Wykaz podmiotów kluczowych i podmiotów ważnych (Wykaz KSC) to elektroniczny rejestr prowadzony w ramach rządowego Systemu S46, w którym organizacje objęte znowelizowaną ustawą o Krajowym Systemie Cyberbezpieczeństwa (KSC) muszą się zarejestrować. Samodzielna rejestracja jest dostępna od 7 maja 2026 r. pod adresem wykaz-ksc.gov.pl, a termin na złożenie wniosku dla podmiotów spełniających kryteria już w dniu wejścia w życie ustawy (3 kwietnia 2026 r.) upływa 3 października 2026 r.
To trzeci artykuł z naszej serii o KSC/NIS2 – jeśli szukasz informacji o tym, kto podlega ustawie i jakie ma obowiązki (w tym zarządzanie ryzykiem dostawców), zajrzyj do poprzedniego wpisu o KSC/NIS2.
W tym artykule wyjaśniamy, kto podlega obowiązkowi wpisu, jak wygląda proces rejestracji krok po kroku i co dzieje się z organizacją po dokonaniu wpisu.
Czym jest Wykaz KSC?
Wykaz KSC to elektroniczny rejestr podmiotów kluczowych i podmiotów ważnych, prowadzony przez ministra właściwego do spraw informatyzacji w ramach Systemu S46. Zastępuje dotychczasowy rejestr operatorów usług kluczowych i stanowi centralną bazę informacji o podmiotach objętych regulacją.
Wykaz umożliwia zespołom CSIRT i organom właściwym ds. cyberbezpieczeństwa wiedzieć, z kim się kontaktować w razie incydentu, a wpis otwiera organizacji dostęp do S46 Cyber Hub – operacyjnej platformy, przez którą realizuje się dalsze obowiązki ustawowe, przede wszystkim zgłaszanie incydentów.
Kto podlega wpisowi do Wykazu KSC?
Ścieżka wpisu zależy od tego, czy organizacja była już wcześniej znana organom nadzoru:
Wniosek o wpis składa kierownik podmiotu lub osoba przez niego upoważniona.
Do kiedy należy dokonać wpisu?
Ustawowy termin na złożenie wniosku o wpis to 6 miesięcy od spełnienia przesłanek uznania za podmiot kluczowy lub ważny. Dla organizacji, które spełniały te kryteria już w dniu wejścia w życie nowelizacji (3 kwietnia 2026 r.), termin upływa 3 października 2026 r.
Dla podmiotów wpisywanych z urzędu, które otrzymały wezwanie do uzupełnienia danych, obowiązuje termin 6 miesięcy od doręczenia wezwania.
Jak sprawdzić, czy organizacja podlega obowiązkowi?
Zanim przystąpisz do rejestracji, upewnij się, że Twoja organizacja rzeczywiście spełnia kryteria ustawy – sektor działalności oraz wielkość przedsiębiorstwa. Możesz skorzystać z darmowego narzędzia do samooceny NIS2/KSC, a pełny opis procesu klasyfikacji (podmiot kluczowy vs podmiot ważny) znajdziesz w naszym poprzednim artykule o KSC/NIS2.
Jakie informacje należy przygotować?
Formularz wniosku na wykaz-ksc.gov.pl składa się z kilku sekcji, z których każda jest zapisywana osobno. Zgodnie z oficjalną instrukcją Systemu S46, warto przygotować wcześniej:
- Informacje podstawowe – nazwa podmiotu, NIP, REGON,
- Rejestry działalności regulowanej – jeśli organizacja prowadzi działalność regulowaną,
- Klasyfikację – sektor, podsektor i rodzaj działalności zgodnie z załącznikami do ustawy o KSC,
- Dane adresowe – adres siedziby, adres korespondencyjny oraz dane kontaktowe (e-mail, telefon, strona www, adres do doręczeń elektronicznych),
- Osoby kontaktowe – dane osoby lub osób odpowiedzialnych za kontakt z organami KSC, w tym administratora konta w Systemie S46.
Komentarz ekspercki BCMLogic: warto zebrać te dane przed rozpoczęciem wypełniania formularza, a nie w trakcie – zwłaszcza klasyfikację sektorową i dane administratora konta S46, bo to od nich zależy, jak szybko organizacja uzyska dostęp do S46 Cyber Hub po wpisie.
Jak wygląda proces rejestracji?
Zgodnie z oficjalną instrukcją Ministerstwa Cyfryzacji, proces samorejestracji przebiega następująco:
- Logowanie – przez Węzeł Krajowy (login.gov.pl), za pomocą Profilu Zaufanego, aplikacji mObywatel, e-Dowodu, bankowości elektronicznej lub kwalifikowanego podpisu elektronicznego.
- Uruchomienie formularza – na stronie powitalnej wykaz-ksc.gov.pl wybierz opcję „Wpisz nowy podmiot”.
- Wypełnienie sekcji formularza – każda sekcja (informacje podstawowe, klasyfikacja, dane adresowe, osoby kontaktowe itd.) zapisywana jest osobno; pola oznaczone jako wymagane muszą być uzupełnione przed zapisem danej sekcji.
- Złożenie wniosku – po uzupełnieniu wszystkich sekcji wniosek trafia do rozpatrzenia przez właściwy organ.
Co dzieje się po dokonaniu wpisu?
