Wykaz podmiotów kluczowych i ważnych (wykaz KSC) to rejestr prowadzony w systemie S46, do którego trafia każdy podmiot objęty znowelizowaną ustawą o krajowym systemie cyberbezpieczeństwa. Podmioty publiczne, przedsiębiorców telekomunikacyjnych, dostawców usług zaufania i dawnych operatorów usług kluczowych Minister Cyfryzacji wpisał z urzędu - mają 6 miesięcy od doręczenia wezwania na uzupełnienie danych. Pozostałe podmioty musiały same złożyć wniosek w aplikacji Wykaz KSC (wykaz-ksc.gov.pl) od 7 maja do 3 października 2026. Poniżej wyjaśniamy, kto jest na której ścieżce i co zrobić, jeśli termin minął.
Czym jest wykaz i gdzie są przepisy
Wykaz wprowadziła ustawa z 23 stycznia 2026 r. o zmianie ustawy o krajowym systemie cyberbezpieczeństwa (Dz.U. 2026 poz. 252), obowiązująca od 3 kwietnia 2026. Przepisy o nim to art. 7-7m ustawy o KSC, a przepisy przejściowe - art. 33 i 34 ustawy nowelizującej.
Wykaz służy do identyfikacji podmiotów, wymiany informacji z zespołami CSIRT i organami oraz do nadzoru (art. 7 ust. 1). Zawiera m.in. nazwę, sektor i rodzaj podmiotu, adresy, NIP i REGON, publiczne adresy IP i domeny używane w sposób ciągły, dane osób do kontaktu oraz deklarację wielkości podmiotu (art. 7 ust. 2). Wpis ma charakter deklaratoryjny (art. 7d ust. 5): to nie on tworzy obowiązki. Podmiot, który spełnia kryteria, ma obowiązki z ustawy także wtedy, gdy w wykazie go nie ma.
Wykaz prowadzi się w systemie teleinformatycznym S46 (art. 7 ust. 6, art. 46 ust. 1a). Aplikacja Wykaz KSC jest jego częścią, a zawiadomienia i wezwania w imieniu ministra wysyła NASK.
Dwie ścieżki do wykazu
| Wpis z urzędu | Samorejestracja | |
|---|---|---|
| Kogo dotyczy | podmioty publiczne, przedsiębiorcy telekomunikacyjni, dostawcy usług zaufania, podmioty krytyczne (art. 7a ust. 2), dawni operatorzy usług kluczowych (art. 34 ust. 2 ustawy nowelizującej) | pozostałe podmioty kluczowe i ważne, głównie prywatne |
| Kto działa pierwszy | Minister Cyfryzacji wpisuje dane z rejestrów publicznych | podmiot składa wniosek o wpis |
| Co robi podmiot | uzupełnia brakujące dane wnioskiem o zmianę wpisu (art. 7b ust. 4) | podaje wszystkie dane z art. 7 ust. 2 pkt 1-18 (art. 7c ust. 2) |
| Termin | 6 miesięcy od doręczenia wezwania (art. 7b ust. 2) | 7 maja - 3 października 2026 według harmonogramu ministra (art. 33 ust. 3 i art. 34 ust. 3 ustawy nowelizującej) |
Wpis z urzędu: szkoły, gminy, urzędy
Jednostka samorządu terytorialnego, szkoła czy ośrodek pomocy społecznej będące podmiotami publicznymi nie składają wniosku o wpis. Minister wpisuje je sam, na podstawie danych z rejestrów publicznych i bazy adresów elektronicznych (art. 7a ust. 2), a następnie doręcza zawiadomienie o wpisie i wezwanie do uzupełnienia danych (art. 7b ust. 1-2). Według ministerstwa wezwanie zawiera link i kod dostępu: po zalogowaniu w aplikacji Wykaz KSC wpisuje się kod, a formularz jest częściowo wypełniony danymi z rejestrów.
Wezwanie wskazuje podstawę wpisu, numer podmiotu w wykazie, wpisane dane z ich źródłem i dane, których brakuje (art. 7b ust. 3). Zwykle trzeba dopisać to, czego rejestry nie znają:
- zakresy publicznych adresów IP i domeny internetowe używane w sposób ciągły,
- dane osób do kontaktu - imię i nazwisko, służbowy telefon i e-mail,
- dane administratora konta podmiotu w S46, w tym numer PESEL,
- deklarację wielkości podmiotu, a w przypadku urzędu gminy - liczbę zatrudnionych.
Na uzupełnienie jest 6 miesięcy od doręczenia wezwania (art. 7b ust. 2), pod rygorem kary pieniężnej (art. 73 ust. 1 pkt 1). Termin liczy się od doręczenia, nie od wejścia w życie ustawy. Ministerstwo zapowiadało wpisy z urzędu samorządowych instytucji kultury jako kolejny etap, po pierwszej fali wysłanej w maju 2026.
Uwaga praktyczna: próba samodzielnej rejestracji podmiotu już wpisanego z urzędu się nie uda, bo wpisu nie dokonuje się dla podmiotu, który już jest w wykazie (art. 7d ust. 3 pkt 2). Jednostka publiczna czeka więc na wezwanie albo pyta o nie NASK.
Samorejestracja: od 7 maja do 3 października 2026
Podmioty kluczowe i ważne, które spełniały kryteria w dniu wejścia w życie nowelizacji i nie są wpisywane z urzędu, składały wniosek według harmonogramu ogłoszonego przez ministra (art. 33 ust. 3 i art. 34 ust. 3 ustawy nowelizującej). Okno trwało od 7 maja do 3 października 2026.
