NIS2, KSC i KSC2 - czym się różnią i które przepisy dotyczą polskiej firmy?

W skrócieNIS2 to unijna dyrektywa skierowana do państw, KSC to polska ustawa o krajowym systemie cyberbezpieczeństwa z 2018 r., a „KSC2” to potoczna nazwa jej nowelizacji z 23 stycznia 2026 r. Polską firmę wiąże ustawa o KSC w obecnym brzmieniu, zmienionym tą nowelizacją od 3 kwietnia 2026 r. Dyrektywa sama obowiązków na firmy nie nakłada.

Te same obowiązki występują w ofertach doradców, prezentacjach dostawców i materiałach urzędów pod trzema nazwami: NIS2, KSC i KSC2 (albo KSC 2.0). Dla zarządu to nie jest spór o słowa. Od tego, który akt uznasz za źródło obowiązku, zależy, gdzie szukasz terminów, kar i definicji oraz jak zapiszesz podstawę prawną w polityce bezpieczeństwa czy w uchwale zarządu.

Polska wdrożyła dyrektywę NIS2 z opóźnieniem. Unijny termin minął 17 października 2024 r. (art. 41 dyrektywy), a znowelizowana ustawa obowiązuje od 3 kwietnia 2026 r. W tym czasie powstało wiele tekstów opartych na projekcie ustawy albo na samej dyrektywie i część z nich opisuje rozwiązania, których w uchwalonej ustawie nie ma. Szerszy obraz obowiązków, kar i terminów daje nasz przewodnik po NIS2 i ustawie o KSC.

Tutaj porządkujemy nazwy i akty. Rozkładamy przepisy na pięć warstw, zestawiamy rozwiązania dyrektywy z ich polskimi odpowiednikami (z numerami artykułów), porównujemy listy sektorów, wskazujemy styki z rozporządzeniem DORA dla sektora finansowego, z RODO i z przepisami o podmiotach krytycznych oraz opisujemy, czego dotyczy sprawa K 19/26 przed Trybunałem Konstytucyjnym. Na końcu znajdziesz słowniczek skrótów i kolejność, w jakiej warto czytać przepisy. Stan prawny na 12 października 2026 r.

NIS2, KSC i KSC2: co oznacza każda z nazw

NIS2 to dyrektywa Parlamentu Europejskiego i Rady (UE) 2022/2555 z 14 grudnia 2022 r. w sprawie środków na rzecz wysokiego wspólnego poziomu cyberbezpieczeństwa na terytorium Unii. W tytule sama nazywa się „dyrektywą NIS 2”, bo zastąpiła dyrektywę (UE) 2016/1148, czyli pierwszą dyrektywę NIS, która straciła moc 18 października 2024 r. (art. 44 dyrektywy NIS2).

KSC to skrót od „krajowego systemu cyberbezpieczeństwa”, a w praktyce skrótowa nazwa ustawy z 5 lipca 2018 r. o krajowym systemie cyberbezpieczeństwa (Dz.U. 2018 poz. 1560). W pierwotnej wersji ustawa wdrażała pierwszą dyrektywę NIS. Tak mówił przypis do jej tytułu jeszcze w tekście jednolitym ogłoszonym w styczniu 2026 r. (Dz.U. 2026 poz. 20). Nowelizacja z 23 stycznia 2026 r. zmieniła ten przypis i dziś brzmi on: „Niniejsza ustawa wdraża dyrektywę Parlamentu Europejskiego i Rady (UE) 2022/2555”. Ustawa zachowała tytuł i datę, bo nowelizacja nie uchwaliła nowego aktu, tylko zmieniła istniejący (art. 1 ustawy nowelizującej).

KSC2 i KSC 2.0 to nazwy potoczne. Nie ma ich w tytule ani w treści ustawy. Pojawiają się w materiałach z prac nad projektem (załącznik nr 3 do oceny skutków regulacji w druku sejmowym nr 1955 nosi tytuł „Ocena skutków regulacji KSC 2.0 dla NASK-PIB w latach 2025-2035”) i w tytule poradnika NASK-PIB „Od wymagań do działania” z września 2026 r. Ministerstwo Cyfryzacji w komunikatach pisze zwykle o „nowelizacji ustawy o krajowym systemie cyberbezpieczeństwa (KSC)”. Raz „KSC2” oznacza samą nowelizację, raz ustawę po zmianach, dlatego w dokumentach firmy używaj nazwy urzędowej.

