Błędny wpis w Wykazie KSC - zła kategoria, nieaktualne dane albo wykreślenie

NIS2 i KSC - Wykaz KSC i system S46

Błędny wpis w Wykazie KSC - zła kategoria, nieaktualne dane albo wykreślenie

W skrócie

Z błędnym wpisem w Wykazie KSC spotyka się zwłaszcza podmiot wpisany z urzędu, któremu w zaświadczeniu wyszła inna kategoria niż w jego analizie, oraz firma, w której zmieniły się domeny, adresy IP albo osoby kontaktowe. Pokazujemy, skąd biorą się te błędy, co poprawia sam podmiot, co operator wykazu, a kiedy trzeba złożyć wniosek o wykreślenie.

Jak to wygląda w praktyce

Lokalny dostawca internetu jest średnim przedsiębiorcą, a więc podmiotem kluczowym (art. 5 ust. 1 pkt 2 ustawy o KSC). Po wpisie z urzędu uzupełnił dane, pobrał zaświadczenie i w sekcji „H1 Przypisanie” zobaczył „podmiot ważny”. Okazało się, że nikt nie wypełnił deklaracji wielkości przedsiębiorstwa.

Przy okazji wyszło, że w sierpniu 2026 r. firma zmieniła pulę publicznych adresów IP, a jedna z osób kontaktowych odeszła z pracy i tego nie zgłoszono. Zarząd pyta, czy zła kategoria zmienia obowiązki, kto ją poprawia, ile jest czasu na zmiany danych i czy za zwłokę grozi kara.

Co mówią przepisy

Wpis ma charakter deklaratoryjny (art. 7d ust. 5 ustawy o KSC). Ministerstwo Cyfryzacji (MC) wyjaśnia, że klasyfikacja wynika wprost z ustawy, czyli z rodzaju działalności i wielkości podmiotu, a operator wykazu, NASK-PIB, niczego nie przyznaje, tylko doprowadza wpis do zgodności z danymi (odpowiedź 2.52). Zła kategoria w wykazie nie zmienia więc obowiązków: podmiot kluczowy oznaczony jako ważny nadal musi m.in. przeprowadzać audyt (art. 15 ust. 1). Typ podmiotu widać w zakładce „Szczegóły wpisu”, w sekcji „H. Przypisanie” (MC 2.13), a w zaświadczeniu w sekcji „H1 Przypisanie” (MC 2.47). Podmiot wpisany z urzędu mógł zostać oznaczony jako ważny, gdy brakowało danych o zatrudnieniu albo o spełnieniu kryteriów MŚP, czyli mikro, małych i średnich przedsiębiorstw. Po uzupełnieniu tych danych Wykaz KSC przypisze właściwy typ (MC 2.12). Różnice w obowiązkach obu kategorii opisujemy w tekście podmiot kluczowy a podmiot ważny.

Zmiany danych z art. 7 ust. 2 pkt 1-18 podmiot zgłasza wnioskiem o zmianę wpisu w terminie 14 dni od dnia ich zmiany (art. 7c ust. 3). Każda korekta, także domeny lub adresu IP, wymaga nowego, podpisanego wniosku (MC 2.26 i 2.27). Części pól, na przykład przypisanego zespołu reagowania na incydenty (CSIRT), podmiot sam nie zmieni. Błąd w nich zgłasza się na adres S46-admin@nask.pl (MC 2.14). Pola sektora i rodzaju podmiotu podmioty publiczne mogą od aktualizacji 1.1.7 aplikacji zmieniać same (MC 2.50). Organ właściwy do spraw cyberbezpieczeństwa może sprawdzać dane w wykazie, a przy niezgodności ze stanem faktycznym wzywa do zmiany wpisu w 7 dni od doręczenia wezwania, pod rygorem kary. Oczywiste omyłki poprawia z urzędu (art. 7k).

Podmiot, który przestał spełniać przesłanki w danym sektorze albo nigdy ich nie spełniał, składa wniosek o wykreślenie z uzasadnieniem (art. 7f ust. 3, MC 2.14). Organ rozpatruje go w ciągu miesiąca, brak odmowy w tym terminie skutkuje wykreśleniem, a na odmowę przysługuje skarga do sądu administracyjnego (art. 7f ust. 4, 6 i 7). Sama likwidacja nie odbiera statusu, więc podmiot w likwidacji aktualizuje dane w 14 dni (MC 2.42). Gdy zlikwidowany podmiot nie złoży wniosku, minister wykreśla go po uzyskaniu informacji o wykreśleniu z REGON, KRS albo CEIDG (art. 7f ust. 1). Organ właściwy wykreśla też, bez wniosku, podmiot, który nie jest albo przestał być podmiotem kluczowym lub ważnym (art. 7f ust. 2).

Za brak korekty pomimo wezwania podmiot podlega karze (art. 73 ust. 1 pkt 1), a kierownik może podlegać osobnej karze za niezgłoszenie zmian albo niezłożenie wniosku o wykreślenie (art. 73a ust. 1 pkt 1). Obie kary można nałożyć po raz pierwszy po 3 kwietnia 2028 r. (art. 35 ustawy nowelizującej z 23 stycznia 2026 r.). Błędne dane szkodzą jednak wcześniej: system S46 ustawia adresatów zgłoszenia incydentu na podstawie danych z Wykazu KSC.

