie składaj go w tych sytuacjach:

• Firma nadal spełnia przesłanki. Organ odmówi (art. 7f ust. 5), a kierownik podmiotu złoży oświadczenie, którego treść nie odpowiada rzeczywistości.
• Błąd dotyczy danych, a nie statusu. Zła nazwa, nieaktualny adres albo niewłaściwy podsektor przy działalności, która ustawie podlega, to sprawa na wniosek o zmianę wpisu (art. 7c ust. 3), a nie na wykreślenie. Gdy dane się zmieniły, termin wynosi 14 dni od dnia zmiany. Organ może też wezwać do zmiany wpisu w 7 dni pod rygorem kary (art. 7k ust. 2).
• Status zmienił się tylko między podmiotem kluczowym a ważnym. Firma pozostaje w wykazie. Zmianę, na przykład deklaracji wielkości (art. 7 ust. 2 pkt 13), zgłasza wnioskiem o zmianę wpisu.
• Nie masz dokumentów. Jeśli nie umiesz pokazać, dlaczego firma nie podlega ustawie, najpierw zrób analizę.

Odwrotny przypadek też się zdarza. Firma składa wniosek o wykreślenie, bo nie chce wdrażać systemu zarządzania bezpieczeństwem informacji do 3 kwietnia 2027 r. To zła podstawa. Ten termin i obowiązki po wpisie opisuję we wpisie o wykazie KSC po 3 października 2026.

Co zrobić teraz

1. Sprawdź treść swojego wpisu w aplikacji Wykaz KSC i porównaj ją ze stanem faktycznym: sektor, podsektor, rodzaj działalności, kwalifikacja.
2. Ustal, czy problem dotyczy statusu, czy danych. Dane poprawiasz wnioskiem o zmianę wpisu, utratę statusu zgłaszasz wnioskiem o wykreślenie, a przy omyłkowym wpisie występujesz o wykreślenie przez organ.
3. Zbierz dokumenty pokazujące faktyczną działalność i wielkość firmy z uwzględnieniem grupy.
4. Przygotuj uzasadnienie, które zarząd może podpisać ze świadomością oświadczenia z art. 7c ust. 5.
5. Po złożeniu wniosku pilnuj miesiąca na odpowiedź organu i zachowaj potwierdzenia.
6. Jeśli dostałeś zawiadomienie o wpisie z urzędu, nie odkładaj decyzji. Biegnie termin na uzupełnienie danych, a przy wpisie przez organ właściwy także 30 dni na skargę.

Jeśli chcesz najpierw sprawdzić kwalifikację sam, Kwalifikacja NIS2 w około pięć minut przechodzi przez osiem obszarów i pokazuje wynik od razu. Jeśli wpis wydaje się błędny, dostałeś zawiadomienie o wpisie z urzędu albo organ odmówił wykreślenia, opisz sprawę. Pierwsza rozmowa jest bezpłatna.

FAQ

Czy wykreślenie z wykazu zwalnia z obowiązków z ustawy o KSC?

Nie, jeśli firma nadal spełnia przesłanki. Wykaz ma charakter deklaratoryjny. Obowiązki wynikają ze statusu, a nie z wpisu.

Ile czasu ma organ na rozpatrzenie wniosku?

Miesiąc od dnia złożenia wniosku. Jeśli w tym czasie nie odmówi, podmiot zostaje wykreślony.

Czy mogę zaskarżyć odmowę wykreślenia?

Tak. Odmowa wymaga uzasadnienia i przysługuje na nią skarga do sądu administracyjnego.

Firma prowadzi dwie działalności, a tylko jedna przestała podlegać ustawie. Co z wpisem?

Wniosek o wykreślenie składasz w zakresie tego sektora, podsektora albo rodzaju działalności. Wpis dotyczący drugiej działalności zostaje.

Tekst ma charakter informacyjny i nie stanowi porady prawnej w indywidualnej sprawie. Ocena, czy firma podlega ustawie, wymaga analizy jej sektora, faktycznej działalności i powiązań kapitałowych. Stan prawny na 14 października 2026 r.