Co zrobić po 3 października 2026 r., gdy termin na wpis do wykazu minął?

Dlaczego to pytanie w ogóle powstaje

Harmonogram Ministra Cyfryzacji otworzył składanie wniosków 7 maja 2026 r. (pyt. 2.33). Dla podmiotów, które spełniały przesłanki w dniu wejścia nowelizacji w życie, ostatnim dniem był 3 października 2026 r. (pyt. 2.32). Przesłanki to przede wszystkim rodzaj działalności z załącznika nr 1 lub 2 do ustawy i wielkość podmiotu, a część podmiotów ustawa obejmuje niezależnie od wielkości (art. 5). Wpis ma charakter deklaratoryjny i według ministra tylko ujawnia status podmiotu kluczowego albo ważnego (art. 7d ust. 5, pyt. 2.48).

Co trzeba ustalić przed decyzją

Terminy na wdrożenie obowiązków biegną od spełnienia przesłanek, a przy uznaniu decyzją od jej doręczenia (art. 16 i art. 7l ust. 7). Obowiązki z rozdziału 3 to m.in. system zarządzania bezpieczeństwem informacji i obsługa incydentów (art. 8 i art. 11).

Sytuacja – termin	Co zrobić	Wyjątki i ograniczenia	Podstawa
Nie wiadomo, czy przesłanki są spełnione – jeżeli były spełnione 3 kwietnia 2026 r., termin upłynął	rozstrzygnąć kwalifikację na piśmie, a przy spełnionych przesłankach złożyć wniosek	według ministra liczy się działalność faktycznie wykonywana, co do zasady także pomocnicza (wyjątki w sektorach wody, ścieków i odpadów)	art. 5 ust. 5; pyt. 1.1, 2.7 i 2.8
Przesłanki spełnione 3 kwietnia 2026 r., wniosku brak – termin upłynął 3 października 2026 r.	sprawdzić, czy podmiotu nie wpisano z urzędu, i złożyć wniosek o wpis teraz	według ministra wniosku nie muszą składać podmioty wpisywane z urzędu ani podmiot, który przed upływem terminu zaprzestał działalności objętej ustawą; przyszły podmiot krytyczny składa wniosek sam, jeżeli spełnia przesłanki; przy statusie „Oczekuje na weryfikację” nie składać kolejnego wniosku	art. 33 ust. 3 i art. 34 ust. 3 pkt 1 nowelizacji, art. 7c ust. 1, art. 7d ust. 1; pyt. 1.8, 1.42, 2.1, 2.38, 2.40, 2.48 i 2.54
Wpis przez organ po upływie terminu – 6 miesięcy od otrzymania zawiadomienia	uzupełnić brakujące dane w wykazie	wpis wymaga uzasadnienia i podlega skardze do sądu administracyjnego	art. 7j ust. 1, 3 i 5
Wpis z urzędu (grupy z art. 7a ust. 2 i dawni operatorzy usług kluczowych) – 6 miesięcy od doręczenia wezwania	uzupełnić dane wnioskiem o zmianę wpisu, także o działalność nieobjętą wpisem	według ministra obowiązek odpada, jeżeli podmiot przed upływem 6 miesięcy przestanie spełniać przesłanki	art. 7b ust. 2 i 4, art. 34 ust. 2 nowelizacji; pyt. 2.42
Wpis istnieje – 14 dni od zmiany danych, 7 dni od doręczenia wezwania organu	zgłaszać zmiany, korygować wpis po wezwaniu, korzystać z S46	S46 najpóźniej do 3 kwietnia 2027 r. dla podmiotów z harmonogramu	art. 7c ust. 3, art. 7k ust. 2, art. 9 ust. 1 pkt 4, art. 46 ust. 4
Przesłanki spełnione po 3 kwietnia 2026 r. – 6 miesięcy od dnia ich spełnienia	złożyć wniosek w terminie własnym	przy statusie zależnym od wielkości według ministra decyduje drugi z rzędu rok obrotowy z przekroczeniem progu	art. 7c ust. 1, art. 5 ust. 5; pyt. 1.46 i 2.32
Uznanie decyzją organu – 6 miesięcy od doręczenia decyzji	uzupełnić brakujące dane, bo organ wpisuje podmiot sam	decyzja podlega natychmiastowemu wykonaniu; obowiązki z rozdziału 3 w 12 miesięcy od doręczenia decyzji	art. 7l ust. 3 i 5–7
Przesłanki przestały być spełnione – ustawa nie wyznacza terminu	złożyć wniosek o wykreślenie z uzasadnieniem	według ministra jednorazowy spadek poniżej progu wielkości nie zmienia statusu	art. 7f ust. 3–7; pyt. 1.46

