Kalendarz wdrożenia KSC 2026–2028 — kluczowe daty dla podmiotów

Przegląd kluczowych terminów

Ustawa nowelizująca KSC weszła w życie 3 kwietnia 2026 roku. Od tego momentu biegną kolejne terminy, w których podmioty muszą spełnić poszczególne obowiązki. Harmonogram jest stopniowany — od identyfikacji statusu, przez rejestrację w wykazie, wdrożenie systemu zarządzania bezpieczeństwem informacji, aż po pierwszy obowiązkowy audyt.

Faza I: identyfikacja i rejestracja

Pierwsza faza obejmuje okres od kwietnia do października 2026 roku. W tym czasie każdy podmiot powinien przeprowadzić samoidentyfikację — ocenić, czy spełnia kryteria podmiotu kluczowego lub ważnego na podstawie sektora działalności i progów wielkościowych. Następnie należy zarejestrować się w wykazie przez system S46.

1. Przeanalizuj, w jakim sektorze/podsektorze działa organizacja (załączniki 1 i 2 do ustawy).
2. Sprawdź, czy organizacja przekracza progi wielkościowe (zatrudnienie, obrót, suma bilansowa).
3. Ustal, czy organizacja jest podmiotem kluczowym czy ważnym.
4. Wyznacz osobę kontaktową ds. cyberbezpieczeństwa.
5. Zarejestruj podmiot w wykazie przez system S46 przed 3 października 2026 r.

Faza II: wdrożenie SZBI

Druga faza trwa od rejestracji do kwietnia 2027 roku. To okres intensywnych prac wdrożeniowych — podmiot musi opracować i wdrożyć system zarządzania bezpieczeństwem informacji (SZBI) zgodny z wymaganiami art. 8 ustawy. Obejmuje to szacowanie ryzyka, opracowanie polityk i procedur, wdrożenie środków technicznych oraz przeszkolenie personelu.

1. Przeprowadź szacowanie ryzyka dla systemów informacyjnych wykorzystywanych do świadczenia usług.
2. Opracuj dokumentację SZBI: polityki, procedury, instrukcje operacyjne.
3. Wdróż środki techniczne: zarządzanie tożsamością, szyfrowanie, monitoring, kopie zapasowe.
4. Opracuj i przetestuj procedury reagowania na incydenty (wczesne ostrzeżenie 24h, zgłoszenie 72h, raport 1 miesiąc).
5. Przeprowadź szkolenie kierownika podmiotu z zakresu cyberbezpieczeństwa (art. 8e).
6. Przeprowadź szkolenia personelu odpowiedzialnego za bezpieczeństwo.
7. Podłącz podmiot do systemu S46 w celu zgłaszania incydentów.

Faza III: audyt i ciągłe doskonalenie

Trzecia faza rozpoczyna się po wdrożeniu SZBI i trwa do kwietnia 2028 roku, kiedy upływa termin przeprowadzenia pierwszego obowiązkowego audytu bezpieczeństwa. Audyt musi być przeprowadzony przez kwalifikowanego audytora i jego wyniki przekazane organowi właściwemu.

Pomagamy we wdrożeniu KSC od identyfikacji statusu po pełny audyt.