O czym mówi komunikat
8 kwietnia 2026 r. w Dzienniku Urzędowym Ministra Cyfryzacji (poz. 7) opublikowano Komunikat Ministra Cyfryzacji w sprawie harmonogramu złożenia wniosków o wpis do wykazu podmiotów kluczowych i podmiotów ważnych oraz rozpoczęcia korzystania z systemu teleinformatycznego przez podmioty kluczowe lub podmioty ważne. Komunikat został wydany na podstawie art. 34 ust. 3 ustawy z dnia 23 stycznia 2026 r. o zmianie ustawy o krajowym systemie cyberbezpieczeństwa oraz niektórych innych ustaw (Dz. U. poz. 252).
Komunikat reguluje dwie odrębne kwestie, z własnymi terminami: (1) harmonogram składania wniosków o wpis do wykazu podmiotów kluczowych i ważnych oraz (2) harmonogram rozpoczęcia korzystania z systemu teleinformatycznego, o którym mowa w art. 46 ust. 1 ustawy o KSC (tzw. system S46). To kluczowe rozróżnienie -- wniosek o wpis do wykazu i rozpoczęcie operacyjnego korzystania z S46 to dwa osobne obowiązki z różnymi terminami.
Terminy rejestracji w wykazie
Komunikat określa następujący harmonogram składania wniosków o wpis do wykazu podmiotów kluczowych i ważnych (art. 7c ustawy o KSC):
| Kategoria podmiotu | Termin składania wniosków | Uwagi |
|---|---|---|
| Podmioty kluczowe | 7 maja 2026 r. -- 3 października 2026 r. | Z wyłączeniem podmiotów kluczowych wpisywanych z urzędu (art. 7a ust. 2) |
| Podmioty ważne | 7 maja 2026 r. -- 3 października 2026 r. | Z wyłączeniem podmiotów ważnych wpisywanych z urzędu (art. 7a ust. 2) |
Termin 6 miesięcy na złożenie wniosku wynika z art. 7c ust. 1 ustawy o KSC: podmiot kluczowy lub podmiot ważny składają wniosek o wpis do wykazu w terminie 6 miesięcy od dnia spełnienia przesłanek uznania za podmiot kluczowy lub podmiot ważny. Dla podmiotów istniejących w dniu wejścia w życie ustawy (3 kwietnia 2026 r.) termin ten upływa 3 października 2026 r. Komunikat precyzuje, że przyjmowanie wniosków rozpocznie się od 7 maja 2026 r. Przekroczenie tego terminu grozi poważnymi karami za brak rejestracji.
Obowiązek złożenia wniosku nie dotyczy podmiotów wpisywanych do wykazu z urzędu na podstawie art. 7a ust. 2. Są to: (1) przedsiębiorcy telekomunikacyjni, (2) dostawcy usług zaufania, (3) podmioty publiczne (ministerstwa, urzędy gmin, starostwa, szkoły, instytucje kultury itp.) oraz — na podstawie art. 34 ust. 2 ustawy nowelizującej — (4) dotychczasowi operatorzy usług kluczowych (Q&A 2.3). Te podmioty wpisuje minister właściwy do spraw informatyzacji na podstawie danych z rejestrów publicznych, bazy adresów elektronicznych i informacji od organów nadzorczych. Ustawa przewiduje też wpis z urzędu podmiotów krytycznych, ale nastąpi on dopiero po ich identyfikacji na podstawie nowelizacji ustawy o zarządzaniu kryzysowym — do tego czasu taki podmiot sam ocenia, czy jest kluczowy lub ważny, i w razie potrzeby sam się wpisuje (Q&A 2.37, 2.38). Po wpisie z urzędu minister doręczy zawiadomienie (art. 7b ust. 1) oraz wezwanie do uzupełnienia brakujących danych w terminie 6 miesięcy (art. 7b ust. 2).
