Czym jest nowelizacja KSC 2026
Nowelizacja ustawy o krajowym systemie cyberbezpieczeństwa została uchwalona 23 stycznia 2026 r. i opublikowana w Dz.U. 2026 poz. 252. Weszła w życie 3 kwietnia 2026 r. Jej podstawowym celem jest transpozycja dyrektywy NIS 2 (dyrektywa Parlamentu Europejskiego i Rady (UE) 2022/2555) do polskiego porządku prawnego. Po nowelizacji obowiązuje tekst jednolity całej ustawy ogłoszony w Dz.U. 2026 poz. 20. Zobacz też gdzie znaleźć tekst jednolity ustawy o KSC.
Najważniejsze zmiany wprowadzone przez nowelizację
Nowelizacja wprowadza kilkanaście fundamentalnych zmian. Najważniejsze z punktu widzenia firm i instytucji:
- Nowe kategorie podmiotów — zamiast „operatorów usług kluczowych" i „dostawców usług cyfrowych" wprowadzono podmioty kluczowe i podmioty ważne (art. 5 KSC).
- Samoidentyfikacja — podmiot sam ocenia, czy podlega ustawie, i rejestruje się w wykazie (art. 7c). Wcześniej status nadawała decyzja administracyjna organu.
- Rozszerzenie sektorów — z kilku sektorów do 18 obszarów gospodarki w załącznikach nr 1 i 2 (m.in. nowe: produkcja, gospodarka odpadami, żywność, chemikalia, przestrzeń kosmiczna, badania naukowe).
- Wykaz w systemie S46 — centralny wykaz podmiotów kluczowych i ważnych prowadzony przez ministra właściwego ds. informatyzacji (art. 7).
- Wyższe kary — do 10 mln EUR lub 2% przychodów dla podmiotów kluczowych; do 7 mln EUR lub 1,4% dla ważnych; w skrajnych przypadkach do 100 mln zł (art. 73).
- Osobista odpowiedzialność kierownika — kara do 300% wynagrodzenia (do 100% dla kierownika podmiotu publicznego), obowiązkowe coroczne szkolenie (art. 8e, art. 73a).
- Raportowanie incydentów w modelu 24h / 72h / 1 miesiąc (art. 11) — wczesne ostrzeżenie, zgłoszenie, sprawozdanie końcowe.
- Bezpieczeństwo łańcucha dostaw — obowiązek uwzględnienia podatności dostawców ICT w SZBI (art. 8 ust. 2).
- Instytucja dostawcy wysokiego ryzyka — możliwość uznania dostawcy sprzętu/oprogramowania za wysokiego ryzyka i nakaz wycofania jego produktów (art. 67b–67c).
- Obowiązkowy audyt co 3 lata dla podmiotów kluczowych (art. 15).
Stara ustawa vs znowelizowana — porównanie
Porównanie najważniejszych różnic między ustawą sprzed nowelizacji a stanem po 3 kwietnia 2026 r.:
| Obszar | Przed nowelizacją | Po nowelizacji (NIS 2) |
|---|---|---|
| Kategorie podmiotów | Operatorzy usług kluczowych (OUK) + dostawcy usług cyfrowych | Podmioty kluczowe i podmioty ważne |
| Nadawanie statusu | Decyzja administracyjna organu | Samoidentyfikacja + wpis do wykazu (art. 7c) |
| Liczba sektorów | Kilka sektorów usług kluczowych | 18 sektorów (załączniki nr 1 i 2) |
| Rejestr | Rejestr OUK | Centralny wykaz w systemie S46 (art. 7) |
| Maks. kara (podmiot) | Do 1 mln zł | Do 10 mln EUR / 2% przychodów (PK); do 100 mln zł w skrajnych przypadkach |
| Odpowiedzialność kierownika | Brak kar osobistych | Do 300% wynagrodzenia + obowiązkowe szkolenie (art. 8e, 73a) |
| Raportowanie incydentów | Pojedyncze zgłoszenie | Trzyetapowo: 24h / 72h / 1 miesiąc (art. 11) |
| Łańcuch dostaw | Brak wyraźnego obowiązku | Obowiązek uwzględnienia ryzyka dostawców (art. 8 ust. 2) |
| Dostawca wysokiego ryzyka | Brak instytucji | Procedura uznania + wycofanie produktów (art. 67b–67c) |
Kogo dotyczą nowe przepisy
Nowelizacja znacząco rozszerza krąg podmiotów objętych ustawą. Obejmuje teraz średnie i duże przedsiębiorstwa z 18 sektorów oraz podmioty publiczne. Pełną listę branż znajdziesz w artykule jakie sektory obejmuje KSC i NIS 2, a procedurę sprawdzenia statusu w artykule czy podlegam pod KSC.
Terminy wynikające z nowelizacji
Nowelizacja wprowadza przepisy przejściowe (art. 33–35 ustawy nowelizującej), które wyznaczają terminy dostosowania dla podmiotów istniejących w dniu wejścia w życie (3 kwietnia 2026 r.):
| Termin | Obowiązek | Podstawa |
|---|---|---|
| 3 kwietnia 2026 r. | Wejście w życie nowelizacji | Dz.U. 2026 poz. 252 |
| 3 października 2026 r. | Rejestracja w wykazie S46 (6 miesięcy) | art. 7c ust. 1 + art. 33 ust. 1 nowelizacji |
| 3 kwietnia 2027 r. | Wdrożenie SZBI i obowiązków rozdz. 3 (12 miesięcy) | art. 16 pkt 1 + art. 33 ust. 1 nowelizacji |
| 3 kwietnia 2028 r. | Pierwszy audyt podmiotów kluczowych (24 miesiące) | art. 16 pkt 2 + art. 33 ust. 2 nowelizacji |