Komunikat Ministerstwa Cyfryzacji z 11 maja 2026
11 maja 2026 r. Ministerstwo Cyfryzacji opublikowało komunikat o rozpoczęciu wysyłki zawiadomień do podmiotów wpisanych z urzędu do Wykazu podmiotów kluczowych i podmiotów ważnych. Wpisów dokonano przed uruchomieniem samorejestracji w systemie wykaz-ksc.gov.pl (data uruchomienia: 7 maja 2026 r.) — czyli zanim podmioty mogły same złożyć wniosek o wpis. Procesem doręczania zawiadomień i wezwań zarządza NASK-PIB (Naukowa i Akademicka Sieć Komputerowa — Państwowy Instytut Badawczy), któremu Minister Cyfryzacji powierzył prowadzenie Systemu S46 (system teleinformatyczny z art. 46 ust. 1 KSC) i Wykazu. Zakończenie pierwszej tury wysyłki planowane jest do końca maja 2026 r.
Kogo objął wpis z urzędu
Wpisem z urzędu objęto cztery kategorie podmiotów wymienione wprost w art. 7a ust. 2 KSC: przedsiębiorców telekomunikacyjnych, dostawców usług zaufania, podmioty publiczne oraz podmioty krytyczne (CER). Dodatkowo, na podstawie art. 34 ust. 2 ustawy nowelizującej, wpisem z urzędu objęto również dotychczasowych operatorów usług kluczowych (OUK) zarejestrowanych w wykazie OUK prowadzonym w ramach poprzedniej wersji ustawy. Jeśli nie masz pewności, do której kategorii należy Twoja organizacja, zacznij od pillara „Czy podlegam pod KSC?" — 3 kroki samoidentyfikacji oraz porównania Podmiot kluczowy vs. ważny.
| Kategoria podmiotu | Podstawa wpisu | Źródło danych |
|---|---|---|
| Przedsiębiorcy telekomunikacyjni | art. 7a ust. 2 pkt 1 KSC | Rejestr Prezesa UKE |
| Dostawcy usług zaufania (kwalifikowani i niekwalifikowani) | art. 7a ust. 2 pkt 2 KSC | Rejestr dostawców usług zaufania |
| Podmioty publiczne (administracja rządowa, samorządowa, JST, instytucje) | art. 7a ust. 2 pkt 3 KSC | Rejestry publiczne (CEIDG, KRS, REGON), bazy adresów elektronicznych, dane od organów nadzorczych |
| Podmioty krytyczne (CER) | art. 7a ust. 2 pkt 4 KSC | Wskazanie organu właściwego ds. odporności podmiotów krytycznych |
| Dotychczasowi operatorzy usług kluczowych (OUK) | art. 34 ust. 2 ustawy nowelizującej | Wykaz OUK prowadzony przed 3.04.2026 |
Co zawiera wezwanie
Treść wezwania reguluje wprost art. 7b ust. 3 KSC. Każde wezwanie musi zawierać cztery elementy, które pozwalają podmiotowi jednoznacznie zidentyfikować zakres swojego obowiązku.
- Podstawa prawna wpisu do wykazu (np. „art. 7a ust. 2 pkt 1 KSC — przedsiębiorca telekomunikacyjny”)
- Numer podmiotu w wykazie (unikalny identyfikator nadawany przy wpisie)
- Dane podmiotu wpisane do wykazu wraz ze wskazaniem źródła ich pochodzenia (np. „NIP — z CEIDG", „adres — z REGON")
- Wskazanie brakujących danych, które podmiot musi uzupełnić (np. „zakresy adresów IP", „osoby kontaktowe ds. cyberbezpieczeństwa”)
6 miesięcy — od kiedy biegnie termin
Termin uzupełnienia danych wynika z art. 7b ust. 2 KSC: 6 miesięcy od dnia doręczenia wezwania, pod rygorem nałożenia kary pieniężnej. Liczy się dzień doręczenia Tobie — nie dzień wysłania, nie dzień wpisu do wykazu, nie dzień wejścia w życie ustawy. Praktycznie oznacza to, że termin biegnie indywidualnie dla każdego podmiotu, zależnie od daty, w której rzeczywiście otrzymał wezwanie.