Co zrobić krok po kroku

1. Pobierz zaświadczenie i porównaj dane. Właściciel wpisu pobiera z aplikacji Wykaz KSC zaświadczenie o wpisie i sprawdza z działem IT typ podmiotu, sektory, przypisane CSIRT i organ oraz dane z art. 7 ust. 2 pkt 1-18. Wynikiem jest lista rozbieżności z datą, od której każda dana jest nieaktualna.
2. Ustal przyczynę złej kategorii. Dyrektor finansowy albo osoba odpowiedzialna za compliance sprawdza deklarację wielkości i dane o zatrudnieniu we wpisie. Gdy ich brakuje albo są błędne, właściciel wpisu je uzupełnia (MC 2.12). Gdy kategoria zmieniła się, bo firma urosła, notatka zarządu zapisuje dzień spełnienia nowych przesłanek.
3. Złóż wniosek o zmianę wpisu. Właściciel wpisu wybiera wniosek o zmianę, wskazuje zmieniane dane i podpisuje go w ciągu 14 dni od zmiany (art. 7c ust. 3-6). Jeżeli brak danych wynika z wezwania po wpisie z urzędu, postępuj jak przy uzupełnianiu danych po wpisie z urzędu.
4. Zgłoś błędy w polach, których nie zmienisz sam. Właściciel wpisu wysyła na adres S46-admin@nask.pl swoje dane kontaktowe, jednoznaczne wskazanie podmiotu oraz dane błędne i prawidłowe (MC 2.14). Dwa wpisy tego samego podmiotu zgłasza się tak samo, z NIP i REGON (MC 2.48).
5. Złóż wniosek o wykreślenie, gdy brak przesłanek. Kierownik zatwierdza uzasadnienie, a właściciel wpisu wybiera „Utwórz nowy wniosek” i „Wniosek o wykreślenie podmiotu z Wykazu”, zaznacza sektory albo działalności do wykreślenia i podpisuje wniosek (MC 2.22). Przy likwidacji wniosek składa się najwcześniej 30 dni przed planowanym zakończeniem likwidacji i wykreśleniem z rejestru (MC 2.42).
6. Wprowadź procedurę 14 dni. Kierownik zatwierdza zasadę, że dział IT, kadry i zakupy zgłaszają właścicielowi wpisu każdą zmianę domen, adresów IP, osób kontaktowych i umów z dostawcą usług zarządzanych w zakresie cyberbezpieczeństwa. Właściciel wpisu prowadzi rejestr zgłoszonych zmian z datami.

Jak sprawdzić, że sprawa jest załatwiona

Sprawa jest załatwiona, gdy wniosek o zmianę ma status „Zatwierdzony”, a nowe zaświadczenie pokazuje aktualne dane i typ podmiotu zgodny z ustawą. Zaświadczenie o zmianie wpisu zawiera całą historię wpisów i zmian w kolejności chronologicznej (MC 2.46), więc dokumentuje także datę zgłoszenia. Przy wykreśleniu dowodem jest informacja organu o wykreśleniu albo upływ miesiąca od złożenia wniosku bez odmowy (art. 7f ust. 4 i 7).

Na kontrolę zachowaj:

• zaświadczenie o zmianie wpisu po każdej korekcie,
• korespondencję z operatorem wykazu,
• wniosek o wykreślenie z uzasadnieniem i decyzję albo informację organu,
• rejestr zmian danych z datą zdarzenia i datą wniosku.

Podstawa prawna i źródła

• art. 5 ust. 1, art. 7 ust. 2, art. 7c ust. 3-6, art. 7d ust. 5, art. 7f, art. 7k, art. 15 ust. 1, art. 73 ust. 1 pkt 1 i art. 73a ust. 1 pkt 1 ustawy z dnia 5 lipca 2018 r. o krajowym systemie cyberbezpieczeństwa (tekst ujednolicony, stan na 8 października 2026 r.) (źródło)
• art. 35 ustawy z dnia 23 stycznia 2026 r. o zmianie ustawy o krajowym systemie cyberbezpieczeństwa oraz niektórych innych ustaw (Dz.U. 2026 poz. 252) (źródło)
• Ministerstwo Cyfryzacji, pytania i odpowiedzi do ustawy o KSC, październik 2026, pytania 2.12, 2.13, 2.14, 2.22, 2.26, 2.27, 2.42, 2.46, 2.47, 2.48, 2.50 i 2.52 (źródło)
• System S46: zgłoszenie incydentu, adresaci ustawiani na podstawie danych z Wykazu KSC (źródło)

Stan prawny na 13 października 2026 r. Wyjaśnienia Ministerstwa Cyfryzacji nie są źródłem prawa, ale pokazują, jak resort odczytuje przepisy. W sprawach spornych decyzję warto oprzeć na opinii prawnika albo na stanowisku organu właściwego do spraw cyberbezpieczeństwa.

Wróć do listy: 30 najczęstszych pytań i problemów związanych z NIS2 i KSC