Nowelizacja KSC i NIS2 w Polsce: co musi zrobić mała i średnia firma
Nowelizacja ustawy o krajowym systemie cyberbezpieczeństwa obowiązuje od 3 kwietnia 2026 r. Termin na wniosek o wpis do wykazu podmiotów kluczowych i ważnych mija 3 października 2026 r., a wdrożenie obowiązków trzeba zakończyć do 3 kwietnia 2027 r. Wyjaśniamy, kogo obejmują przepisy, co grozi za ich pominięcie, czego mogą oczekiwać od Was klienci objęci ustawą i co zrobić w najbliższych tygodniach.
3 października 2026 r. mija termin złożenia wniosku o wpis do wykazu podmiotów kluczowych i podmiotów ważnych. Dotyczy on firm, które w dniu wejścia w życie nowelizacji ustawy o krajowym systemie cyberbezpieczeństwa spełniały kryteria jednej z tych kategorii. Wpis nie dzieje się automatycznie dla większości przedsiębiorców: każda firma musi sama ocenić, czy przepisy ją obejmują.
Poniżej zbieramy fakty potwierdzone w tekście ustawy i komunikatach Ministerstwa Cyfryzacji, opisujemy, czego mogą się spodziewać firmy spoza zakresu ustawy, i proponujemy kolejność działań na najbliższe tygodnie.
Ustawa o krajowym systemie cyberbezpieczeństwa 2026 w datach
Nowelizacja to ustawa z dnia 23 stycznia 2026 r. o zmianie ustawy o krajowym systemie cyberbezpieczeństwa oraz niektórych innych ustaw, ogłoszona w Dzienniku Ustaw 2 marca 2026 r. pod pozycją 252. Wdraża do polskiego prawa unijną dyrektywę NIS 2 (2022/2555). Weszła w życie po upływie miesiąca od ogłoszenia, czyli 3 kwietnia 2026 r.
Ministerstwo Cyfryzacji w komunikacie z 2 kwietnia 2026 r. wskazało cztery daty, od których zależy plan pracy:
| Data | Co się dzieje |
|---|---|
| 3 kwietnia 2026 r. | Nowelizacja wchodzi w życie, zaczynają biec terminy |
| 3 października 2026 r. | Koniec terminu na wniosek o wpis do wykazu dla podmiotów spełniających kryteria w dniu wejścia ustawy w życie |
| 3 kwietnia 2027 r. | Termin wdrożenia obowiązków dla podmiotów kluczowych i ważnych |
| 3 kwietnia 2028 r. | Termin pierwszego audytu podmiotów kluczowych; od tej daty mogą być nakładane administracyjne kary pieniężne |
Samorejestracja w aplikacji Wykaz KSC ruszyła 7 maja 2026 r. Część podmiotów, w tym podmioty publiczne, przedsiębiorców telekomunikacyjnych, dostawców usług zaufania i dotychczasowych operatorów usług kluczowych, ministerstwo wpisuje z urzędu i wzywa do uzupełnienia danych.
Kogo obejmuje nowelizacja KSC
Nowelizacja zastępuje dawny podział na operatorów usług kluczowych i dostawców usług cyfrowych dwiema kategoriami: podmiotami kluczowymi i podmiotami ważnymi. O przynależności decydują dwa warunki naraz: rodzaj działalności i wielkość firmy.
Sektory z załączników do ustawy
Załącznik nr 1 wymienia sektory kluczowe: energię, transport, bankowość i infrastrukturę rynków finansowych, ochronę zdrowia, zaopatrzenie w wodę pitną, zbiorowe odprowadzanie ścieków, infrastrukturę cyfrową, zarządzanie usługami ICT, przestrzeń kosmiczną i podmioty publiczne.
