O czym mówi komunikat
8 kwietnia 2026 r. w Dzienniku Urzędowym Ministra Cyfryzacji (poz. 7) opublikowano Komunikat Ministra Cyfryzacji w sprawie harmonogramu złożenia wniosków o wpis do wykazu podmiotów kluczowych i podmiotów ważnych oraz rozpoczęcia korzystania z systemu teleinformatycznego przez podmioty kluczowe lub podmioty ważne. Komunikat został wydany na podstawie art. 34 ust. 3 ustawy z dnia 23 stycznia 2026 r. o zmianie ustawy o krajowym systemie cyberbezpieczeństwa oraz niektórych innych ustaw (Dz. U. poz. 252).
Komunikat reguluje dwie odrębne kwestie, z własnymi terminami: (1) harmonogram składania wniosków o wpis do wykazu podmiotów kluczowych i ważnych oraz (2) harmonogram rozpoczęcia korzystania z systemu teleinformatycznego, o którym mowa w art. 46 ust. 1 ustawy o KSC (tzw. system S46). To kluczowe rozróżnienie -- wniosek o wpis do wykazu i rozpoczęcie operacyjnego korzystania z S46 to dwa osobne obowiązki z różnymi terminami.
Terminy rejestracji w wykazie
Komunikat określa następujący harmonogram składania wniosków o wpis do wykazu podmiotów kluczowych i ważnych (art. 7c ustawy o KSC):
| Kategoria podmiotu | Termin składania wniosków | Uwagi |
|---|---|---|
| Podmioty kluczowe | 7 maja 2026 r. -- 3 października 2026 r. | Z wyłączeniem podmiotów kluczowych wpisywanych z urzędu (art. 7a ust. 2) |
| Podmioty ważne | 7 maja 2026 r. -- 3 października 2026 r. | Z wyłączeniem podmiotów ważnych wpisywanych z urzędu (art. 7a ust. 2) |
Termin 6 miesięcy na złożenie wniosku wynika z art. 7c ust. 1 ustawy o KSC: podmiot kluczowy lub podmiot ważny składają wniosek o wpis do wykazu w terminie 6 miesięcy od dnia spełnienia przesłanek uznania za podmiot kluczowy lub podmiot ważny. Dla podmiotów istniejących w dniu wejścia w życie ustawy (3 kwietnia 2026 r.) termin ten upływa 3 października 2026 r. Komunikat precyzuje, że przyjmowanie wniosków rozpocznie się od 7 maja 2026 r. Przekroczenie tego terminu grozi poważnymi karami za brak rejestracji.
Obowiązek złożenia wniosku nie dotyczy podmiotów wpisywanych do wykazu z urzędu na podstawie art. 7a ust. 2. Są to: (1) przedsiębiorcy telekomunikacyjni, (2) dostawcy usług zaufania, (3) podmioty publiczne (ministerstwa, urzędy gmin, starostwa, szkoły, instytucje kultury itp.) oraz (4) podmioty krytyczne. Te podmioty zostaną wpisane przez ministra właściwego do spraw informatyzacji na podstawie danych z rejestrów publicznych i informacji od organów nadzorczych (art. 7a ust. 2). Po wpisie z urzędu minister doręczy zawiadomienie (art. 7b ust. 1) oraz wezwanie do uzupełnienia brakujących danych w terminie 6 miesięcy (art. 7b ust. 2).
Czym jest system S46
System S46 to system teleinformatyczny, o którym mowa w art. 46 ust. 1 ustawy o KSC — jego rolę w kontekście wykazu podmiotów kluczowych i ważnych opisujemy w osobnym artykule. Ustawa wskazuje 8 funkcji, które system wspiera:
- Współpracę podmiotów wchodzących w skład krajowego systemu cyberbezpieczeństwa
- Generowanie i przekazywanie rekomendacji dotyczących działań podnoszących poziom cyberbezpieczeństwa
- Zgłaszanie i obsługę incydentów
- Szacowanie ryzyka na poziomie krajowym
- Ostrzeganie o cyberzagrożeniach
- Czynności nadzorcze organów właściwych do spraw cyberbezpieczeństwa
- Dokonywanie zgłoszeń naruszeń ochrony danych osobowych (art. 33 RODO) przez podmioty kluczowe lub ważne
- Wymianę informacji o aktach prawnych wydawanych przez ministra, Pełnomocnika, organy właściwe i Prezesa Rady Ministrów
Ponadto, zgodnie z art. 46 ust. 1a, w systemie teleinformatycznym prowadzi się wykaz podmiotów kluczowych i ważnych. Rozwój i utrzymanie systemu zapewnia minister właściwy do spraw informatyzacji (art. 46 ust. 1), który może powierzyć te zadania jednostkom podległym (art. 47 ust. 1) -- w praktyce jest to NASK-PIB.
