Zgodnie z Ustawą o krajowym systemie cyberbezpieczeństwa (Dz. U. z 2026 r. poz. 20, z późn. zm.):

• Podmiot należy uznać za kluczowy, jeżeli spełnia warunki określone w art. 5 ust. 1 ustawy.
• Podmiot należy uznać za ważny, jeżeli spełnia warunki określone w art. 5 ust. 2 ustawy.

Załączniki 1 i 2 do ustawy określają sektory kluczowe oraz ważne, stanowiące jedne z kryteriów klasyfikacji podmiotów w krajowym systemie cyberbezpieczeństwa:

 

Sektory kluczowe	Sektory ważne
Energia	Usługi pocztowe
Transport	Inwestycje energetyki jądrowej
Bankowość i infrastruktura rynków finansowych	Gospodarowanie odpadami
Ochrona zdrowia	Produkcja, wytwarzanie i dystrybucja chemikaliów
Zaopatrzenie w wodę pitną i jej dystrybucja	Produkcja, przetwarzanie i dystrybucja żywności
Zbiorowe odprowadzanie ścieków	Produkcja
Infrastruktura cyfrowa	Dostawcy usług cyfrowych
Zarządzanie usługami ICT	Badania naukowe
Przestrzeń kosmiczna	Podmioty publiczne
Podmioty publiczne
Legenda:
	- sektory, w stosunku do których Minister Infrastruktury jest organem właściwym ds. cyberbezpieczeństwa.

 

Istotne terminy wdrożenia dla podmiotów kluczowych i podmiotów ważnych:

1. Wpis do wykazu podmiotów kluczowych i ważnych – 6 miesięcy od spełnienia przesłanek uznania za podmiot kluczowy lub podmiot ważny.

✓ 3 października 2026 r.

2. Podłączenie do Systemu S46 – 12 miesięcy od spełnienia przesłanek uznania za podmiot kluczowy lub ważny.

✓ 3 kwietnia 2027 r.

3. Wdrożenie obowiązków z zakresu systemu zarządzania bezpieczeństwa informacji SZBI po raz pierwszy – 12 miesięcy od spełnienia przesłanek uznania za podmiot kluczowy lub ważny.

✓ 3 kwietnia 2027 r.

4. Pierwszy audyt podmiotu kluczowego – 24 miesiące od spełnienia przesłanek uznania za podmiot kluczowy lub ważny.

✓ 3 kwietnia 2028 r.

 

Link do wykazu podmiotów kluczowych i podmiotów ważnych: System S46 Wykaz KSC

Więcej szczegółowych informacji można odnaleźć na stronie: FAQ - Cyber.gov.pl