Czym jest system S46
System S46 to system teleinformatyczny, o którym mowa w art. 46 ust. 1 ustawy o KSC — jego rolę w kontekście wykazu podmiotów kluczowych i ważnych opisujemy w osobnym artykule. Ustawa wskazuje 8 funkcji, które system wspiera:
- Współpracę podmiotów wchodzących w skład krajowego systemu cyberbezpieczeństwa
- Generowanie i przekazywanie rekomendacji dotyczących działań podnoszących poziom cyberbezpieczeństwa
- Zgłaszanie i obsługę incydentów
- Szacowanie ryzyka na poziomie krajowym
- Ostrzeganie o cyberzagrożeniach
- Czynności nadzorcze organów właściwych do spraw cyberbezpieczeństwa
- Dokonywanie zgłoszeń naruszeń ochrony danych osobowych (art. 33 RODO) przez podmioty kluczowe lub ważne
- Wymianę informacji o aktach prawnych wydawanych przez ministra, Pełnomocnika, organy właściwe i Prezesa Rady Ministrów
Ponadto, zgodnie z art. 46 ust. 1a, w systemie teleinformatycznym prowadzi się wykaz podmiotów kluczowych i ważnych. Rozwój i utrzymanie systemu zapewnia minister właściwy do spraw informatyzacji (art. 46 ust. 1), który może powierzyć te zadania jednostkom podległym (art. 47 ust. 1) -- w praktyce jest to NASK-PIB.
Uwierzytelnienie w systemie S46 następuje za pomocą środków określonych w art. 20a ust. 1 ustawy o informatyzacji działalności podmiotów realizujących zadania publiczne (art. 46 ust. 5), tj. przy użyciu profilu zaufanego, podpisu kwalifikowanego lub podpisu osobistego. Podmioty kluczowe i ważne są ponadto zobowiązane zapewnić bezpieczeństwo, ciągłość działania, aktualność i skuteczność zabezpieczeń oraz rozliczalność stosowanych systemów teleinformatycznych (art. 46 ust. 6).
Harmonogram korzystania z S46
Komunikat MC określa odrębny harmonogram rozpoczęcia korzystania z systemu S46 w pełnym zakresie operacyjnym. To nie to samo co złożenie wniosku o wpis -- art. 9 ust. 1 pkt 4 ustawy o KSC wyraźnie stanowi, że podmiot kluczowy lub ważny po uzyskaniu wpisu do wykazu rozpoczyna korzystanie z systemu teleinformatycznego z art. 46 ust. 1. Termin na pełne korzystanie to 12 miesięcy od dnia spełnienia przesłanek (art. 46 ust. 4).
| Grupa podmiotów | Termin rozpoczęcia korzystania z S46 | Podstawa |
|---|---|---|
| Podmioty, które miały porozumienie o korzystaniu z S46 przed 3 kwietnia 2026 r. (dotychczasowi OUK) | 8 kwietnia 2026 r. -- 3 kwietnia 2027 r. | Komunikat MC pkt 2 lit. a |
| Pozostałe podmioty kluczowe i ważne (nowe podmioty w KSC) | 12 czerwca 2026 r. -- 3 kwietnia 2027 r. | Komunikat MC pkt 2 lit. b |
Dotychczasowi operatorzy usług kluczowych (OUK) -- podmioty, które korzystały z S46 na podstawie porozumień zawartych przed 3 kwietnia 2026 r. -- mogą kontynuować korzystanie z systemu od razu (już od 8 kwietnia 2026 r.). Nowe podmioty w KSC uzyskają dostęp do S46 od 12 czerwca 2026 r. Ostateczny termin na rozpoczęcie korzystania z S46 w pełnym zakresie to 3 kwietnia 2027 r. -- zarówno dla dotychczasowych OUK, jak i dla nowych podmiotów.
