Złóż wniosek o wpis do Wykazu KSC w systemie S46 na wykaz-ksc.gov.pl, jeśli firma jest podmiotem kluczowym lub ważnym - także po terminie 3 października 2026 roku. Wniosek podpisuje kierownik podmiotu. Kara za spóźnienie jest fakultatywna i może zapaść najwcześniej w kwietniu 2028, ale organ może wpisać firmę do wykazu z urzędu.
Rejestr podmiotów NIS2 to w polskim prawie Wykaz podmiotów kluczowych i podmiotów ważnych (Wykaz KSC), prowadzony przez Ministra Cyfryzacji w systemie S46. Wpis jest obowiązkiem samego podmiotu - nikt nie przyśle Ci wezwania z wyprzedzeniem. Jeśli nie masz pewności, czy Twoja firma podlega NIS2 i UKSC, zacznij od testu zakresu we wpisie czy NIS2 dotyczy mojej firmy.
Gdzie rejestrujesz firmę i skąd wziął się termin 3 października
Zarejestruj firmę na wykaz-ksc.gov.pl, publicznym punkcie dostępu do systemu S46 Ministerstwa Cyfryzacji.
Termin 3 października nie wynika wprost z ustawy. Ustawa nowelizująca kazała Ministrowi Cyfryzacji ogłosić harmonogram wpisów dla firm będących w zakresie 3 kwietnia 2026 roku (art. 34 ust. 3), a komunikat z 8 kwietnia wyznaczył okno od 7 maja do 3 października. Firmę, która spełni przesłanki później, obowiązuje art. 7c ust. 1 UKSC: 6 miesięcy od dnia ich spełnienia. Szerzej o nowelizacji: UKSC 2026 - co się zmieniło.
Termin minął - co zrobić, jeśli firma nie złożyła wniosku
Złóż wniosek teraz, tą samą ścieżką w systemie S46. Obowiązek wpisu nie wygasł 3 października - minął tylko termin. Spóźnienie ma trzy skutki prawne:
- Wpis z urzędu przez organ sektorowy. Organ właściwy do spraw cyberbezpieczeństwa dla sektora może wpisać firmę do wykazu na podstawie rejestrów publicznych i wezwać ją do uzupełnienia danych w 6 miesięcy pod rygorem kary (art. 7j UKSC).
- Kara fakultatywna, nie automatyczna. Organ może nałożyć karę, “jeżeli przemawia za tym waga i znaczenie naruszonych przepisów” (art. 73 ust. 1a). Widełki podajemy w FAQ niżej. Osobną karę ustawa przewiduje dla kierownika podmiotu (art. 73a).
- Karencja do kwietnia 2028. Kary z art. 73 ust. 1-4 i art. 73a mogą zostać nałożone po raz pierwszy po upływie 2 lat od wejścia nowelizacji w życie, czyli najwcześniej w kwietniu 2028 roku (art. 35 ustawy nowelizującej).
Karencja nie jest powodem, żeby czekać: termin wdrożenia środków z art. 8 UKSC (3 kwietnia 2027) się nie przesuwa, a przy wpisie z urzędu dane do wykazu bierze organ z rejestrów, nie Twoja firma.
Trzy drogi do wykazu
Większość prywatnych firm ma do dyspozycji tylko samorejestrację - wpis przez organ sektorowy jest skutkiem spóźnienia, nie alternatywą.
| Droga do wykazu | Kogo dotyczy | Kto inicjuje | Ile masz czasu |
|---|---|---|---|
| Samorejestracja | Pozostałe podmioty kluczowe i ważne | Twoja firma składa wniosek | 6 miesięcy od spełnienia przesłanek (firmy w zakresie od 3.04.2026: do 3.10.2026) |
| Wpis z urzędu przez Ministra Cyfryzacji | Podmioty publiczne, przedsiębiorcy telekomunikacyjni, dostawcy usług zaufania, podmioty krytyczne, dotychczasowi operatorzy usług kluczowych | Minister wpisuje i wysyła wezwanie | 6 miesięcy od doręczenia wezwania na uzupełnienie danych |
| Wpis z urzędu po terminie | Firma, która spełnia przesłanki, a nie złożyła wniosku | Organ właściwy do spraw cyberbezpieczeństwa dla sektora | 6 miesięcy od zawiadomienia, pod rygorem kary |
Co przygotować przed złożeniem wniosku
Zbierz dane, zanim usiądziesz do formularza. Wniosek do Wykazu KSC obejmuje między innymi:
- Identyfikacja firmy: nazwa, NIP, REGON, numer w rejestrze działalności regulowanej (jeśli dotyczy), adresy siedziby, do korespondencji i do doręczeń elektronicznych.
- Klasyfikacja: sektor, podsektor i rodzaj podmiotu według załącznika I lub II UKSC oraz wielkość firmy (liczba zatrudnionych).
- Infrastruktura: zakresy publicznych adresów IP i domeny internetowe wykorzystywane w sposób ciągły.
- Kontakt: dane osób do kontaktu z podmiotami krajowego systemu cyberbezpieczeństwa, administrator konta w systemie S46, numer telefonu i adres e-mail.
- Oświadczenie: oświadczenie kierownika podmiotu o prawdziwości danych - składane pod rygorem odpowiedzialności karnej.
