Samoidentyfikacja NIS2 i rejestracja podmiotu w Wykazie KSC

Samoidentyfikacja a rejestracja - dwa różne pojęcia

Ustawa o krajowym systemie cyberbezpieczeństwa nie posługuje się wprost pojęciami "samoidentyfikacja" ani "samorejestracja" - to nazwy używane w materiałach informacyjnych Ministerstwa Cyfryzacji, które jednak dobrze opisują dwa odrębne etapy. Pierwszy to samodzielna ocena, czy podmiot spełnia przesłanki uznania za podmiot kluczowy lub podmiot ważny, określone w art. 5 ustawy i w załącznikach nr 1 i 2. To etap analityczny - nie wymaga składania żadnego dokumentu, tylko zestawienia rodzaju działalności z wielkością podmiotu. Pełne zasady kwalifikacji i przykłady sektorów opisujemy w artykule NIS2 - kogo dotyczy.

Drugi etap to rejestracja - formalne złożenie wniosku o wpis do wykazu podmiotów kluczowych i podmiotów ważnych (Wykazu KSC), zgodnie z art. 7c ustawy. To już konkretna czynność w systemie teleinformatycznym, z podpisem elektronicznym i oświadczeniem kierownika podmiotu. Kolejność ma znaczenie: zanim złożysz wniosek, powinieneś mieć pewność co do własnego statusu, ponieważ wniosek dotyczy konkretnego sektora, podsektora i rodzaju działalności, które trzeba w nim wskazać.

Dwa tryby wpisu do Wykazu KSC

Ustawa przewiduje dwa tryby, w jakich podmiot trafia do wykazu. Pierwszy to samorejestracja - podmiot sam składa wniosek o wpis. Dotyczy to przede wszystkim podmiotów prywatnych, które prowadzą działalność wskazaną w załączniku nr 1 lub nr 2 do ustawy, spełniają kryteria wielkościowe i nie podlegają wpisowi z urzędu. Samorejestracja w Wykazie KSC działa od 7 maja 2026 roku.

Drugi tryb to wpis z urzędu, dokonywany przez Ministra Cyfryzacji bez udziału podmiotu - nie składa on wniosku o wpis. Dotyczy to w szczególności podmiotów publicznych, przedsiębiorców telekomunikacyjnych, dostawców usług zaufania, podmiotów uznanych za krytyczne oraz - na mocy przepisów przejściowych - podmiotów, które przed wejściem nowelizacji w życie miały już status operatora usługi kluczowej. Po wpisie z urzędu podmiot otrzymuje zawiadomienie oraz wezwanie do uzupełnienia brakujących danych w wykazie (na przykład adresów IP, domen czy danych osób kontaktowych) - ma na to 6 miesięcy od dnia doręczenia wezwania, pod rygorem kary pieniężnej. To zupełnie inna ścieżka niż samodzielne złożenie wniosku, dlatego zanim zaczniesz wypełniać formularz, warto sprawdzić, czy Twój podmiot nie został już wpisany z urzędu - próba wpisania podmiotu, który już figuruje w wykazie, kończy się błędem.

Jak złożyć wniosek o wpis - krok po kroku

Wniosek o wpis do Wykazu KSC składa się elektronicznie, przez wyznaczony system teleinformatyczny, w praktyce działający pod nazwą Wykaz KSC (część Systemu S46), dostępny pod adresem wykaz-ksc.gov.pl. Logowanie odbywa się przez Węzeł Krajowy - profilem zaufanym, aplikacją mObywatel, e-dowodem, bankowością elektroniczną albo kwalifikowanym certyfikatem. Przy pierwszym wejściu trzeba założyć konto użytkownika.

Wniosek składa i podpisuje kierownik podmiotu kluczowego lub podmiotu ważnego albo osoba przez niego upoważniona. Jeżeli działa pełnomocnik, do wniosku dołącza się pełnomocnictwo w postaci elektronicznej - nie dotyczy to prokurentów ujawnionych w Krajowym Rejestrze Sądowym ani pełnomocników ujawnionych w Centralnej Ewidencji i Informacji o Działalności Gospodarczej. Wniosek opatruje się kwalifikowanym podpisem elektronicznym, podpisem zaufanym, podpisem osobistym albo kwalifikowaną pieczęcią elektroniczną ze wskazaniem osoby opatrującej pismo pieczęcią.

