Brak rejestracji w KSC to niejedyny problem. Jak firmy powinny przygotować się do NIS2?

Termin samodzielnej rejestracji w Wykazie KSC upłynął 3 października 2026 r. dla podmiotów kluczowych i ważnych, które spełniały ustawowe kryteria 3 kwietnia 2026 r. i były zobowiązane do zgłoszenia. Brak rejestracji w KSC nie oznacza automatycznej kary, ale nie zwalnia firmy z pozostałych obowiązków. Większość sankcji pieniężnych będzie mogła być nakładana dopiero od 3 kwietnia 2028 r., podczas gdy termin wdrożenia wymagań dla wskazanych podmiotów przypada na 3 kwietnia 2027 r. Przedsiębiorstwa powinny zatem zweryfikować zarówno swój status rejestracyjny, jak i rzeczywisty poziom przygotowania do nowych regulacji.

Dyrektywa NIS2 (dyrektywa UE 2022/2555), wdrożona w Polsce poprzez nowelizację ustawy o krajowym systemie cyberbezpieczeństwa (KSC), wprowadza nowe wymagania dotyczące ochrony systemów informacyjnych i zarządzania ryzykiem cyberbezpieczeństwa. Przepisy obejmują określone przedsiębiorstwa z sektorów istotnych dla funkcjonowania gospodarki, m.in. energetyki, transportu, ochrony zdrowia, infrastruktury cyfrowej oraz wybranych gałęzi przemysłu.

Dla firm objętych regulacjami zakończenie podstawowego okresu rejestracji oznacza przejście do kolejnego etapu przygotowań. Kluczowe staje się ustalenie, czy stosowane zabezpieczenia, procedury i sposób zarządzania bezpieczeństwem odpowiadają wymaganiom ustawy. Pomocnym narzędziem w tej ocenie może być audyt zgodności z NIS2, pozwalający zidentyfikować obszary wymagające dostosowania.

Więcej informacji o zakresie regulacji i obowiązkach przedsiębiorców przedstawiamy w artykule: NIS2 w Polsce – kogo dotyczy, jakie nakłada obowiązki i jak przygotować firmę.

---

Termin rejestracji w KSC upłynął. Co to oznacza dla przedsiębiorstw?

3 października 2026 r. zakończył się podstawowy okres samodzielnej rejestracji w Wykazie podmiotów kluczowych i podmiotów ważnych. Termin dotyczył organizacji, które spełniały ustawowe kryteria już 3 kwietnia 2026 r. i nadal im podlegały przed upływem terminu zgłoszenia.

Nie każda firma prowadząca działalność w sektorze objętym NIS2 musi jednak dokonać samodzielnego wpisu. Znaczenie mają m.in. rodzaj świadczonych usług, wielkość przedsiębiorstwa i szczególne kryteria ustawowe.

Część organizacji, w tym przedsiębiorcy telekomunikacyjni oraz określone inne kategorie podmiotów, podlega wpisowi z urzędu. Z kolei podmioty, które zaczęły spełniać kryteria dopiero po wejściu w życie nowelizacji, mają zasadniczo sześć miesięcy od momentu ich spełnienia na dokonanie zgłoszenia.

Dlatego pierwszym krokiem firmy, która nie zarejestrowała się w KSC, powinna być weryfikacja, czy obowiązek rzeczywiście jej dotyczył oraz kiedy powstał. Jeżeli przedsiębiorstwo było zobowiązane do samodzielnego wpisu, powinno niezwłocznie uzupełnić rejestrację za pośrednictwem Wykazu KSC.

---

Rejestracja to dopiero początek obowiązków wynikających z NIS2

Wpis do Wykazu KSC stanowi formalny etap realizacji wymagań ustawowych. Nie oznacza jednak, że przedsiębiorstwo automatycznie spełnia wszystkie obowiązki w zakresie cyberbezpieczeństwa.

Organizacja może prawidłowo przeprowadzić rejestrację, ale nadal nie posiadać odpowiednich procedur zarządzania ryzykiem, dokumentacji bezpieczeństwa czy rozwiązań umożliwiających skuteczne reagowanie na incydenty. Również odwrotna sytuacja nie jest wykluczona: przedsiębiorstwo może stosować rozbudowane zabezpieczenia informatyczne, a jednocześnie nie spełniać określonych wymagań organizacyjnych i formalnych.

Zgodność z NIS2 wymaga więc oceny całego systemu zarządzania cyberbezpieczeństwem, a nie wyłącznie sprawdzenia statusu rejestracji.

Jakie obszary powinny zweryfikować firmy?

