Kiedy i jak złożyć wniosek o wpis do wykazu KSC?

Dlaczego to pytanie w ogóle powstaje

Wpis do wykazu bywa czytany jako moment, w którym organizacja „wchodzi” pod ustawę o krajowym systemie cyberbezpieczeństwa. To odczytanie jest odwrotnością stanu prawnego. Ustawa wiąże się ze spełnieniem przesłanek z art. 5, a wpis do wykazu jest czynnością materialno-techniczną o charakterze deklaratoryjnym (art. 7d ust. 5). Wykaz ujawnia status, którego sam nie tworzy.

Skutek praktyczny jest niewygodny. Organizacja, która nie złożyła wniosku, nie jest z tego powodu poza ustawą — biegną jej wszystkie terminy na wdrożenie obowiązków. Odwrotnie też: wpis nie przesądza, że kwalifikacja została dokonana poprawnie, bo dane pochodzą od samego podmiotu.

Drugie źródło wątpliwości to dwa równoległe reżimy terminowe. Ustawa ustanawia regułę stałą — sześć miesięcy od dnia spełnienia przesłanek (art. 7c ust. 1). Obok niej działa reguła przejściowa dla podmiotów, które istniały i spełniały przesłanki w dniu wejścia w życie nowelizacji. Ta druga nie jest zapisana w ustawie o KSC, tylko w akcie nowelizującym i w komunikacie resortu. Przy lekturze tekstu ujednoliconego łatwo ją przeoczyć.

Trzecie źródło jest organizacyjne. Wniosek wygląda na czynność rejestrową, którą można zlecić działowi administracji. W rzeczywistości zawiera deklarację o wielkości podmiotu, klasyfikację sektorową i dane techniczne. Żadnej z tych rzeczy nie da się wypełnić bez wcześniejszego rozstrzygnięcia, czym organizacja jest w rozumieniu ustawy.

Co trzeba ustalić przed decyzją

Który termin wiąże organizację

Punktem wyjścia jest data spełnienia przesłanek, a nie data dowiedzenia się o obowiązku. Od tego, po której stronie 3 kwietnia 2026 r. ta data leży, zależy cały dalszy harmonogram.

Sytuacja podmiotu	Termin złożenia wniosku	Podstawa
Spełniał przesłanki 3 kwietnia 2026 r.	do 3 października 2026 r.	art. 33 ust. 3 nowelizacji oraz komunikat Ministra Cyfryzacji
Spełnił przesłanki po 3 kwietnia 2026 r.	6 miesięcy od dnia spełnienia przesłanek	art. 7c ust. 1 ustawy o KSC
Wpisany z urzędu	wniosek o wpis nie jest składany, dane uzupełnia się w 6 miesięcy od doręczenia wezwania	art. 7b ust. 2 i 4
Uznany decyzją organu	dane uzupełnia się w 6 miesięcy od doręczenia decyzji	art. 7l ust. 3 pkt 2

Harmonogram resortu otworzył składanie wniosków 7 maja 2026 r. i zamyka je 3 października 2026 r. Ten sam termin dotyczy podmiotów kluczowych i podmiotów ważnych — resort nie rozdzielił ich na osobne etapy. Komunikat może zostać zmieniony, ale wyłącznie z powodów technicznych albo organizacyjnych po stronie systemu (art. 34 ust. 5 nowelizacji). Na 19 sierpnia 2026 r. nie odnotowano zmiany.

Terminy na wdrożenie obowiązków biegną niezależnie od terminu rejestrowego. Podmioty spełniające przesłanki 3 kwietnia 2026 r. realizują obowiązki rozdziału 3 do 3 kwietnia 2027 r., a podmioty kluczowe przeprowadzają pierwszy audyt do 3 kwietnia 2028 r. Dla podmiotów, które spełniły przesłanki później, te same okresy wynoszą 12 i 24 miesiące od dnia spełnienia przesłanek (art. 16).

