3 października już minął. Czy Twoja organizacja wykonała już pierwszy obowiązek z UKSC?

3 października 2026 r. upłynął termin na rejestrację w wykazie podmiotów kluczowych i podmiotów ważnych. Tymczasem wiele organizacji nadal może nie wiedzieć, że nowe obowiązki wynikające z ustawy o krajowym systemie cyberbezpieczeństwa w ogóle ich dotyczą. Brak świadomości lub wpisu do wykazu podmiotów kluczowych i podmiotów ważnych nie oznacza jednak, że firma pozostaje poza zakresem regulacji.

Nowelizacja ustawy o krajowym systemie cyberbezpieczeństwa, wdrażająca w Polsce dyrektywę NIS2, obowiązuje już od 3 kwietnia 2026 r., ale dopiero 3 października upłynął pierwszy wynikający z niej termin.

Podmioty, które w dniu wejścia w życie ustawy spełniały kryteria uznania za podmiot kluczowy albo podmiot ważny, miały sześć miesięcy, na złożenie wniosku o wpis do wykazu podmiotów kluczowych i podmiotów ważnych.

Ten termin minął 3 października 2026 r. Nie oznacza to jednak, że minął również sam obowiązek.

Podmiot spełniający ustawowe kryteria podlega UKSC niezależnie od tego, czy prawidłowo rozpoznał swój status, złożył wniosek i został już wpisany do wykazu. Brak wpisu nie stanowi zatem sposobu na uniknięcie regulacji. Może natomiast oznaczać naruszenie jej przepisów.

„Nie wiedzieliśmy o tych przepisach” nie jest bezpieczną strategią

UKSC opiera się w dużej mierze na mechanizmie samoidentyfikacji. Zdecydowana większość organizacji powinna we własnym zakresie ustalić, czy spełnia kryteria podmiotu kluczowego albo podmiotu ważnego, a następnie wykonać związane z tym obowiązki. A pierwszym z tych obowiązków był właśnie wpis do wykazu.

W praktyce oznacza to, że brak indywidualnego pisma, decyzji lub wezwania ze strony organu nie przesądza, że organizacja nie podlega ustawie. Przedsiębiorcy sami muszą zweryfikować, czy obejmuje ich obowiązek wpisu do wykazu podmiotów kluczowych i podmiotów ważnych, a w następnej kolejności - obowiązek wdrożenia pozostałych wymagań z UKSC.

Ocena nie zawsze jest oczywista. Wątpliwości mogą pojawić się między innymi w przypadku organizacji, które:

• prowadzą kilka rodzajów działalności, z których tylko część może być objęta UKSC;
• działają w ramach rozbudowanych grup kapitałowych;
• ustalając wielkość przedsiębiorstwa, powinny uwzględnić (a może jednak nie?) dane podmiotów partnerskich lub powiązanych;
• świadczą usługi wyłącznie na rzecz spółek z grupy lub wyłącznie wspólnie z innymi spółkami z grupy;
• prowadzą działalność objętą UKSC jedynie jako działalność dodatkową;
• opierają ocenę wyłącznie na kodach PKD ujawnionych w KRS, zamiast na rzeczywiście prowadzonej działalności.

Problem może być większy niż się wydaje

Brakuje obecnie wiarygodnych, publicznie dostępnych danych pokazujących, jaki odsetek polskich podmiotów nie wie o obowiązkach z UKSC, ale doświadczenie z innych krajów pozwala założyć, że świadomość podmiotów potencjalnie objętych przepisami wdrażającymi NIS2 o nowych przepisach, jest często niska. Szacuje się, że w Czechach prawie 20% podmiotów kluczowych lub ważnych nie dokonało rejestracji w wymaganym terminie. W Niemczech szacuje się z kolei, że ta liczba przekracza 30%.

Kogo dotyczy UKSC? Więcej firm niż sugeruje nazwa ustawy

Zakres UKSC jest zdecydowanie szerszy niż obowiązujących do tej pory przepisów w zakresie cyberbezpieczeństwa.

Sektory kluczowe obejmują między innymi: 

• energetykę;

• transport;

• bankowość i infrastrukturę rynków finansowych;

• ochronę zdrowia; 

• zaopatrzenie w wodę pitną i odprowadzanie ścieków;

• infrastrukturę cyfrową;

• zarządzanie usługami ICT;

• podmioty publiczne;

• przestrzeń kosmiczną. 