Uwierzytelnienie w systemie S46 następuje za pomocą środków określonych w art. 20a ust. 1 ustawy o informatyzacji działalności podmiotów realizujących zadania publiczne (art. 46 ust. 5), tj. przy użyciu profilu zaufanego, podpisu kwalifikowanego lub podpisu osobistego. Podmioty kluczowe i ważne są ponadto zobowiązane zapewnić bezpieczeństwo, ciągłość działania, aktualność i skuteczność zabezpieczeń oraz rozliczalność stosowanych systemów teleinformatycznych (art. 46 ust. 6).
Harmonogram korzystania z S46
Komunikat MC określa odrębny harmonogram rozpoczęcia korzystania z systemu S46 w pełnym zakresie operacyjnym. To nie to samo co złożenie wniosku o wpis -- art. 9 ust. 1 pkt 4 ustawy o KSC wyraźnie stanowi, że podmiot kluczowy lub ważny po uzyskaniu wpisu do wykazu rozpoczyna korzystanie z systemu teleinformatycznego z art. 46 ust. 1. Termin na pełne korzystanie to 12 miesięcy od dnia spełnienia przesłanek (art. 46 ust. 4).
| Grupa podmiotów | Termin rozpoczęcia korzystania z S46 | Podstawa |
|---|---|---|
| Podmioty, które miały porozumienie o korzystaniu z S46 przed 3 kwietnia 2026 r. (dotychczasowi OUK) | 8 kwietnia 2026 r. -- 3 kwietnia 2027 r. | Komunikat MC pkt 2 lit. a |
| Pozostałe podmioty kluczowe i ważne (nowe podmioty w KSC) | 12 czerwca 2026 r. -- 3 kwietnia 2027 r. | Komunikat MC pkt 2 lit. b |
Dotychczasowi operatorzy usług kluczowych (OUK) -- podmioty, które korzystały z S46 na podstawie porozumień zawartych przed 3 kwietnia 2026 r. -- mogą kontynuować korzystanie z systemu od razu (już od 8 kwietnia 2026 r.). Nowe podmioty w KSC uzyskają dostęp do S46 od 12 czerwca 2026 r. Ostateczny termin na rozpoczęcie korzystania z S46 w pełnym zakresie to 3 kwietnia 2027 r. -- zarówno dla dotychczasowych OUK, jak i dla nowych podmiotów.
Wpis do wykazu a korzystanie z S46
Komunikat MC rozróżnia dwa odrębne obowiązki z osobnymi terminami. To rozróżnienie wynika wprost z konstrukcji ustawy:
| Wpis do wykazu | Korzystanie z S46 | |
|---|---|---|
| Charakter | Jednorazowa czynność rejestracyjna | Bieżący obowiązek operacyjny |
| Podstawa prawna | Art. 7c ust. 1 (wniosek), art. 7d ust. 1 (wpis) | Art. 9 ust. 1 pkt 4 i art. 46 ust. 4 |
| Termin | 6 miesięcy od spełnienia przesłanek (do 3.10.2026) | 12 miesięcy od spełnienia przesłanek (do 3.04.2027) |
| Sposób realizacji | Złożenie wniosku elektronicznego w systemie S46 (art. 7c ust. 6) | Aktywne korzystanie z S46 do raportowania incydentów, wymiany informacji, współpracy z CSIRT |
| Moment wykonania | Wpis następuje z chwilą złożenia wniosku (art. 7d ust. 1) | Po uzyskaniu wpisu do wykazu (art. 9 ust. 1 pkt 4) |
| Kto jest zwolniony | Podmioty wpisywane z urzędu (art. 7a ust. 2) | Nikt -- obowiązek dotyczy wszystkich PK i PW |
Wniosek o wpis do wykazu składa się w systemie teleinformatycznym z art. 46 ust. 1, czyli w S46 (art. 7c ust. 6). Wpisu dokonuje się z chwilą złożenia wniosku (art. 7d ust. 1) -- jest to czynność materialno-techniczna o charakterze deklaratoryjnym (art. 7d ust. 5). Natomiast korzystanie z S46 w pełnym zakresie operacyjnym to odrębny, bieżący obowiązek, który rozpoczyna się po uzyskaniu wpisu do wykazu (art. 9 ust. 1 pkt 4) i musi nastąpić w terminie 12 miesięcy od spełnienia przesłanek (art. 46 ust. 4).
