Co zrobić po 3 października 2026 r., gdy termin na wpis do wykazu minął?

Dlaczego to pytanie w ogóle powstaje

Komunikat Ministra Cyfryzacji wyznaczył okno składania wniosków od 7 maja do 3 października 2026 r. Data zamykająca to okno została odczytana w wielu organizacjach jako koniec sprawy. Tymczasem przepisy o wykazie są zbudowane inaczej. Wpis jest czynnością o charakterze deklaratoryjnym, więc niczego nie tworzy i niczego nie zamyka. Status podmiotu wynika ze spełnienia przesłanek z art. 5, a wykaz ma ten status odzwierciedlać na bieżąco. Z tego wynikają trzy zegary działające po 3 października. Czternastodniowy biegnie od zmiany danych, siedmiodniowy od wezwania z czynności sprawdzających, a sześciomiesięczny od wezwania do uzupełnienia wpisu dokonanego bez wniosku.

Drugi powód wątpliwości to wpis do wykazu KSC po terminie, czyli sytuacja organizacji, które terminu nie dotrzymały. Przepis o karze za niezłożenie wniosku w terminie istnieje, więc pojawia się pytanie, czy składanie wniosku po terminie ma jeszcze sens. Ma — z kilku niezależnych powodów opisanych niżej.

Zakres danych we wniosku i zasady jego podpisywania opisuje materiał Kiedy i jak złożyć wniosek o wpis do wykazu podmiotów kluczowych i ważnych?

Co trzeba ustalić przed decyzją

Wpis do wykazu KSC po terminie — w której z czterech sytuacji jest organizacja

Odpowiedź na pytanie z tytułu zależy od tego, co wydarzyło się do 3 października. Każda z czterech sytuacji ma inny przepis i inny zegar.

Sytuacja	Co obowiązuje po 3 października	Zegar	Podstawa
Wniosek złożony, wpis dokonany	zgłaszanie zmian danych, korekta po wezwaniu, rozpoczęcie korzystania z S46	14 dni od zmiany; 7 dni od wezwania	art. 7c ust. 3, art. 7k ust. 2, art. 9 ust. 1 pkt 4
Wpis z urzędu bez wniosku	uzupełnienie brakujących danych przez wniosek o zmianę wpisu, także w zakresie działalności nieobjętej wpisem	6 miesięcy od doręczenia wezwania	art. 7a ust. 2, art. 7b ust. 2 i 4
Przesłanki spełnione 3 kwietnia 2026 r., wniosku brak	obowiązek złożenia wniosku trwa; organ może wpisać podmiot sam i wezwać do uzupełnienia	6 miesięcy od zawiadomienia o wpisie przez organ	art. 7c ust. 1, art. 7j, art. 73 ust. 1a
Przesłanki spełnione po 3 kwietnia 2026 r.	harmonogram nie dotyczy; termin własny	6 miesięcy od dnia spełnienia przesłanek	art. 7c ust. 1

Czwarta sytuacja bywa mylona z trzecią. Organizacja, która przekroczyła progi wielkościowe w połowie 2026 r. albo rozpoczęła działalność z załącznika po wejściu nowelizacji w życie, nie była objęta harmonogramem. Jej termin biegnie od dnia spełnienia przesłanek i może upływać długo po 3 października.

Sytuacja pierwsza — wpis jest, obowiązek się nie kończy

Wniosek o zmianę wpisu składa się w ciągu czternastu dni od dnia zmiany danych objętych zakresem wniosku (art. 7c ust. 3). Zakres ten obejmuje osiemnaście pozycji z art. 7 ust. 2. Kilka z nich zmienia się częściej, niż organizacje zakładają. Dotyczy to danych osób do kontaktu, zakresów adresów IP i domen oraz informacji o umowie z dostawcą usług zarządzanych w zakresie cyberbezpieczeństwa. Zmiana osoby na stanowisku, migracja domeny albo zawarcie umowy z zewnętrznym SOC uruchamiają czternastodniowy termin. Wniosek o zmianę wpisu wskazuje zmieniane dane i numer podmiotu w wykazie (art. 7c ust. 4) i wymaga tego samego oświadczenia kierownika co wniosek o wpis.

