Firma nie złożyła wniosku o wpis do Wykazu KSC w terminie - co teraz zrobić

NIS2 i KSC - Wykaz KSC i system S46

Firma nie złożyła wniosku o wpis do Wykazu KSC w terminie - co teraz zrobić

W skrócie

Ten problem ma firma, która po 3 października 2026 r. odkryła, że od 3 kwietnia 2026 r. spełnia przesłanki podmiotu kluczowego albo ważnego, a wniosku o wpis do Wykazu KSC nikt nie złożył. Wyjaśniamy, czy termin był ostateczny, co grozi za spóźnienie, czy zmienia ono terminy obowiązków i jak złożyć wniosek, żeby na wypadek kontroli został ślad.

Jak to wygląda w praktyce

Średnia firma produkująca maszyny (sektor produkcji, załącznik nr 2 do ustawy) jest podmiotem ważnym od 3 kwietnia 2026 r. (art. 5 ust. 2 pkt 2 ustawy o krajowym systemie cyberbezpieczeństwa). W połowie października 2026 r. klient przysyła ankietę z pytaniem o numer firmy w Wykazie KSC i okazuje się, że wniosku nie złożono, bo w firmie czekano na pismo z ministerstwa.

Zarząd ma cztery pytania: czy samorejestracja jest jeszcze możliwa, czy grozi kara i komu, czy spóźnienie przesuwa terminy wdrożenia i czy nie lepiej poczekać, aż organ sam wpisze firmę.

Co mówią przepisy

Termin 3 października 2026 r. wyznaczył komunikat Ministra Cyfryzacji z 8 kwietnia 2026 r. dla podmiotów, które spełniały przesłanki już 3 kwietnia 2026 r. i nie zostały wpisane z urzędu (art. 33 ust. 3 i art. 34 ust. 3 ustawy nowelizującej z 23 stycznia 2026 r.). Kto spełnił przesłanki później, ma 6 miesięcy od tego dnia (art. 7c ust. 1 ustawy o KSC), więc firma, która stała się podmiotem ważnym na przykład w czerwcu 2026 r., nie jest spóźniona.

Ministerstwo Cyfryzacji (MC) wyjaśnia, że samorejestracja jest dostępna przez cały czas (odpowiedź 2.32). Wpis ma charakter deklaratoryjny (art. 7d ust. 5), a terminy obowiązków liczy się od dnia spełnienia przesłanek, nie od wpisu (MC 2.31). Firma objęta ustawą od 3 kwietnia 2026 r. ma do 3 kwietnia 2027 r. czas na obowiązki z rozdziału 3 (art. 33 ust. 1 ustawy nowelizującej) i, według komunikatu ministra, na rozpoczęcie korzystania z systemu S46. Z S46 Cyber Hub podmiot zaczyna korzystać po uzyskaniu wpisu (art. 9 ust. 1 pkt 4).

Za niezłożenie wniosku w terminie organ właściwy do spraw cyberbezpieczeństwa „może” nałożyć karę na podmiot, „jeżeli przemawia za tym waga i znaczenie naruszonych przepisów” (art. 73 ust. 1a pkt 1). Osobnej stawki nie ma, a najniższa kara z art. 73 to 20 000 zł dla podmiotu kluczowego i 15 000 zł dla ważnego (ust. 3 i 4). Kierownik może podlegać osobnej karze do 300% wynagrodzenia (art. 73a ust. 1 i 4). Kary z art. 73 ust. 1-4 i art. 73a można nałożyć po raz pierwszy po 3 kwietnia 2028 r. (art. 35 ustawy nowelizującej). Ust. 1a dodano jednak nowelizacją i przepis nie mówi wprost, czy zakres „ust. 1-4” go obejmuje, choć MC pisze ogólnie, że kary będą nakładane po 3 kwietnia 2028 r. (odpowiedź 12.1). To kwestia sporna, więc decyzji o zwlekaniu nie warto na niej opierać, co rozwijamy w tekście czy kary z KSC grożą już teraz.

Na wpis przez organ lepiej nie czekać. Organ może wpisać firmę, która nie złożyła wniosku w terminie, na podstawie rejestrów publicznych i informacji, których od niej zażąda, a potem wezwać ją do uzupełnienia danych w 6 miesięcy pod rygorem kary (art. 7j ust. 1-3, art. 43 ust. 1). Według MC skutkiem braku wniosku mogą być też czynności nadzorcze i kara (odpowiedź 1.20).