Pięć warstw przepisów i która z nich wiąże firmę

Kiedy rozłożysz przepisy na warstwy, łatwiej ustalić, gdzie szukać odpowiedzi na konkretne pytanie. Tabela zbiera to, co z każdej warstwy wynika dla firmy.

Warstwę trzecią łatwo przeoczyć, a to ona wyznacza terminy. Ustawa nowelizująca, poza zmianami w ustawie o KSC, zawiera własne przepisy przejściowe. Wynika z nich, że podmioty spełniające przesłanki 3 kwietnia 2026 r. mają 12 miesięcy na obowiązki z rozdziału 3 (art. 33 ust. 1), a podmioty kluczowe 24 miesiące na pierwszy audyt (art. 33 ust. 2). Kary z art. 73 ust. 1-4, art. 73a-73c i art. 76b mogą być po raz pierwszy nałożone po upływie 2 lat od wejścia w życie nowelizacji (art. 35). Tych przepisów nie ma w tekście ustawy o KSC, więc cytujesz je jako przepisy ustawy nowelizującej.

Warstwa czwarta to obecne brzmienie ustawy. Ostatni tekst jednolity ogłoszono w Dz.U. 2026 poz. 20, czyli przed nowelizacją. Po niej ustawę zmieniły jeszcze trzy akty: ustawa o zmianie ustawy o zarządzaniu kryzysowym (Dz.U. 2026 poz. 815), ustawa o systemach sztucznej inteligencji (poz. 1003, zmiana w art. 26 od 28 października 2026 r.) i nowelizacja Prawa bankowego (poz. 1206, zmiana w załączniku nr 1 od 11 stycznia 2027 r.). W rozdziale 3 zmieniło się tylko odesłanie w art. 15 ust. 7 pkt 2 (kto przekazuje kopię raportu z audytu dyrektorowi Rządowego Centrum Bezpieczeństwa, poz. 815), a przepisów o karach żadna z tych zmian nie dotyczy. Najwygodniej czyta się tekst ujednolicony w Internetowym Systemie Aktów Prawnych (ISAP), w stanie na 8 października 2026 r., ale tekst ujednolicony nie jest źródłem prawa, więc w dokumentach powołuj publikacje w Dzienniku Ustaw.

Obok tych warstw działają akty wykonawcze. Na 12 października 2026 r. nie ogłoszono żadnego rozporządzenia wydanego na podstawie znowelizowanej ustawy. Rozporządzenie Rady Ministrów z 2018 r. w sprawie progów uznania incydentu za poważny zachowuje moc do czasu wejścia w życie nowego, ale najdłużej do 3 kwietnia 2027 r. (art. 32 pkt 1 ustawy nowelizującej), a projekt nowego rozporządzenia jest w toku prac rządowych. Część podmiotów stosuje też wprost akty Unii, o czym piszemy niżej.

Warstwa piąta to materiały urzędów. Ministerstwo Cyfryzacji opublikowało zestaw pytań i odpowiedzi do ustawy (aktualizacja z października 2026 r.) i samo zastrzega, że dokument „nie ma mocy prawnej i nie jest dokumentem wiążącym”, choć jest „przydatny przy dokonywaniu wykładni przepisów ustawy”. Poradnik NASK-PIB wyraża poglądy autorów, a nie oficjalne stanowisko ministerstwa. Jest jeden wyjątek o realnym skutku: komunikat Ministra Cyfryzacji z harmonogramem wpisów do wykazu (Dz. Urz. MC 2026 poz. 7). Ustawa nowelizująca kazała składać wnioski zgodnie z tym harmonogramem (art. 33 ust. 3 i art. 34 ust. 3), więc obowiązek złożenia wniosku między 7 maja a 3 października 2026 r. wynikał z ustawy, a komunikat wskazał tylko daty.

Co przyszło z dyrektywy, a co dodała polska ustawa

Dyrektywa jest skierowana do państw członkowskich (art. 46 dyrektywy NIS2) i zobowiązuje je do przyjęcia przepisów krajowych (art. 41). Dlatego polska firma nie stosuje art. 21 czy art. 23 dyrektywy, tylko art. 8 i art. 11 ustawy o KSC. Ma to znaczenie, bo dyrektywa wyznacza minimum: jej art. 5 pozwala państwom przyjąć lub utrzymać przepisy zapewniające wyższy poziom cyberbezpieczeństwa. W kilku miejscach ustawa mówi precyzyjniej, idzie dalej albo przyjmuje inną podstawę niż dyrektywa.