Załącznik nr 2 wymienia sektory ważne: usługi pocztowe, inwestycje w obiekty energetyki jądrowej, gospodarowanie odpadami, produkcję i dystrybucję chemikaliów, produkcję, przetwarzanie i dystrybucję żywności, wybrane działy produkcji (wyroby medyczne, komputery i elektronika, urządzenia elektryczne, maszyny, pojazdy i pozostały sprzęt transportowy), dostawców usług cyfrowych, badania naukowe oraz część podmiotów publicznych.
Ministerstwo w poradniku o samoidentyfikacji podkreśla, że kod PKD pomaga, ale decyduje faktyczny zakres świadczonych usług. Firma produkcyjna z PKD handlowym może więc podlegać ustawie, a firma z „produkcyjnym” PKD, która faktycznie tylko handluje, może nie podlegać.
Progi wielkości średniego przedsiębiorstwa
Ustawa odsyła do unijnej definicji MŚP z rozporządzenia Komisji 651/2014. Według zestawienia Ministerstwa Cyfryzacji:
| Kategoria | Zatrudnienie | Obrót roczny lub suma bilansowa |
|---|---|---|
| Mikro | poniżej 10 osób | do 2 mln euro |
| Małe | poniżej 50 osób | do 10 mln euro |
| Średnie | poniżej 250 osób | obrót do 50 mln euro lub suma bilansowa do 43 mln euro |
| Duże | powyżej progów średniego |
Zasada ogólna jest taka: firma z sektora z załącznika nr 1, która przekracza progi średniego przedsiębiorstwa, jest podmiotem kluczowym. Firma z załącznika nr 1, która spełnia kryteria średniego przedsiębiorstwa, jest podmiotem ważnym. Firma z załącznika nr 2 jest podmiotem ważnym, jeśli jest średnim przedsiębiorstwem lub większym.
Przy liczeniu wielkości uwzględnia się przedsiębiorstwa powiązane i partnerskie, więc mała spółka w większej grupie może wejść w zakres ustawy. Ustawa przewiduje tu wyjątek: jeśli status wynika tylko z powiązań, a system informacyjny firmy jest niezależny od systemów spółek powiązanych lub firma nie świadczy z nimi usług wspólnie, nie jest podmiotem kluczowym ani ważnym. Wielkość ocenia się według stanu na dzień sporządzenia sprawozdania finansowego.
Kto podlega niezależnie od wielkości
Część podmiotów jest objęta ustawą bez względu na liczbę pracowników i obroty. Należą do nich między innymi dostawcy usług DNS, rejestry domen najwyższego poziomu i podmioty świadczące usługi rejestracji domen, kwalifikowani dostawcy usług zaufania oraz wskazane w ustawie podmioty publiczne. Mikro i mali przedsiębiorcy komunikacji elektronicznej są podmiotami ważnymi. Dostawcy usług zarządzanych w zakresie cyberbezpieczeństwa są podmiotami kluczowymi już od progu małego przedsiębiorstwa.
Wpis do wykazu podmiotów kluczowych i ważnych w systemie S46
Wniosek składa się elektronicznie w aplikacji Wykaz KSC pod adresem wykaz-ksc.gov.pl, działającej w ramach systemu S46. Logowanie odbywa się przez Węzeł Krajowy: profil zaufany, mObywatel, e-dowód, bankowość elektroniczną lub certyfikat kwalifikowany.
Wniosek podpisuje kierownik podmiotu lub osoba przez niego upoważniona, podpisem kwalifikowanym, zaufanym, osobistym albo kwalifikowaną pieczęcią elektroniczną. Zawiera oświadczenie kierownika składane pod rygorem odpowiedzialności karnej, że dane są zgodne z prawdą. Wpis następuje z chwilą złożenia poprawnego wniosku.
