8 kwietnia 2026 r. w Dzienniku Urzędowym Ministra Cyfryzacji (poz. 7) opublikowano Komunikat Ministra Cyfryzacji w sprawie harmonogramu złożenia wniosków o wpis do wykazu podmiotów kluczowych i podmiotów ważnych oraz rozpoczęcia korzystania z systemu teleinformatycznego przez podmioty kluczowe lub podmioty ważne. Komunikat został wydany na podstawie art. 34 ust. 3 ustawy z dnia 23 stycznia 2026 r. o zmianie ustawy o krajowym systemie cyberbezpieczeństwa oraz niektórych innych ustaw (Dz. U. poz. 252).
Komunikat reguluje dwie odrębne kwestie, z własnymi terminami: (1) harmonogram składania wniosków o wpis do wykazu podmiotów kluczowych i ważnych oraz (2) harmonogram rozpoczęcia korzystania z systemu teleinformatycznego, o którym mowa w art. 46 ust. 1 ustawy o KSC (tzw. system S46). To kluczowe rozróżnienie -- wniosek o wpis do wykazu i rozpoczęcie operacyjnego korzystania z S46 to dwa osobne obowiązki z różnymi terminami.
Komunikat określa następujący harmonogram składania wniosków o wpis do wykazu podmiotów kluczowych i ważnych (art. 7c ustawy o KSC):
| Kategoria podmiotu | Termin składania wniosków | Uwagi |
|---|---|---|
| Podmioty kluczowe | 7 maja 2026 r. -- 3 października 2026 r. | Z wyłączeniem podmiotów kluczowych wpisywanych z urzędu (art. 7a ust. 2) |
| Podmioty ważne | 7 maja 2026 r. -- 3 października 2026 r. | Z wyłączeniem podmiotów ważnych wpisywanych z urzędu (art. 7a ust. 2) |
Termin 6 miesięcy na złożenie wniosku wynika z art. 7c ust. 1 ustawy o KSC: podmiot kluczowy lub podmiot ważny składają wniosek o wpis do wykazu w terminie 6 miesięcy od dnia spełnienia przesłanek uznania za podmiot kluczowy lub podmiot ważny. Dla podmiotów istniejących w dniu wejścia w życie ustawy (3 kwietnia 2026 r.) termin ten upływa 3 października 2026 r. Komunikat precyzuje, że przyjmowanie wniosków rozpocznie się od 7 maja 2026 r.
Obowiązek złożenia wniosku nie dotyczy podmiotów wpisywanych do wykazu z urzędu na podstawie art. 7a ust. 2. Są to: (1) przedsiębiorcy telekomunikacyjni, (2) dostawcy usług zaufania, (3) podmioty publiczne (ministerstwa, urzędy gmin, starostwa, szkoły, instytucje kultury itp.) oraz (4) podmioty krytyczne. Te podmioty zostaną wpisane przez ministra właściwego do spraw informatyzacji na podstawie danych z rejestrów publicznych i informacji od organów nadzorczych (art. 7a ust. 2). Po wpisie z urzędu minister doręczy zawiadomienie (art. 7b ust. 1) oraz wezwanie do uzupełnienia brakujących danych w terminie 6 miesięcy (art. 7b ust. 2).
System S46 to system teleinformatyczny, o którym mowa w art. 46 ust. 1 ustawy o KSC. Ustawa wskazuje 8 funkcji, które system wspiera:
Ponadto, zgodnie z art. 46 ust. 1a, w systemie teleinformatycznym prowadzi się wykaz podmiotów kluczowych i ważnych. Rozwój i utrzymanie systemu zapewnia minister właściwy do spraw informatyzacji (art. 46 ust. 1), który może powierzyć te zadania jednostkom podległym (art. 47 ust. 1) -- w praktyce jest to NASK-PIB.
Uwierzytelnienie w systemie S46 następuje za pomocą środków określonych w art. 20a ust. 1 ustawy o informatyzacji działalności podmiotów realizujących zadania publiczne (art. 46 ust. 5), tj. przy użyciu profilu zaufanego, podpisu kwalifikowanego lub podpisu osobistego. Podmioty kluczowe i ważne są ponadto zobowiązane zapewnić bezpieczeństwo, ciągłość działania, aktualność i skuteczność zabezpieczeń oraz rozliczalność stosowanych systemów teleinformatycznych (art. 46 ust. 6).
