Nowelizacja ustawy o KSC – co zmienia dyrektywa NIS2 dla polskich firm?
Najnowsza nowelizacja ustawy o krajowym systemie cyberbezpieczeństwa z 2018 roku stanowi przełomowy moment dla tysięcy polskich przedsiębiorców. Zmiana, która weszła w życie 3 kwietnia 2026 r., wdraża do krajowego porządku prawnego rozwiązania europejskiej dyrektywy NIS2 – kompleksowego aktu regulującego cyberbezpieczeństwo w całej Unii Europejskiej.
Od 7 maja 2026 r. przedsiębiorcy mogą składać wnioski rejestracyjne do Krajowego Systemu Cyberbezpieczeństwa (KSC), prowadzonego przez Ministra Cyfryzacji. Termin na dopełnienie tego obowiązku upływa 3 października 2026 r. – a konsekwencje jego niedotrzymania mogą być niezwykle dotkliwe. Ustawa przewiduje bowiem kary finansowe sięgające nawet 100 mln złotych.
Według danych Ministerstwa Cyfryzacji nowe regulacje mogą objąć około 38 tysięcy podmiotów, w tym około 11 tysięcy niepublicznych. Skala zmian jest zatem ogromna, a wielu przedsiębiorców wciąż nie zdaje sobie sprawy, że przepisy dotyczą właśnie ich organizacji.
Warto podkreślić istotną zasadę: każda firma, która zacznie spełniać warunki uznania za podmiot kluczowy lub ważny już po wejściu w życie ustawy, będzie miała od tego momentu sześć miesięcy na wystąpienie o wpis do wykazu. Obowiązek rejestracji nie jest więc jednorazowy – ma charakter ciągły.
Kogo dokładnie obejmuje obowiązek rejestracji w KSC?
Dyrektywa NIS2 tworzy wspólne ramy cyberbezpieczeństwa dla 18 sektorów istotnych dla funkcjonowania państwa i gospodarki. Polska ustawa precyzyjnie określa sektory, podsektory oraz rodzaje podmiotów objętych regulacjami. Do sektorów kluczowych należą:
- Energia – w tym inwestycje energetyki jądrowej
- Transport – lotniczy, kolejowy, wodny i drogowy
- Bankowość i infrastruktura rynków finansowych
- Ochrona zdrowia
- Zaopatrzenie w wodę pitną i jej dystrybucja
- Zbiorowe odprowadzanie ścieków
- Infrastruktura cyfrowa i zarządzanie usługami ICT
- Przestrzeń kosmiczna
- Podmioty publiczne
Co do zasady regulacje dotyczą średnich i dużych podmiotów. W niektórych przypadkach ustawa obejmuje jednak organizacje niezależnie od ich wielkości – ze względu na szczególne znaczenie świadczonej usługi. Sama obecność branży na liście nie przesądza jeszcze o obowiązku wpisu, ale powinna stanowić wyraźny sygnał do natychmiastowej weryfikacji statusu firmy.
Co istotne, nowe obowiązki mogą objąć również część firm handlowych – w szczególności przedsiębiorstwa zajmujące się hurtową dystrybucją żywności, produkcją lub dystrybucją chemikaliów, a także operatorów internetowych platform handlowych. O obowiązku wpisu decydują rodzaj prowadzonej działalności, wielkość przedsiębiorstwa, powiązania kapitałowe oraz wyjątki przewidziane w ustawie.
Wpis do wykazu to dopiero początek – jakie obowiązki czekają po rejestracji?
Rejestracja w KSC otwiera przedsiębiorcom drogę do szeregu dalszych zobowiązań. Po wpisie do wykazu podmioty będą musiały rozpocząć korzystanie z systemu S46, służącego m.in. do zgłaszania incydentów cyberbezpieczeństwa i komunikacji w ramach Krajowego Systemu Cyberbezpieczeństwa.
Podmioty kluczowe i ważne, które spełniały ustawowe kryteria na dzień 3 kwietnia 2026 r., muszą do 3 kwietnia 2027 r. rozpocząć korzystanie z systemu oraz wdrożyć pozostałe obowiązki wynikające z nowych przepisów. Dyrektywa NIS2 wymaga zastosowania odpowiednich i proporcjonalnych środków technicznych, operacyjnych i organizacyjnych, obejmujących w szczególności:
- Analizę ryzyka i przygotowanie zasad reagowania na incydenty
- Zapewnienie ciągłości działania i regularne wykonywanie kopii zapasowych
- Weryfikację bezpieczeństwa dostawców i łańcucha dostaw
- Bezpieczne nabywanie i utrzymywanie systemów informatycznych
- Stosowanie kryptografii, szyfrowania oraz uwierzytelniania wieloskładnikowego
- Szkolenie pracowników w zakresie cyberhigieny
Wdrożenie tych wymogów wiąże się z istotnymi kosztami – zarówno finansowymi, jak i organizacyjnymi. Firma musi przeanalizować regulacje, ustalić zakres odpowiedzialności, przeszkolić personel, zweryfikować dostawców oraz sfinansować niezbędne zmiany technologiczne. Im później rozpoczną się przygotowania, tym większe będzie ryzyko spiętrzenia wydatków w krótkim okresie.
