Czy moja firma podlega KSC? Jak sprawdzić to krok po kroku

W skrócieTwoja firma podlega ustawie o krajowym systemie cyberbezpieczeństwa (KSC), jeżeli faktycznie prowadzi działalność z załącznika nr 1 lub nr 2 i jest co najmniej średnim przedsiębiorcą albo należy do podmiotów objętych wyjątkiem od tego progu (art. 5). Status wynika co do zasady z ustawy, nie z decyzji urzędu, więc analizę robisz sam i ją dokumentujesz.

Od 3 kwietnia 2026 r. obowiązuje znowelizowana ustawa o krajowym systemie cyberbezpieczeństwa, a termin samorejestracji dla firm, które spełniały przesłanki w dniu jej wejścia w życie, upłynął 3 października 2026 r. Czy firma podlega ustawie, urząd co do zasady za nią nie rozstrzygnie. Ministerstwo Cyfryzacji w odpowiedzi 1.12 pisze, że podmiot kluczowy ani ważny nie dostaje decyzji administracyjnej o kwalifikacji, a każdy podmiot prowadzący działalność wskazaną w załącznikach „musi przeanalizować”, czy jest podmiotem kluczowym lub ważnym.

Od wyniku zależy, czy firma ma obowiązki z ustawy i które terminy już biegną, bo liczą się one od spełnienia przesłanek, a nie od dnia wpisu do wykazu (odpowiedź ministerstwa 2.31). Same obowiązki, kary i terminy opisuje szerzej nasz przewodnik po NIS2 i ustawie o KSC.

Do siedmiu kroków dokładamy osiem fikcyjnych przykładów i listę kontrolną w PDF. Stan prawny na 12 października 2026 r.

Pobierz listę kontrolną (PDF) 17 pytań z tego artykułu z polami TAK i NIE, skutkiem każdej odpowiedzi i podstawą prawną.

Krok 1. Rodzaj działalności z załączników nr 1 i nr 2

Ustawa wymienia objęte rodzaje działalności w dwóch załącznikach. Załącznik nr 1 („Sektory kluczowe”) ma 10 sektorów, załącznik nr 2 („Sektory ważne”) dziewięć. Każdy wiersz ma trzy kolumny: sektor, podsektor i rodzaj podmiotu. O objęciu ustawą przesądza trzecia kolumna, bo opisuje, kto dokładnie jest objęty, zwykle przez odesłanie do innej ustawy, koncesji albo klasyfikacji działalności.

Kolumna „Rodzaj podmiotu” bywa bardzo konkretna. W energetyce objęte jest na przykład przedsiębiorstwo energetyczne posiadające koncesję na obrót energią elektryczną, w żywności przedsiębiorstwa spożywcze „zajmujące się dystrybucją hurtową oraz przemysłowymi produkcją i przetwarzaniem”, a w produkcji przedsiębiorca prowadzący działalność z określonego działu sekcji C klasyfikacji NACE Rev. 2, na przykład działu 28 (maszyny i urządzenia). Ogólne „jesteśmy w branży spożywczej” nie wystarczy.

Skąd wiedzieć, co firma prowadzi? Ministerstwo Cyfryzacji w odpowiedzi 1.1 wskazuje, że działalność należy określić na podstawie prawidłowo zadeklarowanych kodów PKD i dokumentów urzędowych: koncesji, zezwoleń i wpisów do rejestrów działalności regulowanej. W instrukcji samoidentyfikacji z 27 kwietnia 2026 r. dodaje jednak, że „pomocniczo można posłużyć się kodami PKD, jednak decydujące znaczenie ma faktyczny zakres świadczonych usług lub wykonywanych zadań”. Podobnie ministerstwo pisze w odpowiedziach 2.16 i 2.7: liczy się działalność faktycznie wykonywana i to ją należy wykazywać w wykazie i w rejestrach publicznych. Nieaktualny kod PKD nie przesądza więc objęcia ustawą, ale warto go poprawić, bo przy wpisach z urzędu organ korzysta z rejestrów publicznych (art. 7j ust. 2).