Drugi zegar uruchamia organ. Organ właściwy do spraw cyberbezpieczeństwa może prowadzić czynności sprawdzające zgodność danych w wykazie ze stanem faktycznym (art. 7k ust. 1). Jeżeli stwierdzi niezgodność, wzywa do zmiany wpisu w ciągu siedmiu dni od doręczenia wezwania (art. 7k ust. 2). Siedem dni to termin, w którym trzeba zebrać dane, przygotować wniosek i uzyskać podpis kierownika albo osoby upoważnionej. Bez wskazanej wcześniej osoby odpowiedzialnej za wykaz i bez gotowego pełnomocnictwa ten termin jest trudny do dotrzymania.

Trzeci skutek wpisu to system. Po uzyskaniu wpisu podmiot rozpoczyna korzystanie z systemu teleinformatycznego S46 (art. 9 ust. 1 pkt 4). Ustawa daje na to dwanaście miesięcy od spełnienia przesłanek (art. 46 ust. 4), a komunikat resortu wskazuje w tym zakresie 3 kwietnia 2027 r. Rekomenduję nie czekać do końca tego okresu. Konto w systemie jest kanałem zgłaszania incydentów poważnych, a incydent nie czeka na zakończenie okresu przejściowego.

Sytuacja druga — wpis z urzędu to początek, nie koniec

Minister właściwy do spraw informatyzacji wpisuje z urzędu cztery grupy (art. 7a ust. 2). Są to przedsiębiorcy telekomunikacyjni, dostawcy usług zaufania, podmioty publiczne i podmioty krytyczne. Dane pochodzą z rejestrów publicznych, z bazy adresów elektronicznych albo od organów nadzorczych. Obejmują tylko osiem pozycji podstawowych z art. 7 ust. 2 oraz pozycje uzupełniane przez ministra. Reszty organ nie zna.

Dlatego po zawiadomieniu o wpisie przychodzi wezwanie do uzupełnienia brakujących danych. Wezwanie zawiera podstawę prawną wpisu, numer podmiotu w wykazie, dane już wpisane wraz ze źródłem oraz wskazanie danych do uzupełnienia (art. 7b ust. 3). Termin wynosi sześć miesięcy od doręczenia i jest obwarowany karą (art. 7b ust. 2). Uzupełnienie następuje przez wniosek o zmianę wpisu, nie przez wniosek o wpis — wniosek o wpis podmiotu już wpisanego nie zostanie zrealizowany (art. 7d ust. 3 pkt 2).

Dwie rzeczy w tej sytuacji bywają przeoczone. Po pierwsze, podmiot uzupełnia dane także w zakresie działalności, która nie została objęta wpisem z urzędu (art. 7b ust. 4 zdanie drugie). Podmiot publiczny prowadzący obok zadań publicznych działalność z załącznika nr 1 nie może poprzestać na wpisie obejmującym tylko pierwszą z nich. Po drugie, zawiadomienie i wezwanie doręcza się według przepisów Kodeksu postępowania administracyjnego o doręczeniach (art. 7b ust. 5). Pismo wysłane na adres do doręczeń elektronicznych może zostać uznane za doręczone także wtedy, gdy nikt w organizacji skrzynki nie odczytał. Sześć miesięcy liczy się od dnia doręczenia, a nie od dnia odczytania.

Podmiot wpisany z urzędu nie musi czekać na wezwanie. Może złożyć wniosek o zmianę wpisu z własnej inicjatywy i uzupełnić dane wcześniej. Rekomenduję ten wariant, bo przenosi kontrolę nad terminem z organu na organizację.

Sytuacja trzecia — wpis do wykazu KSC po terminie

Organizacja, która spełniała przesłanki 3 kwietnia 2026 r. i wniosku nie złożyła, po 3 października nadal jest podmiotem kluczowym albo ważnym. Nie przestała nim być przez upływ terminu. Wszystkie obowiązki z rozdziału 3 biegną wobec niej tak samo jak wobec podmiotów wpisanych, łącznie z terminem 3 kwietnia 2027 r. Brak wpisu odbiera jej natomiast dostęp do systemu S46, a więc kanał do zgłoszenia incydentu poważnego.

Wpis do wykazu KSC po terminie nadal następuje na wniosek. Wpisu dokonuje się z chwilą złożenia wniosku w systemie (art. 7d ust. 1), a ustawa nie uzależnia tego skutku od zachowania terminu. Cztery przyczyny odmowy wpisu z art. 7d ust. 3 dotyczą braków wniosku, nie jego opóźnienia. Wniosek po terminie jest więc nadal skutecznym sposobem uporządkowania sytuacji.