Komunikat MC określa odrębny harmonogram rozpoczęcia korzystania z systemu S46 w pełnym zakresie operacyjnym. To nie to samo co złożenie wniosku o wpis -- art. 9 ust. 1 pkt 4 ustawy o KSC wyraźnie stanowi, że podmiot kluczowy lub ważny po uzyskaniu wpisu do wykazu rozpoczyna korzystanie z systemu teleinformatycznego z art. 46 ust. 1. Termin na pełne korzystanie to 12 miesięcy od dnia spełnienia przesłanek (art. 46 ust. 4).
| Grupa podmiotów | Termin rozpoczęcia korzystania z S46 | Podstawa |
|---|---|---|
| Podmioty, które miały porozumienie o korzystaniu z S46 przed 3 kwietnia 2026 r. (dotychczasowi OUK) | 8 kwietnia 2026 r. -- 3 kwietnia 2027 r. | Komunikat MC pkt 2 lit. a |
| Pozostałe podmioty kluczowe i ważne (nowe podmioty w KSC) | 12 czerwca 2026 r. -- 3 kwietnia 2027 r. | Komunikat MC pkt 2 lit. b |
Dotychczasowi operatorzy usług kluczowych (OUK) -- podmioty, które korzystały z S46 na podstawie porozumień zawartych przed 3 kwietnia 2026 r. -- mogą kontynuować korzystanie z systemu od razu (już od 8 kwietnia 2026 r.). Nowe podmioty w KSC uzyskają dostęp do S46 od 12 czerwca 2026 r. Ostateczny termin na rozpoczęcie korzystania z S46 w pełnym zakresie to 3 kwietnia 2027 r. -- zarówno dla dotychczasowych OUK, jak i dla nowych podmiotów.
Komunikat MC rozróżnia dwa odrębne obowiązki z osobnymi terminami. To rozróżnienie wynika wprost z konstrukcji ustawy:
| Wpis do wykazu | Korzystanie z S46 | |
|---|---|---|
| Charakter | Jednorazowa czynność rejestracyjna | Bieżący obowiązek operacyjny |
| Podstawa prawna | Art. 7c ust. 1 (wniosek), art. 7d ust. 1 (wpis) | Art. 9 ust. 1 pkt 4 i art. 46 ust. 4 |
| Termin | 6 miesięcy od spełnienia przesłanek (do 3.10.2026) | 12 miesięcy od spełnienia przesłanek (do 3.04.2027) |
| Sposób realizacji | Złożenie wniosku elektronicznego w systemie S46 (art. 7c ust. 6) | Aktywne korzystanie z S46 do raportowania incydentów, wymiany informacji, współpracy z CSIRT |
| Moment wykonania | Wpis następuje z chwilą złożenia wniosku (art. 7d ust. 1) | Po uzyskaniu wpisu do wykazu (art. 9 ust. 1 pkt 4) |
| Kto jest zwolniony | Podmioty wpisywane z urzędu (art. 7a ust. 2) | Nikt -- obowiązek dotyczy wszystkich PK i PW |
Wniosek o wpis do wykazu składa się w systemie teleinformatycznym z art. 46 ust. 1, czyli w S46 (art. 7c ust. 6). Wpisu dokonuje się z chwilą złożenia wniosku (art. 7d ust. 1) -- jest to czynność materialno-techniczna o charakterze deklaratoryjnym (art. 7d ust. 5). Natomiast korzystanie z S46 w pełnym zakresie operacyjnym to odrębny, bieżący obowiązek, który rozpoczyna się po uzyskaniu wpisu do wykazu (art. 9 ust. 1 pkt 4) i musi nastąpić w terminie 12 miesięcy od spełnienia przesłanek (art. 46 ust. 4).