Wniosek składa się elektronicznie w S46 (art. 7c ust. 6). Podpisuje go kierownik podmiotu albo osoba przez niego upoważniona - podpisem kwalifikowanym, zaufanym lub osobistym, albo kwalifikowaną pieczęcią elektroniczną. Pełnomocnik dołącza pełnomocnictwo w postaci elektronicznej; prokurent ujawniony w KRS i pełnomocnik ujawniony w CEIDG nie muszą (art. 7c ust. 7). Każdy wniosek zawiera oświadczenie kierownika o prawdziwości danych pod odpowiedzialnością karną z art. 233 § 6 Kodeksu karnego (art. 7c ust. 5). Wpis następuje z chwilą złożenia wniosku (art. 7d ust. 1).
Termin minął albo wezwania nie było - co teraz
Podmiot prywatny, który nie złożył wniosku do 3 października 2026, powinien zrobić to niezwłocznie. Obowiązek nie wygasł z upływem terminu. Ustawa przewiduje dwie konsekwencje: organ właściwy może wpisać podmiot z urzędu i wezwać go do uzupełnienia danych w 6 miesięcy (art. 7j), a jeśli przemawia za tym waga naruszenia - nałożyć karę za niezłożenie wniosku (art. 73 ust. 1a pkt 1). Karze może podlegać też kierownik (art. 73a ust. 1 pkt 1). Kary te można jednak nałożyć po raz pierwszy dopiero po 3 kwietnia 2028 (art. 35 ustawy nowelizującej). Czy aplikacja przyjmuje wnioski po 3 października, warto sprawdzić na wykaz-ksc.gov.pl albo w NASK - nie znaleźliśmy oficjalnego komunikatu na ten temat.
Jednostka publiczna bez wezwania nie musi niczego składać, ale nie powinna czekać w ciemno. Warto zapytać NASK (s46-admin@nask.pl), czy jest w wykazie i kiedy wezwanie zostało lub zostanie doręczone. Najpierw jednak warto sprawdzić skrzynkę doręczeń elektronicznych i pocztę z ostatnich miesięcy - termin 6 miesięcy biegnie od doręczenia, także jeśli nikt nie otworzył pisma.
O tym, czy jednostka w ogóle jest podmiotem ważnym, piszemy w artykule Podmiot ważny publiczny w KSC.
Podmioty, które spełnią kryteria później
Podmiot, który stanie się kluczowy lub ważny po wejściu w życie nowelizacji - bo urósł, zmienił działalność albo wszedł w nowy sektor - składa wniosek o wpis w ciągu 6 miesięcy od dnia spełnienia przesłanek (art. 7c ust. 1). Od tego samego dnia ma 12 miesięcy na wykonanie obowiązków z rozdziału 3 (art. 16 pkt 1) i na rozpoczęcie korzystania z S46 (art. 46 ust. 4), a podmiot kluczowy 24 miesiące na pierwszy audyt (art. 16 pkt 2).
Wpis trzeba też utrzymywać aktualny: zmianę danych zgłasza się w 14 dni (art. 7c ust. 3), a podmiot, który przestał spełniać kryteria, składa wniosek o wykreślenie z uzasadnieniem (art. 7f ust. 3).
S46 do 3 kwietnia 2027
Po wpisie podmiot zaczyna korzystać z systemu S46 (art. 9 ust. 1 pkt 4). Według harmonogramu ministra podmioty, które spełniały kryteria w dniu wejścia w życie nowelizacji, mają na to czas do 3 kwietnia 2027 - tego samego dnia mija termin na wdrożenie SZBI, obsługi incydentów i pozostałych obowiązków (art. 33 ust. 1 ustawy nowelizującej). Przez S46 zgłasza się incydenty poważne; jak to wygląda w praktyce, opisujemy w artykule Incydent poważny w KSC.
Osoba do kontaktu
Dane osób do kontaktu są częścią wpisu (art. 7 ust. 2 pkt 11). Podmiot kluczowy lub ważny wyznacza co najmniej dwie takie osoby, mikro- i mały przedsiębiorca co najmniej jedną, a podmiot ważny będący podmiotem publicznym także co najmniej jedną (art. 9 ust. 1-3). Za niewyznaczenie karze pieniężnej może podlegać także kierownik (art. 73a ust. 1 pkt 6).
Przy wyborze warto pamiętać o dwóch rzeczach. Osoba do kontaktu musi być osiągalna wtedy, gdy CSIRT dzwoni w sprawie incydentu - także poza godzinami pracy. A osoba wykonująca zadania z art. 8 lub 11 przedstawia wcześniej informację z Krajowego Rejestru Karnego (art. 8f ust. 1). Administrator konta w S46 nie musi być tą samą osobą, ale w małej jednostce zwykle jest.
Jak pomaga Cyberenu
Wniosku w aplikacji Wykaz KSC nie złożymy za Ciebie - to czynność kierownika albo osoby przez niego upoważnionej. Cyberenu pomaga w tym, co przychodzi po wpisie: na danych wprowadzonych raz do dokumentacji RODO buduje SZBI, ocenia każde wymaganie ustawy, prowadzi rejestr incydentów z datą zgłoszenia przez S46 i rejestr szkoleń kierownika, a kalendarz SZBI przypomina o terminach na 30 dni przed nimi. Plan na kolejne miesiące podpowiadamy w artykule Wdrożenie SZBI krok po kroku, a o ofertę możesz zapytać przez formularz kontaktowy.