Wniosek zawiera między innymi dane wskazane w ustawie: nazwę podmiotu, sektor, podsektor i rodzaj działalności zgodnie z załącznikiem nr 1 lub 2, adres siedziby i adres do korespondencji, NIP i REGON (jeśli zostały nadane), zakresy publicznych adresów IP oraz domen internetowych wykorzystywanych w sposób ciągły, dane osób do kontaktu (w tym administratora konta w systemie), numer telefonu oraz deklarację wielkości podmiotu. Do wniosku dołącza się też oświadczenie kierownika podmiotu, że podane dane są zgodne z prawdą, składane pod rygorem odpowiedzialności karnej za fałszywe oświadczenie - z wyjątkiem samych zakresów adresów IP i nazw domenowych, których ta odpowiedzialność nie obejmuje. Podmiot prowadzący kilka rodzajów działalności objętej ustawą wykazuje każdą z nich osobno w tym samym wniosku, a nie w odrębnych wnioskach.

• ▸Dane identyfikacyjne podmiotu - nazwa, NIP, REGON (jeśli zostały nadane).
• ▸Ustalony sektor, podsektor i rodzaj działalności według załącznika nr 1 lub nr 2 do ustawy.
• ▸Dane osoby do kontaktu, w tym osoby, która będzie administratorem konta w systemie.
• ▸Zakresy publicznych adresów IP i domen internetowych wykorzystywanych w sposób ciągły.
• ▸Pełnomocnictwo w postaci elektronicznej - jeśli wniosek podpisuje osoba upoważniona inna niż prokurent z KRS lub pełnomocnik z CEIDG.

Co dzieje się po złożeniu wniosku

Wpisu do wykazu dokonuje się z chwilą złożenia poprawnego wniosku - to czynność materialno-techniczna o charakterze deklaratoryjnym, a nie decyzja administracyjna wydawana po odrębnym postępowaniu. Jeżeli wniosek zawiera wszystkie wymagane dane, oświadczenie i podpis, a podmiot nie figuruje jeszcze w wykazie, wpis następuje praktycznie od razu, a zgłaszający otrzymuje potwierdzenie.

Wpisu nie dokonuje się, jeżeli wniosek nie zawiera wymaganych danych, nie zawiera oświadczenia kierownika, nie został podpisany albo dotyczy podmiotu, który już figuruje w wykazie - na przykład dlatego, że został wcześniej wpisany z urzędu. W takiej sytuacji wniosek wymaga sprawdzenia, zanim wpis zostanie potwierdzony; jeśli masz wątpliwości, warto zweryfikować, czy Twój podmiot nie został już wpisany, zanim złożysz kolejny wniosek.

Na żądanie podmiotu wpisanego do wykazu wydawane jest zaświadczenie potwierdzające wpis wraz z aktualnymi danymi - w postaci elektronicznej, opatrzone kwalifikowaną pieczęcią. Wpis do wykazu nie jest jednorazowy - zmianę danych, na przykład adresu czy osoby kontaktowej, zgłasza się wnioskiem o zmianę wpisu w terminie 14 dni od dnia jej wystąpienia, a jeśli podmiot przestał spełniać przesłanki uznania za kluczowy lub ważny w danym zakresie działalności, składa wniosek o wykreślenie z uzasadnieniem. Wpis do wykazu ma też znaczenie praktyczne - otwiera dostęp do systemu służącego między innymi do zgłaszania incydentów i wymiany informacji o cyberzagrożeniach.

Co grozi za brak wniosku w terminie

Ustawowy termin na złożenie wniosku o wpis to zasadniczo 6 miesięcy od dnia spełnienia przesłanek uznania za podmiot kluczowy lub podmiot ważny. Dla podmiotów, które spełniały te przesłanki już 3 kwietnia 2026 roku (dzień wejścia w życie nowelizacji) i nie zostały wpisane z urzędu, termin wyznaczono w harmonogramie Ministra Cyfryzacji - zasadniczo do 3 października 2026 roku. Pełny harmonogram dat oraz szczegółowe zasady kar opisujemy w artykule NIS2 - terminy i kary.