Przedsiębiorstwa objęte ustawą powinny przeanalizować w szczególności:

• Zarządzanie ryzykiem – sposób identyfikowania zagrożeń, oceny ich wpływu na działalność oraz doboru środków bezpieczeństwa.
• Obsługę incydentów – procedury wykrywania, reagowania i zgłaszania incydentów cyberbezpieczeństwa.
• Ciągłość działania – przygotowanie organizacji do utrzymania lub przywrócenia kluczowych procesów po zakłóceniu.
• Bezpieczeństwo dostawców – ocenę ryzyka związanego z podmiotami zewnętrznymi i usługami informatycznymi.
• Dokumentację i odpowiedzialność kierownictwa – zasady nadzoru nad cyberbezpieczeństwem, zatwierdzania wymaganych rozwiązań i monitorowania ich skuteczności.

Samo posiadanie określonych zabezpieczeń nie przesądza jeszcze o zgodności z przepisami. Istotne jest również ich udokumentowanie, stosowanie w praktyce i okresowa ocena skuteczności.

---

NIS2 z perspektywy zarządu – cyberbezpieczeństwo jako element zarządzania ryzykiem

Wdrożenie NIS2 nie powinno ograniczać się do działań działu IT. Nowe regulacje wymagają również odpowiedniego nadzoru ze strony kierownictwa oraz powiązania bezpieczeństwa systemów informacyjnych z ciągłością działalności przedsiębiorstwa.

Przykładowo firma produkcyjna może posiadać zabezpieczenia sieci, systemy kopii zapasowych i procedury kontroli dostępu, ale nie mieć formalnie określonego sposobu postępowania w przypadku incydentu u kluczowego dostawcy technologii. W takiej sytuacji problemem nie musi być brak pojedynczego rozwiązania informatycznego, lecz niewystarczające powiązanie istniejących zabezpieczeń z procesami zarządzania ryzykiem.

Jest to przykład hipotetyczny, pokazujący, dlaczego poziom bezpieczeństwa technicznego i poziom zgodności regulacyjnej należy oceniać łącznie, ale nie traktować ich jako pojęć tożsamych.

Dla zarządu najważniejsze są trzy kwestie: ustalenie zakresu obowiązków, identyfikacja braków oraz określenie odpowiedzialności i terminów ich usunięcia.

---

Czy brak rejestracji w KSC może prowadzić do kar lub kontroli?

Niedotrzymanie obowiązkowego terminu rejestracji stanowi naruszenie przepisów, ale nie powoduje automatycznego nałożenia kary finansowej.

Większość sankcji pieniężnych przewidzianych w znowelizowanej ustawie o KSC może być nakładana dopiero od 3 kwietnia 2028 r. O zastosowaniu kary decyduje właściwy organ, uwzględniając okoliczności konkretnego naruszenia. Nie oznacza to jednak, że do tego czasu przedsiębiorstwa pozostają poza nadzorem.

Organy właściwe do spraw cyberbezpieczeństwa mogą już teraz weryfikować realizację obowiązków, przeprowadzać kontrole, żądać dokumentacji oraz stosować przewidziane ustawą środki nadzorcze.

Jeżeli firma spełnia kryteria podmiotu kluczowego lub ważnego, ale nie złożyła wymaganego wniosku, organ może również dokonać wpisu do Wykazu KSC z urzędu.

Ustawa przewiduje również karę ekstraordynaryjną w wysokości do 100 mln zł, której nie obejmuje ogólne odroczenie sankcji do 2028 r. Może ona zostać nałożona na podmiot kluczowy lub ważny w przypadku naruszenia przepisów powodującego bezpośrednie i poważne cyberzagrożenie dla obronności, bezpieczeństwa państwa, bezpieczeństwa i porządku publicznego lub życia i zdrowia ludzi albo zagrożenie wywołania poważnej szkody majątkowej lub poważnych utrudnień w świadczeniu usług.

Samo przekroczenie terminu rejestracji nie oznacza automatycznie spełnienia przesłanek do zastosowania takiej sankcji.

Z perspektywy przedsiębiorstwa najważniejsze jest jednak to, że odroczenie większości kar nie oznacza odroczenia wszystkich obowiązków wynikających z NIS2.

---

Audyt zgodności z NIS2 – jak sprawdzić, czy firma jest przygotowana?

Po upływie terminu rejestracji przedsiębiorstwa powinny skoncentrować się nie tylko na uzupełnieniu formalności, lecz także na rzeczywistej gotowości do spełnienia wymagań ustawowych.

Audyt zgodności z NIS2 pozwala porównać aktualne rozwiązania organizacyjne i techniczne z wymaganiami dyrektywy oraz polskiej ustawy o KSC.

Ocena może obejmować m.in. dokumentację, procedury bezpieczeństwa, zarządzanie incydentami, ochronę systemów informacyjnych i mechanizmy nadzoru. Wyniki audytu pozwalają wskazać luki w istniejących rozwiązaniach, ocenić ich istotność oraz przygotować plan działań dostosowawczych.