Wpis do wykazu KSC po terminie, gdy wniosku nie złożono

Organizacja, która spełniała przesłanki 3 kwietnia 2026 r. i nie złożyła wniosku, po 3 października nadal jest podmiotem kluczowym albo ważnym. Organizacja musi wdrożyć obowiązki z rozdziału 3 najpóźniej do 3 kwietnia 2027 r. (art. 33 ust. 1 nowelizacji).

Wpis do wykazu KSC po terminie następuje na tych samych zasadach co w terminie. Wpisu dokonuje się z chwilą złożenia wniosku w systemie (art. 7d ust. 1). Ustawa nie wymienia opóźnienia wśród sytuacji, w których wpisu się nie dokonuje (art. 7d ust. 3). Według ministra samorejestracja jest dostępna przez cały czas (pyt. 2.32). Dane wniosku, podpis i pełnomocnictwo opisuje materiał Kiedy i jak złożyć wniosek o wpis do wykazu KSC?

Według ministra wniosek podpisany przez inną osobę niż wypełniająca dostaje status „Błąd podpisu” (pyt. 2.55). Organizacja z takim wnioskiem sprzed 3 października powinna sprawdzić w aplikacji Wykaz KSC, czy wpis powstał.

Według ministra podmioty publiczne nie muszą składać wniosku, bo trafiają do wykazu z urzędu (pyt. 1.8 i 2.40). Obowiązku złożenia wniosku nie ma według ministra także podmiot, który przed upływem terminu przestał spełniać przesłanki z powodu zaprzestania działalności objętej ustawą (pyt. 1.42). To stanowisko dotyczy utraty przesłanek przed upływem terminu. Utrata po 3 października w mojej ocenie nie usuwa podstawy kary z art. 73 ust. 1a pkt 1, a wniosku o wpis taki podmiot już nie składa (art. 7c ust. 1).

Drugą drogą do wykazu dla organizacji bez wniosku jest wpis przez organ właściwy do spraw cyberbezpieczeństwa. Organ może wpisać podmiot, który spełnia przesłanki i nie złożył wniosku w terminie (art. 7j ust. 1). Korzysta przy tym z rejestrów publicznych, z danych dostępnych mu na podstawie przepisów odrębnych i z informacji od samego podmiotu (art. 7j ust. 2). Te informacje organ może zebrać bez wszczynania postępowania, występując o dane do wstępnej oceny statusu (art. 43 ust. 1). Wystąpienie wskazuje termin odpowiedzi nie krótszy niż 7 dni (art. 43 ust. 1 w zw. z art. 53c ust. 2 pkt 5). Nieprzekazanie tych informacji jest zagrożone karą 50 000 zł, objętą odroczeniem z art. 35 nowelizacji (art. 73b ust. 1 pkt 4 i ust. 4). Kara grozi także podmiotowi, który uważa się za niepodlegający ustawie. Warto więc odpowiedzieć z uzasadnieniem. Odpowiedź na wystąpienie może stać się podstawą wpisu (art. 43 ust. 6).