Brak wniosku w terminie może prowadzić do dwóch konsekwencji. Po pierwsze, organ właściwy do spraw cyberbezpieczeństwa może - choć nie musi automatycznie - nałożyć na podmiot karę pieniężną, jeżeli przemawia za tym waga i znaczenie naruszonych przepisów. Art. 35 nowelizacji odracza pierwsze nałożenie tej kary do czasu upływu dwóch lat od wejścia nowelizacji w życie; nie zwalnia to z obowiązku terminowej rejestracji. Po drugie, Minister Cyfryzacji lub właściwy organ może z własnej inicjatywy wpisać taki podmiot do wykazu, mimo braku wniosku - w tym przypadku wpis wymaga uzasadnienia, a podmiot może zaskarżyć tę czynność do sądu administracyjnego. Wpis w tym trybie nie zwalnia jednak z pozostałych obowiązków ustawy, a jedynie zastępuje brakujący wniosek.

Jeżeli termin już minął, potwierdź status i właściwy tryb wpisu. Podmiot objęty samorejestracją powinien niezwłocznie złożyć wymagany, poprawny wniosek, o ile nie został już wpisany z urzędu. Zachowaj potwierdzenie i sprawdź pozostałe terminy wdrożenia. Konsultacja lub ankieta nie zastępuje wniosku ani nie przesuwa jego terminu.

Jak przygotować się do rejestracji

Zanim zalogujesz się do systemu, zbierz dane, które będą potrzebne do wniosku: dane identyfikacyjne podmiotu, ustalony sektor i rodzaj działalności, dane osoby kontaktowej i administratora konta oraz zakresy adresów IP i domen wykorzystywanych przez organizację. Jeśli wniosek będzie podpisywać osoba inna niż kierownik podmiotu i nie jest ona prokurentem ujawnionym w KRS ani pełnomocnikiem w CEIDG, przygotuj też elektroniczne pełnomocnictwo.

Jeśli nie masz pewności co do statusu swojego podmiotu, zacznij od ustalenia tego pytania, a nie od samego formularza - błędny wniosek, na przykład dotyczący podmiotu, który w rzeczywistości nie podlega ustawie, i tak nie zwalnia z konieczności ponownej analizy. Pomocna może być ankieta KSC/NIS2 oraz szersze kompendium KSC/NIS2, a w granicznych przypadkach - indywidualna konsultacja.

Rejestracja KSC po terminie - co zrobić i czy można dodać 5 dni?

Nie ma ogólnej zgody na przesunięcie terminu wniosku o pięć dni. Data 3 października 2026 roku pochodzi z harmonogramu MC dla podmiotów spełniających przesłanki w dniu wejścia nowelizacji w życie. Reguły prawne obliczania konkretnego terminu należy sprawdzić osobno; nie tworzą one dowolnego okresu zwłoki. Jeżeli termin obowiązujący Twoją organizację upłynął, wykonaj brakujący obowiązek niezwłocznie.

Sprawdź, czy organizacja podlega samorejestracji, czy wpisowi z urzędu i czy nie figuruje już w wykazie. W pierwszym przypadku przygotuj i złóż poprawny wniosek; w drugim sprawdź zawiadomienie i wezwanie do uzupełnienia danych. Zachowaj potwierdzenia. Samo przygotowanie formularza lub wysłanie niepodpisanego wniosku nie wystarcza do wpisu. Opóźnienie w rejestracji nie przesuwa terminów wdrożenia SZBI ani pierwszego audytu.

Jeżeli podmiot zaczął spełniać przesłanki dopiero później, nie zakładaj, że przegapił październikową datę. Co do zasady jego termin wniosku wynosi 6 miesięcy od spełnienia przesłanek, a przy wpisie z urzędu obowiązują zasady uzupełnienia danych. Rejestracja nie kończy wdrożenia - zakres polityk, procedur i dowodów przedstawiamy w poradniku dokumentacji SZBI w KSC/NIS2.

Stan prawny: październik 2026. Informacje mają charakter ogólny i nie stanowią porady prawnej - przepisy, terminy i funkcjonalności systemu mogą się zmieniać, dlatego przed złożeniem wniosku zweryfikuj aktualny stan w oficjalnym systemie, a w razie wątpliwości skonsultuj się indywidualnie.