Wykaz podmiotów kluczowych i ważnych po 3 października: wniosek, terminy NIS2 i kary

Jeśli Twoja firma spełnia warunki podmiotu kluczowego albo ważnego, a wniosku o wpis do wykazu podmiotów kluczowych i ważnych nikt u Was nie złożył, nie czekaj, aż przyjdzie pismo z urzędu. Termin minął 3 października 2026 r., ale obowiązek wpisu dalej Cię dotyczy.

Poniżej znajdziesz, jak sprawdzić, czy Twoja firma w ogóle podlega nowym przepisom, co zrobić po terminie i jakie obowiązki czekają Cię do 3 kwietnia 2027 r. Na końcu terminy zgłaszania incydentów i kary.

Kto miał złożyć wniosek o wpis do wykazu?

Wykaz wprowadziła nowelizacja KSC, czyli ustawa z 23 stycznia 2026 r. o zmianie ustawy o krajowym systemie cyberbezpieczeństwa oraz niektórych innych ustaw (Dz.U. 2026 poz. 252). Wdraża unijną dyrektywę NIS2 o cyberbezpieczeństwie i obowiązuje od 3 kwietnia 2026 r.

Wniosek składała sama firma. Ministerstwo nazywa to samoidentyfikacją, w praktyce to samoocena NIS2 w trzech krokach, opisanych na stronie „Jak dokonać samoidentyfikacji” Ministerstwa Cyfryzacji. Ministerstwo nie podaje tam kalkulatora, więc przez te kroki przechodzisz sam.

Czy Twoja branża jest w załączniku do ustawy?

Ustawa ma dwa załączniki z listą sektorów. Załącznik nr 1 to m.in. energia, transport, bankowość, ochrona zdrowia (także podmioty lecznicze, czyli przychodnie i szpitale), zaopatrzenie w wodę, ścieki, infrastruktura cyfrowa i zarządzanie usługami IT dla innych firm. Załącznik nr 2 to m.in. usługi pocztowe i kurierskie, odpady, chemikalia, żywność, wybrane gałęzie produkcji (np. elektronika, maszyny, pojazdy), badania naukowe i dostawcy usług cyfrowych, czyli internetowe platformy handlowe, wyszukiwarki i serwisy społecznościowe.

Ministerstwo podkreśla, że liczy się to, czym firma naprawdę się zajmuje. Kod PKD (Polskiej Klasyfikacji Działalności) tylko pomaga, sprawy nie przesądza.

Czy Twoja firma jest średnia albo duża?

Co do zasady ustawa nie obejmuje firm mikro i małych. Mała firma to mniej niż 50 osób zatrudnionych i obrót albo suma bilansowa do 10 mln euro. Jeśli zatrudniasz 50 osób lub więcej albo masz jednocześnie ponad 10 mln euro obrotu i sumy bilansowej, jesteś co najmniej średnim przedsiębiorcą.

Duża firma to 250 osób lub więcej albo jednocześnie ponad 50 mln euro obrotu i ponad 43 mln euro sumy bilansowej. Wielkość liczysz razem z firmami powiązanymi i partnerskimi. Wyjątek: jeśli status podmiotu kluczowego albo ważnego masz tylko dzięki liczbom firm powiązanych i partnerskich, a Twój system informacyjny jest od nich niezależny lub nie świadczycie z nimi usług wspólnie, tego statusu nie masz (art. 5 ust. 6 i 7).

Z tego wychodzi status (art. 5 ustawy):

• podmiot kluczowy - co do zasady duża firma z sektora z załącznika nr 1;
• podmiot ważny - co do zasady średnia firma z załącznika nr 1 albo średnia lub duża z załącznika nr 2.

Przykład: firma kurierska (załącznik nr 2) z 60 pracownikami i 8 mln euro obrotu jest podmiotem ważnym. Obrót ma niski, ale przekroczyła próg 50 osób, więc nie jest już małą firmą.

Kogo ustawa obejmuje bez względu na wielkość?

Wielkość nie ma znaczenia m.in. dla dostawców usług DNS (systemu, który zamienia nazwy stron na adresy serwerów), rejestrów domen i firm rejestrujących domeny, kwalifikowanych dostawców usług zaufania, podmiotów krytycznych (wskazanych przez państwo zgodnie z unijną dyrektywą o odporności podmiotów krytycznych) i podmiotów publicznych z załącznika nr 1. Wszyscy oni są podmiotami kluczowymi.