Kogo dotyczą poszczególne terminy
Na podstawie komunikatu MC i przepisów ustawy można wyróżnić cztery grupy podmiotów z różnymi ścieżkami czasowymi:
| Grupa | Wniosek o wpis | Dostęp do S46 | Pełne korzystanie z S46 |
|---|---|---|---|
| Dotychczasowi OUK (operatorzy usług kluczowych -- mieli porozumienie o S46 sprzed 3.04.2026) | Wg harmonogramu MC (art. 34 ust. 3 nowel.) | Od 8 kwietnia 2026 (kontynuacja) | Do 3 kwietnia 2027 |
| Pozostałe podmioty kluczowe istniejące w dniu 3.04.2026 (spełniające przesłanki z art. 5 ust. 1) | Wg harmonogramu MC (art. 34 ust. 3 nowel.) | Od daty wskazanej w komunikacie MC | Do 3 kwietnia 2027 (art. 33 ust. 1 nowel.) |
| Pozostałe podmioty ważne istniejące w dniu 3.04.2026 (spełniające przesłanki z art. 5 ust. 2) | Wg harmonogramu MC (art. 34 ust. 3 nowel.) | Od daty wskazanej w komunikacie MC | Do 3 kwietnia 2027 (art. 33 ust. 1 nowel.) |
| Podmioty powstałe / spełniające przesłanki po 3.04.2026 (nowe podmioty) | 6 miesięcy od dnia spełnienia przesłanek (art. 7c ust. 1) | Po wpisie do wykazu | Wdrożenie SZBI od dnia spełnienia przesłanek |
| Podmioty wpisywane z urzędu (dotychczasowi OUK z wykazu OUK) | Nie składają wniosku (art. 34 ust. 2 nowel.) | Wg harmonogramu MC | Do 3 kwietnia 2027 |
Jak złożyć wniosek o wpis
Wniosek o wpis do wykazu składa się wyłącznie drogą elektroniczną, w systemie teleinformatycznym z art. 46 ust. 1 (art. 7c ust. 6) — szczegółową instrukcję wypełniania formularza opisujemy w artykule rejestracja KSC krok po kroku. Wniosek musi być opatrzony kwalifikowanym podpisem elektronicznym, podpisem zaufanym, podpisem osobistym kierownika podmiotu lub osoby upoważnionej, albo kwalifikowaną pieczęcią elektroniczną.
Wniosek o wpis zawiera dane określone w art. 7 ust. 2 pkt 1-18, obejmujące m.in.:
- Nazwa (firma), adres siedziby, adres do korespondencji, adres e-mail, NIP, REGON
- Sektor, podsektor i rodzaj podmiotu wg załącznika 1 lub 2 do ustawy
- Zakres publicznych adresów IP i domen internetowych wykorzystywanych w sposób ciągły
- Dane osób do kontaktu z podmiotami KSC (imię, nazwisko, telefon, e-mail) -- w tym administratora konta w S46 (dodatkowo PESEL albo niepowtarzalny identyfikator nadany przez państwo członkowskie UE -- art. 7 ust. 2 pkt 11)
- Deklaracja o wielkości przedsiębiorcy (mikro, mały, średni lub przekraczający progi)
- Informacja o państwach członkowskich UE, w których podmiot wykonuje działalność
- Oświadczenie kierownika o odpowiedzialności karnej za podanie fałszywych danych (art. 7c ust. 5)
Kalendarz działań
Na podstawie komunikatu Ministra Cyfryzacji i przepisów ustawy o KSC można przygotować następujący kalendarz działań:
| Termin | Działanie | Podstawa prawna |
|---|---|---|
| Do 7 maja 2026 | Przeprowadź samoidentyfikację -- ustal, czy Twoja organizacja jest podmiotem kluczowym czy ważnym. Wyznacz co najmniej dwie osoby kontaktowe (PK) lub jedną (PW będący podmiotem publicznym). Przygotuj dane do wniosku wg art. 7 ust. 2 pkt 1-18. Zapewnij podpis kwalifikowany lub profil zaufany. | Art. 5, art. 7c, art. 9 |
| 7 maja 2026 | Otwarcie systemu S46 do przyjmowania wniosków o wpis do wykazu. Złóż wniosek jak najwcześniej. | Komunikat MC pkt 1 |
| 12 czerwca 2026 | Nowe podmioty (niebędące dotychczasowymi OUK) -- rozpocznij korzystanie z systemu S46. Skonfiguruj konta, przetestuj połączenie, zapoznaj się z interfejsem. | Komunikat MC pkt 2 lit. b |
| 3 października 2026 | Ostateczny termin złożenia wniosku o wpis do wykazu dla podmiotów istniejących w dniu wejścia ustawy w życie. | Art. 7c ust. 1, Komunikat MC pkt 1 |
| Do 3 kwietnia 2027 | Wdróż SZBI zgodny z art. 8. Rozpocznij pełne korzystanie z S46 (raportowanie incydentów, współpraca z CSIRT). Przeszkol kierownika jednostki (art. 8e). Zweryfikuj niekaralność personelu (art. 8f). Dostosuj systemy do minimalnych wymagań technicznych S46 (art. 46 ust. 7). | Art. 8, art. 8e-8f, art. 9 ust. 1 pkt 4, art. 46 ust. 4 |
| Do 3 kwietnia 2028 | Przeprowadź pierwszy audyt bezpieczeństwa systemu informacyjnego (dotyczy podmiotów kluczowych -- art. 15 ust. 1). Kopię raportu przekaż organowi właściwemu w ciągu 3 dni roboczych (art. 15 ust. 1a). | Art. 15 |