Zawiadomienie o wpisie z urzędu do Wykazu KSC - co uzupełnić, w jakim terminie i kto podpisuje

NIS2 i KSC - Wykaz KSC i system S46

Zawiadomienie o wpisie z urzędu do Wykazu KSC - co uzupełnić, w jakim terminie i kto podpisuje

W skrócie

Piszemy dla kierownika jednostki publicznej, operatora telekomunikacyjnego, dostawcy usług zaufania albo dawnego operatora usługi kluczowej, który dostał zawiadomienie o wpisie z urzędu do Wykazu KSC i wezwanie do uzupełnienia danych. Wyjaśniamy, czego brakuje, ile jest czasu, kto wypełnia i podpisuje wniosek oraz co zrobić, gdy pismo nie przyszło.

Jak to wygląda w praktyce

Do gminnego centrum kultury przychodzi na adres do doręczeń elektronicznych zawiadomienie Ministra Cyfryzacji o wpisie z urzędu i wezwanie do uzupełnienia danych. Wysłał je NASK-PIB, któremu minister powierzył zadania związane z prowadzeniem Wykazu KSC. Samorządowa instytucja kultury, która realizuje zadania publiczne z wykorzystaniem systemów informacyjnych, jest podmiotem ważnym (art. 5 ust. 2 pkt 8 ustawy o KSC).

Dyrektor pyta główną księgową i informatyka: do kiedy trzeba odpowiedzieć, kto wypełni formularz, czy informatyk może go przygotować, a dyrektor tylko podpisać, i czy trzeba się jeszcze osobno rejestrować w systemie S46.

Co mówią przepisy

Minister właściwy do spraw informatyzacji wpisuje z urzędu przedsiębiorców telekomunikacyjnych, dostawców usług zaufania, podmioty publiczne i podmioty krytyczne (art. 7a ust. 2 ustawy o KSC), a także dawnych operatorów usług kluczowych (art. 34 ust. 2 ustawy nowelizującej z 23 stycznia 2026 r.). Według Ministerstwa Cyfryzacji (MC) pisma trafiają na adres do doręczeń elektronicznych, a do podmiotów bez takiego adresu przez usługę hybrydową Poczty Polskiej (odpowiedź 2.34). Wezwanie zawiera podstawę prawną wpisu, numer w wykazie, wpisane dane ze źródłem ich pochodzenia i listę brakujących danych (art. 7b ust. 3), a według MC także dane do zalogowania się w aplikacji Wykaz KSC (odpowiedź 2.3). Pisma wysyłano w maju i czerwcu 2026 r. Kto powinien być wpisany z urzędu, a pisma nie dostał, zgłasza to na adres S46-admin@nask.pl (MC 2.11).

Z rejestrów minister wpisuje dane z art. 7 ust. 2 pkt 1-8, czyli m.in. nazwę, sektor, adresy, NIP i REGON (art. 7a ust. 2). Do uzupełnienia zostają zwykle dane z pkt 9-18: zakresy publicznych adresów IP i domeny używane w sposób ciągły, osoby do kontaktu i administrator konta w S46 (z numerem PESEL), deklaracja wielkości oraz informacja o umowie z dostawcą usług zarządzanych w zakresie cyberbezpieczeństwa. Uzupełnia się je wnioskiem o zmianę wpisu, także o działalność w innych sektorach, której wpis z urzędu nie objął (art. 7b ust. 4, MC 2.41). Osoby kontaktowe wskazuje się już teraz, mimo okresu przejściowego (MC 2.39).

Termin wynosi 6 miesięcy od dnia doręczenia wezwania, a nie od wejścia ustawy w życie czy od dnia wpisu (art. 7b ust. 2, MC 2.36). Za nieuzupełnienie danych w terminie podmiot podlega karze (art. 73 ust. 1 pkt 1), a kierownik może podlegać osobnej karze (art. 73a ust. 1 pkt 1). Obie kary można nałożyć po raz pierwszy po 3 kwietnia 2028 r. (art. 35 ustawy nowelizującej).

Wniosek podpisuje kierownik podmiotu albo osoba przez niego upoważniona, podpisem kwalifikowanym, zaufanym lub osobistym albo kwalifikowaną pieczęcią elektroniczną (art. 7c ust. 6). Pełnomocnik dołącza pełnomocnictwo w postaci elektronicznej (art. 7c ust. 7) i może złożyć oświadczenie o zgodności danych z prawdą, ale kierownik nadal odpowiada za prawidłowe złożenie wniosku (MC 2.66). Wniosek wypełnia i podpisuje ta sama osoba, właściciel wpisu w aplikacji, więc kierownik nie podpisze wniosku przygotowanego przez pracownika, bo aplikacja nada mu status „Błąd podpisu” (MC 2.55). Informatyk z pełnomocnictwem może natomiast sam go wypełnić, podpisać i złożyć (MC 2.24).