Kiedy warto przeprowadzić audyt zgodności z NIS2?

Przeprowadzenie oceny jest szczególnie uzasadnione, gdy przedsiębiorstwo:

• nie ma pewności, czy wdrożone rozwiązania odpowiadają wymaganiom ustawy;
• posiada procedury bezpieczeństwa, ale nie przeprowadziło ich kompleksowej weryfikacji;
• przygotowuje się do kolejnych terminów wdrożenia obowiązków KSC;
• potrzebuje uporządkowanego planu działań wraz z określeniem priorytetów i odpowiedzialności.

Warto przy tym rozróżnić dobrowolny audyt gotowości od obowiązkowego audytu cyberbezpieczeństwa, który ustawa przewiduje dla określonych podmiotów kluczowych.

HLB Poland oferuje audyt zgodności z NIS2, obejmujący ocenę istniejących rozwiązań, identyfikację niezgodności oraz przygotowanie rekomendacji działań naprawczych.

Takie podejście umożliwia przedsiębiorstwu zaplanowanie dostosowania do przepisów na podstawie zidentyfikowanych potrzeb, zamiast wdrażania zmian bez wcześniejszej oceny ich zasadności.

---

Jakie terminy NIS2 pozostają ważne po 3 października 2026 r.?

Zakończenie podstawowego okresu rejestracji nie zamyka procesu wdrażania nowych regulacji. Dla przedsiębiorstw, które spełniały kryteria ustawowe od 3 kwietnia 2026 r., istotne pozostają kolejne daty.

3 kwietnia 2027 r. – wdrożenie obowiązków KSC i rozpoczęcie korzystania z S46

Do tego dnia wskazane podmioty kluczowe i ważne powinny wdrożyć wymagania dotyczące m.in. zarządzania bezpieczeństwem informacji, obsługi incydentów oraz rozpocząć korzystanie z systemu S46.

3 kwietnia 2028 r. – pierwszy obowiązkowy audyt dla określonych podmiotów kluczowych

Termin dotyczy podmiotów kluczowych, które nie były wcześniej operatorami usług kluczowych i spełniały odpowiednie kryteria od 3 kwietnia 2026 r. Dotychczasowi operatorzy usług kluczowych zachowują obowiązek przeprowadzania audytu co najmniej raz na trzy lata, licząc od dnia sporządzenia i podpisania raportu z poprzedniego audytu. Nie obejmuje ich odroczenie terminu pierwszego audytu przewidziane dla nowych podmiotów kluczowych.

3 kwietnia 2028 r. – możliwość nakładania większości kar pieniężnych

Od tej daty organy będą mogły stosować większość sankcji przewidzianych w nowych przepisach, zgodnie z ustawowymi przesłankami. Terminy obowiązujące konkretną organizację mogą różnić się w zależności od jej statusu oraz momentu spełnienia kryteriów ustawowych.

Szczegółowy harmonogram przedstawiło Ministerstwo Cyfryzacji.

---

Przygotowanie do NIS2 wymaga więcej niż rejestracji

Upływ terminu rejestracji w KSC powinien skłonić przedsiębiorstwa do oceny stopnia realizacji pozostałych obowiązków. Formalny wpis do wykazu nie przesądza bowiem o zgodności organizacji z wymaganiami dotyczącymi zarządzania ryzykiem i bezpieczeństwa systemów informacyjnych.

Dla zarządów kluczowe jest określenie rzeczywistego stanu przygotowania przedsiębiorstwa, zidentyfikowanie obszarów wymagających poprawy i zaplanowanie działań przed upływem kolejnych terminów. Audyt zgodności z NIS2 może stanowić podstawę takiej oceny, dostarczając informacji potrzebnych do uporządkowania obowiązków i przygotowania planu dostosowania.

Przedsiębiorstwa zainteresowane weryfikacją zgodności z wymaganiami KSC mogą skontaktować się z ekspertami HLB Poland, aby omówić zakres audytu oraz możliwe działania przygotowawcze.

---

Źródła:

• Ustawa z 23 stycznia 2026 r. o zmianie ustawy o krajowym systemie cyberbezpieczeństwa oraz niektórych innych ustaw – Dz.U. 2026 poz. 252
• Ministerstwo Cyfryzacji – obowiązki podmiotów kluczowych i ważnych
• Ministerstwo Cyfryzacji – najważniejsze terminy nowelizacji KSC
• Ministerstwo Cyfryzacji – pytania i odpowiedzi dotyczące nowelizacji KSC

---

Jeśli mają Państwo dodatkowe pytania prosimy skontaktować się z osobą odpowiedzialną za kontakt biznesowy z Państwem lub wysłać zapytanie poprzez formularz na stronie getsix®.

Skontaktuj się z nami »

***