Ustawa i minister ujmują wpis przez organ jako uprawnienie (art. 7j ust. 1, pyt. 2.4). W innym miejscu minister pisze, że podmioty bez wpisu będą tak wpisywane, a konsekwencją mogą być czynności nadzorcze lub w dalszej perspektywie kara (pyt. 1.20). Po wpisie organ zawiadamia podmiot i wzywa go, by w 6 miesięcy od otrzymania zawiadomienia uzupełnił brakujące dane pod rygorem kary (art. 7j ust. 3). Wpis wymaga uzasadnienia i przysługuje na niego skarga do sądu administracyjnego (art. 7j ust. 5). Skargę wnosi się za pośrednictwem organu w 30 dni od dnia, w którym podmiot dowiedział się o wpisie (art. 53 § 2 i art. 54 § 1 p.p.s.a.). Skargę spóźnioną bez winy skarżącego sąd może rozpoznać (art. 53 § 2 p.p.s.a.). Skarga nie wstrzymuje wykonania wpisu ani biegu terminu na uzupełnienie danych, choć wykonanie wpisu może wstrzymać organ albo sąd (art. 61 § 1–3 p.p.s.a.).

Zawiadomienie o wpisie i wezwanie doręcza się według Kodeksu postępowania administracyjnego, a list niepodjęty mimo awizo uważa się za doręczony po 14 dniach (art. 7j ust. 4, art. 44 § 1 i 4 oraz art. 45 k.p.a.). W mojej ocenie od dnia takiego doręczenia biegnie termin liczony od otrzymania zawiadomienia.

System S46 to system teleinformatyczny, w którym prowadzi się wykaz i zgłasza incydenty (art. 46 ust. 1 i 1a). Wniosek składa się w tym systemie (art. 7c ust. 6) przez aplikację Wykaz KSC na stronie wykaz-ksc.gov.pl (pyt. 2.1 i 2.35). Według ministra dostęp do konta podmiotu w S46 Cyber Hub, przez które zgłasza się incydenty, dostają podmioty wpisane z kompletem danych (pyt. 2.15). Według ministra podmiot publiczny wpisany z urzędu rejestruje się w S46 po otrzymaniu informacji o wpisie, nawet przed uzupełnieniem wszystkich danych (pyt. 7.6). Zgłoszenie incydentu poważnego przekazuje się przez S46, a gdy to niemożliwe, sposobem określonym przez właściwy CSIRT (art. 11 ust. 2 i art. 31 ust. 1). Obowiązek zgłoszenia nie zależy od wpisu.

Kary a wpis do wykazu KSC po terminie

Za niezłożenie wniosku w terminie organ może nałożyć karę na podmiot, jeżeli przemawia za tym waga i znaczenie naruszonych przepisów (art. 73 ust. 1a pkt 1). Nieuzupełnienie danych albo brak korekty po wezwaniu jest kolejną podstawą kary, której ustawa nie uzależnia od wagi naruszenia (art. 73 ust. 1 pkt 1). Bez wpisu organizacja zwykle nie ma konta w S46. Niekorzystanie z systemu przy obowiązkach z art. 11, gdy ustawa tego wymaga, jest osobną podstawą kary (art. 73 ust. 1 pkt 13).

Kara dla podmiotu kluczowego wynosi do 10 000 000 euro lub do 2 % przychodów z działalności gospodarczej z roku obrotowego poprzedzającego wymierzenie kary, przy czym stosuje się kwotę wyższą, i nie mniej niż 20 000 zł (art. 73 ust. 3). Podmiotowi ważnemu grozi do 7 000 000 euro lub do 1,4 % przychodów i nie mniej niż 15 000 zł, a przepis nie zawiera reguły kwoty wyższej (art. 73 ust. 4). Gdy podmiot działa krócej niż 12 miesięcy albo nie osiągnął przychodu, podstawą wymiaru jest równowartość 500 000 euro, a dla podmiotu ważnego 250 000 euro (art. 73 ust. 3a i 4). Kary z art. 73 ust. 1–4, w tym z ust. 1a, oraz z art. 73a–73c i art. 76b można nałożyć po raz pierwszy po upływie 2 lat od wejścia nowelizacji w życie (art. 35 nowelizacji). Według ministra kary pieniężne będą nakładane dopiero po 3 kwietnia 2028 r., a wyjątkiem jest kara ekstraordynaryjna (pyt. 12.1). Chodzi o karę z art. 73 ust. 5, której art. 35 nie wymienia, a którą minister opisuje jako stosowaną tylko przy poważnych naruszeniach (pyt. 12.6).

