W skrócie:
- Wniosek składa się na wykaz-ksc.gov.pl (aplikacja Wykaz KSC w systemie S46), logowanie przez Węzeł Krajowy.
- Termin dla podmiotów spełniających przesłanki od 3 kwietnia 2026 r. minął 3 października 2026 r. Później: 6 miesięcy od spełnienia przesłanek.
- Podmioty publiczne, telekomunikacja, dostawcy usług zaufania i dawni operatorzy usług kluczowych są wpisywani z urzędu i wniosku nie składają.
- Zmianę danych zgłasza się w 14 dni.
Dwa tryby wpisu
| Tryb | Kogo dotyczy | Co zrobić | Termin |
|---|---|---|---|
| Samorejestracja | podmioty z załącznika nr 1 lub 2, które spełniają kryteria i nie są wpisywane z urzędu, głównie podmioty prywatne | złożyć wniosek w aplikacji Wykaz KSC | 7 maja - 3 października 2026 r., potem 6 miesięcy od spełnienia przesłanek |
| Wpis z urzędu | podmioty publiczne, przedsiębiorcy telekomunikacyjni, dostawcy usług zaufania, dotychczasowi operatorzy usług kluczowych | poczekać na zawiadomienie z linkiem i kodem dostępu, uzupełnić dane | 6 miesięcy od otrzymania wezwania |
Według komunikatu Ministerstwa Cyfryzacji z 7 maja 2026 r. Próba wpisania podmiotu, który jest już w wykazie, kończy się błędem.
Samorejestracja krok po kroku
- Sprawdź, czy podmiot spełnia kryteria: sektor z załączników, kod PKD i wielkość razem z przedsiębiorstwami powiązanymi i partnerskimi (kogo dotyczy).
- Wejdź na wykaz-ksc.gov.pl i zaloguj się przez Węzeł Krajowy (Profil Zaufany, mObywatel, e-Dowód, bankowość elektroniczna albo certyfikat kwalifikowany). Za pierwszym razem zakładasz konto użytkownika.
- Wybierz "Wpisz nowy podmiot" i wypełnij formularz: dane podmiotu, klasyfikacja sektorowa, dane kontaktowe. Kilka rodzajów działalności wykazuje się we wniosku osobno (art. 7d ust. 2).
- Wniosek musi zawierać oświadczenie kierownika o odpowiedzialności karnej z art. 233 § 6 Kodeksu karnego (art. 7c ust. 5).
- Podpisz wniosek elektronicznie. Wpis następuje z chwilą złożenia wniosku.
Co jest we wniosku
Art. 7 ust. 2 wymienia dane wykazu. Najważniejsze, które podaje podmiot:
- nazwa, sektor, podsektor i rodzaj działalności według załączników, adres siedziby i adres do korespondencji,
- adres do doręczeń elektronicznych, adres e-mail, NIP, REGON, numer w rejestrze działalności regulowanej (jeśli jest),
- zakres publicznych adresów IP i domeny internetowe wykorzystywane przez podmiot w sposób ciągły,
- osoby do kontaktów w sprawach cyberbezpieczeństwa, w tym administrator konta podmiotu w S46 (z numerem PESEL), telefon,
- oświadczenie o wielkości podmiotu, państwa UE, w których świadczy usługi,
- informacja, czy podmiot ma umowę z dostawcą usług zarządzanych w zakresie cyberbezpieczeństwa.
Za podanie zakresów adresów IP i nazw domen nie grozi odpowiedzialność za fałszywe oświadczenie (art. 7c ust. 5). Przy zmianie hostingu albo przeniesieniu strony za usługę ochrony typu reverse proxy zmieniają się adresy IP, pod którymi strona jest widoczna, więc warto sprawdzić, czy nie trzeba złożyć wniosku o zmianę wpisu.
Zmiany i wykreślenie
- Zmiana danych: wniosek o zmianę wpisu w ciągu 14 dni od zmiany, z numerem podmiotu w wykazie (art. 7c ust. 3 i 4).
- Utrata statusu: podmiot, który przestał spełniać przesłanki, składa wniosek o wykreślenie z uzasadnieniem. Organ właściwy rozpatruje go w miesiąc; brak odmowy w tym terminie oznacza wykreślenie (art. 7f ust. 3-7).
- Wykreślenie z urzędu: po wykreśleniu podmiotu z REGON, KRS albo CEIDG albo gdy organ ustali, że podmiot nie jest kluczowy ani ważny (art. 7f ust. 1-2).
- Zaświadczenie: na żądanie minister wydaje elektroniczne zaświadczenie o wpisie (art. 7d ust. 6-7).
Po wpisie
Wpis daje dostęp do S46, przez który podmiot zgłasza incydenty. Według Ministerstwa Cyfryzacji podłączenie do S46 i wdrożenie obowiązków (m.in. SZBI, osoby kontaktowe, weryfikacja niekaralności personelu) trzeba zakończyć do 3 kwietnia 2027 r.
Najczęstsze pytania
Co to jest wykaz KSC?
Wykaz podmiotów kluczowych i podmiotów ważnych prowadzony przez ministra właściwego do spraw informatyzacji. Służy do identyfikacji podmiotów, wymiany informacji z zespołami CSIRT i organami nadzoru oraz do nadzoru (art. 7 ustawy o KSC). Technicznie to aplikacja Wykaz KSC w systemie S46.
Do kiedy trzeba było złożyć wniosek o wpis?
Podmioty, które spełniały przesłanki w dniu wejścia ustawy w życie (3 kwietnia 2026 r.), miały na to czas od 7 maja do 3 października 2026 r. według komunikatu Ministerstwa Cyfryzacji. Podmiot, który spełni przesłanki później, składa wniosek w ciągu 6 miesięcy od tego dnia (art. 7c ust. 1).
Kto jest wpisywany z urzędu?
Według Ministerstwa Cyfryzacji: podmioty publiczne, przedsiębiorcy telekomunikacyjni, dostawcy usług zaufania i dotychczasowi operatorzy usług kluczowych. Nie składają wniosku, tylko po zawiadomieniu uzupełniają dane w ciągu 6 miesięcy od wezwania.
Czym podpisać wniosek?
Kwalifikowanym podpisem elektronicznym, podpisem zaufanym, podpisem osobistym albo kwalifikowaną pieczęcią elektroniczną (art. 7c ust. 6). Wniosek podpisuje kierownik podmiotu albo osoba przez niego upoważniona. Pełnomocnictwa nie dołącza pełnomocnik ujawniony w CEIDG ani prokurent ujawniony w KRS.
Czy wpis jest decyzją?
Nie. Wpis następuje z chwilą złożenia wniosku w systemie S46 i ma charakter deklaratoryjny (art. 7d ust. 1 i 5). Na żądanie podmiotu minister wydaje zaświadczenie o wpisie.
Źródła: art. 7-7f ustawy o krajowym systemie cyberbezpieczeństwa w brzmieniu Dz.U. 2026 poz. 252; komunikat o samorejestracji i obowiązki podmiotów na gov.pl.
To nie jest porada prawna. Streszczamy przepisy własnymi słowami; wiążący jest tekst ustawy w Dzienniku Ustaw.