Liczy się też działalność poboczna. Ministerstwo w odpowiedzi 2.8 pisze, że ustawie podlega działalność wskazana w załącznikach „niezależnie od tego, czy jest to działalność główna czy pomocnicza”. Wyjątkiem są woda pitna, ścieki i odpady. Z załącznika nr 1 wyłączono podmioty, dla których dostarczanie wody albo odprowadzanie ścieków jest „inną niż istotną częścią ich ogólnej działalności”, a z załącznika nr 2 przedsiębiorstwa, dla których usługi w zakresie odpadów nie stanowią podstawowej działalności gospodarczej. Firma prowadząca kilka rodzajów działalności z załączników wykazuje je we wniosku o wpis odrębnie (art. 7d ust. 2).

Lista sektorów w ustawie różni się od listy w dyrektywie NIS2, więc „18 sektorów” z ofert nie zastąpi lektury załącznika. Różnice wyjaśniamy w tekście NIS2, KSC i KSC2 - czym się różnią i które przepisy dotyczą polskiej firmy.

Krok 2. Wielkość: osoby, obrót i suma bilansowa

Ustawa nie definiuje wielkości sama. Odsyła do art. 2 ust. 1 załącznika I do rozporządzenia Komisji (UE) nr 651/2014 (w skrócie GBER), czyli do unijnej definicji mikro, małych i średnich przedsiębiorstw (MŚP) (art. 5 ust. 1 i 2 ustawy o KSC). Progi z tego załącznika zbiera tabela.

Łatwo pomylić się przy słowie „lub”. Małe przedsiębiorstwo zatrudnia mniej niż 50 pracowników i ma roczny obrót lub roczną sumę bilansową nieprzekraczającą 10 mln EUR (art. 2 ust. 2 załącznika I). Z tego brzmienia wynika, że firma z 40 osobami, 14 mln EUR obrotu i 6 mln EUR sumy bilansowej nadal jest mała, bo jedna z wartości finansowych mieści się w limicie. Przestaje być mała przy 50 osobach albo wtedy, gdy oba progi finansowe przekroczy jednocześnie. Tak samo działa granica dużego przedsiębiorstwa: 250 osób albo jednoczesne przekroczenie obu progów finansowych średniego.

Zatrudnienie liczy się w rocznych jednostkach pracy (RJP), czyli w przeliczeniu na pełne etaty przez cały rok referencyjny. Do personelu należą pracownicy, osoby pracujące dla przedsiębiorstwa, podlegające mu i uważane za pracowników na mocy prawa krajowego, właściciele-kierownicy oraz partnerzy prowadzący regularną działalność w firmie. Nie wlicza się praktykantów i studentów odbywających szkolenie zawodowe ani okresu urlopu macierzyńskiego i wychowawczego (art. 5 załącznika I). Ministerstwo Cyfryzacji do osób uważanych za pracowników zalicza także osoby na umowach agencyjnych, zleceniach i umowach o dzieło (odpowiedź 1.5) i odsyła do Kwalifikatora MŚP prowadzonego przez Polską Agencję Rozwoju Przedsiębiorczości.

Dane finansowe bierzesz z ostatniego zatwierdzonego okresu obrachunkowego, a obrót liczysz bez VAT (art. 4 ust. 1 załącznika I). Ustawa o KSC dodaje, że przesłanki bada się według stanu na dzień sporządzenia sprawozdania finansowego (art. 5 ust. 5). Załącznik I przewiduje też, że status zmienia się dopiero wtedy, gdy przekroczenie progu albo spadek poniżej niego powtórzy się w dwóch kolejnych okresach obrachunkowych (art. 4 ust. 2). Ustawa o KSC nie mówi wprost, czy ta reguła ma do niej zastosowanie, ale Ministerstwo Cyfryzacji uważa, że tak: przy pierwszym przekroczeniu progu w 2026 r. status średniego przedsiębiorcy pojawi się dopiero wtedy, gdy zjawisko powtórzy się w 2027 r. (odpowiedź 1.46).

Jeżeli firma ma przedsiębiorstwa partnerskie albo powiązane, wielkość liczysz razem z nimi. Partnerstwo zachodzi, gdy jedno przedsiębiorstwo ma co najmniej 25% kapitału lub praw głosu drugiego, ale go nie kontroluje. Powiązanie to między innymi większość praw głosu albo prawo powoływania większości członków zarządu lub rady nadzorczej (art. 3 ust. 2 i 3 załącznika I). Dane partnerów dolicza się proporcjonalnie do udziału, a dane przedsiębiorstw powiązanych w całości (art. 6 ust. 2). Ustawa o KSC wyłącza przy tym regułę, według której co najmniej 25-procentowy udział organu publicznego wyklucza status MŚP (art. 5 ust. 3). Co zrobić, gdy próg przekraczasz tylko dzięki grupie, opisujemy w kroku 5.