Ustawa wymienia dane, które trzeba podać. Przed zalogowaniem warto mieć pod ręką:
- nazwę, adres siedziby i adres do korespondencji, adres do doręczeń elektronicznych, NIP i REGON;
- sektor, podsektor i rodzaj podmiotu według załącznika nr 1 lub 2;
- zakresy publicznych adresów IP i domeny internetowe używane w sposób ciągły;
- dane osób do kontaktu z podmiotami krajowego systemu cyberbezpieczeństwa;
- deklarację wielkości: mikro, małe, średnie lub większe przedsiębiorstwo;
- informację o umowie z dostawcą usług zarządzanych w zakresie cyberbezpieczeństwa, jeśli powierzyliście mu zadania z ustawy.
Zmiany tych danych zgłasza się w ciągu 14 dni. Firma, która spełni kryteria później, na przykład po przekroczeniu progu średniego przedsiębiorstwa, ma 6 miesięcy na wniosek od dnia spełnienia przesłanek.
Jeśli termin 3 października minie, a Wasza firma spełnia kryteria, złóżcie wniosek najszybciej, jak się da. Ustawa pozwala organowi nałożyć karę za niezłożenie wniosku w terminie, jeżeli przemawia za tym waga naruszenia, a przepisy przejściowe przewidują, że kary można nakładać po raz pierwszy po upływie 2 lat od wejścia ustawy w życie.
Obowiązki do 3 kwietnia 2027 r.
Podmioty, które spełniały kryteria w dniu wejścia ustawy w życie, mają 12 miesięcy na wdrożenie obowiązków z rozdziału 3 ustawy. Najważniejszy z nich to system zarządzania bezpieczeństwem informacji (SZBI) obejmujący system informacyjny używany do świadczenia usługi. Ustawa wymaga w nim między innymi:
- systematycznego szacowania ryzyka incydentu i zarządzania tym ryzykiem;
- środków technicznych i organizacyjnych proporcjonalnych do ryzyka, w tym polityk bezpieczeństwa, kontroli dostępu, zarządzania aktywami, kryptografii i uwierzytelniania wieloskładnikowego tam, gdzie jest to zasadne;
- bezpieczeństwa łańcucha dostaw produktów i usług ICT;
- planów ciągłości działania i odtworzenia po awarii, utrzymywanych i testowanych;
- monitorowania systemu w trybie ciągłym;
- regularnych aktualizacji oprogramowania;
- edukacji personelu i podstawowych zasad cyberhigieny;
- zarządzania incydentami.
Do tego dochodzi dokumentacja bezpieczeństwa (normatywna i operacyjna) oraz wyznaczenie co najmniej dwóch osób do kontaktu z podmiotami krajowego systemu cyberbezpieczeństwa. Mikro i mali przedsiębiorcy objęci ustawą wyznaczają co najmniej jedną osobę.
Incydenty poważne zgłasza się do właściwego CSIRT sektorowego dwuetapowo: wczesne ostrzeżenie niezwłocznie, nie później niż w ciągu 24 godzin od wykrycia, a zgłoszenie incydentu nie później niż w ciągu 72 godzin od wykrycia. Sprawozdanie końcowe przekazuje się w ciągu miesiąca od zgłoszenia.
Podmioty kluczowe przeprowadzają na własny koszt audyt bezpieczeństwa co najmniej raz na 3 lata. Pierwszy audyt podmioty spełniające kryteria w dniu wejścia ustawy w życie muszą przeprowadzić w ciągu 24 miesięcy, czyli do 3 kwietnia 2028 r.
Odpowiedzialność kierownictwa i kary
Nowelizacja przenosi odpowiedzialność za cyberbezpieczeństwo na poziom zarządu. Kierownik podmiotu kluczowego lub ważnego odpowiada za wykonanie obowiązków także wtedy, gdy powierzył je innej osobie. Jeśli kierownikiem jest organ wieloosobowy i nie wskazano osoby odpowiedzialnej, odpowiadają wszyscy jego członkowie.
Kierownik podejmuje decyzje o SZBI, planuje środki finansowe na cyberbezpieczeństwo, przydziela zadania i nadzoruje ich wykonanie. Raz w roku kalendarzowym przechodzi udokumentowane szkolenie. Osoby, którym powierza się zadania z zakresu SZBI i obsługi incydentów, przed rozpoczęciem pracy przedstawiają informację z Krajowego Rejestru Karnego o niekaralności za przestępstwa przeciwko ochronie informacji.
