Ustawa o zmianie ustawy o krajowym systemie cyberbezpieczeństwa (KSC 2.0), wdrażająca unijną dyrektywę NIS2 (2022/2555), z dnia 23 stycznia 2026 roku (Dz.U. 2026 poz. 252), weszła w życie 3 kwietnia 2026 roku. Prezydent podpisał ją w lutym 2026 roku. Poniżej stan na 5 października 2026 roku, czyli już po terminie samorejestracji w wykazie.
Kogo dotyczy ustawa
Ministerstwo Cyfryzacji szacowało, że przepisy obejmą ok. 38 tys. podmiotów, w tym ok. 11 tys. podmiotów niepublicznych (przedsiębiorstw). Dotyczą one przede wszystkim średnich i dużych firm w sektorach wskazanych w ustawie: energetyka, transport, zdrowie, finanse, infrastruktura cyfrowa, żywność, gospodarka odpadami, produkcja i inne sektory kluczowe lub ważne dla gospodarki. Do wykazu trafiło jednak znacznie więcej podmiotów: według danych resortu z nocy z 2 na 3 października 2026 roku (cytowanych przez WNP.pl) było w nim 62 330 podmiotów wpisanych z urzędu i 5 368 zgłoszonych samodzielnie.
Termin 3 października 2026 już minął: co to oznacza
Samorejestracja w wykazie trwała od 7 maja do 3 października 2026 roku. Do tego dnia wniosek o wpis musiały złożyć podmioty, które na dzień wejścia ustawy w życie (3 kwietnia 2026) spełniały warunki podmiotu kluczowego lub ważnego i nie zostały wpisane z urzędu. Co dalej, jeśli Twoja firma nie złożyła wniosku?
- Obowiązki z ustawy wynikają z samego spełnienia ustawowych przesłanek, a nie z faktu wpisu. Wpis ma charakter deklaratoryjny, więc brak wpisu niczego nie "wyłącza".
- Organ właściwy do spraw cyberbezpieczeństwa może wpisać podmiot do wykazu z urzędu, a niezłożenie wniosku w terminie jest jedną z podstaw kary pieniężnej (art. 73 ust. 1a pkt 1).
- Według Ministerstwa Cyfryzacji administracyjne kary pieniężne można nakładać dopiero po dwuletnim okresie przejściowym, czyli od 3 kwietnia 2028 roku. To jednak okres przejściowy dla kar, a nie dla samych obowiązków.
- Nie znaleźliśmy w przepisach ani w komunikatach resortu informacji, że po 3 października wniosku nie można już złożyć. Obowiązek nie wygasa, więc jeśli nie złożyłeś wniosku, nadrób to jak najszybciej w systemie S46.
- Podmioty, które spełnią przesłanki później, mają 6 miesięcy od dnia ich spełnienia na złożenie wniosku (art. 7c ust. 1).
Co dalej: harmonogram kolejnych obowiązków
- 3 kwietnia 2026 — ustawa weszła w życie.
- 3 października 2026 — upłynął termin samorejestracji w wykazie KSC.
- 3 kwietnia 2027 — koniec okresu dostosowawczego: wdrożenie obowiązków z ustawy, w tym Systemu Zarządzania Bezpieczeństwem Informacji (SZBI), i podłączenie do systemu S46.
- 3 kwietnia 2028 — upływ terminu pierwszego audytu dla nowych podmiotów kluczowych. Od tej daty mogą też być nakładane administracyjne kary pieniężne.
Kary dla podmiotu: kwoty z ustawy
Ustawa różnicuje kary w zależności od kategorii podmiotu. Dla podmiotu kluczowego (art. 73 ust. 3) — do 10 mln EUR lub 2% rocznego obrotu (w zależności od tego, która kwota jest wyższa), przy czym kara nie może być niższa niż 20 000 zł. Dla podmiotu ważnego (art. 73 ust. 4) — do 7 mln EUR lub 1,4% obrotu, minimum 15 000 zł. Ustawa przewiduje też karę nadzwyczajną (art. 73 ust. 5) sięgającą do 100 mln zł w najpoważniejszych przypadkach. Jak wyżej: kary te można nakładać dopiero od 3 kwietnia 2028 roku.
Kary osobiste dla kierownictwa — nowość w porównaniu z wcześniejszymi przepisami
W odróżnieniu od wcześniejszych przepisów o cyberbezpieczeństwie, KSC 2.0 wprowadza odpowiedzialność osobistą kierownika podmiotu (członka zarządu lub równoważnej osoby zarządzającej). Zgodnie z art. 73a ust. 4, w sektorze prywatnym kara może sięgnąć 300% otrzymywanego przez tę osobę wynagrodzenia (liczonego według zasad ekwiwalentu za urlop); w sektorze publicznym (ust. 5) — do 100%. To sprawia, że cyberbezpieczeństwo przestaje być wyłącznie tematem działu IT i staje się osobistym ryzykiem finansowym członków zarządu.
Obowiązek szkoleniowy — coroczny
Art. 8e ustawy nakłada na kierownika podmiotu kluczowego i ważnego obowiązek odbycia szkolenia z cyberbezpieczeństwa raz w roku kalendarzowym, a udział w szkoleniu trzeba udokumentować. Obowiązek dotyczy także osób, którym powierzono odpowiedzialność za cyberbezpieczeństwo.
Warto dodać uczciwie: prezydent podpisał ustawę w lutym 2026 roku, ale skierował do Trybunału Konstytucyjnego wniosek o kontrolę następczą dotyczący przepisów o dostawcach wysokiego ryzyka oraz o poleceniach zabezpieczających. Ta część regulacji pozostaje więc formalnie pod znakiem zapytania, w przeciwieństwie do omówionych wyżej obowiązków rejestracyjnych i terminów, które już obowiązują.
Co zrobić teraz
Jeśli nie masz pewności, czy Twoja firma podlega ustawie i czy jest w wykazie, albo wiesz, że podlega, ale nie wiesz od czego zacząć przygotowania do kwietnia 2027 roku — omówiliśmy cały proces, włącznie z obowiązkami zarządu i osobistą odpowiedzialnością, w ebooku NIS2 w Twojej firmie oraz w rozbudowanym Szkoleniu NIS2 dla zarządu z symulacją decyzyjną opartą na realnym scenariuszu ataku ransomware.
Artykuł ma charakter informacyjny i nie stanowi porady prawnej. Źródła: ustawa z 23 stycznia 2026 r. o zmianie ustawy o krajowym systemie cyberbezpieczeństwa (Dz.U. 2026 poz. 252); Ministerstwo Cyfryzacji (gov.pl: najważniejsze terminy nowelizacji KSC, samorejestracja w wykazie, Q&A); cyber.gov.pl (FAQ KSC); CRN.pl (szacunki resortu, kwiecień 2026); WNP.pl (dane z 2 października 2026); Prawo.pl (wniosek do TK).