Alternatywą jest wpis dokonany przez organ. Organ właściwy do spraw cyberbezpieczeństwa może wpisać do wykazu podmiot, który spełnia przesłanki i nie złożył wniosku w terminie (art. 7j ust. 1). Korzysta przy tym z rejestrów publicznych, z danych dostępnych mu na podstawie przepisów odrębnych i z informacji uzyskanych od samego podmiotu. Podstawą do tych ostatnich jest wystąpienie o informacje umożliwiające wstępną ocenę statusu (art. 43 ust. 1). Odpowiedź na takie wystąpienie może stać się podstawą wpisu (art. 43 ust. 6). Po wpisie organ zawiadamia podmiot i wzywa do uzupełnienia danych w sześć miesięcy pod rygorem kary (art. 7j ust. 3). Wpis wymaga uzasadnienia i przysługuje na niego skarga do sądu administracyjnego (art. 7j ust. 5).

Różnica między wnioskiem własnym a wpisem przez organ nie leży w skutku, bo w obu przypadkach organizacja trafia do wykazu. Leży w tym, kto ustala dane i w jakim trybie. Przy wniosku własnym organizacja sama opisuje swoje rodzaje działalności i deklaruje wielkość. Przy wpisie przez organ dane pochodzą z zewnątrz, a organizacja wchodzi w tryb wezwania z terminem i sankcją.

Pozostaje kwestia kary za niezłożenie wniosku w terminie. Przepis jest fakultatywny. Organ może nałożyć karę, jeżeli przemawia za tym waga i znaczenie naruszonych przepisów (art. 73 ust. 1a pkt 1). Osobno ustawa przewiduje odpowiedzialność kierownika podmiotu za niewykonanie obowiązku z art. 7c ust. 1 (art. 73a ust. 1 pkt 1). Przepisy przejściowe nowelizacji odraczają pierwsze nałożenie kar z art. 73 ust. 1–4 i art. 73a do upływu dwóch lat od wejścia w życie ustawy (art. 35). Czy odroczenie obejmuje także ust. 1a, nie wynika wprost z brzmienia przepisu i nie zostało dotąd rozstrzygnięte. W ocenie ryzyka warto przyjąć wariant ostrożny, ale to nie kara jest tu argumentem za złożeniem wniosku. Argumentem jest to, że bez wpisu organizacja pozostaje pod ustawą bez kanału zgłoszeń i z danymi ustalanymi przez organ zamiast przez siebie.

Sytuacja czwarta — termin własny, nie harmonogram

Podmiot, który spełnił przesłanki po 3 kwietnia 2026 r., składa wniosek w sześć miesięcy od dnia ich spełnienia (art. 7c ust. 1). Jeżeli status zależy od wielkości podmiotu, przesłanki bada się według stanu na dzień sporządzenia sprawozdania finansowego (art. 5 ust. 5). Dla wielu organizacji dniem spełnienia przesłanek będzie więc dzień sporządzenia sprawozdania za 2025 r. albo za 2026 r. Termin trzeba liczyć od tego dnia, a nie od 3 października.

Osobny tryb dotyczy podmiotów uznanych decyzją organu za kluczowe albo ważne mimo niespełnienia przesłanek wielkościowych (art. 7l). Taki podmiot nie składa wniosku o wpis, bo organ wpisuje go niezwłocznie sam (art. 7l ust. 6). W decyzji organ wzywa do uzupełnienia danych w sześć miesięcy od doręczenia, a decyzja podlega natychmiastowemu wykonaniu.

Gdy status ustał, wykreślenie nie następuje samo

Odwrotna sytuacja też wymaga działania. Organizacja, która przestała spełniać przesłanki, składa wniosek o wykreślenie z wykazu z uzasadnieniem (art. 7f ust. 3). Wniosek może dotyczyć całego wpisu albo tylko jednego sektora czy rodzaju działalności. Typowe przyczyny to zmniejszenie zatrudnienia poniżej progu albo zbycie części działalności. Organ ma miesiąc na rozpatrzenie. Odmowa wymaga uzasadnienia i podlega skardze do sądu administracyjnego, a brak odmowy w terminie skutkuje wykreśleniem. Do czasu wykreślenia organizacja pozostaje w wykazie z pełnymi obowiązkami.

