Ustawa o KSC: zostały 3 miesiące na wpis do wykazu. Jak sprawdzić, czy Cię dotyczy
Nowelizacja ustawy o KSC obowiązuje od 3 kwietnia, a wraz z nią termin, o którym połowa objętych firm jeszcze nie słyszała: do 3 października 2026 podmioty kluczowe i ważne muszą złożyć wniosek o wpis do wykazu. Sprawdzenie, czy ustawa Cię dotyczy, zajmuje około godziny. Zwłoka może kosztować znacznie więcej — kary liczone są od obrotu.
Szybka kwalifikacja w 3 pytaniach
- Sektor — czy działasz w jednym z sektorów z załączników ustawy? Lista jest długa: energetyka, transport, zdrowie, woda i ścieki, infrastruktura cyfrowa i usługi ICT, produkcja (m.in. chemia, żywność, elektronika, maszyny), usługi pocztowe i kurierskie, gospodarka odpadami, badania naukowe.
- Wielkość — co do zasady: średnie przedsiębiorstwo (50+ pracowników lub 10+ mln euro obrotu) w sektorze z załącznika I = podmiot ważny; duże = często podmiot kluczowy. Są wyjątki niezależne od wielkości (np. część infrastruktury cyfrowej).
- Rola w łańcuchu — nawet jeśli formalnie nie podlegasz, Twoi klienci-podmioty kluczowe zaraz przyniosą Ci wymagania w umowach. Lepiej być gotowym przed nimi.
Checklista wniosku o wpis
- Ustal reprezentację i osobę kontaktową ds. cyberbezpieczeństwa — regulator będzie się z nią kontaktował, także przy incydentach.
- Przygotuj dane rejestrowe, sektor i podstawę kwalifikacji.
- Złóż wniosek elektronicznie i zachowaj potwierdzenie.
- Równolegle uruchom analizę luk — wpis to początek, w kwietniu 2027 mija termin wdrożenia SZBI.
Najczęstszy błąd: „to nie o nas"
Produkcja, logistyka i firmy IT świadczące usługi dla innych podmiotów to sektory, które najczęściej zaskakuje kwalifikacja. Jeżeli w 2018 roku ustawa KSC Cię nie dotyczyła, nie zakładaj, że teraz też nie — zakres urósł kilkunastokrotnie.
Podsumowanie
Do 3 października trzeba złożyć wniosek o wpis do wykazu KSC. Kwalifikację sprawdzisz w godzinę: sektor, wielkość, rola w łańcuchu dostaw. Jeśli jesteś objęty — wpisz się i od razu zacznij analizę luk, bo zegar SZBI już tyka.