Przepisy wdrażające dyrektywę NIS2 do polskiego porządku prawnego już obowiązują. Dla wielu organizacji oznacza to konieczność weryfikacji, czy podlegają nowym obowiązkom wynikającym ze znowelizowanej ustawy o krajowym systemie cyberbezpieczeństwa.
Jednym z pierwszych obowiązków jest dokonanie samoidentyfikacji, a następnie w przypadku spełnienia ustawowych przesłanek złożenie wniosku o wpis do Wykazu podmiotów kluczowych i podmiotów ważnych, tzw. Wykazu KSC.
Podmioty, które nie zostały wpisane do Wykazu KSC z urzędu, powinny dokonać samorejestracji do 3 października 2026 r.
Na czym polega obowiązek?
Znowelizowana ustawa o krajowym systemie cyberbezpieczeństwa, wdrażająca dyrektywę NIS2, obejmuje regulacjami m.in. podmioty kluczowe i podmioty ważne.
W praktyce oznacza to, że organizacja powinna samodzielnie ocenić, czy spełnia przesłanki uznania jej za podmiot kluczowy albo ważny, a jeżeli tak złożyć wniosek o wpis do Wykazu KSC za pośrednictwem właściwego systemu teleinformatycznego.
Samoidentyfikacja nie powinna być traktowana jako wyłącznie techniczna formalność. Jest to pierwszy etap oceny, czy dana organizacja podlega nowemu reżimowi regulacyjnemu w obszarze cyberbezpieczeństwa.
Co należy przeanalizować?
Ocena statusu organizacji nie powinna ograniczać się wyłącznie do weryfikacji kodów PKD. Kluczowe znaczenie ma rzeczywisty charakter prowadzonej działalności oraz faktyczny zakres świadczonych usług lub wykonywanych zadań.
Analiza powinna obejmować w szczególności:
- sektor lub podsektor działalności,
- rodzaj świadczonych usług lub wykonywanych zadań,
- rolę organizacji w łańcuchu dostaw,
- wielkość przedsiębiorcy,
- przesłanki wynikające z art. 5 ustawy o krajowym systemie cyberbezpieczeństwa,
- kwalifikację jako podmiot kluczowy albo podmiot ważny.
Do kiedy należy złożyć wniosek?
Termin na złożenie wniosku o wpis do Wykazu KSC dla podmiotów, które nie są wpisywane z urzędu, upływa 3 października 2026 r.
Nie warto jednak odkładać tego obowiązku na ostatni moment. Przed samym złożeniem wniosku konieczne jest bowiem przeprowadzenie analizy statusu organizacji, zebranie wymaganych danych oraz przygotowanie wniosku w odpowiednim systemie.
Jakie są ryzyka braku wpisu?
Brak prawidłowej samoidentyfikacji, niezłożenie wniosku o wpis do Wykazu KSC lub niewykonanie obowiązków wynikających ze znowelizowanych przepisów może wiązać się z ryzykiem regulacyjnym, w tym z możliwością nałożenia kar finansowych.
Z perspektywy organizacji kluczowe jest więc nie tylko samo dokonanie wpisu, ale również prawidłowe udokumentowanie podstaw kwalifikacji albo braku kwalifikacji jako podmiot kluczowy lub ważny.
Jak możemy pomóc?
W praktyce najwięcej wątpliwości budzi nie samo wypełnienie formularza, lecz wcześniejsza kwalifikacja organizacji: czy podmiot rzeczywiście podlega przepisom KSC/NIS2, w jakiej kategorii oraz na jakiej podstawie.
Nasze wsparcie może obejmować w szczególności:
- analizę statusu organizacji na gruncie KSC/NIS2,
- ocenę przesłanek ustawowych,
- kwalifikację jako podmiot kluczowy albo ważny,
- przygotowanie wniosku o wpis do Wykazu KSC,
- uporządkowanie dalszych obowiązków compliance wynikających z nowych przepisów.
Prawidłowa samoidentyfikacja to pierwszy krok do zgodności z KSC/NIS2 i jeden z elementów, które mogą mieć istotne znaczenie w razie kontroli lub oceny wykonania obowiązków regulacyjnych.