Ani wniosek złożony po terminie, ani wpis dokonany przez organ nie usuwa podstawy kary z art. 73 ust. 1a pkt 1. Moment złożenia wniosku może jednak wpłynąć na wymiar kary. Organ uwzględnia przy nim m.in. czas trwania naruszenia i stopień współpracy podmiotu z organem (art. 76a ust. 1 w zw. z art. 53 ust. 12 pkt 2 i 7). Art. 76a ust. 1 wyłącza art. 189a § 2 k.p.a., więc organ bierze pod uwagę także dobrowolne działania strony podjęte w celu uniknięcia skutków naruszenia (art. 189d pkt 5 k.p.a.). Warto więc udokumentować datę wniosku i inne kroki podjęte z własnej inicjatywy. Organ może też odstąpić od kary, gdy waga naruszenia i znaczenie naruszonych przepisów są znikome, a podmiot zaprzestał naruszania prawa lub naprawił wyrządzoną szkodę (art. 76a ust. 9, pyt. 12.12). Najbliższym następstwem zwłoki może być przy tym nie kara, tylko wpis przez organ i wezwanie z terminem pod rygorem kary. Wpis do wykazu KSC po terminie uzyskany z własnej inicjatywy pozwala tego uniknąć.

Wpis z urzędu – uzupełnienie zamiast wniosku

Minister właściwy do spraw informatyzacji wpisuje z urzędu przedsiębiorców telekomunikacyjnych, dostawców usług zaufania, podmioty publiczne i podmioty krytyczne (art. 7a ust. 2). Z urzędu wpisuje też dawnych operatorów usług kluczowych (art. 34 ust. 2 nowelizacji). Wpis podmiotów krytycznych z urzędu wymaga według ministra najpierw formalnego ustalenia ich statusu na podstawie ustawy o zarządzaniu kryzysowym (pyt. 2.37). Do tego czasu taki podmiot według ministra sam ocenia swój status na gruncie ustawy o KSC i składa wniosek, jeżeli spełnia przesłanki (pyt. 2.38).

Podmiot wpisany z urzędu uzupełnia brakujące dane sam wnioskiem o zmianę wpisu (art. 7b ust. 4). Minister wzywa go do tego z terminem 6 miesięcy od doręczenia wezwania, pod rygorem kary (art. 7b ust. 2). Uzupełnienie obejmuje także działalność, która nie została objęta wpisem z urzędu (art. 7b ust. 4).

Wniosek o wpis złożony przez podmiot już wpisany nie prowadzi do wpisu (art. 7d ust. 3 pkt 2). Według ministra taki wniosek trafia do weryfikacji operatora wykazu, a podmiot nie musi niczego cofać (pyt. 2.48 i 2.54). Gdy podmiot wpisany z urzędu uważa, że nie spełnia przesłanek, składa według ministra wniosek o wykreślenie. Przy błędnych danych składa wniosek o zmianę wpisu (pyt. 2.14). Według ministra obowiązek uzupełnienia odpada, jeżeli podmiot przestanie spełniać przesłanki przed upływem 6 miesięcy od wezwania (pyt. 2.42).

Termin liczy się od doręczenia wezwania, także po niepodjętym awizo (art. 7b ust. 2 i 5, art. 44 § 4 k.p.a., pyt. 2.36). Według ministra wysyłka wezwań ruszyła w maju 2026 r. (pyt. 2.11). Najpierw trafiają one na adresy do doręczeń elektronicznych, a wysyłkę pocztową do podmiotów bez takiego adresu minister w październiku zapowiadał na najbliższe tygodnie (pyt. 2.34). Przy doręczeniu w maju 2026 r. termin upływa na przykład w listopadzie 2026 r.

