Wpis do Wykazu KSC – co powinna zrobić jednostka publiczna?

Jednostki publiczne objęte ustawą o krajowym systemie cyberbezpieczeństwa są co do zasady wpisywane do Wykazu podmiotów kluczowych i podmiotów ważnych z urzędu.

Nie oznacza to jednak, że jednostka może ograniczyć się do biernego oczekiwania na korespondencję. Powinna wcześniej:

1. potwierdzić, czy podlega ustawie;
2. ustalić status podmiotu kluczowego albo ważnego;
3. sprawdzić, czy podlega wpisowi z urzędu;
4. przygotować dane potrzebne do uzupełnienia wpisu;
5. zareagować, jeżeli mimo kwalifikacji nie otrzymała zawiadomienia i wezwania.

Po wpisie z urzędu jednostka otrzymuje zawiadomienie oraz wezwanie do uzupełnienia brakujących danych. Termin wykonania tego obowiązku wynosi sześć miesięcy od dnia doręczenia wezwania, a nie od dnia wejścia nowelizacji w życie ani od daty dokonania wpisu.

Jednostka nie otrzymała wezwania?

Jednostka publiczna nie powinna rozpoczynać samorejestracji tylko dlatego, że nie otrzymała jeszcze pisma. Powinna najpierw potwierdzić, czy podlega wpisowi z urzędu. Jeżeli powinna zostać wpisana, lecz nadal nie otrzymała zawiadomienia i wezwania, powinna zgłosić sprawę operatorowi Wykazu na adres S46-admin@nask.pl. Zgłoszenie zostanie zweryfikowane przez operatora.

Które jednostki publiczne podlegają KSC?

Nie każda jednostka sektora finansów publicznych ani każda samorządowa jednostka organizacyjna automatycznie jest podmiotem kluczowym lub ważnym.

Kwalifikacja zależy przede wszystkim od art. 5 ustawy oraz kategorii podmiotów wskazanych w załączniku nr 1 albo nr 2. Jednostka może również podlegać ustawie z innej podstawy sektorowej, na przykład jako podmiot leczniczy, dostawca wody, podmiot odprowadzający ścieki albo organizacja badawcza.

Podmioty publiczne wymienione w załączniku nr 1 są podmiotami kluczowymi niezależnie od ogólnych progów wielkości. Przykładowo załącznik obejmuje urząd gminy, jeżeli zatrudnia on co najmniej 50 osób w przeliczeniu na pełne etaty.

Podmiotem ważnym będącym podmiotem publicznym może być natomiast jednostka, która łącznie:

• jest podmiotem publicznym;
• nie jest podmiotem kluczowym;
• należy do jednej z kategorii określonych w art. 5 ust. 2 pkt 8;
• realizuje zadanie publiczne z wykorzystaniem systemów informacyjnych.

Załącznik nr 1 przewiduje również wyłączenia dotyczące części jednostek realizujących zadania między innymi w obszarze oświaty, pomocy społecznej, wspierania rodziny i pieczy zastępczej czy rynku pracy. Wyłączenie z kategorii podmiotów kluczowych nie zawsze oznacza jednak całkowite wyłączenie z ustawy. Jednostka może nadal spełniać przesłanki podmiotu ważnego albo podlegać KSC z innej podstawy sektorowej.

Warunek wynikający z art. 16d

Należy odróżnić uzyskanie statusu od zakresu wykonywania obowiązków.

Zgodnie z art. 16d ustawy o KSC podmiot publiczny realizuje wskazane w tym przepisie obowiązki, w tym dotyczące uzupełnienia i aktualizacji wpisu, jeżeli wykorzystuje system informacyjny w celu realizacji zadania publicznego. Katalog obejmuje między innymi art. 7b ust. 4, art. 7c, art. 7f ust. 3, art. 8, art. 8c–8f, art. 9–12b i art. 15.