Krok 3. Podmioty objęte bez względu na wielkość

Część podmiotów podlega ustawie niezależnie od wielkości albo przy niższym progu niż średnie przedsiębiorstwo. Warto przejść art. 5 punkt po punkcie.

• Podmiotem kluczowym bez względu na wielkość są: dostawca usług DNS, kwalifikowany dostawca usług zaufania, podmiot krytyczny, podmiot publiczny z sektora „podmioty publiczne” w załączniku nr 1, rejestr nazw domen najwyższego poziomu (TLD), podmiot świadczący usługi rejestracji nazw domen, operator obiektu energetyki jądrowej, podmiot niebędący przedsiębiorcą wskazany w załączniku nr 1 z nazwy albo rodzaju oraz podmioty uznane za kluczowe decyzją (art. 5 ust. 1 pkt 4).
• Dostawca usług zarządzanych w zakresie cyberbezpieczeństwa, czyli firma świadcząca usługi „polegające na realizacji lub wsparciu dla realizacji działań związanych z zarządzaniem ryzykiem w cyberbezpieczeństwie, w tym obsługę incydentów, testów bezpieczeństwa, audytów systemów informacyjnych, doradztwo” (art. 2 pkt 4j), jest podmiotem kluczowym, jeśli jest co najmniej małym przedsiębiorcą (art. 5 ust. 1 pkt 3). Ministerstwo w odpowiedzi 1.2 wymienia tu przedsiębiorstwa małe, średnie i duże. Według odpowiedzi 1.21 i 3.34 obejmuje też spółkę obsługującą tylko własną grupę kapitałową, a według odpowiedzi 1.23 nie obejmuje dostawców oprogramowania.
• Przedsiębiorca komunikacji elektronicznej jest podmiotem kluczowym, jeśli jest co najmniej średni, a ważnym jako mikro- lub mały przedsiębiorca (art. 5 ust. 1 pkt 2 i ust. 2 pkt 4). Niekwalifikowany dostawca usług zaufania będący mikro-, małym lub średnim przedsiębiorcą jest podmiotem ważnym (art. 5 ust. 2 pkt 3).
• Podmiotem ważnym bez względu na wielkość jest inwestor obiektu energetyki jądrowej z decyzją zasadniczą, podmiot niebędący przedsiębiorcą wskazany w załączniku nr 2 oraz samorządowe jednostki budżetowe, zakłady budżetowe, instytucje kultury i spółki wykonujące zadania o charakterze użyteczności publicznej, jeżeli realizują zadanie publiczne z wykorzystaniem systemów informacyjnych i nie są podmiotami kluczowymi (art. 5 ust. 2 pkt 5, 7 i 8).
• Podmiot leczniczy, który nie jest przedsiębiorcą, jest ważny przy zatrudnieniu od 50 do 249 osób i kluczowy od 250 osób (art. 5 ust. 8). Urząd gminy jest wymieniony w załączniku nr 1, jeżeli na 1 stycznia danego roku zatrudnia na podstawie umowy o pracę co najmniej 50 osób w przeliczeniu na pełne etaty. Pozostałe urzędy gmin są według ministerstwa podmiotami ważnymi (odpowiedź 1.8).

Organ właściwy do spraw cyberbezpieczeństwa może też decyzją uznać za podmiot kluczowy lub ważny firmę z załącznika, która nie spełnia kryteriów wielkości, na przykład gdy jest jedynym dostawcą usługi o kluczowym znaczeniu dla krytycznej działalności społecznej lub gospodarczej (art. 7l ust. 1). Ustawa nie obejmuje służb specjalnych ani podmiotów podległych lub nadzorowanych przez Ministra Obrony Narodowej, chyba że minister wskaże je decyzją (art. 5 ust. 10 i 11).