Co zrobić krok po kroku

1. Zapisz datę doręczenia i termin. Sekretariat zapisuje dzień doręczenia wezwania i wpisuje do kalendarza kierownika koniec 6-miesięcznego terminu. Na przykład wezwanie doręczone 20 maja 2026 r. trzeba wykonać do 20 listopada 2026 r.
2. Wskaż właściciela wpisu. Kierownik decyduje, czy wniosek wypełni i podpisze sam, czy upoważni pracownika pełnomocnictwem w postaci elektronicznej, sporządzonym po polsku (MC 2.63). MC przypomina też o opłacie skarbowej od pełnomocnictwa (odpowiedź 2.18). Pełnomocnictwa nie dołącza prokurent ujawniony w KRS ani pełnomocnik ujawniony w CEIDG (art. 7c ust. 7).
3. Zaloguj się i przejmij wpis. Właściciel wpisu loguje się na wykaz-ksc.gov.pl przez Węzeł Krajowy i korzysta z danych do logowania z pisma. Po użyciu jednorazowego 10-znakowego kodu wpis podmiotu zostaje przypisany do jego konta, a w zakładce „Dostęp do wpisu” może go udostępnić współpracownikom (MC 2.3 i 2.44).
4. Zbierz brakujące dane. Informatyk spisuje domeny główne bez subdomen (MC 2.30) i zakresy publicznych adresów IP używanych w sposób ciągły. Kierownik wyznacza administratora konta w S46 i osoby do kontaktu: co najmniej dwie, a w mikro- i małym przedsiębiorstwie oraz w podmiocie ważnym publicznym co najmniej jedną (art. 9 ust. 1-3). Jako adres e-mail podmiotu podaje się adres ogólny, który pozwala kancelarii rejestrować korespondencję (MC 2.59).
5. Złóż wniosek o zmianę wpisu. Właściciel wpisu uzupełnia dane, akceptuje oświadczenie i podpisuje wniosek (art. 7b ust. 4, art. 7c ust. 5-6). Gdy organizacja uważa, że w ogóle nie powinna być w wykazie, składa zamiast tego wniosek o wykreślenie (MC 2.14), co opisujemy w tekście błędny wpis w Wykazie KSC.
6. Dopilnuj dostępu do S46. Według serwisu System S46 (stan na 12 października 2026 r.) osobnego wniosku o dostęp do S46 Cyber Hub się nie składa: dane dostępowe dostaje administrator wskazany w wykazie, gdy podmiot uzupełni dane (MC 2.15). Odpowiedzi MC 7.3 i 7.6 opisują jeszcze osobną rejestrację w S46, ale serwis systemu pokazuje już dostęp przez wpis. Wskaż więc administratora bez czekania do końca terminu (więcej w tekście jak uzyskać dostęp do systemu S46).

Jak sprawdzić, że sprawa jest załatwiona

Sprawa jest załatwiona, gdy wniosek o zmianę wpisu ma w aplikacji status „Zatwierdzony”, w szczegółach wpisu nie zostały puste pola z listy z wezwania, a administrator konta w S46 dostał dane dostępowe. Regulamin systemu przewiduje aktywację konta nie później niż w 7 dni roboczych od poprawnego wpisu lub aktualizacji danych (§ 4 ust. 2). Typ podmiotu sprawdź w sekcji „H. Przypisanie” (MC 2.13), bo przy braku danych o wielkości podmiot mógł zostać oznaczony jako ważny zamiast kluczowego (MC 2.12).

Na kontrolę zachowaj:

• zawiadomienie i wezwanie z dowodem daty doręczenia,
• pełnomocnictwo, jeśli działał pełnomocnik, z dowodem zapłaty opłaty skarbowej, gdy była należna,
• zaświadczenie o zmianie wpisu z całą historią zmian (MC 2.46),
• notatkę z decyzją kierownika o osobach do kontaktu i administratorze S46.

Podstawa prawna i źródła

• art. 7 ust. 2, art. 7a ust. 2, art. 7b ust. 2-4, art. 7c ust. 5-7, art. 9 ust. 1-3, art. 73 ust. 1 pkt 1 i art. 73a ust. 1 pkt 1 ustawy z dnia 5 lipca 2018 r. o krajowym systemie cyberbezpieczeństwa (tekst ujednolicony, stan na 8 października 2026 r.) (źródło)
• art. 34 ust. 2 i art. 35 ustawy z dnia 23 stycznia 2026 r. o zmianie ustawy o krajowym systemie cyberbezpieczeństwa oraz niektórych innych ustaw (Dz.U. 2026 poz. 252) (źródło)
• Ministerstwo Cyfryzacji, pytania i odpowiedzi do ustawy o KSC, październik 2026, pytania 2.3, 2.11, 2.12, 2.13, 2.14, 2.15, 2.18, 2.24, 2.30, 2.34, 2.36, 2.39, 2.41, 2.44, 2.46, 2.55, 2.59, 2.63, 2.66, 7.3 i 7.6 (źródło)
• Regulamin korzystania z systemu teleinformatycznego (System S46), § 4 (źródło)
• System S46: uzyskaj dostęp do Wykazu KSC i S46 Cyber Hub (źródło)

Stan prawny na 13 października 2026 r. Wyjaśnienia Ministerstwa Cyfryzacji nie są źródłem prawa, ale pokazują, jak resort odczytuje przepisy. W sprawach spornych decyzję warto oprzeć na opinii prawnika albo na stanowisku organu właściwego do spraw cyberbezpieczeństwa.

Wróć do listy: 30 najczęstszych pytań i problemów związanych z NIS2 i KSC