Brak dostępu do systemu S46 - jak go uzyskać i do czego jest potrzebny

NIS2 i KSC - Wykaz KSC i system S46

Brak dostępu do systemu S46 - jak go uzyskać i do czego jest potrzebny

W skrócie

O system S46 pyta zarząd albo osoba kontaktowa, gdy firma jest już w Wykazie KSC, a nikt nie ma danych do logowania, albo gdy nie wiadomo, czy system jest potrzebny przed 3 kwietnia 2027 r. Wyjaśniamy, czym jest S46, jak dziś wygląda rejestracja w systemie S46, kto dostaje dostęp i co zrobić, gdy dostęp się zgubił.

Jak to wygląda w praktyce

Średnia firma złożyła w czerwcu 2026 r. wniosek o wpis do Wykazu KSC, który dostał status „Zatwierdzony”, ale nikt w firmie nie loguje się do S46 Cyber Hub. Administratorem konta wskazano informatyka, który we wrześniu 2026 r. odszedł, a dane dostępowe trafiły na jego nieczytaną już skrzynkę.

Prezes pyta: czy S46 jest potrzebny już teraz, czy incydent wystarczy zgłosić mailem do CSIRT, czyli zespołu reagowania na incydenty, jak odzyskać dostęp i kto w firmie powinien mieć konto.

Co mówią przepisy

Nazwa „S46” nie pada w ustawie. Odnosi się do art. 46 ust. 1 ustawy o KSC, według którego minister właściwy do spraw informatyzacji zapewnia system teleinformatyczny wspierający m.in. zgłaszanie i obsługę incydentów, ostrzeganie o cyberzagrożeniach, czynności nadzorcze organów i zgłaszanie naruszeń ochrony danych osobowych. W tym systemie prowadzi się też wykaz (art. 46 ust. 1a). Regulamin systemu wyróżnia dwie aplikacje: S46 Wykaz KSC do wniosków o wpis, zmianę i wykreślenie oraz S46 Cyber Hub do pracy operacyjnej (§ 2 i 3).

Wczesne ostrzeżenie, zgłoszenie incydentu poważnego i sprawozdania przekazuje się za pomocą tego systemu (art. 11 ust. 2). Niekorzystanie z niego przy obowiązkach z art. 11 jest osobnym naruszeniem zagrożonym karą (art. 73 ust. 1 pkt 13). Mail do CSIRT nie zastępuje więc S46. Instrukcja w serwisie System S46 odsyła do innego środka komunikacji, wskazanego przez właściwy CSIRT, tylko wtedy, gdy zgłoszenie przez system nie jest możliwe. Po uzyskaniu wpisu podmiot rozpoczyna korzystanie z systemu (art. 9 ust. 1 pkt 4), najpóźniej w 12 miesięcy od spełnienia przesłanek (art. 46 ust. 4). Podmiotom objętym ustawą od 3 kwietnia 2026 r. komunikat Ministra Cyfryzacji wyznaczył na to czas do 3 kwietnia 2027 r. Dawni operatorzy usług kluczowych zgłaszają incydenty poważne według nowych przepisów najpóźniej od 3 października 2026 r. (art. 33 ust. 4 ustawy nowelizującej z 23 stycznia 2026 r.). Pozostałym art. 33 ust. 1 daje na cały rozdział 3, w tym na zgłaszanie incydentów, czas do 3 kwietnia 2027 r., ale dostęp warto mieć od razu po wpisie.

Według serwisu System S46 (stan na 12 października 2026 r.) osobnego wniosku o dostęp do S46 Cyber Hub się nie składa. Dostęp wynika z wpisu do Wykazu KSC albo z uzupełnienia danych po wpisie z urzędu, a dane dostępowe dostaje na adres e-mail z wpisu administrator wskazany w wykazie. Od wydania 7.0.1 przestrzeń podmiotu powstaje automatycznie po wpisie, a pierwszymi użytkownikami są administratorzy z sekcji F wpisu, którzy zakładają konta kolejnym osobom. Ministerstwo Cyfryzacji (MC) dodaje, że dostęp dostają podmioty, które uzupełniły w wykazie komplet danych, a kto miał dostęp przed 3 kwietnia 2026 r., zachowuje go i podaje we wpisie kod przestrzeni (odpowiedź 2.15). Odpowiedzi 7.3 i 7.6 opisują jeszcze osobną rejestrację w S46, ale serwis systemu, do którego odsyła odpowiedź 7.3, pokazuje już dostęp przez wpis.

Logowanie prowadzi przez Węzeł Krajowy: bankowość elektroniczną, profil zaufany, aplikację mObywatel, e-dowód albo certyfikat kwalifikowany (art. 46 ust. 5, MC 7.4). Uwierzytelnianie wieloskładnikowe (MFA) jest obowiązkowe, a udostępnianie konta innym osobom zabronione (regulamin § 5 ust. 2-3). Stanowisko pracy wymaga ochrony antywirusowej i antymalware, przeglądarki na silniku Chromium w aktualnej wersji i łącza co najmniej 10 Mb/s (MC 7.5).

