Samoidentyfikacja KSC krok po kroku. Sześć kroków przed 3 października

Samoidentyfikacja KSC to samodzielna ocena organizacji, czy podlega pod ustawę o krajowym systemie cyberbezpieczeństwa, a jeśli tak, to jako podmiot kluczowy czy ważny. Nowelizacja wdrażająca dyrektywę NIS2 obowiązuje od 3 kwietnia 2026, a wniosek o wpis do Wykazu KSC trzeba złożyć do 3 października 2026.

Poniżej sześć kroków, pytania kontrolne do każdego i wskazanie miejsc, w których organizacje najczęściej się mylą.

Kto musi to zrobić i do kiedy?

Polski model opiera się na samoidentyfikacji: to organizacja sama ocenia, czy spełnia kryteria, a nie organ, który ją o tym zawiadamia. Samorejestracja ruszyła 7 maja 2026 i trwa do 3 października 2026 - dla podmiotów, które spełniały kryteria w dniu wejścia w życie nowelizacji, czyli 3 kwietnia 2026. Część podmiotów została wpisana z urzędu wcześniej, do 6 maja. Po wpisie startują obowiązki z rozdziału 3 ustawy, na które przewidziano dwanaście miesięcy.

Krok 1: Wpis z urzędu - czy ktoś nie zrobił tego za nas?

Pierwszy krok jest najtańszy i najczęściej pomijany: sprawdzenie, czy organizacja nie figuruje już w wykazie.

Pytania kontrolne: Czy jesteśmy podmiotem publicznym, przedsiębiorcą telekomunikacyjnym albo dostawcą usług cyfrowych? Czy mieliśmy status operatora usługi kluczowej pod poprzednią ustawą? Czy ktokolwiek w organizacji sprawdził wykaz pod adresem wykaz-ksc.gov.pl?

Jeśli wpis już jest, pozostałe kroki służą wyłącznie weryfikacji poprawności danych - a uwaga przenosi się na obowiązki, które właśnie biegną.

Krok 2: Sektor - czy jesteśmy w załączniku nr 1 albo nr 2?

Ustawa nie pyta o branżę w potocznym rozumieniu, tylko o usługi wymienione w załącznikach: załącznik nr 1 wskazuje podmioty kluczowe, załącznik nr 2 - ważne.

Pytania kontrolne: Czy porównaliśmy z załącznikami faktyczną działalność, usługa po usłudze, a nie samą nazwę PKD? Czy uwzględniliśmy działalność poboczną, na przykład własne centrum danych albo usługę cyfrową świadczoną klientom? Czy ktoś sprawdził, w którym załączniku dana usługa się znajduje?

Najczęstszy błąd na tym etapie to ocena po głównym przedmiocie działalności. Firma produkcyjna, która prowadzi dla klientów platformę online, może wpaść do wykazu przez tę platformę, a nie przez produkcję.

Krok 3: Wielkość - jakim podmiotem jesteśmy w rozumieniu ustawy?

Wielkość liczy się według liczby zatrudnionych oraz obrotu lub sumy bilansowej. Mikroprzedsiębiorstwo to mniej niż 10 zatrudnionych i do 2 mln EUR, małe - poniżej 50 zatrudnionych i do 10 mln EUR, średnie - poniżej 250 zatrudnionych przy obrocie do 50 mln EUR lub sumie bilansowej do 43 mln EUR. Powyżej tych progów podmiot jest duży.

Pytania kontrolne: Czy liczymy dane za właściwy rok obrotowy? Czy uwzględniliśmy podmioty powiązane i partnerskie? Czy wiemy, że sam próg niczego nie przesądza, bo przedsiębiorcy telekomunikacyjni podlegają ustawie niezależnie od wielkości?

Odpowiedź „jesteśmy za mali" bez sprawdzenia wyjątków jest najkosztowniejszym skrótem w całej procedurze.

Krok 4: Przesłanki z art. 5 - kluczowy czy ważny?

Sektor i wielkość to dopiero materiał do rozstrzygnięcia, którego dokonuje art. 5 ustawy. To on łączy jedno z drugim i przesądza o statusie.