Wpis istnieje – trzy zegary jego utrzymania

Podmiot wpisany składa wniosek o zmianę wpisu w 14 dni od zmiany danych z art. 7 ust. 2 pkt 1–18 (art. 7c ust. 3). Według ministra aktualizacja jest potrzebna po zmianie domeny lub adresu IP (pyt. 2.27), a po założeniu adresu do doręczeń elektronicznych trzeba uzupełnić wykaz (pyt. 2.34).

Drugi zegar uruchamia organ. Może sprawdzać zgodność danych w wykazie ze stanem faktycznym (art. 7k ust. 1). Gdy stwierdzi niezgodność, wzywa podmiot do zmiany wpisu w 7 dni od doręczenia wezwania pod rygorem kary (art. 7k ust. 2).

Trzeci zegar dotyczy systemu S46. Po uzyskaniu wpisu podmiot rozpoczyna korzystanie z systemu (art. 9 ust. 1 pkt 4), a ustawa daje na to 12 miesięcy od spełnienia przesłanek (art. 46 ust. 4). Dla podmiotów objętych harmonogramem jest to 3 kwietnia 2027 r. (pyt. 3.1). Najpóźniej od tego dnia zgłaszają one incydenty poważne według nowych przepisów (art. 33 ust. 1 nowelizacji). Dawni operatorzy usług kluczowych robią to najpóźniej od 3 października 2026 r. (art. 33 ust. 4 nowelizacji).

Przesłanki spełnione po 3 kwietnia 2026 r. – termin własny

Podmiot, który spełnił przesłanki po 3 kwietnia 2026 r., składa wniosek w 6 miesięcy od dnia ich spełnienia (art. 7c ust. 1).

Jeżeli status zależy od wielkości podmiotu, przesłanki bada się według stanu na dzień sporządzenia sprawozdania finansowego (art. 5 ust. 5). Według ministra jednorazowe przekroczenie progu nie zmienia jeszcze statusu, bo zmiana następuje dopiero po powtórzeniu w dwóch kolejnych latach obrotowych (pyt. 1.46). Roczne sprawozdanie sporządza się najpóźniej w 3 miesiące od dnia bilansowego (art. 52 ust. 1 ustawy o rachunkowości). Przy roku obrotowym równym kalendarzowemu sprawozdanie za 2025 r. powinno powstać do 31 marca 2026 r., przed wejściem nowelizacji w życie. Organizacja, która według sprawozdania sporządzonego w tym terminie spełniała przesłanki z uwzględnieniem reguły dwóch lat, była objęta harmonogramem. Jeżeli nie złożyła wniosku, jej termin upłynął 3 października 2026 r. Dla pozostałych organizacji 6 miesięcy na wniosek biegnie w mojej ocenie od dnia sporządzenia sprawozdania za drugi z rzędu rok obrotowy z przekroczeniem progu (art. 7c ust. 1 i art. 5 ust. 5, pyt. 1.46).

Osobny tryb dotyczy podmiotów z załącznika nr 1 lub 2, które nie spełniają przesłanek z art. 5 wskazanych w art. 7l ust. 1, a organ uznał je decyzją za kluczowe albo ważne. Taki podmiot nie składa wniosku o wpis, bo organ wpisuje go niezwłocznie sam (art. 7l ust. 6). W decyzji organ wzywa go, by w 6 miesięcy od doręczenia decyzji uzupełnił brakujące dane pod rygorem kary (art. 7l ust. 3 pkt 2). Decyzja podlega natychmiastowemu wykonaniu (art. 7l ust. 5). Obowiązki z rozdziału 3 podmiot realizuje w 12 miesięcy od doręczenia decyzji, a pierwszy audyt z art. 15 ust. 1 zapewnia w 24 miesiące (art. 7l ust. 7).

Gdy przesłanki przestały być spełnione

Organizacja, która przestała spełniać przesłanki, składa wniosek o wykreślenie z wykazu z uzasadnieniem (art. 7f ust. 3). Wniosek może dotyczyć całego wpisu albo tylko niektórych sektorów, podsektorów lub rodzajów działalności (art. 7f ust. 3, pyt. 2.22).