Co zrobić krok po kroku

1. Ustal dzień spełnienia przesłanek. Osoba odpowiedzialna za compliance zapisuje w notatce rodzaj działalności z załącznika do ustawy, wielkość firmy i dzień, od którego firma spełnia przesłanki. Wielkość bada się według stanu na dzień sporządzenia sprawozdania finansowego (art. 5 ust. 5). Przy wątpliwościach zacznij od tekstu jak krok po kroku sprawdzić, czy firma podlega KSC.
2. Sprawdź, czy firma nie jest już w wykazie. Sekretariat przegląda skrzynkę do doręczeń elektronicznych i pocztę od organu właściwego. Jeżeli organ wpisał firmę sam, wniosku o wpis się nie składa, tylko uzupełnia dane w 6 miesięcy od otrzymania zawiadomienia (art. 7j ust. 3). Wniosek dotyczący podmiotu już wpisanego nie prowadzi do wpisu (art. 7d ust. 3 pkt 2).
3. Wskaż osobę, która wypełni i podpisze wniosek. Zarząd decyduje, kto zostanie właścicielem wpisu w aplikacji. Wniosek podpisuje kierownik podmiotu albo osoba przez niego upoważniona, która dołącza pełnomocnictwo w postaci elektronicznej (art. 7c ust. 6-7). Wypełnia i podpisuje go ta sama osoba, inaczej wniosek dostaje status „Błąd podpisu” (MC 2.55).
4. Złóż wniosek w aplikacji Wykaz KSC. Wskazana osoba loguje się na wykaz-ksc.gov.pl przez Węzeł Krajowy, zakłada konto, wybiera „Wpisz nowy podmiot”, wypełnia formularz i podpisuje wniosek elektronicznie (MC 2.35). Wniosek zawiera dane z art. 7 ust. 2 pkt 1-18, w tym domeny, publiczne adresy IP, osoby do kontaktu i administratora konta w S46, oraz oświadczenie kierownika pod rygorem odpowiedzialności karnej (art. 7c ust. 2 i 5).
5. Opisz przyczynę spóźnienia. Ustawa takiej notatki nie wymaga, ale decydując o karze, organ bierze pod uwagę m.in. czas trwania naruszenia, jego umyślny albo nieumyślny charakter i współpracę podmiotu (art. 53 ust. 12 i art. 76a ust. 1). Notatka zarządu podaje dzień spełnienia przesłanek, przyczynę zwłoki, datę złożenia wniosku i numer w wykazie.
6. Uruchom plan prac na rozdział 3 i S46. Kierownik zatwierdza harmonogram do 3 kwietnia 2027 r. i wskazuje osobę odpowiedzialną za SZBI (system zarządzania bezpieczeństwem informacji). Dane dostępowe do S46 Cyber Hub dostaje bez osobnego wniosku administrator wskazany we wpisie. Kolejne kroki opisujemy w tekście jak uzyskać dostęp do systemu S46.

Jak sprawdzić, że sprawa jest załatwiona

Sprawa jest załatwiona, gdy wniosek w aplikacji Wykaz KSC ma status „Zatwierdzony”. Status „Oczekuje na weryfikację” oznacza najczęściej konflikt danych, na przykład NIP lub REGON z istniejącym już wpisem. Wniosek rozpatruje wtedy operator wykazu, NASK-PIB (MC 2.54). Na kontrolę zachowaj:

• zaświadczenie o wpisie pobrane z aplikacji, z typem podmiotu w sekcji „H1 Przypisanie” (art. 7d ust. 6-7, MC 2.47),
• potwierdzenie e-mail o zatwierdzeniu wniosku i ewentualne pełnomocnictwo,
• notatkę o dniu spełnienia przesłanek i przyczynie spóźnienia,
• decyzję zarządu z harmonogramem prac na rozdział 3.

Gdy typ podmiotu w zaświadczeniu różni się od Twojej oceny, sprawdź dane o wielkości i działalności i popraw je wnioskiem o zmianę wpisu (MC 2.19).

Podstawa prawna i źródła

• art. 5 ust. 5, art. 7c, art. 7d, art. 7j, art. 9 ust. 1 pkt 4, art. 73 ust. 1a, 3 i 4, art. 73a ust. 1 pkt 1 i ust. 4 oraz art. 76a ustawy z dnia 5 lipca 2018 r. o krajowym systemie cyberbezpieczeństwa (tekst ujednolicony, stan na 8 października 2026 r.) (źródło)
• art. 33 ust. 1 i 3, art. 34 ust. 3 oraz art. 35 ustawy z dnia 23 stycznia 2026 r. o zmianie ustawy o krajowym systemie cyberbezpieczeństwa oraz niektórych innych ustaw (Dz.U. 2026 poz. 252) (źródło)
• Komunikat Ministra Cyfryzacji z dnia 8 kwietnia 2026 r. w sprawie harmonogramu złożenia wniosków o wpis do wykazu podmiotów kluczowych i podmiotów ważnych (Dz. Urz. MC 2026 poz. 7) (źródło)
• Ministerstwo Cyfryzacji, pytania i odpowiedzi do ustawy o KSC, październik 2026, pytania 1.20, 2.19, 2.31, 2.32, 2.35, 2.47, 2.54, 2.55 i 12.1 (źródło)
• System S46: samorejestracja (wpis do Wykazu KSC), instrukcja na gov.pl (źródło)

Stan prawny na 13 października 2026 r. Wyjaśnienia Ministerstwa Cyfryzacji nie są źródłem prawa, ale pokazują, jak resort odczytuje przepisy. W sprawach spornych decyzję warto oprzeć na opinii prawnika albo na stanowisku organu właściwego do spraw cyberbezpieczeństwa.

Wróć do listy: 30 najczęstszych pytań i problemów związanych z NIS2 i KSC