Wpis do wykazu a korzystanie z S46
Komunikat MC rozróżnia dwa odrębne obowiązki z osobnymi terminami. To rozróżnienie wynika wprost z konstrukcji ustawy:
| Wpis do wykazu | Korzystanie z S46 | |
|---|---|---|
| Charakter | Jednorazowa czynność rejestracyjna | Bieżący obowiązek operacyjny |
| Podstawa prawna | Art. 7c ust. 1 (wniosek), art. 7d ust. 1 (wpis) | Art. 9 ust. 1 pkt 4 i art. 46 ust. 4 |
| Termin | 6 miesięcy od spełnienia przesłanek (do 3.10.2026) | 12 miesięcy od spełnienia przesłanek (do 3.04.2027) |
| Sposób realizacji | Złożenie wniosku elektronicznego w systemie S46 (art. 7c ust. 6) | Aktywne korzystanie z S46 do raportowania incydentów, wymiany informacji, współpracy z CSIRT |
| Moment wykonania | Wpis następuje z chwilą złożenia wniosku (art. 7d ust. 1) | Po uzyskaniu wpisu do wykazu (art. 9 ust. 1 pkt 4) |
| Kto jest zwolniony | Podmioty wpisywane z urzędu (art. 7a ust. 2) | Nikt -- obowiązek dotyczy wszystkich PK i PW |
Wniosek o wpis do wykazu składa się w systemie teleinformatycznym z art. 46 ust. 1, czyli w S46 (art. 7c ust. 6). Wpisu dokonuje się z chwilą złożenia wniosku (art. 7d ust. 1) -- jest to czynność materialno-techniczna o charakterze deklaratoryjnym (art. 7d ust. 5). Natomiast korzystanie z S46 w pełnym zakresie operacyjnym to odrębny, bieżący obowiązek, który rozpoczyna się po uzyskaniu wpisu do wykazu (art. 9 ust. 1 pkt 4) i musi nastąpić w terminie 12 miesięcy od spełnienia przesłanek (art. 46 ust. 4).
Kogo dotyczą poszczególne terminy
Na podstawie komunikatu MC i przepisów ustawy można wyróżnić cztery grupy podmiotów z różnymi ścieżkami czasowymi:
| Grupa | Wniosek o wpis | Dostęp do S46 | Pełne korzystanie z S46 |
|---|---|---|---|
| Dotychczasowi OUK (operatorzy usług kluczowych -- mieli porozumienie o S46 sprzed 3.04.2026) | Wg harmonogramu MC (art. 34 ust. 3 nowel.) | Od 8 kwietnia 2026 (kontynuacja) | Do 3 kwietnia 2027 |
| Pozostałe podmioty kluczowe istniejące w dniu 3.04.2026 (spełniające przesłanki z art. 5 ust. 1) | Wg harmonogramu MC (art. 34 ust. 3 nowel.) | Od daty wskazanej w komunikacie MC | Do 3 kwietnia 2027 (art. 33 ust. 1 nowel.) |
| Pozostałe podmioty ważne istniejące w dniu 3.04.2026 (spełniające przesłanki z art. 5 ust. 2) | Wg harmonogramu MC (art. 34 ust. 3 nowel.) | Od daty wskazanej w komunikacie MC | Do 3 kwietnia 2027 (art. 33 ust. 1 nowel.) |
| Podmioty powstałe / spełniające przesłanki po 3.04.2026 (nowe podmioty) | 6 miesięcy od dnia spełnienia przesłanek (art. 7c ust. 1) | Po wpisie do wykazu | Wdrożenie SZBI od dnia spełnienia przesłanek |
| Podmioty wpisywane z urzędu (dotychczasowi OUK z wykazu OUK) | Nie składają wniosku (art. 34 ust. 2 nowel.) | Wg harmonogramu MC | Do 3 kwietnia 2027 |
Jak złożyć wniosek o wpis
Wniosek o wpis do wykazu składa się wyłącznie drogą elektroniczną, w systemie teleinformatycznym z art. 46 ust. 1 (art. 7c ust. 6) — szczegółową instrukcję wypełniania formularza opisujemy w artykule rejestracja KSC krok po kroku. Wniosek musi być opatrzony kwalifikowanym podpisem elektronicznym, podpisem zaufanym, podpisem osobistym kierownika podmiotu lub osoby upoważnionej, albo kwalifikowaną pieczęcią elektroniczną.