Ustawa przewiduje następujące górne granice kar:
| Kto | Górna granica kary |
|---|---|
| Podmiot kluczowy | 10 mln euro lub 2% przychodów z poprzedniego roku obrotowego, stosuje się kwotę wyższą; nie mniej niż 20 000 zł |
| Podmiot ważny | 7 mln euro lub 1,4% przychodów z poprzedniego roku obrotowego; nie mniej niż 15 000 zł |
| Naruszenie powodujące poważne zagrożenie, na przykład dla życia i zdrowia ludzi | do 100 mln zł |
| Kierownik podmiotu | do 300% jego wynagrodzenia |
Według komunikatu Ministerstwa Cyfryzacji kary mogą być nakładane od 3 kwietnia 2028 r. Ten okres służy na wdrożenie, a terminy obowiązków biegną już teraz.
NIS2 w Polsce a firmy spoza zakresu ustawy
Większość małych firm nie będzie podmiotem kluczowym ani ważnym. Wiele z nich odczuje jednak nowelizację pośrednio, przez swoich klientów. Ustawa wymaga od podmiotów kluczowych i ważnych, żeby w SZBI uwzględniały bezpieczeństwo łańcucha dostaw ICT, w tym podatności związane z dostawcą sprzętu lub oprogramowania i ogólną jakość jego produktów oraz usług.
W praktyce należy się spodziewać ankiet bezpieczeństwa, nowych klauzul w umowach i pytań o to, jak dostawca chroni dostęp do systemów klienta. Dotyczy to zwłaszcza firm, które serwisują systemy klienta, mają do nich zdalny dostęp, dostarczają oprogramowanie albo przetwarzają jego dane. Przygotujcie odpowiedzi na pytania, które padają najczęściej:
- czy konta z dostępem do systemów klienta mają uwierzytelnianie dwuskładnikowe;
- jak szybko poinformujecie klienta o incydencie, który może go dotyczyć, i kto jest osobą kontaktową;
- jak zarządzacie aktualizacjami i podatnościami w swoich produktach i na swoich komputerach;
- gdzie i jak tworzone są kopie zapasowe danych, które przetwarzacie dla klienta;
- kto z Waszej strony ma dostęp do systemów klienta i jak ten dostęp jest odbierany.
Uporządkowanie kont administracyjnych i drugiego składnika logowania to zwykle pierwszy punkt takich ankiet. Praktyczny standard opisujemy we wpisie o 2FA i kontach administratorów w firmie.
Co zrobić w najbliższych tygodniach
Najpierw samoidentyfikacja. Sprawdźcie, czy faktyczna działalność mieści się w załączniku nr 1 lub 2, i policzcie wielkość firmy razem z przedsiębiorstwami powiązanymi i partnerskimi. Jeśli wynik jest twierdzący, złóżcie wniosek w wykaz-ksc.gov.pl. Termin upływa 3 października 2026 r.; jeśli czytacie to później, złóżcie wniosek niezwłocznie i omówcie opóźnienie z prawnikiem. Jeśli przecząco, zapiszcie krótką notatkę z analizy: datę, kto oceniał, jakie sektory i progi sprawdzono. Przyda się przy pytaniach klientów i przy kolejnej zmianie wielkości firmy.
W październiku. Firmy objęte ustawą wyznaczają osoby kontaktowe, planują budżet i wyznaczają osobę odpowiedzialną za wdrożenie po stronie zarządu. Kierownik planuje swoje coroczne szkolenie.
Do końca roku. Inwentaryzacja systemów i usług, szacowanie ryzyka i porównanie stanu obecnego z wymaganiami SZBI. Wynik takiego porównania to lista luk z priorytetami i kosztami, na podstawie której da się rozpisać prace do 3 kwietnia 2027 r. Od strony technicznej pomaga w tym audyt IT albo nasza lista kontrolna cyberbezpieczeństwa małej firmy.