Pytania kontrolne: Czy przeszliśmy przez art. 5 punkt po punkcie, zapisując uzasadnienie przy każdym? Czy wynik da się obronić przed kimś z zewnątrz? Czy ktoś w organizacji formalnie odpowiada za tę ocenę? Czy zapisaliśmy datę i podstawę wniosku, żeby dało się go później odtworzyć?

Ocena bez zapisanego uzasadnienia jest bezużyteczna przy pierwszym pytaniu o to, dlaczego uznaliście, że nie podlegacie.

Krok 5: Wniosek - jak go złożyć?

Wykaz KSC prowadzony jest w Systemie S46, ale stanowi osobną aplikację webową pod adresem wykaz-ksc.gov.pl. Wnioski o wpis, zmianę i wykreślenie składa się elektronicznie.

Pytania kontrolne: Czy osoba składająca wniosek ma podpis elektroniczny i umocowanie do reprezentacji? Czy dane rejestrowe i kontaktowe są aktualne? Czy wiemy, kto będzie utrzymywał te dane po zmianach w organizacji? Czy zostawiliśmy sobie zapas czasu na problem techniczny?

Brak podpisu elektronicznego po stronie osoby uprawnionej potrafi zatrzymać cały proces na kilka dni - a 3 października jest terminem, nie sugestią.

Krok 6: Plan po wpisie - co biegnie od teraz?

Wpis nie kończy sprawy, tylko ją otwiera. Od objęcia przepisami ustawa daje dwanaście miesięcy na wdrożenie obowiązków z rozdziału 3, czyli do 3 kwietnia 2027 dla podmiotów objętych w dniu wejścia w życie. Podmioty kluczowe mają dwadzieścia cztery miesiące na pierwszy audyt.

Po tym kroku organizacja powinna dysponować:

• zapisaną oceną z art. 5 wraz z datą i uzasadnieniem;
• potwierdzeniem wpisu do Wykazu KSC albo wpisu z urzędu;
• wskazaną osobą odpowiedzialną za cyberbezpieczeństwo;
• harmonogramem obowiązków rozpisanym na dwanaście miesięcy;
• procedurą zgłaszania incydentów z terminami 24 godzin, 72 godzin i 30 dni;
• planem szkoleń osobno dla załogi i osobno dla kierownictwa.

Ostatnia pozycja bywa zaskoczeniem: dyrektywa wymaga szkoleń także od organów zarządzających, nie tylko od zespołu IT.

Samodzielnie czy z narzędziem?

Sześć kroków powyżej da się przejść samodzielnie - załączniki są publiczne, a wykaz dostępny przez przeglądarkę. Trudność zaczyna się po wpisie, bo obowiązki z rozdziału 3 to nie jednorazowa czynność, tylko dokumentacja, szkolenia i ewidencje utrzymywane przez lata.

Tę część obsługuje Cyber TrustCERT: szkolenia załogi i kierownictwa z egzaminem, wzory polityk i procedur oraz raportowanie, które pozwala wykazać, że obowiązki są realizowane. Jeśli nie wiesz, od czego zacząć, Cyber Ready Check daje wstępną diagnozę w kilka minut - wynik liczy się w Twojej przeglądarce i nigdzie nie jest zapisywany.

Podsumowanie

Samoidentyfikacja KSC to sześć pytań: czy ktoś nie wpisał nas z urzędu, czy nasze usługi są w załączniku nr 1 albo nr 2, jakim podmiotem jesteśmy pod względem wielkości, co z tego wynika według art. 5, jak złożyć wniosek i co zaczyna biec po wpisie.

Termin mija 3 października 2026. Organizacja, która przejdzie te kroki teraz, zamienia niepewność na listę zadań z datami. Organizacja, która odłoży to na później, zacznie od nadrabiania terminu, który już minął.

Ten tekst prowadzi przez procedurę, ale nie rozstrzyga statusu konkretnej organizacji - to robi sama organizacja, a przy wątpliwościach warto potwierdzić ocenę z prawnikiem.

✦ Ten artykuł powstał z wykorzystaniem sztucznej inteligencji, a przed publikacją został zweryfikowany przez autora, który ponosi za niego odpowiedzialność redakcyjną.