Nie złożyłeś wniosku o wpis do wykazu do 3 października 2026? Co teraz

Wpis do wykazu KSC po terminie: krótka odpowiedź

Jeśli Twoja firma była podmiotem kluczowym albo podmiotem ważnym już 3 kwietnia 2026 r. i nie złożyła wniosku o wpis do wykazu podmiotów kluczowych i ważnych, termin minął 3 października 2026 r. Najważniejsze fakty:

• Obowiązki masz i tak. Wpis do wykazu ma charakter deklaratoryjny - obowiązki wynikają z ustawy, a nie z wpisu (art. 7d ust. 5).
• Wniosek złóż jak najszybciej. Ustawa nie reguluje wprost wniosku złożonego po terminie, ale go nie zakazuje. Złożenie wniosku teraz nie zmienia faktu, że termin minął, ale kończy okres, w którym firma działa poza wykazem.
• Organ może wpisać Cię sam. Organ właściwy może wpisać do wykazu podmiot, który nie złożył wniosku w terminie, i wezwać go do uzupełnienia danych (art. 7j).
• Kara jest możliwa, ale nie automatyczna: za niezłożenie wniosku w terminie organ może nałożyć karę, jeśli przemawia za tym waga naruszenia (art. 73 ust. 1a pkt 1). Karze może podlegać także kierownik podmiotu (art. 73a ust. 1 pkt 1), a obie kary można nałożyć dopiero po 3.04.2028 (art. 35 nowelizacji).

Kogo dotyczył termin 3 października 2026 r.

Termin dotyczył podmiotów, które spełniały przesłanki uznania za kluczowe lub ważne w dniu wejścia nowelizacji w życie. Wnioski o wpis (potocznie: rejestracja NIS2) składały od 7 maja do 3 października 2026 r., według harmonogramu z komunikatu Ministra Cyfryzacji (art. 33 ust. 3 nowelizacji, Dz.Urz. MC 2026 poz. 7).

Termin nie dotyczył dwóch grup:

• Podmiotów wpisanych z urzędu przez ministra. Z urzędu do wykazu wpisuje minister cyfryzacji m.in. podmioty publiczne, przedsiębiorców komunikacji elektronicznej, dostawców usług zaufania, podmioty krytyczne i dotychczasowych operatorów usług kluczowych - one nie składają wniosku, tylko uzupełniają dane po wezwaniu (art. 7a, art. 7b ust. 2, art. 34 ust. 2 nowelizacji). Na uzupełnienie danych mają 6 miesięcy od doręczenia wezwania (art. 7b ust. 2).
• Firm, które spełniły przesłanki później. Dla nich wniosek o wpis to 6 miesięcy od spełnienia przesłanek (art. 7c ust. 1). Jeśli Twoja firma zaczęła spełniać przesłanki np. w czerwcu 2026 r., termin na wniosek upływa w grudniu 2026 r.

Wpis dotyczy również banków i infrastruktury rynków finansowych, choć w sprawach systemu zarządzania bezpieczeństwem i incydentów stosują one DORA (art. 8i).