Krok 4. Podmiot kluczowy czy ważny

Gdy wiesz, w którym załączniku jest Twoja działalność i jaka jest wielkość firmy, kategorię wyznacza art. 5. Dla zwykłych przedsiębiorstw reguła jest prosta: załącznik nr 1 i duże przedsiębiorstwo to podmiot kluczowy (art. 5 ust. 1 pkt 1), załącznik nr 1 i średnie przedsiębiorstwo to podmiot ważny (art. 5 ust. 2 pkt 1), a załącznik nr 2 to podmiot ważny zarówno dla średnich, jak i dla dużych (art. 5 ust. 2 pkt 2). Duży producent z załącznika nr 2 nie staje się kluczowy tylko dlatego, że rośnie. Może nim być wyłącznie z innego tytułu, na przykład jako podmiot krytyczny.

Jeżeli firma spełnia wymogi obu kategorii, na przykład jako duże przedsiębiorstwo prowadzi działalność z obu załączników, jest podmiotem kluczowym (art. 5 ust. 4, tak samo ministerstwo w odpowiedzi 1.10). We wniosku o wpis wykazuje przy tym każdą działalność osobno (art. 7d ust. 2).

Merytoryczne obowiązki obu kategorii są według ministerstwa takie same (odpowiedź 1.11). Różnią się nadzór, audyt i kary (art. 53 ust. 3, art. 15 ust. 1, art. 73 ust. 3-4). Pełne porównanie z numerami przepisów jest w tekście Podmiot kluczowy a podmiot ważny: różnice w obowiązkach, nadzorze i audytach.

Krok 5. Spółka w grupie kapitałowej: wyjątek z art. 5 ust. 6 i 7

Doliczanie danych grupy może sprawić, że mała spółka formalnie staje się średnia albo duża. Ustawa łagodzi ten skutek. Jeżeli podmiot spełnia wymogi podmiotu kluczowego tylko dlatego, że po zsumowaniu danych zgodnie z art. 6 ust. 2-4 załącznika I przewyższa kryteria średniego przedsiębiorstwa, ale jego system informacyjny jest niezależny od systemów informacyjnych przedsiębiorstw powiązanych lub partnerskich albo nie świadczy on z nimi usług wspólnie, to nie jest podmiotem kluczowym (art. 5 ust. 6). Analogiczny przepis dotyczy podmiotu ważnego (art. 5 ust. 7). Ustawa łączy oba warunki słowem „lub”, więc z jej brzmienia wynika, że wystarczy jeden z nich.

Ministerstwo Cyfryzacji w odpowiedzi 1.6 wyjaśnia, jak rozumie niezależność. System jest niezależny między innymi wtedy, gdy do świadczenia usług nie jest konieczne działanie podmiotu powiązanego lub partnerskiego, albo gdy rozwiązanie jednej spółki można w akceptowalnym czasie i po akceptowalnych kosztach zastąpić innym, o nie gorszych właściwościach. Ministerstwo dodaje, że jeżeli spółki nie świadczą tej samej usługi, danych partnera lub spółki powiązanej „nie powinno się ujmować” przy ustalaniu wielkości, i zastrzega, że „powinno to być należycie udokumentowane”.

Jedna sprawa pozostaje niejasna: ustawa nie mówi wprost, czy spółka wyłączona z kategorii kluczowej na podstawie ust. 6 może być podmiotem ważnym na podstawie własnej wielkości.

Osiem przykładów klasyfikacji z liczbami

Przykłady są fikcyjne, a liczby przyjęliśmy na potrzeby ilustracji. W każdym zakładamy, że firma działa w Polsce, a jej dane w dwóch ostatnich zatwierdzonych latach obrotowych wyglądały tak samo.

W przykładzie 6 o wyniku przesądza architektura systemów i sposób świadczenia usług, a to trzeba umieć wykazać. W przykładzie 7 rejestr mówi co innego niż rzeczywistość: rozstrzyga faktyczna działalność, ale kod PKD warto poprawić. Do przykładu 8 ministerstwo dodaje, że serwery DNS udostępniane abonentom w ramach dostępu do internetu nie czynią małego operatora dostawcą usług DNS (odpowiedź 1.19).

Krok 6. Gdy wynik nie jest oczywisty: notatka i kontakt z organem

Samoocena bywa niejednoznaczna: działalność na granicy definicji, grupa kapitałowa ze wspólnym IT, przekroczenie progu tylko w jednym roku. Wtedy tym bardziej warto zapisać analizę w krótkiej notatce zatwierdzonej przez zarząd. Ustawa takiej notatki nie wymaga, ale przy wyjątku dla spółek z grupy ministerstwo oczekuje udokumentowania (odpowiedź 1.6), a organ właściwy do spraw cyberbezpieczeństwa może bez wszczynania postępowania wystąpić o informacje potrzebne do wstępnej oceny, czy firma jest podmiotem kluczowym lub ważnym (art. 43 ust. 1). Za nieprzekazanie tych informacji ustawa przewiduje karę 50 000 zł (art. 73b ust. 1 pkt 4 i ust. 4), która tak jak inne kary z art. 73b może być po raz pierwszy nałożona po 3 kwietnia 2028 r. (art. 35 ustawy nowelizującej).

