Zarejestruj firmę w Wykazie KSC do 3 października 2026 roku, jeśli jest podmiotem kluczowym lub ważnym w rozumieniu UKSC. Wniosek złóż elektronicznie w systemie S46 na wykaz-ksc.gov.pl. Samorejestracja działa od 7 maja 2026, a za brak wpisu grozi kara do 10 mln euro.
Rejestr podmiotów NIS2 to w polskim prawie Wykaz podmiotów kluczowych i podmiotów ważnych, w skrócie Wykaz KSC. Prowadzi go Minister Cyfryzacji w systemie teleinformatycznym S46, a wpis jest obowiązkiem samego podmiotu - nikt nie przyśle Ci wezwania z wyprzedzeniem. To pierwszy twardy termin nowelizacji UKSC, wcześniejszy niż pełna zgodność z art. 21. Jeśli nie masz pewności, czy Twoja firma w ogóle podlega NIS2, zacznij od testu zakresu we wpisie czy NIS2 dotyczy mojej firmy - ta procedura zakłada, że odpowiedź brzmi “tak”.
Gdzie i do kiedy rejestrujesz firmę
Zarejestruj firmę na stronie wykaz-ksc.gov.pl - to publiczny punkt dostępu do systemu S46, w którym Ministerstwo Cyfryzacji prowadzi Wykaz KSC. Rejestr ruszył 13 kwietnia 2026 roku; do 6 maja wpisów dokonywali urzędnicy, a samorejestracja podmiotów działa od 7 maja 2026 roku. Termin na złożenie wniosku to 6 miesięcy od dnia, w którym firma spełniła przesłanki podmiotu kluczowego lub ważnego. Dla większości firm, które były w zakresie już w dniu wejścia nowelizacji w życie (3 kwietnia 2026), ten sześciomiesięczny termin upływa 3 października 2026 roku. Co dokładnie zmieniła nowelizacja, podsumowuje wpis UKSC 2026 - co się zmieniło.
Dwie drogi do wykazu: samorejestracja i wpis z urzędu
Do Wykazu KSC trafisz na dwa sposoby, a różnica między nimi decyduje o tym, ile masz czasu. Pierwsza droga to samorejestracja - sam składasz wniosek przed terminem. Druga to wpis z urzędu: jeśli Minister Cyfryzacji uzna, że firma spełnia przesłanki, wpisuje ją do wykazu sam, a następnie przesyła zawiadomienie wraz z wezwaniem i kodem dostępu do konta. Wtedy firma ma 6 miesięcy od wezwania na uzupełnienie danych. Nie licz jednak na tę drugą ścieżkę jako plan - obowiązek samoidentyfikacji spoczywa na firmie, a wpis z urzędu nie zwalnia z odpowiedzialności za spóźnienie.
| Droga do wykazu | Kto inicjuje | Ile masz czasu |
|---|---|---|
| Samorejestracja | Twoja firma składa wniosek | 6 miesięcy od spełnienia przesłanek (dla większości do 3.10.2026) |
| Wpis z urzędu | Minister Cyfryzacji wpisuje i wysyła wezwanie | 6 miesięcy od dnia wezwania na uzupełnienie danych |
Co przygotować przed złożeniem wniosku
Zbierz dane do wniosku, zanim usiądziesz do formularza - obejmuje on kilkanaście pól, a część z nich wymaga przygotowania. Wniosek do Wykazu KSC podaje między innymi:
- Identyfikacja firmy: nazwa podmiotu, NIP, REGON, numer w rejestrze działalności regulowanej (jeśli dotyczy), adres siedziby i do korespondencji oraz adres do doręczeń elektronicznych.
- Klasyfikacja: sektor, podsektor i rodzaj podmiotu według załącznika I lub II UKSC oraz wielkość firmy (liczba zatrudnionych).
- Infrastruktura: zakresy publicznych adresów IP i domeny internetowe wykorzystywane w sposób ciągły.
- Kontakt: dane osób do kontaktu z podmiotami krajowego systemu cyberbezpieczeństwa, administrator konta w systemie S46, numer telefonu i adres e-mail.
- Oświadczenie: oświadczenie kierownika podmiotu o prawdziwości danych - składane pod rygorem odpowiedzialności karnej.
Dwa pola sprawiają firmom najwięcej kłopotu: zakresy publicznych adresów IP i lista domen. W zewnętrznych ocenach regularnie stwierdzamy, że firma nie ma kompletnej, aktualnej listy tego, co sama wystawia do internetu - starych subdomen, zapomnianych usług, adresów pozostałych po migracji. To ta sama powierzchnia, którą trzeba wpisać do wykazu “w sposób ciągły”, więc jej spisanie zwykle zajmuje najwięcej czasu w całym wniosku.
Jak złożyć wniosek krok po kroku
Procedura jest w całości elektroniczna - nie ma ścieżki papierowej ani zgłoszenia przez e-mail. Pięć kroków, które Ministerstwo Cyfryzacji opisuje w instrukcji systemu S46, prowadzi od logowania do potwierdzenia wpisu:
- Zaloguj się do systemu S46 przez Krajowy Węzeł Identyfikacji Elektronicznej - Profilem Zaufanym, aplikacją mObywatel, e-dowodem, bankowością internetową lub certyfikatem kwalifikowanym.