Organ rozpatruje wniosek w miesiąc i odmawia wykreślenia, jeżeli podmiot nadal spełnia przesłanki (art. 7f ust. 4 i 5). Na odmowę przysługuje skarga do sądu administracyjnego, a brak odmowy w terminie skutkuje wykreśleniem (art. 7f ust. 6 i 7). Organ wykreśla podmiot także sam, gdy ten nie jest podmiotem kluczowym ani ważnym albo utracił status po wpisie (art. 7f ust. 2).

Obowiązki z rozdziału 3 ustawa kieruje do podmiotu kluczowego lub ważnego, a nie do podmiotu wpisanego (np. art. 8 ust. 1). Ustają razem ze statusem, a nie z chwilą wykreślenia, bo wykreślenie ma charakter deklaratoryjny (art. 7d ust. 5). Wniosek o wykreślenie trzeba mimo to złożyć, a dzień ustania statusu warto udokumentować.

Wnioski i dalsze kroki

1. Ustalić, czy wpis już istnieje. Według ministra wezwanie po wpisie z urzędu zawiera dane do zalogowania się na konto podmiotu w aplikacji Wykaz KSC (pyt. 2.3), a formularz sygnalizuje konflikt NIP lub REGON z istniejącym wpisem (pyt. 2.54). Przy statusie „Oczekuje na weryfikację” nie składać kolejnego wniosku (pyt. 2.48 i 2.54).
2. Rozstrzygnąć na piśmie kwalifikację każdego rodzaju działalności.
3. Ustalić, kto użyje jednorazowego kodu, wypełni i podpisze wniosek. Według ministra wykorzystanie kodu czyni użytkownika właścicielem wpisu, a wniosek wypełnia i podpisuje ta sama osoba (pyt. 2.44 i 2.55). Wśród osób z dostępem do wpisu powinny być według ministra osoby uprawnione do reprezentowania podmiotu (pyt. 2.21 i 2.44). Osoba inna niż kierownik potrzebuje pełnomocnictwa, także do wniosków o zmianę i wykreślenie. Nie dołącza go prokurent ujawniony w KRS ani pełnomocnik ujawniony w CEIDG (art. 7c ust. 7).
4. Wyznaczyć osoby do kontaktu i administratora konta w S46, bo ich dane są częścią wniosku (art. 7 ust. 2 pkt 11). Ustawa wymaga co najmniej dwóch osób, a co najmniej jednej u mikro- i małego przedsiębiorcy oraz w podmiocie ważnym będącym podmiotem publicznym (art. 9 ust. 1–3). Art. 73a ust. 1 pkt 6 nie zwalnia jednak z kary kierownika podmiotu ważnego będącego podmiotem publicznym, więc taki podmiot bezpieczniej wyznacza dwie osoby.
5. Jeżeli wpisu nie ma, a przesłanki są spełnione, złożyć wniosek teraz. Według ministra formularz jest na stronie wykaz-ksc.gov.pl z logowaniem przez Węzeł Krajowy, a w wykazie podaje się domeny główne zamiast każdej subdomeny (pyt. 2.30 i 2.35). Jeżeli wpis powstał z urzędu, uzupełnić dane wnioskiem o zmianę wpisu w 6 miesięcy od doręczenia wezwania. Według ministra brak zawiadomienia o wpisie z urzędu zgłasza się na adres s46-admin@nask.pl (pyt. 2.11).
6. Na wystąpienie organu z art. 43 odpowiedzieć w wyznaczonym terminie i złożyć wniosek, jeżeli przesłanki są spełnione.
7. Po złożeniu sprawdzić status wniosku. Przy statusie „Błąd podpisu” podpisać plik ponownie jako osoba, która wypełniła wniosek (pyt. 2.49 i 2.55), a po wpisie pobrać zaświadczenie z typem podmiotu (pyt. 2.20 i 2.47).
8. Sprawdzić, czy administrator konta dostał dane dostępu do S46, i uruchomić konto przed 3 kwietnia 2027 r. z zapasem na sprawdzenie dostępu przed pierwszym obowiązkowym zgłoszeniem.
9. Wyznaczyć osobę odpowiedzialną za wykaz i przypisać jej źródła informacji o zmianach danych z wpisu.
10. Przy utracie statusu udokumentować jej dzień i złożyć wniosek o wykreślenie.