Wniosek o wpis zawiera dane określone w art. 7 ust. 2 pkt 1-18, obejmujące m.in.:
- Nazwa (firma), adres siedziby, adres do korespondencji, adres e-mail, NIP, REGON
- Sektor, podsektor i rodzaj podmiotu wg załącznika 1 lub 2 do ustawy
- Zakres publicznych adresów IP i domen internetowych wykorzystywanych w sposób ciągły
- Dane osób do kontaktu z podmiotami KSC (imię, nazwisko, telefon, e-mail) -- w tym administratora konta w S46 (dodatkowo PESEL albo niepowtarzalny identyfikator nadany przez państwo członkowskie UE -- art. 7 ust. 2 pkt 11)
- Deklaracja o wielkości przedsiębiorcy (mikro, mały, średni lub przekraczający progi)
- Informacja o państwach członkowskich UE, w których podmiot wykonuje działalność
- Oświadczenie kierownika o odpowiedzialności karnej za podanie fałszywych danych (art. 7c ust. 5)
Kalendarz działań
Na podstawie komunikatu Ministra Cyfryzacji i przepisów ustawy o KSC można przygotować następujący kalendarz działań:
| Termin | Działanie | Podstawa prawna |
|---|---|---|
| Do 7 maja 2026 | Przeprowadź samoidentyfikację -- ustal, czy Twoja organizacja jest podmiotem kluczowym czy ważnym. Wyznacz co najmniej dwie osoby kontaktowe, a u mikro- i małych przedsiębiorców oraz PW będących podmiotami publicznymi — co najmniej jedną (art. 9 ust. 1–3, Q&A 2.10). Przygotuj dane do wniosku wg art. 7 ust. 2 pkt 1-18. Zapewnij podpis kwalifikowany lub profil zaufany. | Art. 5, art. 7c, art. 9 |
| 7 maja 2026 | Otwarcie systemu S46 do przyjmowania wniosków o wpis do wykazu. Złóż wniosek jak najwcześniej. | Komunikat MC pkt 1 |
| 12 czerwca 2026 | Nowe podmioty (niebędące dotychczasowymi OUK) -- rozpocznij korzystanie z systemu S46. Skonfiguruj konta, przetestuj połączenie, zapoznaj się z interfejsem. | Komunikat MC pkt 2 lit. b |
| 3 października 2026 | Ostateczny termin złożenia wniosku o wpis do wykazu dla podmiotów istniejących w dniu wejścia ustawy w życie. | Art. 7c ust. 1, Komunikat MC pkt 1 |
| Do 3 kwietnia 2027 | Wdróż SZBI zgodny z art. 8. Rozpocznij pełne korzystanie z S46 (raportowanie incydentów, współpraca z CSIRT). Zaplanuj szkolenie kierownika (art. 8e — pierwsze najpóźniej w 2027 r., Q&A 3.46). Zweryfikuj niekaralność obecnego personelu realizującego zadania z art. 8 i 11 (art. 8f; Q&A 3.28–3.29). Dostosuj systemy do minimalnych wymagań technicznych S46 (art. 46 ust. 7). | Art. 8, art. 8e-8f, art. 9 ust. 1 pkt 4, art. 46 ust. 4 |
| Do 3 kwietnia 2028 | Przeprowadź pierwszy audyt bezpieczeństwa systemu informacyjnego (dotyczy podmiotów kluczowych -- art. 15 ust. 1). Kopię raportu przekaż organowi właściwemu w ciągu 3 dni roboczych (art. 15 ust. 1a). | Art. 15 |