Status i obowiązki
Rejestracja w wykazie podmiotów kluczowych i ważnych — co, kiedy i jak zgłosić
Jeśli podlegacie ustawie o KSC, macie obowiązek zgłosić się do wykazu podmiotów kluczowych i ważnych — niezależnie od tego, do której z tych dwóch klas należycie. To osobny, czysto formalny obowiązek: elektroniczny wniosek, konkretne terminy i oświadczenie kierownika podpisywane pod odpowiedzialnością karną. Sprawdźcie, co dokładnie trzeba zrobić, do kiedy, i czego ten obowiązek nie obejmuje.
Ważne:
Jeśli byliście już objęci ustawą w chwili wejścia w życie nowelizacji KSC (3.04.2026), obowiązywało Was odrębne, kalendarzowe okno samorejestracji — patrz sekcja „Terminy" niżej. Podmioty, które dopiero zaczną spełniać przesłanki, liczą własny termin 6 miesięcy od tego dnia.
Executive summary
Trzy zdania, które trzeba zapamiętać
Skrót całej strony o rejestracji w wykazie podmiotów kluczowych i ważnych.
1. To osobny obowiązek, nie część zabezpieczeń
Rejestracja nie ma nic wspólnego z wdrażaniem systemu bezpieczeństwa, audytem czy zgłaszaniem incydentów. To czysto administracyjna formalność: zgłoszenie się do wykazu prowadzonego przez ministra.
2. Kluczowy i ważny? Bez różnicy
Model IRNIS to potwierdza: żaden z trzech obowiązków rejestracyjnych (wpis/zmiana, uzupełnienie, wykreślenie) nie różni kluczowego od ważnego — terminy, forma wniosku i wymagania są identyczne dla obu klas. Różnicę widać dopiero przy audycie bezpieczeństwa.
3. Wykaz prowadzi minister, nie Wy
Sam wykaz — jego treść, wpisy z urzędu, wykreślenia z urzędu czy uznanie kogoś za podmiot kluczowy decyzją — to zadania ministra i organów. Wy odpowiadacie tylko za zgłoszenie, aktualizację i wykreślenie się.
Trzy wnioski z modelu
Co składacie i kiedy
Model IRNIS niesie trzy obowiązki rejestracyjne — w zależności od tego, co się właśnie z Wami dzieje.
| Sytuacja | Co składacie | Termin | Podstawa prawna |
|---|---|---|---|
| Zaczynacie podlegać ustawie o KSC, albo zmieniają się Wasze dane (adres, kontakt, zakres działalności itd.) | Wniosek o wpis i wniosek o zmianę wpisu Podmiot kluczowy lub ważny składa wniosek o wpis do wykazu w terminie 6 miesięcy od spełnienia przesłanek i wniosek o zmianę wpisu w terminie 14 dni od zmiany danych, z wymaganą zawartością. |
6 miesięcy od spełnienia przesłanek (wpis) / 14 dni od zmiany danych (aktualizacja) | art. 7c |
| Zostaliście wpisani do wykazu z urzędu (np. jako operator telekomunikacyjny, dostawca usług zaufania, podmiot publiczny lub krytyczny) i chcecie uzupełnić dane | Uzupełnienie danych po wpisie z urzędu Podmioty kluczowe lub ważne wpisane do wykazu z urzędu (art. 7a ust. 2) uzupełniają dane w wykazie wnioskiem o zmianę wpisu, w tym dane o działalności nieobjętej wpisem z urzędu. |
bez sztywnego terminu — gdy chcecie uzupełnić brakujące dane | art. 7b ust. 4 |
| Przestajecie spełniać przesłanki w danym sektorze, podsektorze lub rodzaju działalności | Wniosek o wykreślenie Podmiot, który przestał spełniać przesłanki uznania za podmiot kluczowy lub ważny w danym sektorze, podsektorze lub dla rodzaju działalności, składa przez system teleinformatyczny wniosek o wykreślenie z wykazu w tym zakresie, z uzasadnieniem. |
bez sztywnego terminu — obowiązkowy z chwilą ustania przesłanek | art. 7f ust. 3 |
W modelu IRNIS wniosek o wpis i wniosek o zmianę wpisu to JEDEN obowiązek ustawowy (art. 7c obejmuje oba naraz) — dlatego tabela ma trzy wiersze, nie cztery: model nie rozbija ich na osobne obowiązki, więc strona tego nie robi też.
Formalności
Jak wygląda sam wniosek
Bez względu na to, który z trzech wniosków składacie, formalności są te same (art. 7c ust. 5–7 UKSC).