Wśród sektorów ważnych znajdują się między innymi: 

• usługi pocztowe i kurierskie;

• gospodarowanie odpadami;

• produkcja, wytwarzanie i dystrybucja chemikaliów;

• produkcja, przetwarzanie i dystrybucja żywności; 

• produkcja maszyn, urządzeń elektrycznych, elektroniki, pojazdów oraz wyrobów medycznych;

• dostawcy określonych usług cyfrowych;

• badania naukowe;

• niektóre kategorie podmiotów publicznych.

UKSC obejmuje więc również przedsiębiorstwa, które dotychczas nie postrzegały siebie jako podmiotów objętych przepisami (a co za tym idzie obowiązkami) w obszarze cyberbezpieczeństwa.

Rejestracja po terminie: lepiej późno niż po kontroli

Jeżeli organizacja nie dokonała wpisu do 3 października 2026 r., nie powinna biernie czekać na kontakt ze strony organu.

Co należy zrobić teraz?

Należy ustalić, czy organizacja spełnia kryteria podmiotu kluczowego albo ważnego, a jeżeli tak, które rodzaje jej działalności podlegają wpisowi.

Analiza powinna uwzględniać rzeczywiście prowadzoną działalność, kryteria sektorowe i wielkościowe, strukturę grupy, a w części przypadków również dane przedsiębiorstw partnerskich i powiązanych.

Przekroczenie terminu nie powoduje wygaśnięcia obowiązku rejestracyjnego. Może natomiast skutkować nałożeniem kary.

Nie wystarczy wewnętrzne przekonanie, że „raczej nie podlegamy”. Organizacja powinna być w stanie wykazać, jakie kryteria przeanalizowała i na jakiej podstawie określiła swój status, zwłaszcza jeżeli w wyniku takiej analizy stwierdziła, że nie ma statusu podmiotu kluczowego ani ważnego.

Wpis do wykazu podmiotów kluczowych i podmiotów ważnych nie oznacza zakończenia wdrożenia. Jest dopiero jego formalnym początkiem.

Wpis to dopiero pierwszy krok. Kolejny termin już biegnie

Podmioty, które spełniały ustawowe kryteria w dniu wejścia w życie nowych przepisów, powinny wdrożyć wymagania UKSC do 3 kwietnia 2027 r.

Oznacza to konieczność zbudowania i faktycznego stosowania systemu zarządzania bezpieczeństwem informacji. Nie wystarczy przyjęcie kolejnego zestawu polityk i procedur.

Kluczowe obszary obejmują w szczególności: 

• zarządzanie ryzykiem cyberbezpieczeństwa;

• bezpieczeństwo systemów informacyjnych;

• wykrywanie, obsługę i zgłaszanie incydentów;

• ciągłość działania; 

• bezpieczeństwo dostawców i łańcucha dostaw;

• zarządzanie podatnościami;

• kontrolę dostępu, kryptografię i uwierzytelnianie;

• szkolenia pracowników i kadry zarządzającej.

Termin minął. Ryzyko kar nie.

Brak rejestracji może być dopiero pierwszym z potencjalnych naruszeń. Ryzyko nałożenia kary może dotyczyć również niewdrożenia wymaganych środków, nieprawidłowego raportowania incydentów, braku dokumentacji lub niewykonania decyzji organu.

Maksymalne administracyjne kary pieniężne mogą wynosić:

UKSC przewiduje także odpowiedzialność osób zarządzających. Kara nakładana bezpośrednio na kierownika podmiotu może wynieść do 300% jego miesięcznego wynagrodzenia, a w określonych przypadkach wobec osoby kierującej podmiotem kluczowym może zostać zastosowany czasowy zakaz pełnienia funkcji kierowniczych.

UKSC nie jest wyłącznie projektem działu IT. Jest kwestią odpowiedzialności całej organizacji, w tym jej najwyższego kierownictwa.

Jak możemy pomóc?

Ustalimy, czy organizacja podlega UKSC i czy powinna zostać wpisana do Wykazu podmiotów kluczowych i podmiotów ważnych.

Wesprzemy w przygotowaniu i złożeniu wniosku o wpis, również po upływie ustawowego terminu.

Przygotujemy albo zaktualizujemy wymaganą dokumentację.

Przeprowadzimy szkolenia dla kadry zarządzającej i pracowników.

Przygotujemy zestaw klauzul umownych do umów z kluczowymi dostawcami w łańcuchu dostaw.

Zapewnimy wsparcie prawne w kontaktach z właściwymi organami, podczas kontroli oraz w razie incydentu cyberbezpieczeństwa.