Kary za brak rejestracji i nieprzestrzeganie przepisów – nawet 100 mln zł
Ustawodawca przewidział surowy system sankcji za naruszenie obowiązków związanych z cyberbezpieczeństwem. Za niezłożenie wniosku o wpis do wykazu podmiotów kluczowych i ważnych w ustawowym terminie właściwy organ może nałożyć karę pieniężną. Sankcje grożą również za niewdrożenie zasad zarządzania ryzykiem, brak zgłoszenia incydentu, nieprzeprowadzenie obowiązkowego audytu oraz niewykonanie zaleceń organu.
Standardowo kary mieszczą się w przedziale od 15 tys. zł do 10 mln euro. Dla podmiotów kluczowych minimalna kara wynosi 20 tys. zł, a maksymalna to równowartość 10 mln euro albo 2% przychodów z działalności gospodarczej – zastosowanie ma kwota wyższa. Dla podmiotów ważnych minimalna kara to 15 tys. zł, a maksymalna – 7 mln euro albo 1,4% przychodów.
Szczególnie dotkliwa kara – do 100 mln złotych – może zostać nałożona, gdy naruszenie powoduje bezpośrednie i poważne cyberzagrożenie oraz grozi poważną szkodą majątkową lub poważnymi utrudnieniami w świadczeniu usług. Co ważne, ustawa przewiduje również odpowiedzialność osobistą kierowników podmiotów kluczowych i ważnych – kara dla osoby zarządzającej może wynieść do 300% jej wynagrodzenia.
Przepisy przejściowe stanowią, że większość kar będzie mogła zostać po raz pierwszy nałożona po upływie dwóch lat od wejścia nowelizacji w życie. Ograniczenie to nie obejmuje jednak szczególnej kary do 100 mln zł – ta może być wymierzona już wcześniej.
Co Twoja firma powinna zrobić teraz? Cztery kluczowe kroki
Czas na działanie jest ograniczony. Przedsiębiorca powinien niezwłocznie podjąć następujące kroki:
- Zweryfikować status firmy – sprawdzić profil działalności, kod PKD, wielkość przedsiębiorstwa oraz dane podmiotów partnerskich i powiązanych, aby ustalić, czy organizacja kwalifikuje się jako podmiot kluczowy lub ważny.
- Ustalić tryb wpisu – sprawdzić, czy organizacja została wpisana do wykazu z urzędu (dotyczy m.in. podmiotów publicznych, przedsiębiorców telekomunikacyjnych, dostawców usług zaufania), czy musi złożyć wniosek samodzielnie.
- Dopełnić formalności rejestracyjnych – jeżeli firma spełniała kryteria na dzień 3 kwietnia 2026 r. i nie została wpisana z urzędu, złożyć wniosek najpóźniej do 3 października 2026 r.
- Przygotować plan wdrożenia – wyznaczyć osoby odpowiedzialne, przeprowadzić analizę ryzyka, zaplanować działania techniczne i organizacyjne oraz uwzględnić ich koszty w budżecie i planie płynności finansowej.
Samo złożenie wniosku nie oznacza wypełnienia wszystkich obowiązków. Rejestracja w KSC to zaledwie pierwszy element z obszernej listy wymogów, jakie nakłada znowelizowana ustawa. Dlatego przygotowania organizacyjne, techniczne i finansowe nie powinny czekać do października.
Potrzebujesz wsparcia prawnego? Skontaktuj się z naszą kancelarią
Nowe przepisy o cyberbezpieczeństwie są złożone, a konsekwencje ich nieprzestrzegania mogą zagrozić stabilności finansowej całego przedsiębiorstwa. Prawidłowa kwalifikacja statusu firmy, przygotowanie dokumentacji oraz wdrożenie wymaganych procedur wymaga specjalistycznej wiedzy prawnej.
Nasza kancelaria oferuje kompleksowe wsparcie na każdym etapie – od weryfikacji, czy Twoja firma podlega obowiązkowi rejestracji w KSC, przez przygotowanie wniosku, aż po doradztwo w zakresie wdrożenia wymagań dyrektywy NIS2. Nie czekaj do ostatniego dnia – skontaktuj się z nami już dziś i zabezpiecz swoją firmę przed ryzykiem wysokich kar finansowych.