Najwięcej kłopotu sprawiają dwa pola: zakresy publicznych adresów IP i lista domen. W blisko 40% domen firm, które sprawdziliśmy PreScanem między lipcem a październikiem 2026 roku, na adresach powiązanych z domeną z internetu odpowiadała baza danych MySQL lub PostgreSQL. Taki sam odsetek miał publicznie dostępny serwer FTP bez szyfrowania. Część takich usług może należeć do dostawcy hostingu, nie do firmy - i właśnie to musisz ustalić, zanim wpiszesz adresy IP do wniosku.
Jak złożyć wniosek krok po kroku
Procedura jest w całości elektroniczna, bez ścieżki papierowej. Pięć kroków z instrukcji systemu S46 Ministerstwa Cyfryzacji:
- Zaloguj się do systemu S46 przez Krajowy Węzeł Identyfikacji Elektronicznej - Profilem Zaufanym, aplikacją mObywatel, e-dowodem, bankowością internetową lub certyfikatem kwalifikowanym.
- Wybierz “Wpisz nowy podmiot” na stronie startowej i otwórz nowy wniosek.
- Wypełnij kolejne sekcje wniosku danymi przygotowanymi wcześniej - od informacji podstawowych, przez klasyfikację sektorową, po zakresy adresów IP i domeny.
- Podpisz wniosek. Robi to kierownik podmiotu lub osoba przez niego upoważniona - Podpisem Zaufanym albo zewnętrznym podpisem kwalifikowanym (pobierasz plik XML, podpisujesz go i wgrywasz z powrotem).
- Wyślij wniosek. Wpis następuje z chwilą złożenia: wniosek dostaje status “Zatwierdzony”, a na e-mail przychodzi potwierdzenie. Jeśli dane kolidują z istniejącym wpisem (na przykład ten sam NIP), wniosek trafia do weryfikacji operatora ze statusem “Oczekuje na weryfikację”.
Po rejestracji: aktualizacje i kolejny termin
Każdą zmianę danych z wniosku - nowy zakres adresów IP, nową domenę, inną osobę do kontaktu - zgłoś w ciągu 14 dni. Jeśli organ wezwie firmę do poprawienia danych niezgodnych ze stanem faktycznym, masz na to 7 dni od doręczenia wezwania. Z systemu S46 firma zaczyna korzystać po wpisie, według komunikatu Ministra Cyfryzacji najpóźniej do 3 kwietnia 2027 roku.
Wyznaczenie osób do kontaktu to osobny obowiązek z art. 9 UKSC: co najmniej dwie osoby, a w mikro- i małej firmie co najmniej jedna. Nie ma jednak osobnej procedury ich zgłaszania - ich dane podajesz we wniosku.
Kolejny termin to wdrożenie środków bezpieczeństwa z art. 8 UKSC (polskiej wersji art. 21 dyrektywy NIS2) do 3 kwietnia 2027 roku. Jak te środki mapują się na art. 32 RODO, rozpisujemy w przewodniku środki techniczne RODO i NIS2, a ich warstwę techniczną weryfikuje zewnętrzna ocena podatności. Pełny obraz terminów znajdziesz w przewodniku po NIS2 i UKSC.
FAQ: najczęstsze pytania o rejestrację w Wykazie KSC
Gdzie zarejestrować firmę do NIS2?
W Wykazie KSC na stronie wykaz-ksc.gov.pl, w systemie S46 Ministra Cyfryzacji. Wniosek składa się wyłącznie elektronicznie i podpisuje go kierownik podmiotu albo osoba przez niego upoważniona.
Do kiedy trzeba zarejestrować firmę w Wykazie KSC?
Firmy, które spełniały przesłanki już 3 kwietnia 2026 roku, miały czas do 3 października 2026 roku - według harmonogramu Ministra Cyfryzacji. Firma, która spełni przesłanki później, ma 6 miesięcy od tego dnia (art. 7c ust. 1 UKSC).
Co jeśli firma nie zarejestrowała się do 3 października 2026?
Złóż wniosek w systemie S46 jak najszybciej - obowiązek nie wygasł razem z terminem. Organ właściwy dla sektora może wpisać firmę z urzędu i wezwać ją do uzupełnienia danych w 6 miesięcy. Kara za spóźnienie jest fakultatywna i może zapaść najwcześniej w kwietniu 2028 roku.
Jaka kara grozi za brak rejestracji w Wykazie KSC?
Od 20 000 zł do 10 mln euro lub 2% przychodów dla podmiotu kluczowego i od 15 000 zł do 7 mln euro lub 1,4% dla ważnego - jeśli organ uzna, że przemawia za tym waga naruszenia. Kara może zapaść najwcześniej w kwietniu 2028 roku.
Zanim zgłosisz zakres publicznych adresów IP i domen do Wykazu KSC, zobacz, co Twoja firma naprawdę wystawia do internetu. Zamów bezpłatny PreScan: w 24 godziny pokażemy zewnętrzną powierzchnię ataku domeny Twojej firmy i luki, które warto zamknąć w pierwszej kolejności.
Materiał informacyjny, nie jest to porada prawna. Stan prawny na październik 2026 roku. O tym, czy firma podlega UKSC i jak sklasyfikować ją w Wykazie KSC, decyduje indywidualna analiza sektora i wielkości - w razie wątpliwości skonsultuj się z radcą prawnym lub Inspektorem Ochrony Danych.