Nowy obowiązek dla podmiotów kluczowych i ważnych
Od 7 maja do 3 października 2026 r. podmioty objęte ustawą o krajowym systemie cyberbezpieczeństwa mogą składać wnioski o wpis do Wykazu KSC. Obowiązek wynika z nowelizacji ustawy o KSC, która w większości weszła w życie 3 kwietnia 2026 r.
Nowe przepisy wprowadziły podział na podmioty kluczowe i ważne oraz rozszerzyły katalog sektorów objętych regulacjami. Firmy muszą samodzielnie ustalić, czy prowadzona przez nie działalność podlega ustawie, a następnie - jeśli spełniają odpowiednie kryteria - dokonać wpisu do wykazu.
Wniosku nie muszą składać podmioty wpisywane z urzędu. Dotyczy to podmiotów publicznych, przedsiębiorców telekomunikacyjnych, dostawców usług cyfrowych oraz organizacji, które przed nowelizacją miały status operatorów usług kluczowych.
Przemysł, infrastruktura i ICT wśród objętych sektorów
Zgodnie z nowelizacją do sektorów kluczowych zaliczono m.in. energię, transport, ochronę zdrowia, bankowość, infrastrukturę rynków finansowych, zaopatrzenie w wodę pitną i jej dystrybucję, zbiorowe odprowadzanie ścieków, infrastrukturę cyfrową oraz przestrzeń kosmiczną.
Dla przedsiębiorstw działających w obszarze automatyki, infrastruktury i przemysłu szczególne znaczenie mają również sektory ważne. Obejmują one m.in. usługi pocztowe, inwestycje energetyki jądrowej, gospodarowanie odpadami, produkcję, wytwarzanie i dystrybucję chemikaliów, produkcję, wytwarzanie i dystrybucję żywności, dostawców usług cyfrowych oraz badania naukowe.
Do sektorów ważnych zaliczono także firmy zajmujące się produkcją określonych wyrobów, w tym wyrobów medycznych, komputerów, wyrobów elektronicznych i optycznych, urządzeń elektrycznych, pojazdów samochodowych, przyczep i naczep oraz pozostałego sprzętu transportowego.
Firmy muszą samodzielnie ocenić swój status
Ministerstwo Cyfryzacji wskazuje, że pierwszym krokiem powinno być sprawdzenie, czy działalność firmy mieści się w sektorach lub podsektorach objętych ustawą. Następnie przedsiębiorca powinien określić wielkość podmiotu, uwzględniając progi dla mikro, małych i średnich firm, a także przedsiębiorstwa powiązane i partnerskie.
Mikroprzedsiębiorstwo to podmiot zatrudniający mniej niż 10 pracowników i osiągający maksymalnie 2 mln euro rocznego obrotu lub rocznej sumy bilansowej. Dla małych firm progi wynoszą odpowiednio mniej niż 50 pracowników i maksymalnie 10 mln euro, a dla średnich — mniej niż 250 pracowników oraz maksymalnie 50 mln euro rocznego obrotu albo 43 mln euro rocznej sumy bilansowej. Firmy przekraczające te wartości są traktowane jako duże przedsiębiorstwa.
Sama wielkość firmy nie zawsze jest jednak decydująca. Szczegółowe zasady uznawania podmiotu za kluczowy albo ważny określa art. 5 ustawy o KSC. Resort zaznacza, że spełnienie przesłanek wskazanych w tym przepisie oznacza objęcie podmiotu ustawą. Wszyscy przedsiębiorcy telekomunikacyjni podlegają jej niezależnie od wielkości.
Wpis do Wykazu KSC
Podmiot, który ustali, że podlega krajowemu systemowi cyberbezpieczeństwa, powinien zarejestrować się w Wykazie KSC dostępnym pod adresem wykaz-ksc.gov.pl. Logowanie odbywa się przez login.gov.pl, a wniosek składa kierownik podmiotu lub osoba przez niego upoważniona.
Formularz obejmuje m.in. dane identyfikacyjne, adresowe i kontaktowe firmy, w tym NIP, REGON oraz nazwę podmiotu. Po wypełnieniu dokumentu należy go podpisać elektronicznie - za pomocą Profilu Zaufanego albo aplikacji zewnętrznej. Wpis uznaje się za dokonany po zatwierdzeniu wniosku w systemie.
Nowe wymagania dotyczące cyberbezpieczeństwa
Nowelizacja ustawy o KSC wdraża w Polsce unijną dyrektywę NIS 2 dotyczącą cyberbezpieczeństwa oraz Toolbox 5G, odnoszący się do bezpieczeństwa sieci 5G.
Podmioty kluczowe i ważne będą musiały realizować nowe obowiązki związane z bezpieczeństwem informacji. Obejmują one m.in. wdrożenie systemu zarządzania bezpieczeństwem informacji, regularną ocenę ryzyka wystąpienia incydentów, zarządzanie incydentami oraz stosowanie środków technicznych i organizacyjnych proporcjonalnych do oszacowanego ryzyka.
Nowe przepisy obejmują również część podmiotów publicznych, w tym urzędy, samorządy, szkoły, szpitale, instytuty badawcze oraz Polską Agencję Prasową.
Czas na dostosowanie do 2027 roku
Podmioty kluczowe i ważne mają czas na dostosowanie się do nowych przepisów do 3 kwietnia 2027 r. Kary finansowe za niewywiązanie się z obowiązków będą mogły być nakładane od 3 kwietnia 2028 r.
Nowelizacja przewiduje także wymianę informacji o incydentach, cyberzagrożeniach i podatnościach za pośrednictwem systemu s46. Według Ministerstwa Cyfryzacji korzystanie z tego systemu będzie możliwe od 12 czerwca 2026 r.
Dla firm działających w przemyśle, infrastrukturze i usługach ICT najważniejsze jest obecnie ustalenie, czy ich działalność mieści się w katalogu sektorów objętych ustawą oraz czy spełniają kryteria podmiotu kluczowego lub ważnego. W przypadku pozytywnej oceny przedsiębiorstwo powinno dokonać wpisu do Wykazu KSC najpóźniej do 3 października 2026 r.
Źródło: Bankier.pl
