13 kwietnia 2026 r. – uruchomienie wykazu podmiotów kluczowych i ważnych

Tego dnia zostanie uruchomiony wykaz podmiotów kluczowych i podmiotów ważnych (Wykaz KSC), do którego wpisywane będą podmioty objęte przepisami ustawy.

13 kwietnia – 6 maja 2026 r. – wpisy z urzędu realizowane przez Ministra Cyfryzacji

W tym okresie Minister Cyfryzacji wprowadzi do wykazu z urzędu dotychczasowych operatorów usług kluczowych, dostawców usług zaufania, przedsiębiorców telekomunikacyjnych oraz podmioty publiczne.

7 maja – 3 października 2026 r. – samorejestracja w wykazie podmiotów kluczowych i ważnych

Podmioty, które nie są objęte wpisem do Wykazu KSC realizowanym z urzędu, podlegają wpisowi na swój wniosek.

Wykaz KSC będzie prowadzony w Systemie S46, ale stanowi osobną aplikację webową dostępną pod adresem https://wykaz-ksc.gov.pl. Wnioski o wpis, zmianę wpisu, wykreślenie podmiotu z wykazu będą wypełnianie i składane w aplikacji Wykaz KSC w postaci elektronicznej i opatrywane podpisem elektronicznym.

12 czerwca 2026 r. – uruchomienie możliwości korzystania z systemu S46 dla nowych podmiotów 

Nowelizacja ustawy o KSC wprowadza obowiązek korzystania z Systemu S46 przez podmioty kluczowe i podmioty ważne. Od tej daty podmioty mogą rozpocząć korzystanie z S46, który służy m.in. do realizacji obowiązków ustawowych, w szczególności do raportowania incydentów oraz do komunikacji z właściwymi organami w ramach krajowego systemu cyberbezpieczeństwa.

3 kwietnia 2027 r. – koniec terminu na rozpoczęcie korzystania z systemu S46 i wdrożenie obowiązków (koniec okresu dostosowawczego) 

Do tego dnia podmioty, które na dzień wejścia w życie znowelizowanej ustawy o KSC spełniają przesłanki uznania za podmiot kluczowy lub podmiot ważny, mają czas na rozpoczęcie korzystania z Systemu S46 oraz wdrożenie obowiązków wynikających z ustawy.

3 kwietnia 2028 r. – pierwszy audyt SZBI (dla podmiotów kluczowych, które nie były operatorami usług kluczowych) 

Tego dnia upływa termin na przeprowadzenie pierwszego audytu bezpieczeństwa systemu informacyjnego wykorzystywanego w procesie świadczenia usługi przez podmioty kluczowe, które dotychczas nie były operatorami usług kluczowych.

Pozostałe podmioty kluczowe (dotychczasowi operatorzy usług kluczowych) przeprowadzają audyt co najmniej raz na 3 lata, licząc od dnia sporządzenia i podpisania raportu z ostatniego audytu. Oznacza to, że zachowany jest cykl audytowy. Do takich podmiotów nie stosuje się odroczenia obowiązku audytowego. Natomiast jeżeli termin audytu wypada przed 4 kwietnia 2027 r. podmiot przeprowadza audyt zgodności z wymaganiami określonymi w ustawie sprzed nowelizacji.

3 kwietnia 2028 r. – początek obowiązywania przepisów o karach

Kary pieniężne będą mogły być nakładane dopiero po 2 latach od wejścia w życie ustawy. Decyzja o nałożeniu kary pieniężnej poprzedzona będzie ostrzeżeniem i informowaniem podmiotu o wstępnych ustaleniach.

Podmioty objęte przepisami powinny już teraz w szczególności:

• przeanalizować, czy podlegają nowym regulacjom (na podstawie załącznika nr 1 oraz nr 2 do ustawy),
• przygotować się do wpisu do wykazu podmiotów kluczowych i ważnych,
• zaplanować wdrożenie systemu zarządzania bezpieczeństwem informacji (SZBI),
• rozpocząć działania organizacyjne i techniczne umożliwiające spełnienie wymogów ustawowych.

Choć część obowiązków zacznie obowiązywać później, kluczowe działania należy zaplanować już teraz. W szczególności dotyczy to identyfikacji statusu podmiotu i przygotowania do rejestracji w wykazie.

Dodatkowo:

Aby ułatwić przygotowanie się do nowych obowiązków, opublikowany został pierwszy zestaw Q&A. Materiał odpowiada na najczęściej pojawiające się wątpliwości i będzie sukcesywnie rozszerzany.