3 kwietnia 2026 roku w życie weszła nowelizacja ustawy o krajowym systemie cyberbezpieczeństwa (KSC), która wdraża do polskiego prawa unijną dyrektywę NIS2. Dla tysięcy firm i instytucji oznacza to jedno: zegar już tyka. Od dnia wejścia w życie zaczęły biec ustawowe terminy, a pierwszy z nich — obowiązek złożenia wniosku o wpis do wykazu podmiotów kluczowych i ważnych — mija 3 października 2026 roku.
Problem w tym, że wiele organizacji wciąż nie wie, czy w ogóle podlega nowym przepisom, co dokładnie ma zrobić i w jakiej kolejności. W tym przewodniku porządkujemy pełny kalendarz terminów i obowiązków, opierając się na oficjalnym harmonogramie Ministerstwa Cyfryzacji.
Co dokładnie zmienia nowelizacja ustawy o KSC od 3 kwietnia 2026?
Nowelizacja rozszerza krajowy system cyberbezpieczeństwa na nowe sektory gospodarki i wprowadza dwie kategorie podmiotów objętych regulacją: podmioty kluczowe i podmioty ważne. Na organizacje działające w strategicznych sektorach gospodarki nakłada obowiązek stosowania odpowiednich środków technicznych i organizacyjnych, które zwiększają bezpieczeństwo systemów informatycznych.
Kluczowa zmiana o charakterze zarządczym: nowe przepisy wprowadzają odpowiedzialność kierowników podmiotów za realizację zadań z zakresu cyberbezpieczeństwa. Cyberbezpieczeństwo przestaje być wyłącznie problemem działu IT — staje się obowiązkiem zarządu.
Jaki jest pełny kalendarz terminów KSC/NIS2?
Najważniejsze daty wynikające z harmonogramu ustawowego zebraliśmy w jednej tabeli:
| Termin | Co się dzieje |
|---|---|
| 3 kwietnia 2026 | Wejście nowelizacji w życie — zaczynają biec wszystkie ustawowe terminy |
| 3 października 2026 | Ostateczny termin złożenia wniosku o wpis do wykazu podmiotów kluczowych i ważnych (6 miesięcy) |
| 3 kwietnia 2027 | Termin wdrożenia pełnych obowiązków przez podmioty spełniające kryteria w dniu wejścia ustawy w życie |
| 3 kwietnia 2028 | Termin pierwszego obowiązkowego audytu cyberbezpieczeństwa dla podmiotów kluczowych; od tej daty możliwe nakładanie kar za większość obowiązków |
Każdy z tych terminów uruchamia inny zestaw zadań — dlatego nie wystarczy zapamiętać tylko deadline’u rejestracji.
Co trzeba zrobić do 3 października 2026 roku?
Do 3 października 2026 roku podmioty kluczowe i ważne mają czas, aby złożyć wniosek o wpis do wykazu. To pierwszy ważny termin wynikający z ustawy. W praktyce oznacza on sześć miesięcy na dwie rzeczy:
- Sprawdzenie, czy dany podmiot podlega nowym przepisom — czyli przeprowadzenie samoidentyfikacji w oparciu o sektor działania i wielkość organizacji.
- Dopełnienie formalności rejestracyjnych — przygotowanie i złożenie wniosku o wpis do wykazu.
Uwaga na częsty błąd interpretacyjny: złożenie wniosku o wpis to nie to samo co pełne wdrożenie obowiązków bezpieczeństwa. Rejestracja jest dopiero pierwszym, formalnym krokiem.
Czym różni się podmiot kluczowy od podmiotu ważnego?
To rozróżnienie decyduje o zakresie obowiązków i intensywności nadzoru. W dużym uproszczeniu:
- Podmiot kluczowy — duża organizacja w sektorze o najwyższej krytyczności (m.in. energetyka, transport, bankowość, ochrona zdrowia, infrastruktura cyfrowa); podlega proaktywnemu nadzorowi i najwyższym wymogom.
- Podmiot ważny — organizacja w pozostałych sektorach objętych ustawą; podlega nadzorowi reaktywnemu (po wystąpieniu zdarzenia).
Dokładne kryteria sektorowe i progi wielkości opisaliśmy w artykule o tym, kogo dotyczy krajowy system cyberbezpieczeństwa.
Jak sprawdzić, czy moja firma podlega pod nowe przepisy?
Polski model opiera się na samoidentyfikacji — to organizacja sama ma ocenić, czy spełnia ustawowe kryteria. Weryfikację warto przeprowadzić w trzech krokach:
- Sektor — czy działasz w jednym z sektorów wymienionych w ustawie (np. infrastruktura cyfrowa, produkcja, gospodarka wodna, ochrona zdrowia, usługi pocztowe).
