W sobotę 3 października 2026 r. upłynął termin na złożenie wniosku o wpis do wykazu podmiotów kluczowych i podmiotów ważnych krajowego systemu cyberbezpieczeństwa. Obowiązek dotyczył podmiotów, które spełniały ustawowe kryteria już 3 kwietnia 2026 r., czyli w dniu wejścia w życie nowelizacji ustawy. Co powinien zrobić przedsiębiorca, który dotychczas nie zweryfikował swojego statusu lub nie złożył wymaganego wniosku?

Analiza statusu przedsiębiorcy

Pierwszym krokiem jest przeprowadzenie samoidentyfikacji, czyli ustalenie, czy przedsiębiorca jest podmiotem kluczowym lub podmiotem ważnym w rozumieniu uKSC. Analiza powinna uwzględniać rzeczywiście prowadzoną działalność pod kątem sektorów kluczowych i ważnych, wielkość przedsiębiorstwa, uwzględnienie danych podmiotów partnerskich i powiązanych oraz ustawowe wyjątki.

Sam przegląd kodów PKD może być niewystarczający. Decydująca jest rzeczywista, a nie deklarowana działalność. Ministerstwo Cyfryzacji akcentuje przy tym, że „Działalność należy określić w oparciu o prawidłowo zadeklarowane kody Polskiej Klasyfikacji Działalności (PKD) oraz dokumenty urzędowe takie jak koncesje, zezwolenia, wpisy z rejestrów działalności regulowanej” (https://cyber.gov.pl/faq, pyt. 1.1). Przy okazji przeglądu zakresu działalności podmiotu można więc skorygować dokumenty korporacyjne i dostosować kody PKD do rzeczywiście realizowanej działalności.

Podmioty kluczowe i ważne spełniające przesłanki z uKSC mają 6 miesięcy od momentu ich spełnienia na złożenie wniosku do wykazu.

Udokumentowanie wyniku analizy

Wynik weryfikacji warto udokumentować, również wtedy, gdy analiza prowadzi do wniosku, że przedsiębiorca nie podlega nowym przepisom. Pozwoli to wykazać, na jakiej podstawie podjęto decyzję o zgłoszeniu albo o jego braku.

Ocenę należy ponowić i znowu udokumentować, jeżeli zmienią się okoliczności mające wpływ na status przedsiębiorcy w uKSC. Przykładowo podmiot działający w sektorze kluczowym lub ważnym, który nie spełnia wymaganych progów wielkości zatrudnienia i danych finansowych, powinien powtórzyć analizę po sporządzeniu sprawozdania finansowego za kolejne lata obrotowe.

Złożenie zaległego wniosku

Jeżeli z analizy wynika, że przedsiębiorca powinien był dokonać zgłoszenia, zaległy wniosek należy złożyć niezwłocznie w aplikacji Wykaz KSC, dostępnej pod adresem wykaz-ksc.gov.pl. Brak wpisu nie oznacza braku statusu podmiotu kluczowego lub ważnego, ponieważ wpis ma charakter deklaratoryjny, jedynie potwierdza istnienie statutu przypisanego z mocy samego prawa. Kierownik podmiotu ponosi odpowiedzialność karną za złożenie fałszywego oświadczenia, że dane zawarte we wniosku o wpis do wykazu są zgodne z prawdą.

Skutki niezłożenia wniosku w terminie

Po upływie terminu organ właściwy do spraw cyberbezpieczeństwa może sam wpisać do wykazu podmiot, który spełnia przesłanki, a nie złożył wniosku. Korzysta przy tym z danych z publicznych rejestrów, np. KRS i CEIDG. Następnie zawiadamia podmiot o wpisie i wzywa go do uzupełnienia brakujących danych w ciągu 6 miesięcy pod rygorem kary pieniężnej.

Samo niezłożenie wniosku w terminie również może skutkować karą, jeżeli przemawia za tym waga i znaczenie naruszonych przepisów. Odrębnie odpowiada kierownik podmiotu, któremu za niewykonanie obowiązku złożenia wniosku grozi kara do 300% wynagrodzenia. Obie wspomniane kary są objęte dwuletnim moratorium, o którym mowa niżej. Szybkie złożenie zaległego wniosku nie usuwa więc naruszenia, ale ogranicza ryzyko wpisu z urzędu i może mieć znaczenie przy ocenie wagi uchybienia.

Moratorium na kary i jego granice

Czy dwuletnie moratorium na kary pozwala odłożyć te działania? Art. 35 ustawy nowelizującej przewiduje, że wskazane w nim kary pieniężne mogą zostać po raz pierwszy nałożone po upływie dwóch lat od wejścia w życie ustawy, czyli po 3 kwietnia 2028 r. Odroczenie możliwości nakładania kar nie przesuwa jednak terminu zgłoszenia. Nie obejmuje też wszystkich kar przewidzianych w ustawie.

Nie jest natomiast jednoznaczne, czy po zakończeniu moratorium organy będą mogły nakładać kary za naruszenia popełnione w pierwszych dwóch latach, także takie, które zostały wcześniej usunięte. Brzmienie art. 35 odnosi się do momentu nałożenia kary, a nie do momentu naruszenia obowiązku. Nie wyłącza wprost odpowiedzialności za wcześniejsze uchybienia. W praktyce najważniejsza będzie wykładnia tego przepisu i praktyka jego stosowania przyjęta przez organy nadzoru.

Podsumowanie

Przedsiębiorca, który nie złożył wniosku o wpis do wykazu podmiotów kluczowych i ważnych w terminie, powinien teraz zweryfikować swój status, udokumentować wynik i w razie potrzeby dokonać zaległego zgłoszenia. Równolegle powinien ustalić harmonogram wykonania pozostałych obowiązków wynikających z ustawy.

radczyni prawna dr Martyna Komarowska-Horosz