Lista kontrolna
- Postać elektroniczna i podpis lub pieczęć: Wniosek o wpis, zmianę wpisu albo o wykreślenie z wykazu sporządza się w postaci elektronicznej i opatruje kwalifikowanym podpisem elektronicznym, podpisem zaufanym, podpisem osobistym kierownika podmiotu kluczowego lub podmiotu ważnego lub osoby przez niego upoważnionej albo kwalifikowaną pieczęcią elektroniczną ze wskazaniem w treści pisma osoby opatrującej pismo pieczęcią.
- Kanał złożenia: Wniosek składa się w systemie teleinformatycznym, o którym mowa w art. 46 ust. 1.
- Pełnomocnictwo: do wniosku o wpis, zmianę wpisu albo o wykreślenie z wykazu dołącza się pełnomocnictwo w postaci elektronicznej podpisane kwalifikowanym podpisem elektronicznym, podpisem zaufanym, podpisem osobistym albo kwalifikowaną pieczęcią elektroniczną.
- Wyjątek: pełnomocnik z CEIDG/prokurent z KRS: W przypadku pełnomocnika podmiotu ujawnionego w Centralnej Ewidencji i Informacji o Działalności Gospodarczej lub prokurenta ujawnionego w Krajowym Rejestrze Sądowym nie dołącza się pełnomocnictwa.
Oświadczenie kierownika — nie do pominięcia
Każdy z trzech wniosków (o wpis, zmianę wpisu albo wykreślenie) musi zawierać osobiste oświadczenie kierownika podmiotu o zgodności danych z prawdą, złożone pod rygorem odpowiedzialności karnej za fałszywe oświadczenia. Tej odpowiedzialności nie da się przenieść na firmę, która przygotowuje wniosek.
„Świadomy odpowiedzialności karnej za złożenie fałszywego oświadczenia wynikającej z art. 233 § 6 ustawy z dnia 6 czerwca 1997 r. – Kodeks karny oświadczam, że dane zawarte we wniosku są zgodne z prawdą."
Wyjątek: Odpowiedzialność za złożenie fałszywego oświadczenia nie obejmuje podania zakresów adresów IP oraz zakresów nazw domenowych.
Podział ról
Co jest, a czego nie ma w tym obowiązku
„Wykaz" to szeroki temat w ustawie — ale zdecydowana większość z niego to zadania ministra, nie Wasze.
To robicie Wy (podmiot)
- zgłaszacie wniosek o wpis do wykazu w ciągu 6 miesięcy,
- zgłaszacie każdą zmianę danych w ciągu 14 dni,
- (jeśli wpisani z urzędu) uzupełniacie brakujące dane,
- zgłaszacie wniosek o wykreślenie, gdy przestajecie podlegać w danym zakresie.
To robi minister / organ, nie Wy
Prowadzenie samego wykazu i jego treść, wpisanie z urzędu wybranych kategorii podmiotów (operatorzy telekomunikacyjni, dostawcy usług zaufania, podmioty publiczne, podmioty krytyczne), wykreślenie z urzędu, uznanie podmiotu za kluczowy lub ważny decyzją administracyjną, udostępnianie danych i prowadzenie statystyk — to wszystko leży po stronie ministra właściwego ds. informatyzacji i organów, nie podmiotu.
Ciekawostka: podmiot świadczący usługę rejestracji nazw domen i rejestr domeny najwyższego poziomu (TLD) też są z mocy prawa podmiotem kluczowym — niezależnie od wielkości — i przechodzą dokładnie tę samą procedurę wpisu opisaną wyżej.
Kalendarz
Terminy, o których warto wiedzieć
Poza ogólną zasadą „6 miesięcy od spełnienia przesłanek", nowelizacja ustawy wprowadziła też konkretne daty kalendarzowe dla podmiotów już objętych ustawą.
| Data | Co się dzieje |
|---|---|
| 3.04.2026 | Nowelizacja ustawy o KSC wchodzi w życie. |
| 7.05–3.10.2026 | Okno samorejestracji dla podmiotów już objętych ustawą — zgłoszenie przez portal wykaz-ksc.gov.pl. Brak rejestracji w tym oknie grozi karą. |
| 3.04.2027 | Termin pełnego dostosowania systemów i procedur bezpieczeństwa. |
Dla podmiotów, które zaczną podlegać ustawie później — np. dopiero wtedy przekroczą próg wielkości przedsiębiorstwa — obowiązuje ogólna zasada: 6 miesięcy od dnia spełnienia przesłanek, niezależnie od dat powyżej.
Powyższy kalendarz i informacja o karze za brak rejestracji pochodzą z doniesień rynkowych o nowelizacji ustawy — przed podjęciem decyzji warto zweryfikować dokładne daty i wysokość ewentualnej kary z aktualnym tekstem ustawy zmieniającej lub z doradcą prawnym.