Co teraz: kroki na już

1. Ustal status i sprawdź, czy nie jesteś już w wykazie. Potwierdź sektor z załącznika nr 1 lub 2, wielkość liczoną razem z podmiotami powiązanymi i wyjątki niezależne od wielkości. Przejrzyj korespondencję od organu właściwego dla Twojego sektora i od ministra cyfryzacji - zawiadomienie o wpisie z urzędu doręcza się na zasadach Kodeksu postępowania administracyjnego (art. 7j ust. 4). Jeśli wpis już jest, nie składasz nowego wniosku, bo podmiotu już wpisanego nie wpisuje się ponownie (art. 7d ust. 3 pkt 2) - przechodzisz do kroku 4.
2. Zbierz dane do wniosku. Wniosek zawiera dane z art. 7 ust. 2 pkt 1-18 ustawy - listę znajdziesz niżej. W praktyce najwięcej pracy wymagają zakresy publicznych adresów IP i domeny używane w sposób ciągły oraz ustalenie, kto będzie administratorem konta w S46.
3. Złóż wniosek w S46 i dopilnuj podpisu. Wniosek składa się w systemie S46 w postaci elektronicznej, z podpisem kwalifikowanym, zaufanym albo osobistym kierownika (lub osoby upoważnionej) albo z kwalifikowaną pieczęcią elektroniczną (art. 7c ust. 6). Wniosek zawiera też oświadczenie kierownika o zgodności danych z prawdą, składane pod rygorem odpowiedzialności karnej - nie obejmuje ono zakresów adresów IP i nazw domen (art. 7c ust. 5). Pełnomocnik dołącza pełnomocnictwo w postaci elektronicznej, ale prokurent ujawniony w KRS go nie potrzebuje (art. 7c ust. 7). Wpisu dokonuje się z chwilą złożenia wniosku w systemie S46 (art. 7d ust. 1). Wniosek bez wymaganych danych, oświadczenia albo podpisu nie prowadzi do wpisu (art. 7d ust. 3), więc zachowaj potwierdzenie złożenia.
4. Jeśli organ wpisał Cię z urzędu - uzupełnij dane. Po wpisie z urzędu organ zawiadamia podmiot i wzywa go do uzupełnienia brakujących danych w ciągu 6 miesięcy od otrzymania zawiadomienia, pod rygorem kary (art. 7j ust. 3). Na wpis z urzędu przysługuje skarga do sądu administracyjnego; wpis wymaga uzasadnienia (art. 7j ust. 5). Jeśli uważasz, że ustawa Cię nie obejmuje, analizę zrób od razu po otrzymaniu zawiadomienia - termin na skargę biegnie według przepisów o postępowaniu przed sądami administracyjnymi.
5. Pilnuj aktualności wpisu. Zmiany danych w wykazie zgłasza się w ciągu 14 dni (art. 7c ust. 3). Organ może sprawdzać dane w wykazie; jeśli są niezgodne ze stanem faktycznym, wzywa do zmiany wpisu w ciągu 7 dni, pod rygorem kary (art. 7k ust. 1-2).
6. Nie wstrzymuj wdrożenia. Terminy biegną niezależnie od wpisu: obowiązki do 3 kwietnia 2027 r., rozpoczęcie korzystania z S46 do 3.04.2027, pierwszy audyt podmiotów kluczowych do 3 kwietnia 2028 r. Wszystkie daty zebraliśmy w artykule harmonogram obowiązków po nowelizacji KSC.
7. Udokumentuj, co zrobiłeś. Zachowaj analizę kwalifikacji, potwierdzenie złożenia wniosku i plan wdrożenia. Decydując o karze, organ uwzględnia m.in. czas trwania naruszenia, jego umyślny lub nieumyślny charakter i stopień współpracy z organem (art. 76a ust. 1 i art. 53 ust. 12 pkt 2, 5 i 7).

Jakie dane przygotować do wniosku

Wniosek o wpis zawiera m.in.:

• nazwa (firma), sektor, podsektor i rodzaj podmiotu według załącznika nr 1 lub 2
• adres siedziby, adres do korespondencji, adres do doręczeń elektronicznych i adres e-mail
• NIP, REGON i numer w rejestrze działalności regulowanej (jeśli zostały nadane)
• zakres publicznych adresów IP i domeny internetowe wykorzystywane w sposób ciągły
• dane osób do kontaktu (dla administratora konta w S46 także PESEL lub identyfikator środka identyfikacji elektronicznej)
• deklaracja wielkości przedsiębiorstwa (mikro, małe, średnie albo większe)
• państwa UE, w których podmiot działa, oraz informacja o umowie z dostawcą usług zarządzanych w zakresie cyberbezpieczeństwa

Pełny katalog danych określa art. 7 ust. 2 pkt 1-18 ustawy. Jeśli prowadzisz kilka rodzajów działalności, wykazujesz je we wniosku odrębnie (art. 7d ust. 2).

Wnioski obsługuje aplikacja Wykaz KSC w systemie teleinformatycznym S46 (wykaz-ksc.gov.pl). Według Ministerstwa Cyfryzacji logujesz się do niej przez węzeł krajowy, np. profilem zaufanym, e-dowodem lub bankowością elektroniczną. Po wpisie podmiot rozpoczyna korzystanie z systemu S46 (art. 9 ust. 1 pkt 4), a według ministerstwa administrator konta wskazany we wniosku dostaje zaproszenie do systemu bez odrębnego wniosku.

Co grozi za brak wniosku w terminie

Ostatni wiersz bywa ważniejszy od kar. Incydent poważny zgłasza się przez system S46, a wczesne ostrzeżenie trzeba przekazać w ciągu 24 godzin od wykrycia (art. 11 ust. 1 pkt 4). Bez wpisu i aktywnego konta trudno dotrzymać tego terminu.

Stanowisko ministerstwa: Według Ministerstwa Cyfryzacji firmy, które się nie zarejestrują, będą wpisywane z urzędu przez organy właściwe, a konsekwencją mogą być czynności nadzorcze i administracyjna kara pieniężna. To wyjaśnienie z dokumentu Q&A Ministerstwa Cyfryzacji (pyt. 1.20) - pokazuje, jak ministerstwo widzi praktykę, ale nie ma mocy prawnej.

Jak możemy pomóc

Jeśli nie masz pewności, czy i jak Twoja firma podlega ustawie, dobrym pierwszym krokiem jest audyt zerowy. Na jego początku ustalamy kwalifikację (podmiot kluczowy, ważny albo poza ustawą) i weryfikujemy dane potrzebne do wniosku lub korekty wpisu, a potem pokazujemy luki i plan wdrożenia do 3.04.2027. Szerzej o obowiązkach piszemy na stronie kogo dotyczy NIS2 i ustawa o KSC, a pojęcia z ustawy wyjaśniamy w słowniku NIS2/KSC.