Przedsiębiorcy objęci przepisami ustawy o krajowym systemie cyberbezpieczeństwa mają czas tylko do 3 października 2026 r. na dopełnienie obowiązku wpisu do wykazu KSC. Nowe regulacje dotyczą firm działających w 18 sektorach, jednak część przedsiębiorców może nie zdawać sobie sprawy, że została nimi objęta.
Nowe obowiązki wynikające z ustawy o krajowym systemie cyberbezpieczeństwa
Wprowadzona w Polsce w kwietniu 2026 r. ustawa o krajowym systemie cyberbezpieczeństwa (UKSC) nałożyła dodatkowe obowiązki zarówno na podmioty publiczne, jak i przedsiębiorstwa prowadzące działalność w sektorach uznanych za istotne z punktu widzenia bezpieczeństwa państwa i gospodarki.
Przepisy przewidują podział objętych nimi organizacji na podmioty kluczowe i podmioty ważne. Zakwalifikowanie przedsiębiorstwa do jednej z tych grup oznacza konieczność spełnienia określonych wymogów dotyczących cyberbezpieczeństwa.
Dla części firm jednym z pierwszych obowiązków jest wpis do wykazu podmiotów Krajowego Systemu Cyberbezpieczeństwa.
Jakie sektory obejmują przepisy KSC?
Regulacje dotyczą łącznie 18 branż związanych z funkcjonowaniem kluczowych obszarów gospodarki i infrastruktury państwa.
Energia, transport, finanse i infrastruktura cyfrowa
Wśród sektorów objętych ustawą znajdują się m.in. energia, transport, bankowość, infrastruktura rynków finansowych oraz ochrona zdrowia.
Przepisy obejmują również przedsiębiorstwa zajmujące się zaopatrzeniem w wodę pitną i jej dystrybucją, zbiorowym odprowadzaniem ścieków, infrastrukturą cyfrową, zarządzaniem usługami ICT oraz działalnością związaną z przestrzenią kosmiczną.
Samo prowadzenie działalności w jednym z wymienionych sektorów nie powinno jednak zastępować dokładnej analizy sytuacji przedsiębiorstwa. Firmy muszą ustalić, czy spełniają kryteria pozwalające uznać je za podmiot kluczowy lub ważny.
Firmy powinny przeprowadzić samoidentyfikację
Pierwszym krokiem dla przedsiębiorców jest tzw. samoidentyfikacja. Firma powinna przeanalizować m.in. profil swojej działalności, kod PKD, wielkość przedsiębiorstwa oraz informacje dotyczące podmiotów partnerskich i powiązanych.
Jeżeli analiza wykaże, że przedsiębiorstwo podlega przepisom UKSC, konieczne jest ustalenie sposobu wpisu do wykazu KSC.
W niektórych przypadkach wpis może nastąpić z urzędu. Pozostałe podmioty spełniające wymagane kryteria muszą samodzielnie przeprowadzić odpowiednią procedurę.
Termin na wpis do wykazu KSC upływa 3 października
Dla przedsiębiorstw, które spełniały wymagane kryteria 3 kwietnia 2026 r. i nie zostały wpisane do wykazu z urzędu, ostateczny termin na złożenie wniosku przypada na 3 października 2026 r.
Co przedsiębiorcy powinni zrobić przed upływem terminu?
W pierwszej kolejności firma powinna zweryfikować swój status, biorąc pod uwagę charakter działalności, kod PKD, wielkość przedsiębiorstwa oraz strukturę powiązań kapitałowych i organizacyjnych.
Następnie należy sprawdzić, czy podmiot został już wpisany do wykazu z urzędu, czy też musi samodzielnie złożyć odpowiedni wniosek.
Jeśli firma podlega obowiązkowi rejestracji, powinna dopełnić formalności najpóźniej 3 października. Równolegle przedsiębiorcy powinni rozpocząć przygotowania do wdrożenia pozostałych wymagań ustawy.
Obejmuje to m.in. wyznaczenie osób odpowiedzialnych za cyberbezpieczeństwo, przeprowadzenie analizy ryzyka oraz zaplanowanie odpowiednich działań technicznych i organizacyjnych. Firmy powinny także uwzględnić związane z tym wydatki w swoich budżetach i planach płynności finansowej.
Co czeka firmy po wpisie do wykazu KSC?
Jak przypomina Ministerstwo Cyfryzacji, sam wpis do wykazu KSC jest jedynie jednym z pierwszych etapów dostosowania organizacji do nowych regulacji.
Podmioty kluczowe i ważne będą musiały spełniać również pozostałe obowiązki wynikające z ustawy. Dotyczą one m.in. zarządzania ryzykiem cyberbezpieczeństwa, ochrony systemów informacyjnych oraz odpowiedniego reagowania na incydenty i ich zgłaszania.
Kolejny ważny termin przypada na kwiecień 2027 roku
Firmy, które spełniały kryteria objęcia regulacjami w dniu wejścia w życie nowelizacji, mają czas na wdrożenie obowiązków wynikających z nowych przepisów do 3 kwietnia 2027 r.
Najbliższym terminem pozostaje jednak 3 października 2026 r. Przedsiębiorcy działający w sektorach objętych ustawą powinni więc przede wszystkim zweryfikować swój status i ustalić, czy ciąży na nich obowiązek wpisu do wykazu KSC.
Andrzej Stasiuk jest współpracownikiem serwisu Przecław News, gdzie zajmuje się tematyką wiadomości, polityki, biznesu, technologii, sportu, rozrywki i stylu życia. Skupia się na jasnym i rzetelnym przekazywaniu informacji, relacjonowaniu bieżących wydarzeń oraz prezentowaniu historii i tematów, które mają znaczenie dla współczesnych czytelników.
Więcej artykułów
Przetworzone mięso szkodzi wątrobie. Lekarze ostrzegają przed popularnymi produktami
Metro 2039 oficjalnie zapowiedziane. 4A Games ujawnia szczegóły nowej odsłony
Debiut Oskara Pietuszewskiego w reprezentacji Polski. Młody skrzydłowy dał impuls w kluczowym meczu