Przegląd kluczowych terminów
Ustawa nowelizująca KSC weszła w życie 3 kwietnia 2026 roku. Od tego momentu biegną kolejne terminy, w których podmioty muszą spełnić poszczególne obowiązki. Harmonogram rejestracji w systemie S46 jest stopniowany — od identyfikacji statusu, przez rejestrację w wykazie, wdrożenie systemu zarządzania bezpieczeństwem informacji, aż po pierwszy obowiązkowy audyt.
| Data | Obowiązek |
|---|---|
| 3 kwietnia 2026 | Wejście w życie znowelizowanej ustawy o KSC (art. 49 ustawy nowelizującej, Dz.U. 2026 poz. 252) |
| Wg komunikatu MC | Pierwszy wpis istniejących podmiotów do wykazu S46 — w terminach harmonogramu Ministra Cyfryzacji (art. 34 ust. 3 nowel.). Dla nowych podmiotów: 6 miesięcy od spełnienia przesłanek (art. 7c ust. 1 KSC) |
| 3 kwietnia 2027 | Pełne wdrożenie obowiązków rozdziału 3 — w tym SZBI z art. 8 (art. 33 ust. 1 nowel., 12 mies. od wejścia w życie). Korzystanie z S46 przez PK/PW: 12 miesięcy od spełnienia przesłanek (art. 46 ust. 4 KSC) |
| 3 kwietnia 2028 | Termin przeprowadzenia pierwszego audytu bezpieczeństwa (tylko PK — art. 33 ust. 2 nowel., 24 mies. od wejścia w życie) |
| Kamień milowy | Podmiot istniejący (od 3.04.2026) | Podmiot nowy (od dnia spełnienia przesłanek) |
|---|---|---|
| Pierwszy wpis do wykazu S46 | Wg harmonogramu MC w komunikacie (art. 34 ust. 3 nowel.) | 6 miesięcy od spełnienia przesłanek (art. 7c ust. 1 KSC) |
| Wdrożenie SZBI i pełne obowiązki rozdz. 3 | do 3.04.2027 (art. 33 ust. 1 nowel.) | 12 miesięcy od spełnienia przesłanek (art. 33 ust. 1 / art. 46 ust. 4 KSC) |
| Pierwszy audyt bezpieczeństwa (tylko PK) | do 3.04.2028 (art. 33 ust. 2 nowel.) | 24 miesiące od spełnienia przesłanek (art. 33 ust. 2 nowel.) |
Faza I: identyfikacja i rejestracja
Pierwsza faza obejmuje okres od kwietnia do października 2026 roku. W tym czasie każdy podmiot powinien przeprowadzić samoidentyfikację — ocenić, czy spełnia kryteria podmiotu kluczowego lub ważnego na podstawie sektora działalności i progów wielkościowych. Następnie należy zarejestrować się w wykazie podmiotów przez system S46.
- Przeanalizuj, w jakim sektorze/podsektorze działa organizacja (załączniki 1 i 2 do ustawy).
- Sprawdź, czy organizacja przekracza progi wielkościowe (zatrudnienie, obrót, suma bilansowa).
- Ustal, czy organizacja jest podmiotem kluczowym czy ważnym.
- Wyznacz co najmniej 2 osoby kontaktowe ds. cyberbezpieczeństwa (art. 9 ust. 1 KSC).
- Zarejestruj podmiot w wykazie przez system S46 — w terminach z komunikatu Ministra Cyfryzacji wydanego na podstawie art. 34 ust. 3 ustawy nowelizującej.
Faza II: wdrożenie SZBI
Druga faza trwa od rejestracji do kwietnia 2027 roku. To okres intensywnych prac wdrożeniowych — podmiot musi opracować i wdrożyć system zarządzania bezpieczeństwem informacji (SZBI) zgodny z wymaganiami art. 8 ustawy. Obejmuje to szacowanie ryzyka, opracowanie polityk i procedur, wdrożenie środków technicznych oraz przeszkolenie personelu.
- Przeprowadź szacowanie ryzyka dla systemów informacyjnych wykorzystywanych do świadczenia usług.
- Opracuj dokumentację SZBI: polityki, procedury, instrukcje operacyjne.
- Wdróż środki techniczne: zarządzanie tożsamością, szyfrowanie, monitoring, kopie zapasowe.
- Opracuj i przetestuj procedury reagowania na incydenty (wczesne ostrzeżenie 24h, zgłoszenie 72h, raport 1 miesiąc).
- Przeprowadź szkolenie kierownika podmiotu z zakresu cyberbezpieczeństwa (art. 8e).
- Przeprowadź szkolenia personelu odpowiedzialnego za bezpieczeństwo.
- Podłącz podmiot do systemu S46 w celu zgłaszania incydentów.
Faza III: audyt i ciągłe doskonalenie
Trzecia faza rozpoczyna się po wdrożeniu SZBI i trwa do kwietnia 2028 roku, kiedy upływa termin przeprowadzenia pierwszego obowiązkowego audytu bezpieczeństwa. Audyt musi być przeprowadzony przez kwalifikowanego audytora i jego wyniki przekazane organowi właściwemu.