A jeśli się pomylisz? Gdy firma powinna była złożyć wniosek, a tego nie zrobiła, organ może wpisać ją do wykazu z urzędu (art. 7j ust. 1), a ministerstwo w odpowiedzi 1.20 ostrzega, że konsekwencją mogą być czynności nadzorcze i w dalszej perspektywie kara. Gdy firmę wpisano, a nie spełnia przesłanek, składa wniosek o wykreślenie (odpowiedź 2.14), a organ rozpatruje go w ciągu miesiąca i wykreśla podmiot, który nie jest podmiotem kluczowym ani ważnym (art. 7f ust. 2 pkt 1 i ust. 4).

Krok 7. Wniosek o wpis do Wykazu KSC i terminy po 3 października 2026 r.

Wpis do wykazu podmiotów kluczowych i podmiotów ważnych (dalej: Wykaz KSC) nie nadaje statusu. Następuje z chwilą złożenia wniosku w systemie teleinformatycznym i ma charakter deklaratoryjny (art. 7d ust. 1 i 5). Ministerstwo w odpowiedzi 2.31 pisze wprost, że termin 3 października 2026 r. „dotyczy wyłącznie wpisu do wykazu”, a termin na realizację obowiązków liczy się „od momentu spełnienia przesłanek”.

Firmy, które spełniały przesłanki 3 kwietnia 2026 r., miały złożyć wniosek według harmonogramu ministra (art. 33 ust. 3 ustawy nowelizującej). Komunikat Ministra Cyfryzacji (Dz. Urz. MC 2026 poz. 7) wyznaczył na to okres od 7 maja do 3 października 2026 r. Termin minął, a do 12 października 2026 r. nie ogłoszono komunikatu, który by go zmieniał. Co teraz?

1. Sprawdź, czy firmy nie wpisano z urzędu. Minister wpisywał z urzędu m.in. przedsiębiorców telekomunikacyjnych, dostawców usług zaufania, podmioty publiczne i dawnych operatorów usługi kluczowej (odpowiedź 2.3). Wpisany podmiot dostaje zawiadomienie i wezwanie, a dane uzupełnia wnioskiem o zmianę wpisu, także o działalność nieobjętą wpisem z urzędu (art. 7b).
2. Jeżeli wpisu nie ma, złóż wniosek w aplikacji Wykaz KSC. Samorejestracja jest dostępna przez cały czas (odpowiedź 2.32). Wniosek podpisuje elektronicznie kierownik podmiotu albo osoba przez niego upoważniona. Zawiera on oświadczenie kierownika składane pod rygorem odpowiedzialności karnej z art. 233 § 6 Kodeksu karnego (art. 7c ust. 5 i 6).
3. Nie odkładaj obowiązków do czasu wpisu. Podmioty, które spełniały przesłanki 3 kwietnia 2026 r., realizują obowiązki z rozdziału 3, w tym wdrażają system zarządzania bezpieczeństwem informacji (SZBI), do 3 kwietnia 2027 r. (art. 33 ust. 1), a podmioty kluczowe przeprowadzają pierwszy audyt do 3 kwietnia 2028 r. (art. 33 ust. 2). Jak rozłożyć te prace w czasie, opisujemy w tekście KSC - co trzeba przygotować do 3 kwietnia 2027 roku.
4. Znaj ryzyko. Poza wpisem z urzędu (art. 7j ust. 1) organ może nałożyć karę za niezłożenie wniosku, „jeżeli przemawia za tym waga i znaczenie naruszonych przepisów” (art. 73 ust. 1a pkt 1). Kary z art. 73 ust. 1-4 mogą być po raz pierwszy nałożone po 3 kwietnia 2028 r. (art. 35 ustawy nowelizującej). Czy to moratorium obejmuje też ust. 1a, ustawa nie mówi wprost.