W praktyce przesłanka wykorzystania systemu informacyjnego będzie spełniona przez zdecydowaną większość współczesnych jednostek publicznych. Powinna jednak zostać wyraźnie uwzględniona w analizie kwalifikacyjnej, zamiast być przyjmowana bez sprawdzenia.

Wpis z urzędu czy samorejestracja?

Ustawa przewiduje dwie podstawowe ścieżki wpisu.

Minister właściwy do spraw informatyzacji wpisuje podmioty publiczne na podstawie danych pochodzących z rejestrów publicznych, bazy adresów elektronicznych lub informacji przekazanych przez właściwe organy. Wpis z urzędu obejmuje początkowo dane dostępne w tych źródłach, dlatego jednostka musi później uzupełnić informacje techniczne, kontaktowe i organizacyjne.

Jednostka objęta wpisem z urzędu nie powinna składać równoległego wniosku w trybie samorejestracji.

Ministerstwo Cyfryzacji w komunikacie z 3 września 2026 r. „Miesiąc na samorejestrację w Wykazie KSC. Termin mija 3 października” potwierdziło tę zasadę: wniosek do 3 października składają podmioty niewpisywane z urzędu. Podmioty publiczne uzupełniają dane po wezwaniu. Szersze zestawienie terminów zawiera kalendarz KSC dla JSFP.

Jeżeli w systemie istnieje już podmiot albo wniosek z takim samym numerem NIP lub REGON, nowy wniosek może zostać skierowany do dodatkowej weryfikacji. Taka sytuacja może oznaczać, że podmiot został wcześniej wpisany z urzędu albo inna osoba złożyła wniosek w jego imieniu.

Status podmiotu a terminy wykonania obowiązków

Wpis, jego zmiana oraz wykreślenie są czynnościami materialno-technicznymi i mają charakter deklaratoryjny. Wpis nie tworzy więc statusu podmiotu kluczowego albo ważnego, lecz potwierdza status wynikający ze spełnienia ustawowych przesłanek.

Należy jednak rozróżnić:

• dzień powstania statusu;
• termin uzupełnienia danych po wpisie z urzędu;
• termin wykonania obowiązków rozdziału 3;
• moment rozpoczęcia korzystania z S46.

Podmioty, które spełniały przesłanki uznania za podmiot kluczowy albo ważny 3 kwietnia 2026 r., realizują obowiązki rozdziału 3 w terminie 12 miesięcy od wejścia nowelizacji w życie, czyli zasadniczo do 3 kwietnia 2027 r.

Brak wpisu nie wyłącza ustawowego statusu, ale nie oznacza też, że wszystkie nowe obowiązki należało wykonać natychmiast 3 kwietnia 2026 r. Przygotowanie SZBI, organizacji cyberbezpieczeństwa i obsługi incydentów powinno przebiegać równolegle z uzupełnianiem wpisu.

Jednostka otrzymała wezwanie – co powinna zrobić?

Krok 1. Zarejestrować datę doręczenia

Od dnia doręczenia wezwania biegnie sześciomiesięczny termin na uzupełnienie danych.

W wewnętrznym rejestrze warto odnotować:

• datę doręczenia;
• końcowy termin wykonania;
• numer podmiotu w Wykazie;
• osobę koordynującą;
• planowaną datę złożenia wniosku.

Nie należy odkładać uzupełnienia na ostatnie tygodnie. Przygotowanie poprawnych danych technicznych i klasyfikacji wielosektorowej może wymagać współpracy kilku komórek organizacyjnych oraz dostawców. Ministerstwo również zaleca rozpoczęcie prac z odpowiednim wyprzedzeniem.

Krok 2. Zweryfikować podstawę i dane wpisane z urzędu

Wezwanie zawiera między innymi:

• podstawę prawną wpisu;
• numer podmiotu;
• dane wprowadzone z urzędu;
• źródło ich pochodzenia;
• wskazanie danych brakujących.

Jednostka nie powinna ograniczać kontroli do pustych pól. Należy sprawdzić także:

• status podmiotu kluczowego albo ważnego;
• sektor, podsektor i rodzaj działalności;
• podstawę prawną;
• nazwę i adres;
• NIP i REGON;
• kompletność rodzajów działalności.