Najczęstsze błędy

• Uznanie, że po 3 października wniosek nie ma już sensu. Wpis następuje z chwilą złożenia wniosku niezależnie od terminu, a obowiązki i tak biegną.
• Brak procesu dla czternastodniowego terminu na zmianę danych. Zmiana osoby do kontaktu, domeny albo dostawcy usług bezpieczeństwa uruchamia termin, którego nikt nie pilnuje.
• Składanie wniosku o wpis przez podmiot już wpisany z urzędu. Właściwy jest wniosek o zmianę wpisu; wniosek o wpis nie zostanie zrealizowany.
• Uzupełnienie wpisu z urzędu tylko w zakresie wskazanym w wezwaniu. Ustawa nakazuje uzupełnić także działalność nieobjętą wpisem z urzędu.
• Liczenie sześciu miesięcy od odczytania wezwania, a nie od doręczenia. Doręczenie następuje według przepisów KPA, także na adres do doręczeń elektronicznych.
• Liczenie terminu od 3 października przy przesłankach spełnionych później. Termin biegnie od dnia spełnienia przesłanek.
• Odkładanie rozpoczęcia korzystania z S46 do 3 kwietnia 2027 r. Konto w systemie jest kanałem zgłaszania incydentów już teraz.

Wnioski i dalsze kroki

Kolejność działań zależy od sytuacji z tabeli, ale kilka kroków jest wspólnych, a wpis do wykazu KSC po terminie jest pierwszym z nich dla organizacji bez wpisu.

1. Sprawdzić w systemie stan wpisu organizacji. Ustalić, czy istnieje, na jakiej podstawie, jakie rodzaje działalności obejmuje i które pozycje danych są puste.
2. Jeżeli wpisu nie ma, a przesłanki są spełnione — złożyć wniosek o wpis teraz, z rozstrzygniętą na piśmie kwalifikacją dla każdego rodzaju działalności.
3. Jeżeli wpis jest z urzędu — złożyć wniosek o zmianę wpisu bez czekania na wezwanie, obejmując także działalność nieobjętą wpisem.
4. Wyznaczyć osobę odpowiedzialną za wykaz i przypisać jej źródła informacji o zmianach osiemnastu pozycji danych w kadrach, IT i zakupach.
5. Przygotować pełnomocnictwo elektroniczne dla osoby składającej wnioski o zmianę wpisu, żeby siedmiodniowy i czternastodniowy termin nie zależał od dostępności kierownika.
6. Uruchomić konto w S46 i wyznaczyć administratora konta oraz co najmniej dwie osoby do kontaktu.
7. Wpisać obowiązki rejestrowe do przeglądu rocznego systemu zarządzania bezpieczeństwem informacji jako stały punkt.

Materiały powiązane

• Kiedy i jak złożyć wniosek o wpis do wykazu podmiotów kluczowych i ważnych? — terminy, zakres danych i podpis wniosku o wpis
• Czy każda organizacja podlega NIS2? — kwalifikacja podmiotu, od której zależy każda z czterech sytuacji
• Od czego zarząd powinien rozpocząć przygotowanie do NIS2? — obowiązki rozdziału 3 biegnące niezależnie od wpisu
• Co zrobić po wykryciu incydentu? — dlaczego konto w S46 jest potrzebne przed pierwszym zdarzeniem

Źródła

• Ustawa z dnia 5 lipca 2018 r. o krajowym systemie cyberbezpieczeństwa, tekst ujednolicony (stan na 7 lipca 2026 r.), art. 5, art. 7–7m, art. 8c, art. 9, art. 43, art. 46, art. 73 i art. 73a — ISAP, Kancelaria Sejmu: isap.sejm.gov.pl (dostęp: 05.09.2026)
• Ustawa z dnia 23 stycznia 2026 r. o zmianie ustawy o krajowym systemie cyberbezpieczeństwa oraz niektórych innych ustaw (Dz.U. 2026 poz. 252), art. 33–35 — Dziennik Ustaw: dziennikustaw.gov.pl (dostęp: 05.09.2026)
• Komunikat Ministra Cyfryzacji z dnia 8 kwietnia 2026 r. w sprawie harmonogramu złożenia wniosków o wpis do wykazu podmiotów kluczowych i podmiotów ważnych (Dz. Urz. Min. Cyfr. poz. 7) — Ministerstwo Cyfryzacji: gov.pl (dostęp: 05.09.2026)
• System S46, „Samorejestracja (wpis do Wykazu KSC)” — NASK, Ministerstwo Cyfryzacji: gov.pl (dostęp: 05.09.2026)