Firma, która spełni przesłanki później, na przykład przekroczy próg wielkości albo zacznie świadczyć usługę z załącznika, ma 6 miesięcy na wniosek o wpis (art. 7c ust. 1), 12 miesięcy na obowiązki z rozdziału 3 i 24 miesiące na pierwszy audyt, jeśli jest podmiotem kluczowym (art. 16). Zmianę danych z wniosku, w tym deklaracji wielkości (art. 7 ust. 2 pkt 13), zgłaszasz w ciągu 14 dni (art. 7c ust. 3). Gdy Wykaz KSC pokazuje inną kategorię niż Twoja analiza, przyczyną bywa według ministerstwa brak danych o wielkości, po których uzupełnieniu system przypisze właściwy typ (odpowiedź 2.12). Co robić po wpisie, opisujemy w tekście Firma jest w Wykazie KSC. Co dalej?

Lista kontrolna: samoocena w 17 pytaniach

Przejdź przez pytania po kolei. Przy każdym zaznacz odpowiedź i zapisz, na jakich danych ją oparłeś: sprawozdanie finansowe, liczba osób w RJP, koncesje, umowy, struktura grupy. Wynik i dane wejściowe zachowaj w notatce z samoidentyfikacji. GBER to rozporządzenie Komisji (UE) nr 651/2014, MC to Ministerstwo Cyfryzacji. Tę samą listę z polami TAK i NIE pobierzesz w pliku PDF.

Krok 1. Rodzaj działalności

Krok 2. Wielkość przedsiębiorstwa

Krok 3. Podmioty objęte bez względu na wielkość

Krok 4. Kategoria: kluczowy czy ważny

Krok 5. Spółka w grupie kapitałowej

Krok 6. Dokumentacja i wątpliwości

Krok 7. Wpis do Wykazu KSC i terminy

Co z wynikiem

• Podmiot kluczowy: obowiązki z rozdziału 3 ustawy, audyt co najmniej raz na 3 lata, nadzór prewencyjny i następczy.
• Podmiot ważny: te same obowiązki z rozdziału 3, audyt tylko na polecenie organu po incydencie poważnym albo naruszeniu, nadzór następczy.
• Poza ustawą: zachowaj notatkę z analizą i powtórz ocenę po każdym zamknięciu roku obrotowego albo zmianie działalności.
• Wynik niepewny: opisz wątpliwość w notatce i skonsultuj ją z prawnikiem przed złożeniem wniosku o wpis albo o wykreślenie.

Lista porządkuje samoocenę i nie zastępuje analizy prawnej. Odpowiedzi Ministerstwa Cyfryzacji przywołane przy pytaniach to stanowiska niewiążące. Stan prawny: ustawa o krajowym systemie cyberbezpieczeństwa w brzmieniu z 8.10.2026 r.

Podstawa prawna i źródła

• art. 2 pkt 4j, art. 5, 7, 7b, 7c, 7d, 7f, 7j, 7l, 15, 16, 43, 53 ust. 3, 73, 73b oraz załączniki nr 1 i nr 2 ustawy o krajowym systemie cyberbezpieczeństwa
• art. 33 i 35 ustawy z 23 stycznia 2026 r. o zmianie ustawy o krajowym systemie cyberbezpieczeństwa oraz niektórych innych ustaw (Dz.U. 2026 poz. 252)
• art. 2-6 załącznika I do rozporządzenia Komisji (UE) nr 651/2014 - definicja MŚP
• Ministerstwo Cyfryzacji, pytania i odpowiedzi do ustawy o KSC (aktualizacja październik 2026), działy 1-3 - stanowiska niewiążące
• Ustawa o krajowym systemie cyberbezpieczeństwa w ISAP
• Tekst ujednolicony ustawy o KSC, stan na 8.10.2026 (Kancelaria Sejmu, PDF)
• Ustawa nowelizująca, Dz.U. 2026 poz. 252 (Dziennik Ustaw, PDF)
• Rozporządzenie Komisji (UE) nr 651/2014, załącznik I, w EUR-Lex
• Ministerstwo Cyfryzacji: pytania i odpowiedzi do nowelizacji KSC, październik 2026 (PDF)
• Ministerstwo Cyfryzacji: jak dokonać samoidentyfikacji (27.04.2026)
• Komunikat Ministra Cyfryzacji z harmonogramem wpisów, Dz. Urz. MC 2026 poz. 7