Jeżeli wpis z urzędu nie obejmuje całej działalności podlegającej ustawie, jednostka uzupełnia także pominięte sektory lub rodzaje działalności. Kilka rodzajów działalności wykazuje się odrębnie w ramach jednego wpisu.

Krok 3. Uzyskać dostęp do wpisu

Wezwanie zawiera kod służący do powiązania konta użytkownika z wpisem jednostki.

Po zalogowaniu do Wykazu należy:

1. wybrać opcję wprowadzenia kodu wezwania;
2. podać kod;
3. zweryfikować nazwę i numer REGON;
4. rozpocząć uzupełnianie częściowo wypełnionego formularza;
5. wskazać administratora konta w S46;
6. podpisać i złożyć wniosek.

Uzupełnienie danych po wpisie z urzędu odbywa się formalnie przez złożenie wniosku o zmianę wpisu.

Jakie dane należy przygotować?

Pełny katalog danych znajduje się w art. 7 ust. 2 ustawy. W praktyce prace powinny objąć kilka grup.

Dane dotyczące właściwego organu, przypisanych CSIRT, podstawy prawnej i numeru wpisu uzupełnia minister właściwy do spraw informatyzacji. Operator Wykazu zapewnia obsługę techniczną systemu i weryfikuje zgłoszone nieprawidłowości. Jednostka samodzielnie uzupełnia i aktualizuje przede wszystkim dane określone w art. 7 ust. 2 pkt 1–18.

Osoby kontaktowe

Podmiot kluczowy oraz podmiot ważny wyznaczają co do zasady co najmniej dwie osoby odpowiedzialne za utrzymywanie kontaktów z podmiotami krajowego systemu cyberbezpieczeństwa.

Podmiot ważny będący podmiotem publicznym wyznacza co najmniej jedną osobę. Wyjątek dotyczący jednej osoby obejmuje również mikro- i małych przedsiębiorców.

Jedna z osób kontaktowych pełni rolę administratora konta podmiotu w S46. Dla administratora podaje się dodatkowo numer PESEL albo właściwy niepowtarzalny identyfikator środka identyfikacji elektronicznej.

Ustawowe minimum jednej osoby nie wyklucza zapewnienia zastępstwa. Jest to rekomendowana dobra praktyka, szczególnie ze względu na urlopy, choroby i konieczność działania podczas incydentu.

Przed złożeniem wniosku należy:

• formalnie wyznaczyć osoby do określonych ról;
• poinformować je o zakresie zadań;
• potwierdzić aktualność służbowych danych kontaktowych;
• wykonać właściwe obowiązki informacyjne dotyczące przetwarzania danych osobowych.

Ustawa nie wymaga natomiast uzyskania od pracownika „zgody” jako warunku wskazania go do pełnienia służbowej roli.

Publiczne adresy IP i domeny

Dane dotyczące publicznych adresów IP i domen należy uzgodnić z:

• lokalnym działem IT;
• operatorem telekomunikacyjnym;
• dostawcą hostingu;
• administratorem poczty;
• dostawcą chmury;
• jednostką zapewniającą wspólną obsługę;
• wykonawcą utrzymującym systemy.

Analiza nie powinna ograniczać się do głównej strony internetowej. Może obejmować domeny i adresy związane z pocztą, portalami, systemami dziedzinowymi, dostępem zdalnym oraz innymi usługami wykorzystywanymi w sposób ciągły.

Podpisanie i złożenie wniosku

Wniosek składa:

• kierownik podmiotu;
• albo osoba przez niego upoważniona.

Dokument elektroniczny można opatrzyć kwalifikowanym podpisem elektronicznym, podpisem zaufanym, podpisem osobistym albo kwalifikowaną pieczęcią elektroniczną ze wskazaniem osoby opatrującej pismo pieczęcią. Przy działaniu przez pełnomocnika co do zasady dołącza się elektroniczne pełnomocnictwo.