Po pozytywnym rozpatrzeniu wniosku status zmienia się na „Zatwierdzony” – podmiot pojawia się na liście w wykazie, a organizacja otrzymuje potwierdzenie e-mailem.
Administrator konta S46, wskazany w formularzu jako osoba kontaktowa, otrzymuje dostęp do S46 Cyber Hub – platformy operacyjnej służącej do bieżącej komunikacji z zespołami CSIRT i organami nadzoru, w tym do zgłaszania incydentów.
Warto pamiętać, że wpis do Wykazu KSC ma charakter deklaratoryjny – oznacza to, że obowiązki wynikające z ustawy zaczynają obowiązywać organizację od dnia spełnienia ustawowych przesłanek, a nie dopiero od dnia formalnej rejestracji. Sam wpis nie jest więc równoznaczny z pełną zgodnością z wymaganiami ustawy.
Jakie kolejne obowiązki czekają organizację?
Wpis do wykazu otwiera dostęp do dalszych obowiązków, które organizacja musi zrealizować w kolejnych miesiącach:
- Rozpoczęcie korzystania z Systemu S46 – w terminie 12 miesięcy od spełnienia przesłanek uznania za podmiot kluczowy lub ważny,
- Wdrożenie systemu zarządzania bezpieczeństwem informacji (SZBI), obejmującego systematyczne szacowanie ryzyka,
- Przygotowanie procedur zgłaszania i obsługi incydentów zgodnie z ustawowymi terminami – w praktyce blisko powiązane z zarządzaniem kryzysowym i ciągłością działania,
- Wyznaczenie i przeszkolenie osób odpowiedzialnych za kontakt z organami KSC,
- Przygotowanie do pierwszego obowiązkowego audytu bezpieczeństwa – dla podmiotów kluczowych, które wcześniej nie były operatorami usług kluczowych.
Rejestracja w terminie nie oznacza więc automatycznie pełnej zgodności z ustawą – to dopiero pierwszy, formalny krok w znacznie szerszym procesie wdrożenia.
Najczęstsze błędy przy rejestracji w Wykazie KSC
- Odkładanie klasyfikacji na później – przystąpienie do wypełniania formularza bez wcześniejszej, udokumentowanej analizy statusu (podmiot kluczowy / ważny / brak obowiązku).
- Brak przygotowanych danych administratora S46 – to opóźnia uzyskanie dostępu do S46 Cyber Hub już po zatwierdzeniu wpisu.
- Traktowanie wpisu jako końca procesu – podczas gdy to dopiero początek obowiązków związanych z SZBI, zgłaszaniem incydentów i audytem.
- Nieuwzględnienie struktury grupy kapitałowej – spółki zależne od operatorów usług kluczowych również mogą podlegać obowiązkowi rejestracji.
FAQ
Czym różni się Wykaz KSC od Systemu S46?
Wykaz KSC to rejestr podmiotów kluczowych i ważnych – część szerszego Systemu S46. Po wpisie do wykazu organizacja uzyskuje dostęp do S46 Cyber Hub, czyli operacyjnej platformy Systemu S46 służącej m.in. do zgłaszania incydentów.
Kto może złożyć wniosek o wpis do Wykazu KSC?
Wniosek składa kierownik podmiotu lub osoba przez niego upoważniona.
Czy każdy podmiot musi samodzielnie się rejestrować?
Nie. Cztery grupy podmiotów – przedsiębiorcy telekomunikacyjni wpisani do rejestru Prezesa UKE, dostawcy usług zaufania, wybrane podmioty publiczne oraz dotychczasowi operatorzy usług kluczowych i podmioty krytyczne wg dyrektywy CER – są wpisywane z urzędu i jedynie uzupełniają dane po wezwaniu.
Co się dzieje, jeśli organizacja przestanie spełniać kryteria ustawy?
Organizacja powinna wystąpić o wykreślenie z Wykazu KSC.
Czy wpis do Wykazu KSC oznacza pełną zgodność z ustawą?
Nie. Wpis ma charakter deklaratoryjny i otwiera dostęp do dalszych obowiązków (System S46, SZBI, zgłaszanie incydentów, audyt), ale sam w sobie nie zastępuje ich realizacji.
Podsumowanie
Wpis do Wykazu KSC to pierwszy formalny krok dla każdej organizacji objętej znowelizowaną ustawą o KSC – bez niego nie da się uzyskać dostępu do Systemu S46 ani formalnie funkcjonować w nowym systemie cyberbezpieczeństwa. Najważniejsze jest zaplanowanie tego z wyprzedzeniem: wcześniejsza, udokumentowana klasyfikacja statusu, przygotowanie danych do formularza i wyznaczenie administratora S46 – zamiast zostawiania tego na ostatni tydzień przed terminem.
Sprawdź, jak może to wyglądać w Twojej organizacji
Jeśli Twoja organizacja przygotowuje się do rejestracji w Wykazie KSC i dalszego wdrożenia wymagań ustawy, warto zobaczyć, jak wygląda zarządzanie ryzykiem, dokumentacją i zgodnością regulacyjną na jednej platformie GRC. BCMLogic Solutions wspiera firmy z sektora finansowego i technologicznego w zarządzaniu ryzykiem operacyjnym, ciągłością działania i zgodnością regulacyjną – zgodnie z ISO 22301, ISO 27001 oraz wymogami takimi jak DORA i NIS2/KSC.