Dwie z tych różnic warto rozwinąć. Pierwsza dotyczy liczenia czasu na zgłoszenie. Ministerstwo Cyfryzacji w odpowiedzi 6.5 wyjaśnia, że momentem wykrycia jest zidentyfikowanie zdarzenia jako incydentu, a nie chwila, w której incydent zaistniał. Procedura obsługi incydentów powinna więc zapisywać ten moment, bo od niego biegną 24 i 72 godziny. Druga dotyczy kar: ustawa liczy procent od przychodu samego podmiotu, a dyrektywa od światowego obrotu przedsiębiorstwa, do którego podmiot należy. Jak ta różnica przełoży się na praktykę organów, dziś nie wiadomo, bo pierwsze kary mogą zapaść dopiero po 3 kwietnia 2028 r.

Ocena skutków regulacji dołączona do projektu ustawy wiąże przepisy o ocenie ryzyka dostawców z unijnym zestawem zaleceń dla sieci 5G (tak zwanym 5G Toolbox). To właśnie te przepisy, razem z poleceniem zabezpieczającym, są przedmiotem wniosku do Trybunału Konstytucyjnego, o którym piszemy dalej. Z tabeli warto zapamiętać też wiersz o szkoleniu: dyrektywa mówi o regularności, a ustawa o konkretnym rytmie, co rozwijamy w tekście o obowiązkowym szkoleniu zarządu z KSC i jego dokumentowaniu.

Sektory: 10 i 9 w ustawie, 11 i 7 w dyrektywie

Liczba 18, powtarzana w mediach i ofertach, pochodzi z dyrektywy: jej załącznik I („Sektory kluczowe”) ma 11 pozycji, a załącznik II („Sektory ważne”) 7. Polska ustawa ma własne załączniki o takich samych tytułach, ale inaczej podzielone. Załącznik nr 1 do ustawy wymienia 10 sektorów, a załącznik nr 2 dziewięć.

Licząc pozycje, ustawa ma 19 sektorów, a odrębnych nazw 18, bo „podmioty publiczne” występują w obu załącznikach. Liczba się zgadza, skład nie. Kto w nagłówku oferty czyta o „18 sektorach z NIS2”, a potem szuka w nich swojej działalności, powinien sięgnąć po załącznik do ustawy, nie do dyrektywy.

Dla firmy najważniejsza jest kolumna „Rodzaj podmiotu” w załączniku ustawy. To ona mówi, kto w sektorze jest objęty: w energetyce na przykład przedsiębiorstwo energetyczne z koncesją na określoną działalność, a w żywności przedsiębiorstwa spożywcze „zajmujące się dystrybucją hurtową oraz przemysłowymi produkcją i przetwarzaniem”. Sektor wyznacza też organ właściwy do spraw cyberbezpieczeństwa, który nadzoruje podmiot i nakłada kary (art. 41, a dla podmiotów publicznych art. 41a): dla produkcji (poza wyrobami medycznymi) jest to minister właściwy do spraw gospodarki, dla żywności minister właściwy do spraw rolnictwa, dla komunikacji elektronicznej Prezes Urzędu Komunikacji Elektronicznej. Jak przejść przez załączniki i progi wielkości, opisujemy w artykule Czy moja firma podlega KSC? Jak sprawdzić to krok po kroku.

DORA, RODO, podmioty krytyczne i rozporządzenia UE stosowane wprost

DORA. W sektorze bankowości i infrastruktury rynków finansowych ustawa nie stosuje swoich przepisów o systemie zarządzania bezpieczeństwem informacji (SZBI) ani o zgłaszaniu poważnych incydentów, z wymienionymi wyjątkami, takimi jak przepisy o wykazie (art. 7-7m), osobach kontaktowych (art. 9) i szacowaniu ryzyka (art. 8 ust. 1 pkt 1) - tak stanowi art. 8i ust. 1. Ministerstwo Cyfryzacji w odpowiedzi 14.2 wyjaśnia, że w tym zakresie pierwszeństwo ma rozporządzenie DORA, czyli rozporządzenie (UE) 2022/2554, i przypomina, że dyrektywa NIS2 przewiduje pierwszeństwo sektorowych aktów Unii w art. 4. Przepisy o kierowniku podmiotu, w tym o jego szkoleniu (art. 8c-8f), stosuje się do tego sektora odpowiednio (art. 8i ust. 2).