Wniosek zawiera oświadczenie kierownika o zgodności danych z prawdą, składane pod rygorem odpowiedzialności karnej. Odpowiedzialność za złożenie fałszywego oświadczenia nie obejmuje podania zakresów adresów IP i nazw domenowych, co nie zwalnia jednak jednostki z ich rzetelnego przygotowania.

Przed podpisaniem należy sprawdzić:

• zgodność danych z przeprowadzoną kwalifikacją;
• kompletność rodzajów działalności;
• prawidłowość danych kontaktowych;
• techniczne potwierdzenie adresów IP i domen;
• formalne wyznaczenie osób kontaktowych i administratora;
• poprawność podpisu albo pełnomocnictwa.

Co zrobić, jeżeli dane we wpisie są błędne?

Dane, które jednostka może zmienić

Jednostka składa wniosek o zmianę wpisu w odniesieniu do danych z art. 7 ust. 2 pkt 1–18, takich jak:

• nazwa lub adres;
• dane osób kontaktowych;
• administrator S46;
• domeny i adresy IP;
• dane organizacyjne;
• sektor, podsektor albo rodzaj działalności.

Dane, których jednostka nie poprawi samodzielnie

Nie wszystkie pola mogą zostać zmienione przez podmiot. Dotyczy to między innymi:

• przypisanego organu właściwego;
• CSIRT sektorowego;
• CSIRT poziomu krajowego;
• części danych dotyczących podstawy wpisu.

Jeżeli takie informacje są nieprawidłowe, problem należy zgłosić operatorowi na adres S46-admin@nask.pl, podając dane kontaktowe, podmiot, którego dotyczy zgłoszenie, oraz wskazując dane nieprawidłowe i prawidłowe. Oficjalne FAQ wskazuje wprost, że przypisanego CSIRT podmiot nie może zmienić samodzielnie.

Co zrobić, jeżeli jednostka została wpisana błędnie?

Art. 7f ust. 2 przewiduje wykreślenie z urzędu przez organ właściwy, jeżeli wpisany podmiot:

• nie jest podmiotem kluczowym ani ważnym;
• albo utracił taki status po dokonaniu wpisu.

Art. 7f ust. 3 literalnie odnosi wniosek podmiotu o wykreślenie do sytuacji, w której podmiot przestał spełniać przesłanki po uzyskaniu statusu. Jednocześnie instrukcje i FAQ Ministerstwa rekomendują złożenie wniosku o wykreślenie również wtedy, gdy jednostka uważa, że została pierwotnie wpisana błędnie.

W takiej sytuacji praktyczna ścieżka obejmuje:

1. przygotowanie udokumentowanej analizy kwalifikacji;
2. złożenie wniosku o wykreślenie z uzasadnieniem;
3. ewentualne powiadomienie operatora i organu właściwego;
4. zachowanie potwierdzenia wykonanych czynności.

Organ rozpatruje wniosek w terminie miesiąca. Jeżeli w tym terminie nie odmówi wykreślenia, podmiot zostaje wykreślony w odpowiednim zakresie.

Do czasu wyjaśnienia sprawy jednostka nie powinna samodzielnie ignorować wpisu ani otrzymanej korespondencji.

Co po uzupełnieniu wpisu?

Dostęp do S46 Cyber Hub

Po uzupełnieniu wymaganych danych we wpisie i wskazaniu administratora dostęp do S46 Cyber Hub jest przyznawany sukcesywnie. Informacje umożliwiające zalogowanie się do konta podmiotu są wysyłane na adres e-mail administratora wskazany w Wykazie. Nie trzeba składać odrębnego wniosku o dostęp.

Podmioty, które spełniały przesłanki uznania za podmiot kluczowy albo ważny 3 kwietnia 2026 r., powinny rozpocząć korzystanie z Systemu S46 najpóźniej do 3 kwietnia 2027 r.