- Wielkość — czy przekraczasz progi zatrudnienia lub obrotu określone dla podmiotów średnich i większych.
- Rola w łańcuchu — czy świadczysz usługi krytyczne dla innych podmiotów objętych regulacją.
Jeśli odpowiedź na te pytania jest twierdząca, najprawdopodobniej podlegasz pod ustawę i masz obowiązek wpisu do wykazu do 3 października 2026.
Jakie obowiązki trzeba wdrożyć do 3 kwietnia 2027 roku?
Do 3 kwietnia 2027 roku podmioty kluczowe i ważne, które w dniu wejścia nowelizacji w życie spełniają ustawowe kryteria, muszą wdrożyć pełne obowiązki wynikające z nowych przepisów. Obejmują one m.in.:
- wdrożenie systemu zarządzania bezpieczeństwem informacji (SZBI) i polityk bezpieczeństwa,
- zarządzanie ryzykiem, w tym ryzykiem łańcucha dostaw,
- procedury obsługi i zgłaszania incydentów,
- mechanizmy zapewnienia ciągłości działania (BCP/DR),
- szkolenia i budowę kultury cyberhigieny w organizacji.
Aby zaplanować te działania racjonalnie, zacznij od diagnozy — szczegółowo opisujemy ją w przewodniku po audycie gotowości KSC/NIS2 dla CISO.
Kiedy zaczną obowiązywać kary i jaka jest odpowiedzialność zarządu?
Ustawodawca przewidział okres przejściowy. W przypadku większości obowiązków administracyjne kary pieniężne będą mogły być nakładane dopiero po upływie dwóch lat od wejścia ustawy w życie, czyli po 3 kwietnia 2028 roku. To celowe — okres ten ma dać podmiotom czas na rzetelne przygotowanie, a nie na działanie pod presją natychmiastowej sankcji.
Nie jest to jednak powód, by zwlekać. Wdrożenie dojrzałego systemu bezpieczeństwa zajmuje miesiące, a odpowiedzialność za realizację zadań spoczywa wprost na kierownictwie podmiotu. Zarząd, który zignoruje harmonogram, naraża organizację nie tylko na przyszłe kary, lecz przede wszystkim na realne ryzyko incydentu.
Jak wygląda raportowanie incydentów w nowym systemie?
Jednym z filarów NIS2 jest sprawne zgłaszanie poważnych incydentów. Model raportowania jest wieloetapowy — od wczesnego ostrzeżenia w ciągu pierwszych godzin, przez właściwe zgłoszenie, po raport końcowy. Operacyjna gotowość do dotrzymania tych terminów wymaga ciągłego monitoringu bezpieczeństwa. Jak zbudować taką zdolność, opisujemy w artykule o ciągłym monitoringu SOC i raportowaniu incydentów.
Od czego zacząć przygotowania już teraz?
Mimo że pełne kary wejdą później, okno na spokojne przygotowanie jest wąskie. Rekomendowana kolejność działań:
- Samoidentyfikacja — ustal, czy i jako jaki podmiot (kluczowy/ważny) podlegasz ustawie.
- Audyt gotowości (gap analysis) — zmierz dystans między stanem obecnym a wymogami ustawy.
- Mapa drogowa — uszereguj luki według ryzyka i kosztu, z budżetem i harmonogramem.
- Wpis do wykazu — dopełnij formalności przed 3 października 2026.
- Wdrożenie — realizuj mapę drogową tak, by domknąć obowiązki przed 3 kwietnia 2027.
Powiązane pojęcia
- Podmiot kluczowy — najwyższa kategoria nadzoru w NIS2
- Podmiot ważny — pozostałe sektory objęte ustawą
- NIS2 — unijna dyrektywa wdrażana przez nowelizację KSC
- DORA — równoległa regulacja dla sektora finansowego
Sprawdź nasze usługi
Potrzebujesz wsparcia we wdrożeniu wymogów KSC/NIS2? Sprawdź:
- Audyt i doradztwo KSC/NIS2 — od gap analysis po mapę drogową zgodności
- SOC 24/7 — ciągły monitoring i gotowość do raportowania incydentów
- Testy penetracyjne — weryfikacja odporności systemów
- vCISO — zarządzanie bezpieczeństwem i nadzór bez konieczności etatu
Nowelizacja KSC/NIS2 to nie jednorazowy projekt, lecz trwała zmiana w sposobie zarządzania bezpieczeństwem. Im wcześniej zaczniesz, tym mniejsza presja przy kolejnych terminach harmonogramu.
