Wniosek o wpis do Wykazu podmiotów kluczowych i ważnych składa się w systemie S46, prowadzonym przez ministra właściwego do spraw informatyzacji. CERT Polska przyjmuje zgłoszenia incydentów, a nie wnioski o wpis. Termin upłynął 3 października 2026 r.; spóźnione wnioski nadal są wymagane.
Sprawdź, czy podlegasz (samoocena) →Wpis do Wykazu podmiotów kluczowych i ważnych dotyczy podmiotów wskazanych w załącznikach nr 1 i nr 2 do ustawy o krajowym systemie cyberbezpieczeństwa (KSC), w brzmieniu nadanym nowelizacją, która weszła w życie 3 kwietnia 2026 r. (Dz.U. 2026 poz. 252).
Kryterium wielkości odsyła do unijnej definicji MŚP: co do zasady obowiązek obejmuje podmioty średnie (od 50 pracowników albo powyżej 10 mln EUR obrotu) oraz duże (od 250 pracowników albo powyżej 50 mln EUR). Część kategorii — m.in. dostawcy usług DNS, rejestry nazw domen najwyższego poziomu czy podmioty administracji publicznej — jest objęta niezależnie od wielkości.
Punktem wyjścia jest samoocena: ustalasz sektor, podsektor i rodzaj podmiotu według załączników do ustawy, a dopiero potem kryterium wielkości. Wykaz prowadzi minister właściwy do spraw informatyzacji — nie CERT Polska.
Etap 1 (13 kwietnia – 6 maja 2026 r.): minister wpisywał podmioty do Wykazu na podstawie danych z rejestrów publicznych; samodzielne składanie wniosków nie było w tym czasie dostępne.
Etap 2 (od 7 maja do 3 października 2026 r.): samorejestracja — podmiot sam składa wniosek o wpis w systemie S46.
Wniosek obejmuje m.in. sektor, podsektor oraz rodzaj (rodzaje) podmiotu zgodnie z załącznikiem nr 1 (podmioty kluczowe) albo nr 2 (podmioty ważne) do ustawy o KSC, wraz z danymi identyfikacyjnymi i kontaktowymi podmiotu oraz osoby wyznaczonej do kontaktów.
Wniosek składa i podpisuje kierownik podmiotu lub osoba przez niego upoważniona, a zawarte w nim oświadczenie kierownika podlega rygorowi odpowiedzialności karnej za fałszywe oświadczenie.
Dokładny zakres pól formularza i aktualne instrukcje publikuje Ministerstwo Cyfryzacji na stronie systemu S46. Przed złożeniem sprawdź je u źródła: gov.pl/web/system-s46/wpis-do-wykazu-ksc. Ta strona jest przewodnikiem, nie zastępuje instrukcji urzędowej ani porady prawnej.
Wniosek składa się w ciągu 6 miesięcy od uzyskania statusu podmiotu kluczowego albo ważnego. Dla podmiotów, które spełniały kryteria w dniu wejścia w życie nowelizacji (3 kwietnia 2026 r.), termin upłynął 3 października 2026 r.
Ustawa o KSC przewiduje kary administracyjne za naruszenie obowiązków: dla podmiotów kluczowych do 10 mln EUR albo 2% rocznego światowego obrotu, dla podmiotów ważnych do 7 mln EUR albo 1,4% — w zależności od tego, która kwota jest wyższa.
Poza sankcjami liczy się skutek praktyczny: bez wpisu nie ma dostępu do S46 Cyber Hub, czyli do kanału, przez który zgłasza się incydenty i odbiera ostrzeżenia o zagrożeniach.
Wpis otwiera dostęp do S46 Cyber Hub — platformy, przez którą prowadzi się komunikację z CSIRT, zgłasza incydenty i odbiera ostrzeżenia.
Terminy zgłaszania incydentu poważnego: wczesne ostrzeżenie w ciągu 24 godzin, zgłoszenie incydentu w ciągu 72 godzin oraz sprawozdanie końcowe w ciągu miesiąca — do właściwego zespołu CSIRT (CSIRT NASK / CERT Polska, CSIRT GOV albo CSIRT MON).
Dane w Wykazie należy aktualizować. Nadzór sprawują organy właściwe do spraw cyberbezpieczeństwa — dla sektora finansowego jest to KNF, dla pozostałych sektorów organ wskazany w ustawie.
Obowiązki merytoryczne — zarządzanie ryzykiem w rozumieniu art. 21 NIS2 — obowiązują niezależnie od samego wpisu do Wykazu.
Obowiązek dotyczy podmiotów z sektorów wymienionych w załącznikach nr 1 i 2 do ustawy o KSC, które spełniają kryterium wielkości — co do zasady od 50 pracowników albo powyżej 10 mln EUR obrotu. Mikro i małe firmy zwykle nie podlegają obowiązkowi, ale część kategorii (np. dostawcy usług DNS, rejestry nazw domen, administracja publiczna) jest objęta niezależnie od wielkości. Rozstrzyga samoocena według załączników, nie sama liczba pracowników.
W systemie S46. Wykaz podmiotów kluczowych i ważnych prowadzi minister właściwy do spraw informatyzacji, a wniosek o wpis składa się elektronicznie przez S46 (gov.pl/web/system-s46). CERT Polska działa jako zespół CSIRT: przyjmuje zgłoszenia incydentów i wydaje ostrzeżenia, ale nie prowadzi Wykazu i nie przyjmuje wniosków o wpis.
W ciągu 6 miesięcy od uzyskania statusu podmiotu kluczowego albo ważnego. Podmioty, które spełniały kryteria 3 kwietnia 2026 r., czyli w dniu wejścia w życie nowelizacji ustawy o KSC, miały czas do 3 października 2026 r. Termin ten już minął.
Kierownik podmiotu albo osoba przez niego upoważniona. Wniosek zawiera oświadczenie kierownika podmiotu składane pod rygorem odpowiedzialności karnej za złożenie fałszywego oświadczenia, więc dane trzeba zweryfikować przed wysyłką.
Ustawa o KSC przewiduje kary administracyjne do 10 mln EUR albo 2% rocznego światowego obrotu dla podmiotów kluczowych i do 7 mln EUR albo 1,4% dla podmiotów ważnych. Praktycznie równie istotne jest to, że bez wpisu podmiot nie ma dostępu do S46 Cyber Hub, czyli do kanału zgłaszania incydentów i odbierania ostrzeżeń.
Termin złożenia wniosku o wpis do Wykazu w systemie S46 upłynął 3 października 2026 r. Zacznij od samooceny: sektor, podsektor i rodzaj podmiotu według załączników do ustawy o KSC.
Sprawdź w samoocenie, czy podlegasz