Jednostka powinna ustalić:

• kto administruje kontem;
• kto może zgłaszać incydenty;
• kto pełni zastępstwo;
• jak zmieniane są uprawnienia;
• jak zabezpieczany jest dostęp;
• co zrobić, jeżeli wiadomość z dostępem nie dotrze.

Aktualizacja danych w ciągu 14 dni

Wniosek o zmianę wpisu w zakresie danych z art. 7 ust. 2 pkt 1–18 należy złożyć w terminie 14 dni od dnia ich zmiany.

Aktualizacji mogą wymagać między innymi:

• osoba kontaktowa;
• administrator konta S46;
• służbowy numer telefonu lub adres e-mail;
• adres jednostki;
• domena;
• zakres publicznych adresów IP;
• dostawca usług cyberbezpieczeństwa;
• nowy rodzaj działalności.

Warto ustanowić wewnętrzną procedurę, zgodnie z którą IT, kadry, sekretariat, zamówienia oraz komórki merytoryczne informują koordynatora KSC o zmianach wpływających na wpis.

Krótka checklista

Podsumowanie

Jednostka publiczna podlegająca KSC jest co do zasady wpisywana do Wykazu z urzędu. Nie powinna jednak biernie oczekiwać ani automatycznie rozpoczynać samorejestracji bez potwierdzenia właściwej ścieżki.

Po otrzymaniu wezwania jednostka ma sześć miesięcy od jego doręczenia na zweryfikowanie wpisu, uzupełnienie brakujących danych, wskazanie osób kontaktowych i administratora S46 oraz dodanie pominiętych rodzajów działalności.

Wpis ma charakter deklaratoryjny, ale powstanie statusu trzeba odróżnić od terminów dostosowawczych. Jednostki spełniające przesłanki 3 kwietnia 2026 r. powinny wdrożyć obowiązki rozdziału 3 najpóźniej do 3 kwietnia 2027 r.

Po uzupełnieniu wpisu konieczne jest dalsze monitorowanie jego poprawności i zgłaszanie zmian danych w terminie 14 dni.

Zobacz także

• Czy każda JSFP podlega znowelizowanej ustawie o KSC?
• Kalendarz KSC dla JSFP: Wykaz, S46 i wdrożenie obowiązków
• Plan wdrożenia KSC w JSFP do 3 kwietnia 2027 r.
• Podmiot kluczowy a podmiot ważny będący podmiotem publicznym

Podstawy prawne i źródła

• Ustawa z dnia 5 lipca 2018 r. o krajowym systemie cyberbezpieczeństwa – aktualny tekst ujednolicony ↗;
• Ustawa z dnia 23 stycznia 2026 r. o zmianie ustawy o krajowym systemie cyberbezpieczeństwa oraz niektórych innych ustaw – Dz.U. z 2026 r. poz. 252 ↗;
• „Q&A Nowelizacja KSC” – Ministerstwo Cyfryzacji, aktualizacja z czerwca 2026 r. ↗;
• Ministerstwo Cyfryzacji – „Miesiąc na samorejestrację w Wykazie KSC. Termin mija 3 października”, 3 września 2026 r. ↗;
• System S46 – wpis z urzędu: uzupełnienie danych po wezwaniu ↗;
• System S46 – samorejestracja, czyli wpis do Wykazu KSC ↗;
• System S46 – uzyskanie dostępu do S46 Cyber Hub ↗;
• System S46 – dane kontaktowe operatora ↗.

Materiały Ministerstwa Cyfryzacji oraz instrukcje Systemu S46 mają charakter informacyjny i pomocniczy. Nie są źródłami prawa. W przypadku rozbieżności pierwszeństwo mają przepisy ustawy.

Zastrzeżenie: Artykuł ma charakter informacyjny i nie stanowi opinii prawnej ani indywidualnej kwalifikacji konkretnej jednostki. Prawidłowe określenie statusu i zakresu wpisu wymaga analizy formy organizacyjnej, wykonywanych zadań, sektorów działalności, wykorzystywania systemów informacyjnych oraz przesłanek określonych w ustawie o KSC.