| Data doręczenia wezwania | Termin uzupełnienia danych |
|---|---|
| np. 15 maja 2026 r. | do 15 listopada 2026 r. |
| np. 30 maja 2026 r. | do 30 listopada 2026 r. |
| np. 15 czerwca 2026 r. (kolejne kategorie) | do 15 grudnia 2026 r. |
Jak uzupełnić dane
Uzupełnienie danych następuje przez złożenie wniosku o zmianę wpisu w wykazie (art. 7b ust. 4 w zw. z art. 7c ust. 3 KSC). Wniosek składa się elektronicznie w Systemie S46 dostępnym pod adresem wykaz-ksc.gov.pl (system uruchomiony 7 maja 2026 r.). Procedura jest analogiczna do standardowej rejestracji, ale wniosek zawiera dodatkowo numer podmiotu w wykazie i wskazanie zmienianych danych (art. 7c ust. 4).
- Zaloguj się do Systemu S46 pod adresem wykaz-ksc.gov.pl — uwierzytelnienie kierownika lub pełnomocnika
- Wybierz opcję „Wniosek o zmianę wpisu w wykazie” — wskaż numer podmiotu z otrzymanego wezwania
- Uzupełnij brakujące dane wymienione w wezwaniu (zakresy adresów IP, osoby kontaktowe, ewentualne dodatkowe sektory / podsektory działalności)
- Zweryfikuj poprawność danych wpisanych z urzędu — w razie błędów zaznacz korektę istniejących pól
- Dołącz oświadczenie kierownika podmiotu z klauzulą o odpowiedzialności karnej (art. 7c ust. 5 z odesłaniem do art. 233 § 6 Kodeksu karnego)
- Podpisz wniosek kwalifikowanym podpisem elektronicznym, profilem zaufanym, podpisem osobistym lub kwalifikowaną pieczęcią elektroniczną (art. 7c ust. 6)
- Złóż wniosek — wpis jest automatyczny z chwilą złożenia (art. 7d ust. 1)
Forma doręczenia
Doręczenie zawiadomienia o wpisie z urzędu i wezwania regulują art. 7b ust. 5–7 KSC. Standardowa procedura odsyła do działu I rozdziału 8 Kodeksu postępowania administracyjnego (Dz.U. 2025 poz. 1691) — czyli typowe doręczenia administracyjne (e-Doręczenia, doręczenie pocztowe ze zwrotnym potwierdzeniem odbioru, doręczenie elektroniczne).
- Zasada ogólna (art. 7b ust. 5) — doręczenie wg działu I rozdz. 8 KPA, czyli przede wszystkim e-Doręczenia (jeśli podmiot ma adres do doręczeń elektronicznych) albo doręczenie tradycyjne ze zwrotnym potwierdzeniem odbioru
- Przedsiębiorcy telekomunikacyjni (art. 7b ust. 6) — alternatywnie przez Platformę Usług Elektronicznych Urzędu Komunikacji Elektronicznej (PUE UKE) w ramach współpracy ministra ds. informatyzacji z Prezesem UKE
- Forma elektroniczna (art. 7b ust. 7) — możliwość załatwienia spraw z ust. 1 i 2 w sposób przewidziany w art. 14 § 1b KPA (komunikacja elektroniczna)
Konsekwencje braku uzupełnienia
Niewykonanie obowiązku uzupełnienia danych w terminie 6 miesięcy od doręczenia wezwania jest naruszeniem ustawy w rozumieniu art. 73 ust. 1 pkt 1 KSC: „karze pieniężnej podlega podmiot kluczowy lub podmiot ważny, który nie uzupełnił w terminie brakujących danych w wykazie albo nie dokonał korekty danych pomimo wezwania, o którym mowa w art. 7b ust. 2". Dodatkowo na kierownika podmiotu może być nałożona kara osobista z art. 73a ust. 1 pkt 1 KSC za niewykonanie obowiązku z art. 7b ust. 4 (sam akt uzupełnienia). Pełen przewodnik po sankcjach: Kary KSC — kompletny przewodnik; w szczególności sankcje za brak rejestracji omawiamy w artykule Kary za brak rejestracji KSC. Mechanizm odpowiedzialności zarządu — patrz Odpowiedzialność zarządu KSC.