Firmy IT i telekomunikacyjne mają jeszcze osobne zasady. Dostawca usług zarządzanych w zakresie cyberbezpieczeństwa jest podmiotem kluczowym już jako mała firma, a średni albo duży przedsiębiorca komunikacji elektronicznej, czyli np. dostawca internetu, też jest kluczowy (art. 5 ust. 1 pkt 2 i 3). Mikro- i mali przedsiębiorcy komunikacji elektronicznej oraz mikro-, mali i średni niekwalifikowani dostawcy usług zaufania są podmiotami ważnymi (art. 5 ust. 2 pkt 3 i 4).

Podmiot leczniczy, który nie jest przedsiębiorcą, liczy tylko zatrudnionych: od 50 do 249 osób to podmiot ważny, od 250 kluczowy.

Kogo minister wpisał z urzędu?

Części firm samoocena nie dotyczyła, bo minister wpisał je z urzędu: m.in. podmioty publiczne, przedsiębiorców telekomunikacyjnych, dostawców usług zaufania i dawnych operatorów usług kluczowych (komunikat o uruchomieniu samorejestracji). Takie firmy dostają zawiadomienie z wezwaniem i mają 6 miesięcy od jego doręczenia na uzupełnienie danych.

Termin minął 3 października: co zrobić teraz?

Termin na wniosek wyznaczył komunikat Ministra Cyfryzacji z 8 kwietnia 2026 r.: od 7 maja do 3 października 2026 r. dla firm, które spełniały warunki już w dniu wejścia ustawy w życie. Dla firm, które spełnią je później, ustawa daje 6 miesięcy od tego dnia (art. 7c ust. 1).

Wniosek złożony po terminie dalej daje wpis, ale nie usuwa spóźnienia. Wpis następuje w chwili złożenia wniosku w systemie (art. 7d ust. 1), a spóźnienia ustawa nie wymienia wśród powodów odmowy wpisu.

Ustawa pozwala też organowi wpisać firmę do wykazu bez jej wniosku (art. 7j) i nałożyć karę (art. 73 ust. 1a pkt 1), gdy nie złożyła wniosku w ciągu 6 miesięcy od spełnienia warunków (art. 7c ust. 1). Dla firm, które spełniały warunki 3 kwietnia 2026 r., termin z komunikatu też upłynął 3 października, czyli po 6 miesiącach. Licz się więc z tym, że organ zastosuje te przepisy: wpis z urzędu może nastąpić już teraz, a karę organ może nałożyć najwcześniej po 3 kwietnia 2028 r. (art. 35 noweli).

Jeśli organ zdążył już wpisać Twoją firmę, wpisu na podstawie Twojego wniosku nie będzie, bo firma już jest w wykazie (art. 7d ust. 3 pkt 2). Wtedy dostajesz zawiadomienie z wezwaniem i 6 miesięcy na uzupełnienie danych (art. 7j ust. 3).

Oświadczenie we wniosku kierownik składa pod odpowiedzialnością karną za fałszywe oświadczenie (art. 7c ust. 5). Dlatego samoocenę lepiej mieć na piśmie, zanim ktoś podpisze wniosek. Jeśli nie wiesz, czy Twoja firma podlega przepisom, w RODOPS pomagamy to ustalić w ramach usługi Dyrektywa NIS2.

Jakie obowiązki NIS2 trzeba wdrożyć do 3 kwietnia 2027 r.?

Wpis do wykazu to dopiero początek. Firmy, które spełniały warunki 3 kwietnia 2026 r., mają 12 miesięcy na wdrożenie obowiązków z rozdziału 3 ustawy, czyli do 3 kwietnia 2027 r. (art. 33 ust. 1 noweli). Firma, która zaczęła spełniać warunki później, liczy 12 miesięcy od tego dnia (art. 16 ustawy).