RODO. Ten sam incydent może być jednocześnie incydentem w rozumieniu ustawy o KSC i naruszeniem ochrony danych osobowych. Ustawa przewiduje, że system teleinformatyczny z art. 46 ustawy (S46) ma wspierać zgłaszanie naruszeń z art. 33 RODO przez podmioty kluczowe i ważne (art. 46 ust. 1 pkt 7), a minister ma uruchomić tę funkcję w ciągu roku od wejścia w życie nowelizacji, czyli do 3 kwietnia 2027 r. (art. 36 ustawy nowelizującej). Ustawa reguluje też zbieg kar: jeżeli za ten sam czyn prawomocną karę nałożył już Prezes Urzędu Ochrony Danych Osobowych, organ właściwy do spraw cyberbezpieczeństwa nie wszczyna postępowania w sprawie kary i poprzestaje na pouczeniu, choć może stosować środki nadzoru (art. 76c).

Podmioty krytyczne. Podmiot krytyczny w rozumieniu dyrektywy (UE) 2022/2557 o odporności podmiotów krytycznych (dyrektywa CER) jest podmiotem kluczowym bez względu na wielkość (art. 2 pkt 11c i art. 5 ust. 1 pkt 4 lit. c ustawy o KSC). Nadzór nad takim podmiotem organ właściwy do spraw cyberbezpieczeństwa może sprawować wspólnie z organem właściwym do spraw podmiotów krytycznych (art. 53f ust. 4). Gdy podmiot jest jednocześnie operatorem infrastruktury krytycznej, na wniosek dyrektora Rządowego Centrum Bezpieczeństwa przekazuje kopię raportu z audytu (art. 15 ust. 7 pkt 2).

Rozporządzenie wykonawcze (UE) 2024/2690. Dostawcy usług DNS, rejestry domen najwyższego poziomu, dostawcy usług chmurowych, centrów przetwarzania danych, sieci dostarczania treści, usług zarządzanych i usług zarządzanych w zakresie cyberbezpieczeństwa oraz dostawcy platform handlowych, wyszukiwarek i platform społecznościowych stosują w ramach SZBI środki zarządzania ryzykiem określone w tym rozporządzeniu (art. 8b ust. 1). Ministerstwo w odpowiedzi 14.1 zaznacza, że od środków opisanych w załączniku słowami „w stosownych przypadkach” można odstąpić, jeżeli nie są właściwe, ale wymaga to udokumentowania. Wybrane podmioty z podsektora energii elektrycznej stosują dodatkowo rozporządzenie delegowane (UE) 2024/1366 (art. 8b ust. 3).

Sprawa K 19/26 w Trybunale Konstytucyjnym: czego dotyczy

Prezydent podpisał nowelizację 19 lutego 2026 r. i jednocześnie zapowiedział skierowanie jej do Trybunału Konstytucyjnego w trybie kontroli następczej. Wniosek datowany 17 lipca 2026 r. wpłynął do Trybunału 21 lipca 2026 r. i otrzymał sygnaturę K 19/26. Na 12 października 2026 r. sprawa ma status „w toku”: Trybunał nie wyznaczył rozprawy i nie wydał orzeczenia.

Wniosek dotyczy wąskiego wycinka ustawy: postępowania w sprawie uznania za dostawcę wysokiego ryzyka i jego skutków (art. 67b, 67c i 67e), polecenia zabezpieczającego, które minister może wydać w razie incydentu krytycznego (art. 67g), oraz definicji procesu, produktu i usługi ICT (art. 2 pkt 11k-11m). Nie kwestionuje katalogu sektorów, obowiązków dotyczących SZBI, szkolenia kierownika, zgłaszania incydentów ani kar. W lutowej informacji Kancelarii Prezydenta pojawiały się szersze wątki, między innymi objęcie ustawą „aż 18 branż gospodarki” i system kar administracyjnych, ale do złożonego w lipcu wniosku nie trafiły.