Równolegle. Procedura obsługi incydentu z terminami 24 i 72 godzin, lista dostawców ICT z oceną ryzyka oraz przegląd umów z dostawcami usług IT. Firmy spoza zakresu ustawy w tym czasie przygotowują odpowiedzi dla klientów i porządkują własne dostępy do ich systemów.
Jeśli chcecie zacząć od godzinnej rozmowy o stanie Waszego IT, umówcie bezpłatny przegląd IT. Wynikiem jest lista najpilniejszych ryzyk technicznych, którą można potem przełożyć na plan wdrożenia.
Kiedy potrzebny jest prawnik
Ten materiał porządkuje przepisy z perspektywy IT i nie jest poradą prawną. Do radcy prawnego lub adwokata warto pójść, gdy klasyfikacja sektora budzi wątpliwości, gdy firma należy do grupy kapitałowej i liczy wielkość z podmiotami powiązanymi, gdy prowadzi działalność regulowaną albo kilka rodzajów działalności z różnych załączników, gdy minął termin wpisu oraz gdy klient przesyła umowę z nowymi obowiązkami dotyczącymi cyberbezpieczeństwa. Ocena, czy konkretna firma jest podmiotem kluczowym lub ważnym, zawsze należy do niej samej i jej doradców.
Wdrożenie technicznej części wymagań, od kont i kopii zapasowych po monitoring i procedurę incydentów, opisaliśmy na stronie cyberbezpieczeństwa.
Źródła
- Dziennik Ustaw, Ustawa z dnia 23 stycznia 2026 r. o zmianie ustawy o krajowym systemie cyberbezpieczeństwa oraz niektórych innych ustaw, Dz.U. 2026 poz. 252, https://api.sejm.gov.pl/eli/acts/DU/2026/252/text.pdf (dostęp 2.10.2026)
- Ministerstwo Cyfryzacji, Nowelizacja ustawy o krajowym systemie cyberbezpieczeństwa zaczyna obowiązywać, 2.04.2026, https://www.gov.pl/web/cyfryzacja/nowelizacja-ustawy-o-krajowym-systemie-cyberbezpieczenstwa-zaczyna-obowiazywac (dostęp 2.10.2026)
- Ministerstwo Cyfryzacji, Nowelizacja ustawy o KSC: uruchamiamy samorejestrację w Wykazie podmiotów kluczowych i podmiotów ważnych, 7.05.2026, https://www.gov.pl/web/cyfryzacja/nowelizacja-ustawy-o-krajowym-systemie-cyberbezpieczenstwa-ksc--uruchamiamy-samorejestracje-w-wykazie-podmiotow-kluczowych-i-podmiotow-waznych-sprawdz-jak-dokonac-wpisu (dostęp 2.10.2026)
- Baza wiedzy gov.pl, Nowelizacja ustawy o KSC: jak dokonać samoidentyfikacji, 27.04.2026, https://www.gov.pl/web/baza-wiedzy/nowelizacja-ustawy-o-krajowym-systemie-cyberbezpieczenstwa-ksc---jak-dokonac-samoidentyfikacji (dostęp 2.10.2026)
- Baza wiedzy gov.pl, Miesiąc na samorejestrację w Wykazie KSC. Termin mija 3 października, 3.09.2026, https://www.gov.pl/web/baza-wiedzy/miesiac-na-samorejestracje-w-wykazie-ksc-termin-mija-3-pazdziernika (dostęp 2.10.2026)
- NASK Cyberpolicy, Nowelizacja ustawy o krajowym systemie cyberbezpieczeństwa, 6.03.2026, https://cyberpolicy.nask.pl/aktualnosci/nowelizacja-ustawy-o-krajowym-systemie-cyberbezpieczenstwa/ (dostęp 2.10.2026)
Stan na 2 października 2026 r.