| Sankcja | Maksymalna wysokość | Podstawa prawna |
|---|---|---|
| Kara pieniężna na PK z przychodami z działalności gospodarczej | do 10 000 000 EUR lub 2% rocznych przychodów (wartość wyższa, min. 20 000 zł) | art. 73 ust. 3 KSC |
| Kara pieniężna na PW z przychodami z działalności gospodarczej | do 7 000 000 EUR lub 1,4% rocznych przychodów (min. 15 000 zł) | art. 73 ust. 4 KSC |
| Kara pieniężna na PK bez przychodów z działalności gospodarczej (typowo podmioty publiczne: urzędy, JST, SP ZOZ-y bez działalności komercyjnej) | podstawa ryczałtowa: równowartość 500 000 EUR; górny limit z ust. 3 / 4 i minimum 20 000 zł stosuje się odpowiednio | art. 73 ust. 3a KSC (w zw. z ust. 3) |
| Kara pieniężna na PW bez przychodów z działalności gospodarczej (typowo podmioty publiczne) | podstawa ryczałtowa: równowartość 250 000 EUR; górny limit z ust. 4 i minimum 15 000 zł stosuje się odpowiednio | art. 73 ust. 3a KSC (w zw. z ust. 4 zd. ostatnie) |
| Kara osobista na kierownika podmiotu (sektor prywatny lub podmiot publiczny działający też w innym sektorze z zał. 1/2) | do 300% rocznego wynagrodzenia (wg ekwiwalentu za urlop) | art. 73a ust. 4 KSC |
| Kara osobista na kierownika podmiotu publicznego (niedziałającego w innym sektorze z zał. 1/2) | do 100% rocznego wynagrodzenia (wg ekwiwalentu za urlop) | art. 73a ust. 5 KSC |
| Bezpośrednie i poważne cyberzagrożenie (np. atak na infrastrukturę krytyczną państwa) | do 100 000 000 zł (niezależnie od formy podmiotu) | art. 73 ust. 5 KSC |
Co dalej — kolejne kategorie podmiotów
Komunikat Ministerstwa Cyfryzacji z 11 maja 2026 r. zapowiada kolejne tury wpisów z urzędu i wysyłki wezwań. W szczególności trwa identyfikacja samorządowych instytucji kultury — bibliotek, muzeów, ośrodków kultury, teatrów samorządowych — których wpisy z urzędu i wezwania będą realizowane w kolejnych tygodniach po maju 2026 r. Podmioty te są wymienione w art. 5 ust. 2 pkt 8 KSC jako podmioty ważne publiczne stosujące uproszczony SZBI z załącznika nr 4 (art. 8 ust. 3 KSC). Pełen plan wdrożenia w jednostce samorządu — patrz: Gmina a KSC — plan wdrożenia krok po kroku oraz wykaz podmiotów sektora JST.
Źródła oficjalne i akty prawne
Poniżej zebraliśmy oficjalne źródła informacji dotyczące wpisów z urzędu i Wykazu KSC. Treść tego artykułu opieramy wyłącznie na tekście ustawy i komunikatach instytucji państwowych — zachęcamy do bezpośredniej weryfikacji w źródłach.
- System wykazu podmiotów kluczowych i ważnych (S46) — wykaz-ksc.gov.pl — oficjalny system teleinformatyczny prowadzony na podstawie art. 46 ust. 1 KSC; tu składa się wnioski o wpis, zmianę wpisu i wykreślenie z wykazu (art. 7c ust. 6 KSC). Uruchomiony 7 maja 2026 r.
- Ministerstwo Cyfryzacji — minister właściwy ds. informatyzacji, organ odpowiedzialny za prowadzenie Wykazu (art. 7 ust. 6 KSC), wydawanie harmonogramu rejestracji (art. 34 ust. 3 ustawy nowelizującej) i komunikatów o wpisach z urzędu (komunikat z 11.05.2026).
- NASK-PIB (Naukowa i Akademicka Sieć Komputerowa — Państwowy Instytut Badawczy) — instytucja, której Minister Cyfryzacji powierzył operacyjne prowadzenie Systemu S46 i Wykazu. NASK-PIB realizuje wysyłkę zawiadomień i wezwań. Prowadzi również CSIRT NASK — jeden z trzech CSIRT-ów poziomu krajowego (art. 26 ust. 5 pkt 1 KSC).
- Ustawa o krajowym systemie cyberbezpieczeństwa — tekst jednolity Dz.U. 2026 poz. 20 (ISAP — Internetowy System Aktów Prawnych Sejmu RP).
- Ustawa nowelizująca z 23 stycznia 2026 r. — Dz.U. 2026 poz. 252 (zawiera m.in. art. 33–35 — przepisy przejściowe).
- Dziennik Ustaw RP — oficjalna baza aktów prawnych (źródło archiwalnych egzemplarzy).