Na podstawie komunikatu MC i przepisów ustawy można wyróżnić cztery grupy podmiotów z różnymi ścieżkami czasowymi:
| Grupa | Wniosek o wpis | Dostęp do S46 | Pełne korzystanie z S46 |
|---|---|---|---|
| Dotychczasowi OUK (operatorzy usług kluczowych -- mieli porozumienie o S46 sprzed 3.04.2026) | 7 maja -- 3 października 2026 | Od 8 kwietnia 2026 (kontynuacja) | Do 3 kwietnia 2027 |
| Nowe podmioty kluczowe (spełniające przesłanki z art. 5 ust. 1) | 7 maja -- 3 października 2026 | Od 12 czerwca 2026 | Do 3 kwietnia 2027 |
| Nowe podmioty ważne (spełniające przesłanki z art. 5 ust. 2) | 7 maja -- 3 października 2026 | Od 12 czerwca 2026 | Do 3 kwietnia 2027 |
| Podmioty wpisywane z urzędu (publiczne, telekom, dostawcy usług zaufania, krytyczne) | Nie składają wniosku (art. 7a ust. 2) | Wg harmonogramu MC | Do 3 kwietnia 2027 |
Wniosek o wpis do wykazu składa się wyłącznie drogą elektroniczną, w systemie teleinformatycznym z art. 46 ust. 1 (art. 7c ust. 6). Wniosek musi być opatrzony kwalifikowanym podpisem elektronicznym, podpisem zaufanym, podpisem osobistym kierownika podmiotu lub osoby upoważnionej, albo kwalifikowaną pieczęcią elektroniczną.
Wniosek o wpis zawiera dane określone w art. 7 ust. 2 pkt 1-18, obejmujące m.in.:
Na podstawie komunikatu Ministra Cyfryzacji i przepisów ustawy o KSC można przygotować następujący kalendarz działań:
| Termin | Działanie | Podstawa prawna |
|---|---|---|
| Do 7 maja 2026 | Przeprowadź samoidentyfikację -- ustal, czy Twoja organizacja jest podmiotem kluczowym czy ważnym. Wyznacz co najmniej 2 osoby kontaktowe (PK) lub 1 osobę (PW publiczny). Przygotuj dane do wniosku wg art. 7 ust. 2 pkt 1-18. Zapewnij podpis kwalifikowany lub profil zaufany. | Art. 5, art. 7c, art. 9 |
| 7 maja 2026 | Otwarcie systemu S46 do przyjmowania wniosków o wpis do wykazu. Złóż wniosek jak najwcześniej. | Komunikat MC pkt 1 |
| 12 czerwca 2026 | Nowe podmioty (niebędące dotychczasowymi OUK) -- rozpocznij korzystanie z systemu S46. Skonfiguruj konta, przetestuj połączenie, zapoznaj się z interfejsem. | Komunikat MC pkt 2 lit. b |
| 3 października 2026 | Ostateczny termin złożenia wniosku o wpis do wykazu dla podmiotów istniejących w dniu wejścia ustawy w życie. | Art. 7c ust. 1, Komunikat MC pkt 1 |
| Do 3 kwietnia 2027 | Wdróż SZBI zgodny z art. 8. Rozpocznij pełne korzystanie z S46 (raportowanie incydentów, współpraca z CSIRT). Przeszkol kierownika jednostki (art. 8e). Zweryfikuj niekaralność personelu (art. 8f). Dostosuj systemy do minimalnych wymagań technicznych S46 (art. 46 ust. 7). | Art. 8, art. 8e-8f, art. 9 ust. 1 pkt 4, art. 46 ust. 4 |
| Do 3 kwietnia 2028 | Przeprowadź pierwszy audyt bezpieczeństwa systemu informacyjnego (dotyczy podmiotów kluczowych -- art. 15 ust. 1). Kopię raportu przekaż organowi właściwemu w ciągu 3 dni roboczych (art. 15 ust. 1a). | Art. 15 |
Pomagamy we wdrożeniu KSC od identyfikacji statusu po pełny audyt.
Sprawdzimy status Twojej organizacji, wskażemy obowiązki i zaproponujemy ścieżkę do zgodności z KSC. Pierwsza konsultacja bezpłatna.
Ta strona wykorzystuje wyłącznie niezbędne pliki cookie zapewniające prawidłowe działanie serwisu (np. zapamiętanie Twojego wyboru w tym oknie). Nie stosujemy plików cookie marketingowych ani analitycznych. Szczegóły znajdziesz w polityce prywatności.