Czy podmiot nie został już wpisany z urzędu

To sprawdzenie jest pierwsze, bo przesądza, jakiego dokumentu organizacja w ogóle ma szukać. Minister właściwy do spraw informatyzacji wpisuje z urzędu cztery grupy podmiotów: przedsiębiorców telekomunikacyjnych, dostawców usług zaufania, podmioty publiczne oraz podmioty krytyczne (art. 7a ust. 2). Osobno z urzędu trafili do wykazu dawni operatorzy usług kluczowych.

Wpis z urzędu obejmuje tylko dane dostępne w rejestrach publicznych. Reszty organ nie zna, więc kieruje wezwanie do uzupełnienia, a jego adresat ma na to sześć miesięcy od doręczenia. Uzupełnienie następuje przez wniosek o zmianę wpisu, nie przez wniosek o wpis (art. 7b ust. 4). To rozróżnienie ma znaczenie praktyczne, bo wniosek o wpis dotyczący podmiotu już wpisanego nie zostanie zrealizowany (art. 7d ust. 3 pkt 2).

Osobna sytuacja dotyczy podmiotu, który prowadzi kilka rodzajów działalności. Wpis z urzędu może objąć jedną z nich i pominąć pozostałe. Ustawa nakazuje wtedy uzupełnić wykaz również o działalność nieobjętą tym wpisem.

Jakie dane trzeba zebrać przed otwarciem formularza

Zakres wniosku wyznacza art. 7 ust. 2 pkt 1–18. Wykaz jest prowadzony w systemie teleinformatycznym KSC, a formularz samorejestracji udostępniono pod adresem wykaz-ksc.gov.pl. Część pozycji to dane rejestrowe, które organizacja ma pod ręką. Reszta wymaga pracy w kilku zespołach naraz i to ona decyduje o tym, ile czasu zajmie przygotowanie.

Przed rozpoczęciem wypełniania trzeba zebrać sześć grup danych.

• klasyfikacja sektorowa, czyli sektor, podsektor i rodzaj działalności według załącznika nr 1 albo 2, osobno dla każdego rodzaju prowadzonej działalności;
• deklaracja wielkości podmiotu według kryteriów mikro-, małego i średniego przedsiębiorcy, a w przypadku podmiotu leczniczego niebędącego przedsiębiorcą oraz urzędu gminy — liczba osób zatrudnionych na dzień sporządzenia sprawozdania finansowego;
• zakres publicznych adresów IP oraz domeny wykorzystywane w sposób ciągły;
• dane co najmniej dwóch osób do kontaktu, a dla osoby pełniącej rolę administratora konta w systemie dodatkowo numer PESEL;
• informacja o państwach członkowskich, w których podmiot wykonuje działalność, wraz z rodzajem tej działalności;
• informacja o umowie z dostawcą usług zarządzanych w zakresie cyberbezpieczeństwa, jeżeli została zawarta, wraz z danymi tego dostawcy.

Dwie pozycje z tej listy sprawiają najwięcej kłopotu. Zakresy adresów IP i domen wymagają uzgodnienia między zespołem sieciowym a właścicielami usług, a w organizacjach z rozproszoną infrastrukturą nikt nie utrzymuje takiego zestawienia na bieżąco. Numer PESEL administratora konta bywa z kolei odczytywany jako nadmiarowy, choć wynika wprost z przepisu i służy uwierzytelnieniu tej osoby w systemie.

Warto przy tym wiedzieć, że dane z wykazu nie podlegają ustawie o dostępie do informacji publicznej ani przepisom o ponownym wykorzystywaniu informacji sektora publicznego (art. 7 ust. 3). Publicznie dostępna jest wyłącznie liczba podmiotów w podziale na sektory, aktualizowana nie rzadziej niż raz na kwartał.

Kto podpisuje wniosek i za co odpowiada

Wniosek podpisuje kierownik podmiotu albo osoba przez niego upoważniona. Dopuszczalne są kwalifikowany podpis elektroniczny, podpis zaufany i podpis osobisty, a także kwalifikowana pieczęć elektroniczna ze wskazaniem osoby (art. 7c ust. 6). Przy działaniu przez pełnomocnika dołącza się pełnomocnictwo w postaci elektronicznej. Pełnomocnictwa nie dołącza prokurent ujawniony w Krajowym Rejestrze Sądowym ani pełnomocnik ujawniony w CEIDG.