Materiały powiązane

• Kiedy i jak złożyć wniosek o wpis do wykazu KSC? — dane we wniosku, podpis i pełnomocnictwo
• Czy każda organizacja podlega NIS2? — kwalifikacja, od której zależy wybór sytuacji
• Co zawiera zgłoszenie incydentu poważnego do CSIRT? — co przekazuje się przez S46 i w jakich terminach
• Za co osobiście odpowiada kierownik podmiotu kluczowego lub ważnego? — odpowiedzialność kierownika także za obowiązki rejestrowe

Źródła

• Ustawa z dnia 5 lipca 2018 r. o krajowym systemie cyberbezpieczeństwa, tekst ujednolicony (stan na 18 sierpnia 2026 r.), art. 2 pkt 8a, art. 5, art. 7–7l, art. 8, art. 8c, art. 9, art. 11, art. 15, art. 16, art. 31, art. 43, art. 46, art. 53 ust. 12, art. 53c, art. 73–73c, art. 76a i art. 76b — ISAP, Kancelaria Sejmu: isap.sejm.gov.pl
• Ustawa z dnia 23 stycznia 2026 r. o zmianie ustawy o krajowym systemie cyberbezpieczeństwa oraz niektórych innych ustaw (Dz.U. 2026 poz. 252), art. 33–35 — Dziennik Ustaw: dziennikustaw.gov.pl
• Ustawa z dnia 29 września 1994 r. o rachunkowości, tekst ujednolicony (Dz.U. 2026 poz. 522, 640 i 644), art. 3 ust. 1 pkt 6 i art. 52 ust. 1 — ISAP, Kancelaria Sejmu: isap.sejm.gov.pl
• Ustawa z dnia 6 czerwca 1997 r. — Kodeks karny, tekst ujednolicony, art. 233 § 6 — ISAP, Kancelaria Sejmu: isap.sejm.gov.pl
• Ustawa z dnia 26 kwietnia 2007 r. o zarządzaniu kryzysowym — ISAP, Kancelaria Sejmu: isap.sejm.gov.pl
• Ustawa z dnia 30 sierpnia 2002 r. – Prawo o postępowaniu przed sądami administracyjnymi, tekst ujednolicony (stan na 9 października 2026 r.), art. 53, 54 i 61 — ISAP, Kancelaria Sejmu: isap.sejm.gov.pl
• Ustawa z dnia 14 czerwca 1960 r. – Kodeks postępowania administracyjnego, tekst ujednolicony (stan na 12 grudnia 2025 r.), art. 44, 45, 189a i 189d — ISAP, Kancelaria Sejmu: isap.sejm.gov.pl
• Komunikat Ministra Cyfryzacji z dnia 8 kwietnia 2026 r. w sprawie harmonogramu złożenia wniosków o wpis do wykazu podmiotów kluczowych i podmiotów ważnych oraz rozpoczęcia korzystania z systemu teleinformatycznego przez podmioty kluczowe lub podmioty ważne (Dz. Urz. Min. Cyfr. poz. 7) — Ministerstwo Cyfryzacji: gov.pl
• Minister Cyfryzacji, Krajowy system cyberbezpieczeństwa — pytania i odpowiedzi do nowelizacji ustawy o KSC, aktualizacja z października 2026 r. — pyt. 1.1, 1.8, 1.20, 1.42, 1.46, 2.1, 2.3, 2.4, 2.7, 2.8, 2.9, 2.11, 2.12, 2.14, 2.15, 2.20, 2.21, 2.22, 2.27, 2.30, 2.32, 2.33, 2.34, 2.35, 2.36, 2.37, 2.38, 2.40, 2.42, 2.44, 2.47, 2.48, 2.49, 2.54, 2.55, 2.66, 3.1, 3.18, 7.6, 12.1, 12.6 i 12.12 — cyber.gov.pl.