Dla porządku: do 12 października 2026 r. w Monitorze Polskim nie ogłoszono żadnej decyzji o uznaniu dostawcy za dostawcę wysokiego ryzyka, a Ministerstwo Cyfryzacji w komunikacie z 6 sierpnia 2026 r. informowało, że nie wszczęto żadnego takiego postępowania. Czego nie wiemy: kiedy Trybunał rozpozna sprawę i jak ją rozstrzygnie. Skutki ewentualnego wyroku zależą od jego treści, więc dziś nie da się ich przesądzić. Wiemy natomiast, że w bazie aktów prawnych Sejmu ustawa ma status obowiązującej, a wniosek nie obejmuje przepisów, od których zależą status i terminy dla firm: art. 5, rozdziału 3 ustawy ani art. 33 ustawy nowelizującej. Stan sprawy można śledzić na stronie sprawy K 19/26 w serwisie Trybunału Konstytucyjnego.

Słowniczek nazw i skrótów

• NIS2 - dyrektywa (UE) 2022/2555. NIS1 - potoczna nazwa poprzedniej dyrektywy (UE) 2016/1148, która straciła moc 18 października 2024 r.
• KSC, ustawa o KSC - ustawa z 5 lipca 2018 r. o krajowym systemie cyberbezpieczeństwa. W opracowaniach spotkasz też skróty „u.k.s.c.” i „UKSC”.
• Ustawa nowelizująca - ustawa z 23 stycznia 2026 r. o zmianie ustawy o krajowym systemie cyberbezpieczeństwa oraz niektórych innych ustaw (Dz.U. 2026 poz. 252), w życiu od 3 kwietnia 2026 r.
• KSC2, KSC 2.0 - potoczne nazwy nowelizacji albo ustawy po zmianach. Nie występują w tekście ustawy.
• Podmiot kluczowy, podmiot ważny - dwie kategorie podmiotów objętych ustawą (art. 5). Różnice między nimi opisujemy w tekście Podmiot kluczowy a podmiot ważny: różnice w obowiązkach, nadzorze i audytach.
• OUK - operator usługi kluczowej, kategoria z poprzedniej wersji ustawy. Dawni operatorzy stali się podmiotami kluczowymi 3 kwietnia 2026 r. (art. 22 ust. 1 ustawy nowelizującej).
• Kierownik podmiotu - kierownik jednostki w rozumieniu ustawy o rachunkowości, w spółce z zarządem członek zarządu, a przy zarządzie wieloosobowym członkowie tego organu (art. 2 pkt 8a ustawy o KSC).
• SZBI - system zarządzania bezpieczeństwem informacji, który podmiot wdraża w systemie informacyjnym wykorzystywanym w procesach wpływających na świadczenie usługi (art. 8).
• CSIRT - zespół reagowania na incydenty bezpieczeństwa komputerowego (z angielskiego Computer Security Incident Response Team). Na poziomie krajowym działają CSIRT GOV prowadzony przez Szefa Agencji Bezpieczeństwa Wewnętrznego, CSIRT MON i CSIRT NASK (art. 2 pkt 1-3). CSIRT sektorowe ustanawiają organy właściwe (art. 2 pkt 3a), na co mają czas do 3 października 2027 r. (art. 42 ust. 1 ustawy nowelizującej).
• S46 - system teleinformatyczny z art. 46 ust. 1 ustawy, który zapewnia minister właściwy do spraw informatyzacji. Ustawa nie używa nazwy „S46”, stosuje ją ministerstwo, a platforma dla podmiotów nazywa się S46 Cyber Hub.
• Wykaz KSC - wykaz podmiotów kluczowych i podmiotów ważnych z art. 7 ustawy. Prowadzi się go w systemie S46 (art. 46 ust. 1a), a wnioski składa w aplikacji Wykaz KSC pod adresem wykaz-ksc.gov.pl.
• Organ właściwy do spraw cyberbezpieczeństwa - organ nadzoru dla danego sektora (art. 41), dla sektora podmiotów publicznych co do zasady minister właściwy do spraw informatyzacji (art. 41a).
• MSSP - dostawca usług zarządzanych w zakresie cyberbezpieczeństwa (art. 2 pkt 4j), od angielskiego managed security service provider.
• DWR - dostawca wysokiego ryzyka, uznany decyzją ministra właściwego do spraw informatyzacji (art. 67b).