Istotniejsza od techniki podpisu jest treść oświadczenia. Wniosek zawiera oświadczenie kierownika o zgodności danych z prawdą, składane pod rygorem odpowiedzialności karnej z art. 233 § 6 Kodeksu karnego. Ustawodawca wyłączył z tej odpowiedzialności podanie zakresów adresów IP i nazw domenowych. To akurat te dane, których pełnej aktualności w dużej organizacji nie da się zagwarantować.

Z tego wynika rekomendacja porządkowa. Klasyfikacja sektorowa i deklaracja wielkości podmiotu powinny być rozstrzygnięte i udokumentowane, zanim kierownik zostanie poproszony o podpis. Podpisanie wniosku jest ostatnim krokiem procesu kwalifikacji, a nie jego początkiem.

Co się dzieje po złożeniu wniosku

Wpisu dokonuje się z chwilą złożenia wniosku w systemie (art. 7d ust. 1). Nie ma postępowania, nie ma decyzji i nie ma oczekiwania na rozpatrzenie. Ustawa wymienia natomiast cztery sytuacje, w których wpisu się nie dokonuje (art. 7d ust. 3).

• wniosek nie zawiera danych podlegających wpisowi;
• wniosek dotyczy podmiotu już wpisanego do wykazu;
• wniosek nie zawiera oświadczenia kierownika podmiotu;
• wniosek nie został podpisany.

Wniosek pozostawiony bez wpisu z któregokolwiek z tych powodów nie zatrzymuje biegu terminu.

Wpis otwiera dostęp do systemu teleinformatycznego. Ustawa formułuje to jako obowiązek, bo podmiot rozpoczyna korzystanie z systemu po uzyskaniu wpisu do wykazu (art. 9 ust. 1 pkt 4). To jest praktyczny powód, dla którego rejestracji nie warto zostawiać na koniec — tym samym kanałem zgłasza się później incydenty poważne. Organizacja bez konta w systemie nie ma czym wykonać obowiązku zgłoszeniowego w chwili, w której ten obowiązek powstanie.

Obowiązek nie kończy się na wpisie. Zmianę danych objętych wnioskiem zgłasza się w terminie 14 dni od dnia jej zaistnienia (art. 7c ust. 3). Dotyczy to również zmiany osób do kontaktu i zmian w zakresie adresów IP oraz domen. Jeżeli organizacja przestanie spełniać przesłanki, składa wniosek o wykreślenie wraz z uzasadnieniem, a organ ma miesiąc na jego rozpatrzenie (art. 7f ust. 3 i 4).

Na koniec kwestia, o którą pada najwięcej pytań na posiedzeniach zarządów. Niezłożenie wniosku w terminie jest podstawą kary pieniężnej fakultatywnej — organ może ją nałożyć, jeżeli przemawia za tym waga i znaczenie naruszonych przepisów (art. 73 ust. 1a pkt 1). Kary pieniężne z art. 73 ust. 1–4 mogą być przy tym nałożone po raz pierwszy dopiero po upływie dwóch lat od wejścia nowelizacji w życie (art. 35 nowelizacji). Realnym następstwem zwłoki nie jest więc kara w tym roku. Jest nim wpis dokonany przez organ z urzędu na podstawie danych, których organizacja sama nie przygotowała (art. 7j).

Najczęstsze błędy

• Liczenie terminu od dnia otrzymania informacji o obowiązku. Termin biegnie od dnia spełnienia przesłanek albo wynika z harmonogramu przejściowego. Data, w której organizacja dowiedziała się o sprawie, nie ma znaczenia prawnego.
• Traktowanie wpisu jako momentu powstania obowiązków. Wpis jest deklaratoryjny. Okresy na wdrożenie systemu zarządzania bezpieczeństwem informacji i na pierwszy audyt biegną niezależnie od tego, czy wniosek został złożony.
• Uznanie, że wpis z urzędu zamyka sprawę. Wpis z urzędu obejmuje dane z rejestrów publicznych. Pozostałe pozycje uzupełnia sam podmiot na wezwanie w terminie sześciu miesięcy. Brak uzupełnienia jest obwarowany karą.
• Zgłoszenie jednego rodzaju działalności zamiast wszystkich. Podmiot prowadzący kilka rodzajów działalności wykazuje je odrębnie. Pominięcie jednego z nich oznacza niepełny wpis. Nadzór obejmuje wtedy węższy zakres, niż powinien.
• Pozostawienie wpisu bez aktualizacji. Czternastodniowy termin na zgłoszenie zmiany danych działa cały czas. Zmiana osoby do kontaktu albo przebudowa adresacji sieci są zdarzeniami rejestrowymi, choć nikt ich tak nie nazywa.