- Wybierz “Wpisz nowy podmiot” na stronie startowej i otwórz nowy wniosek.
- Wypełnij kolejne sekcje wniosku danymi przygotowanymi wcześniej - od informacji podstawowych, przez klasyfikację sektorową, po zakresy adresów IP i domeny.
- Podpisz wniosek. Robi to kierownik podmiotu lub osoba przez niego upoważniona - Podpisem Zaufanym albo zewnętrznym podpisem kwalifikowanym (pobierasz plik XML, podpisujesz go i wgrywasz z powrotem).
- Wyślij wniosek. Wpis następuje z chwilą złożenia: wniosek dostaje status “Zatwierdzony”, a na e-mail przychodzi potwierdzenie. Jeśli dane kolidują z istniejącym wpisem (na przykład ten sam NIP), wniosek trafia do weryfikacji operatora ze statusem “Oczekuje na weryfikację”.
Po rejestracji: aktualizacje i kolejny termin
Wpis to nie koniec obowiązków. Każdą zmianę danych podanych we wniosku - nowy zakres adresów IP, zmianę osoby do kontaktu, nową domenę - zgłoś w ciągu 14 dni. Jeśli organ wezwie firmę do skorygowania danych, masz na to 7 dni od otrzymania wezwania. Rozwiej przy okazji jeden mit: osoba do kontaktu nie jest osobnym obowiązkiem z własnym terminem - to jedno z pól wniosku, które podajesz przy rejestracji.
Kolejny twardy termin to pełna zgodność z 10 środkami z art. 21, która obowiązuje od 3 kwietnia 2027 roku. Co obejmują te środki - i jak art. 8 UKSC mapuje się na art. 32 RODO - rozpisujemy w przewodniku środki techniczne RODO i NIS2, a ich warstwę techniczną weryfikuje zewnętrzna ocena podatności. Pełny obraz obowiązków, terminów i listy środków znajdziesz w przewodniku po NIS2 i UKSC.
FAQ: najczęstsze pytania o rejestrację w Wykazie KSC
Gdzie zarejestrować firmę do NIS2?
Firmę rejestrujesz w Wykazie KSC - oficjalnie Wykazie podmiotów kluczowych i podmiotów ważnych - na stronie wykaz-ksc.gov.pl, w systemie S46 prowadzonym przez Ministra Cyfryzacji. Wniosek składa się w całości elektronicznie; nie ma ścieżki papierowej ani rejestracji przez e-mail.
Do kiedy trzeba zarejestrować firmę w Wykazie KSC?
Termin to 6 miesięcy od dnia spełnienia przesłanek podmiotu kluczowego lub ważnego. Dla firm, które były w zakresie już 3 kwietnia 2026 roku, upływa on 3 października 2026 roku. Samorejestracja w systemie S46 działa od 7 maja 2026 roku.
Kto podpisuje wniosek o wpis do Wykazu KSC?
Wniosek składa i podpisuje kierownik podmiotu albo osoba przez niego upoważniona - Podpisem Zaufanym lub podpisem kwalifikowanym. Do wniosku dołącza się oświadczenie kierownika o prawdziwości danych, składane pod rygorem odpowiedzialności karnej.
Co jeśli Ministerstwo wpisało firmę do wykazu z urzędu?
Minister Cyfryzacji może wpisać podmiot z urzędu i przesłać zawiadomienie z wezwaniem oraz kodem dostępu do konta. Firma ma wtedy 6 miesięcy od wezwania na uzupełnienie danych. Wpis z urzędu nie zwalnia z obowiązku samoidentyfikacji ani z odpowiedzialności za wcześniejsze spóźnienie.
Jaka kara grozi za brak rejestracji w Wykazie KSC?
Za niedopełnienie obowiązku wpisu grozi kara administracyjna do 10 mln euro lub 2% obrotu dla podmiotów kluczowych oraz do 7 mln euro lub 1,4% dla ważnych. Podanie nieprawdziwych danych w oświadczeniu kierownika jest dodatkowo zagrożone odpowiedzialnością karną.
Zanim zgłosisz zakres publicznych adresów IP i domen do Wykazu KSC, zobacz, co Twoja firma naprawdę wystawia do internetu. Zamów bezpłatny PreScan: w 24 godziny pokażemy zewnętrzną powierzchnię ataku domeny Twojej firmy i luki, które warto zamknąć w pierwszej kolejności.
Materiał informacyjny, nie jest to porada prawna. Stan prawny na sierpień 2026 roku. O tym, czy firma podlega UKSC i jak sklasyfikować ją w Wykazie KSC, decyduje indywidualna analiza sektora i wielkości - w razie wątpliwości skonsultuj się z radcą prawnym lub Inspektorem Ochrony Danych przed terminem 3 października 2026 roku.