Od czego zacząć: lista przepisów do przeczytania

Jeśli masz przed sobą pierwsze spotkanie zarządu o KSC, przejdź przez przepisy w takiej kolejności:

1. Ustal status firmy: art. 5 ustawy i załączniki nr 1 i nr 2. Bez tego nie wiadomo, czy firma jest podmiotem kluczowym, ważnym, czy w ogóle podlega ustawie.
2. Sprawdź terminy: art. 33 ustawy nowelizującej dla podmiotów, które spełniały przesłanki 3 kwietnia 2026 r., albo art. 16 i art. 7c ustawy dla tych, które spełnią je później. Po wpisie do wykazu przydaje się nasz tekst Firma jest w Wykazie KSC. Co dalej?
3. Przeczytaj rozdział 3 ustawy (art. 8-16), a z zarządem dodatkowo art. 8c-8f o odpowiedzialności, obowiązkach i szkoleniu kierownika.
4. Sprawdź, czy firmę dotyczą akty Unii stosowane wprost: rozporządzenie wykonawcze 2024/2690 (art. 8b ust. 1) albo DORA (art. 8i).
5. Korzystaj z odpowiedzi Ministerstwa Cyfryzacji, ale w dokumentach powołuj je z numerem pytania i jako stanowisko ministerstwa, nie jako przepis.
6. Śledź trzy rzeczy: nowy tekst jednolity ustawy, rozporządzenie o progach uznania incydentu za poważny i sprawę K 19/26.

W politykach i uchwałach podawaj pełną nazwę aktu. Gotowe sformułowania, które możesz wkleić do dokumentu:

• „ustawa z dnia 5 lipca 2018 r. o krajowym systemie cyberbezpieczeństwa (Dz. U. z 2026 r. poz. 20, 252, 815, 1003 i 1206), dalej: ustawa o KSC”,
• „art. 33 ust. 1 ustawy z dnia 23 stycznia 2026 r. o zmianie ustawy o krajowym systemie cyberbezpieczeństwa oraz niektórych innych ustaw (Dz. U. z 2026 r. poz. 252)”.

Gdy ukaże się nowy tekst jednolity ustawy, zaktualizuj w dokumentach odesłanie do Dziennika Ustaw. Słowo „KSC2” zostaw dla prezentacji i rozmów, w dokumentach się nie przyda.

Podstawa prawna i źródła

• art. 2-5, 20, 22, 23, 32-34, 41, 44 i 46 oraz załączniki I i II dyrektywy (UE) 2022/2555 (NIS2) - zakres, kategorie podmiotów, harmonizacja minimalna, zarządzanie, zgłoszenia, nadzór, kary, transpozycja, adresaci
• art. 2 pkt 1-3a, 4j, 8a, 11c i 11k-11m, art. 5, 7, 7c, 8, 8b, 8c-8f, 8i, 11, 15, 41, 41a, 46, 53f, 67b-67g, 73 i 76c oraz załączniki nr 1 i nr 2 ustawy o krajowym systemie cyberbezpieczeństwa
• art. 1, 22, 32, 33, 34, 35, 36, 42 i 49 ustawy z 23 stycznia 2026 r. o zmianie ustawy o krajowym systemie cyberbezpieczeństwa oraz niektórych innych ustaw
• Ministerstwo Cyfryzacji, pytania i odpowiedzi do ustawy o KSC (aktualizacja październik 2026), odpowiedzi 6.5, 14.1 i 14.2 - stanowisko niewiążące
• Ustawa o krajowym systemie cyberbezpieczeństwa w ISAP
• Tekst ujednolicony ustawy o KSC, stan na 8.10.2026 (Kancelaria Sejmu, PDF)
• Ustawa nowelizująca, Dz.U. 2026 poz. 252 (Dziennik Ustaw, PDF)
• Tekst jednolity ustawy o KSC, Dz.U. 2026 poz. 20 (PDF)
• Dyrektywa (UE) 2022/2555 (NIS2) w EUR-Lex
• Rozporządzenie wykonawcze Komisji (UE) 2024/2690 w EUR-Lex
• Ministerstwo Cyfryzacji: pytania i odpowiedzi do nowelizacji KSC, październik 2026 (PDF)
• Komunikat Ministra Cyfryzacji z harmonogramem wpisów, Dz. Urz. MC 2026 poz. 7
• NASK-PIB: Od wymagań do działania, poradnik z 29.09.2026 (PDF)
• Trybunał Konstytucyjny: sprawa K 19/26