Wnioski i dalsze kroki

Wniosek o wpis jest czynnością techniczną. Poprzedza go jednak rozstrzygnięcie, które techniczne nie jest, czyli ustalenie, czy i w jakim charakterze organizacja podlega ustawie. Wykaz odwzorowuje tę decyzję, a nie ją podejmuje. Dlatego jakość wpisu zależy od jakości wcześniejszej kwalifikacji, a nie od sprawności obsługi formularza.

Poniższa kolejność działań sprawdza się w organizacjach o rozbudowanej strukturze.

1. Ustal, czy podmiot nie został wpisany z urzędu i czy nie czeka wezwanie do uzupełnienia danych.
2. Rozstrzygnij kwalifikację dla każdego rodzaju działalności osobno i zapisz jej uzasadnienie.
3. Zbierz dane techniczne i kontaktowe, zaczynając od zakresów adresów IP oraz domen.
4. Przedstaw komplet kierownikowi podmiotu razem z treścią oświadczenia, które ma podpisać.
5. Po wpisie uruchom konto w systemie teleinformatycznym i wyznacz osobę odpowiedzialną za zgłaszanie zmian.

Punkt piąty bywa pomijany, a to on decyduje o tym, czy wykaz pozostanie zgodny ze stanem faktycznym. Organ może prowadzić czynności sprawdzające i wezwać do korekty w terminie siedmiu dni (art. 7k). Termin jest krótki, bo dane w wykazie mają być aktualne na bieżąco.

Materiały powiązane

• Czy każda organizacja podlega NIS2? — kwalifikacja podmiotu jako czynność, która musi poprzedzić wniosek o wpis.
• Od czego zarząd powinien rozpocząć przygotowanie do NIS2? — kolejność decyzji zarządczych po ustaleniu statusu.
• Co powinien zawierać wynik analizy luk NIS2? — ocena stanu przygotowania do obowiązków rozdziału 3.

Źródła

• Ustawa z dnia 5 lipca 2018 r. o krajowym systemie cyberbezpieczeństwa, tekst ujednolicony (stan na 7 lipca 2026 r.), art. 5, art. 7–7m, art. 9, art. 16 i art. 46 — ISAP, Kancelaria Sejmu: isap.sejm.gov.pl (dostęp: 19.08.2026)
• Ustawa z dnia 23 stycznia 2026 r. o zmianie ustawy o krajowym systemie cyberbezpieczeństwa oraz niektórych innych ustaw (Dz.U. 2026 poz. 252), art. 33–35 — Dziennik Ustaw: dziennikustaw.gov.pl (dostęp: 19.08.2026)
• Komunikat Ministra Cyfryzacji z dnia 8 kwietnia 2026 r. w sprawie harmonogramu złożenia wniosków o wpis do wykazu podmiotów kluczowych i podmiotów ważnych (Dz. Urz. Min. Cyfr. poz. 7) — Ministerstwo Cyfryzacji: gov.pl (dostęp: 19.08.2026)
• Ministerstwo Cyfryzacji, „Nowelizacja ustawy o krajowym systemie cyberbezpieczeństwa (KSC) — uruchamiamy samorejestrację w Wykazie podmiotów kluczowych i podmiotów ważnych” — gov.pl (dostęp: 19.08.2026)
• System S46, „Samorejestracja (wpis do Wykazu KSC)” — NASK, Ministerstwo Cyfryzacji: gov.pl (dostęp: 19.08.2026)