Co zrobić krok po kroku

1. Sprawdź wpis i administratora. Właściciel wpisu sprawdza w aplikacji Wykaz KSC status wniosku i dane administratora konta w S46: imię i nazwisko, służbowy e-mail, telefon i PESEL (art. 7 ust. 2 pkt 11). Administrator nie musi być pracownikiem, ale musi go wiązać z podmiotem stosunek prawny z obowiązkiem poufności (MC 2.61). Gdy administrator odszedł, kierownik wskazuje następcę, a właściciel wpisu składa wniosek o zmianę wpisu w 14 dni (art. 7c ust. 3).
2. Odbierz dane dostępowe. Nowy administrator szuka wiadomości z danymi dostępowymi na adresie podanym we wpisie. Jeśli po 7 dniach roboczych od poprawnego wpisu albo aktualizacji danych nic nie przyszło (regulamin § 4 ust. 2), zgłasza problem operatorowi wykazu, NASK-PIB, na adres S46-admin@nask.pl (MC 2.14 i 2.49). W wiadomości podaje nazwę podmiotu, NIP i numer w wykazie.
3. Zaloguj się z MFA. Administrator loguje się do S46 Cyber Hub (pa.s46.gov.pl) przez Węzeł Krajowy i konfiguruje uwierzytelnianie wieloskładnikowe na stanowisku spełniającym wymagania techniczne.
4. Nadaj konta i uprawnienia. Administrator zakłada imienne konta osobom z zespołu obsługi incydentów i nadaje im uprawnienia wymagane według instrukcji w serwisie System S46: tworzenie, odczyt, zgłaszanie i usuwanie incydentów oraz dodawanie do nich wiadomości. Zgłoszenie powinny móc wysłać co najmniej dwie osoby, na wypadek nieobecności jednej z nich.
5. Ustal odbiór pism. Organ może doręczać przez S46 pisma, a nieodebrane uważa się za doręczone po 14 dniach od wysłania (art. 46b). Kierownik wskazuje więc osobę, która regularnie sprawdza powiadomienia w systemie.
6. Zabezpiecz dostęp do wpisu w Wykazie KSC. Kody w aplikacji są jednorazowe: kto użył 10-znakowego kodu, został właścicielem wpisu i może udostępnić go współpracownikom w zakładce „Dostęp do wpisu” (MC 2.44). Właściciel wpisu od razu udostępnia go więc zastępcy uprawnionemu do reprezentowania firmy.
7. Przećwicz ścieżkę zgłoszenia. Osoba odpowiedzialna za obsługę incydentów omawia z zespołem, kto loguje się do S46, kto wypełnia i wysyła wczesne ostrzeżenie w ciągu 24 godzin od wykrycia incydentu poważnego. Szczegóły formularza opisujemy w tekście zgłoszenie incydentu poważnego do właściwego CSIRT.

Jak sprawdzić, że sprawa jest załatwiona

Sprawa jest załatwiona, gdy co najmniej dwie osoby, w tym administrator, logują się do S46 Cyber Hub z MFA i mają uprawnienia do zgłaszania incydentów, a dane administratora w Wykazie KSC są aktualne.

Na kontrolę zachowaj:

• zaświadczenie o wpisie z aktualnymi danymi administratora,
• listę osób z kontami w S46 i ich uprawnieniami, zatwierdzoną przez kierownika,
• notatkę z ćwiczenia ścieżki zgłoszenia z datą i uczestnikami,
• zasadę odbioru pism z S46 z nazwiskiem osoby i zastępcy.

Podstawa prawna i źródła

• art. 7 ust. 2 pkt 11, art. 7c ust. 3, art. 9 ust. 1 pkt 4, art. 11 ust. 2, art. 46, art. 46b i art. 73 ust. 1 pkt 13 ustawy z dnia 5 lipca 2018 r. o krajowym systemie cyberbezpieczeństwa (tekst ujednolicony, stan na 8 października 2026 r.) (źródło)
• art. 33 ust. 1 i 4 oraz art. 34 ust. 3 ustawy z dnia 23 stycznia 2026 r. o zmianie ustawy o krajowym systemie cyberbezpieczeństwa oraz niektórych innych ustaw (Dz.U. 2026 poz. 252) oraz komunikat Ministra Cyfryzacji z 8 kwietnia 2026 r. (Dz. Urz. MC 2026 poz. 7) (źródło)
• Regulamin korzystania z systemu teleinformatycznego (System S46), § 2-5 (źródło)
• System S46: uzyskaj dostęp do Wykazu KSC i S46 Cyber Hub (źródło)
• System S46: nowa odsłona S46 Cyber Hub, wydanie 7.0.1 (źródło)
• Ministerstwo Cyfryzacji, pytania i odpowiedzi do ustawy o KSC, październik 2026, pytania 2.14, 2.15, 2.44, 2.49, 2.61 i 7.3-7.6 (źródło)

Stan prawny na 13 października 2026 r. Wyjaśnienia Ministerstwa Cyfryzacji nie są źródłem prawa, ale pokazują, jak resort odczytuje przepisy. W sprawach spornych decyzję warto oprzeć na opinii prawnika albo na stanowisku organu właściwego do spraw cyberbezpieczeństwa.

Wróć do listy: 30 najczęstszych pytań i problemów związanych z NIS2 i KSC