Wnioski dla biznesu
Od czego zacząć i co można zlecić na zewnątrz
Praktyczny podział zadań przy rejestracji podmiotu w wykazie KSC.
Od czego zacząć
- ustalcie dokładny dzień spełnienia przesłanek — od niego liczy się termin 6 miesięcy,
- skompletujcie dane wymagane we wniosku o wpis,
- przygotujcie środki podpisu elektronicznego dla kierownika (lub pełnomocnictwo, jeśli działa przez pełnomocnika),
- ustalcie, kto w organizacji pilnuje 14-dniowego terminu na zgłaszanie zmian danych.
Co można wesprzeć usługą zewnętrzną
- ustalenie momentu spełnienia przesłanek i przygotowanie danych do wniosku,
- przygotowanie wniosku o wpis, zmianę wpisu albo wykreślenie do podpisu kierownika,
- pilnowanie terminów przy każdej zmianie danych podmiotu,
- przygotowanie pełnomocnictwa, jeśli wniosek składa osoba upoważniona.
- „Jesteśmy tylko podmiotem ważnym, więc rejestracja nas nie dotyczy": dotyczy — model IRNIS potwierdza, że obowiązek jest identyczny dla obu klas (0 różnic policzonych z modelu).
- „Poczekamy, aż ktoś nas wpisze z urzędu": z urzędu wpisywane są tylko wybrane kategorie (m.in. operatorzy telekomunikacyjni, dostawcy zaufania, podmioty publiczne i krytyczne) — reszta musi zgłosić się sama, w ciągu 6 miesięcy.
- Spóźniona zmiana danych: 14 dni to krótki termin — przy zmianie adresu, zakresu działalności czy danych kontaktowych łatwo go przeoczyć bez wyznaczonej osoby odpowiedzialnej.
- Brak śladu, kto podpisał oświadczenie: oświadczenie kierownika to nie formalność do zlecenia asystentowi — składa je osobiście kierownik podmiotu (lub jego pełnomocnik), pod odpowiedzialnością karną.
Najczęstsze pytania
Najczęstsze pytania o wykaz KSC
Czy muszę się rejestrować, jeśli jestem tylko podmiotem ważnym, nie kluczowym?
Tak. Obowiązek rejestracji — wpis, zmiana danych i wykreślenie — jest w ustawie identyczny dla podmiotu kluczowego i ważnego (model IRNIS: 0 różnic policzonych między klasami dla tych trzech obowiązków). Różnicę widać dopiero przy audycie bezpieczeństwa, nie tutaj.
Od kiedy liczy się termin 6 miesięcy?
Od dnia faktycznego spełnienia przesłanek uznania za podmiot kluczowy lub ważny — to Wy musicie samodzielnie ustalić ten moment. Ciężar weryfikacji, czy w ogóle podlegacie ustawie, leży po stronie podmiotu.
Co grozi za brak rejestracji?
Ustawa przewiduje kary pieniężne za niedopełnienie obowiązków, w tym rejestracyjnych. Dokładne kwoty i warunki nałożenia kary wykraczają poza zakres tej strony — warto zweryfikować je indywidualnie, zwłaszcza przy zbliżającym się terminie.
Czy mogę zlecić przygotowanie i złożenie wniosku firmie zewnętrznej?
Samo przygotowanie danych i wniosku — tak. Ale oświadczenie o prawdziwości danych zawsze podpisuje osobiście kierownik podmiotu (lub jego pełnomocnik) — tej odpowiedzialności nie da się przenieść na wykonawcę.
Czy rejestratorzy domen i rejestry TLD też muszą się rejestrować?
Tak. Podmiot świadczący usługę rejestracji nazw domen i rejestr domeny najwyższego poziomu (TLD) są w Polsce z mocy prawa podmiotem kluczowym niezależnie od wielkości (model IRNIS: klasyfikacja bez żadnego warunku wielkości ani bramki wywiadu) i przechodzą dokładnie tę samą procedurę wpisu do wykazu, co każdy inny podmiot kluczowy.
Czym różni się wpis „z urzędu" od zwykłego wniosku o wpis?
Niektóre podmioty (m.in. operatorzy telekomunikacyjni, dostawcy usług zaufania, podmioty publiczne i krytyczne) są wpisywane do wykazu automatycznie, bez własnego wniosku. Mimo to muszą sami uzupełnić dane, których taki wpis nie objął — wnioskiem o zmianę wpisu.
Nie ryzykujcie kary za brakujący wpis w wykazie KSC
Inteca pomaga ustalić moment powstania obowiązku rejestracji, przygotować i złożyć wniosek o wpis do wykazu KSC oraz pilnować terminów przy każdej kolejnej zmianie danych.