Najważniejsze z tych obowiązków:

• system zarządzania bezpieczeństwem informacji: regularne szacowanie ryzyka i zabezpieczenia dobrane do niego (art. 8), m.in. plany ciągłości działania, bezpieczeństwo dostawców, kontrola dostępu, szkolenia personelu, szyfrowanie;
• dokumentacja bezpieczeństwa systemu (art. 10);
• obsługa i zgłaszanie incydentów (art. 11, opis niżej);
• odpowiedzialność kierownika za te obowiązki (art. 8c) i jego szkolenie raz w roku kalendarzowym (art. 8e);
• dla podmiotu kluczowego pierwszy audyt bezpieczeństwa w ciągu 24 miesięcy, czyli do 3 kwietnia 2028 r. (art. 33 ust. 2 noweli).

Niecałe pół roku to mało, jeśli zaczynasz od zera. Dobry start to przegląd obecnych zabezpieczeń, np. audyt bezpieczeństwa systemów IT, bo pokazuje, czego brakuje do wymagań z art. 8.

Zgłaszanie incydentów: 24 godziny, 72 godziny i miesiąc

Incydent poważny to taki, który powoduje albo może spowodować poważne obniżenie jakości lub przerwę w świadczeniu Twojej usługi, straty finansowe albo poważną szkodę u innych (art. 2 pkt 7). Zgłaszasz go do właściwego zespołu reagowania na incydenty (CSIRT sektorowego) w trzech krokach (art. 11 ust. 1 pkt 4-4c ustawy):

• wczesne ostrzeżenie - niezwłocznie, najpóźniej w ciągu 24 godzin od wykrycia;
• zgłoszenie incydentu - najpóźniej w ciągu 72 godzin od wykrycia;
• sprawozdanie końcowe - najpóźniej w ciągu miesiąca od zgłoszenia.

Na prośbę zespołu CSIRT przekazujesz też sprawozdanie okresowe w trakcie obsługi incydentu. Jeśli przy incydencie wyciekły dane osobowe, dochodzi osobny obowiązek z art. 33 RODO: zgłoszenie do UODO (Urzędu Ochrony Danych Osobowych) bez zbędnej zwłoki, w miarę możliwości w ciągu 72 godzin.

Jak to wygląda, opisaliśmy we wpisie o tym, jak przebiega zgłoszenie naruszenia do UODO po wycieku z programu do faktur.

Jakie kary za NIS2 grożą podmiotowi kluczowemu i ważnemu?

Kary są w art. 73 ustawy. Przeliczasz je na złote po średnim kursie NBP z 31 grudnia roku przed decyzją.

Kto	Najwyższa kara
Podmiot kluczowy	10 mln euro albo 2% przychodów z poprzedniego roku (liczy się wyższa kwota), najmniej 20 000 zł
Podmiot ważny	7 mln euro albo 1,4% przychodów z poprzedniego roku, najmniej 15 000 zł
Naruszenie, które grozi np. bezpieczeństwu państwa albo życiu ludzi	do 100 mln zł
Kierownik firmy	do 300% wynagrodzenia liczonego jak ekwiwalent za urlop (w podmiocie publicznym zwykle do 100%)

Za sam brak wniosku o wpis w terminie organ może nałożyć karę, jeśli przemawia za tym waga naruszenia (art. 73 ust. 1a pkt 1). Kara dla kierownika dotyczy m.in. niezłożenia wniosku i niewdrożenia systemu z art. 8 (art. 73a).

Kary z art. 73 ust. 1-4 i kary dla kierowników można nałożyć po raz pierwszy po upływie 2 lat od wejścia ustawy w życie (art. 35 noweli), czyli po 3 kwietnia 2028 r. Art. 35 nie obejmuje kary do 100 mln zł z art. 73 ust. 5, tej nie odroczono.

To nie jest powód, żeby czekać. Termin wdrożenia z art. 33 noweli obowiązuje normalnie, a organ może już teraz wpisać firmę z urzędu i wezwać ją do uzupełnienia danych.

Jak kary wyglądają w praktyce przy RODO, zobaczysz we wpisie Kary za naruszenie RODO w Polsce: 4 sprawy małych podmiotów.

Najczęstsze pytania o wykaz podmiotów kluczowych i ważnych

Pamiętaj: termin na wpis minął, ale obowiązki z ustawy dalej Cię dotyczą, a do 3 kwietnia 2027 r. zostało niecałe pół roku. Napisz do nas albo zadzwoń, sprawdzimy razem, czy Twoja firma jest podmiotem kluczowym albo ważnym, i ułożymy plan na te miesiące.