W pierwszym wpisie z serii „KSC po nowelizacji w praktyce” zaczęliśmy od najważniejszego pytania: czy organizacja spełnia przesłanki uznania za podmiot kluczowy albo podmiot ważny?
Jeżeli odpowiedź brzmi „tak”, kolejnym praktycznym krokiem jest Wykaz KSC. To właśnie wokół wykazu i systemu S46 pojawia się dziś wiele pytań: kiedy trzeba się wpisać, jakie dane przygotować, kto składa wniosek, co zrobić przy wpisie z urzędu, kiedy uzyskuje się dostęp do S46 Cyber Hub i czy dane w wykazie trzeba aktualizować.
Wykaz KSC nie jest zwykłą listą
Ustawa wskazuje, że wykaz podmiotów kluczowych i podmiotów ważnych jest prowadzony w konkretnych celach. Ma służyć identyfikacji podmiotów kluczowych i ważnych, wymianie informacji w zakresie cyberbezpieczeństwa oraz prowadzeniu czynności nadzorczych.
To oznacza, że wpis do Wykazu KSC nie jest wyłącznie formalnością administracyjną. Jest elementem włączenia podmiotu do krajowego systemu cyberbezpieczeństwa. Wykaz ma umożliwiać m.in. przekazywanie informacji o incydentach, podatnościach i cyberzagrożeniach pomiędzy podmiotami a właściwymi CSIRT, CSIRT sektorowymi i organami właściwymi do spraw cyberbezpieczeństwa.
W praktyce warto więc traktować wpis do wykazu jako początek uporządkowanej relacji podmiotu z krajowym systemem cyberbezpieczeństwa, a nie jako jednorazowe wypełnienie formularza.
Kiedy trzeba złożyć wniosek o wpis?
Zgodnie z ustawą podmiot kluczowy lub podmiot ważny składa wniosek o wpis do wykazu w terminie 6 miesięcy od dnia spełnienia przesłanek uznania za podmiot kluczowy albo podmiot ważny.
FAQ Ministerstwa Cyfryzacji wyjaśnia, że dla podmiotów, które spełniały warunki uznania za podmiot kluczowy lub ważny na dzień wejścia w życie ustawy, termin na złożenie wniosku o wpis upływa 3 października 2026 r.
Jednocześnie FAQ podkreśla, że co do zasady termin na wpis liczony jest od momentu spełnienia przesłanek uznania za podmiot kluczowy lub ważny. Dla podmiotów, które spełniały te przesłanki już w dniu wejścia w życie ustawy, termin liczony jest od 3 kwietnia 2026 r.
To istotne rozróżnienie. Organizacja nie powinna patrzeć wyłącznie na datę graniczną wskazaną w FAQ, ale przede wszystkim ustalić, kiedy faktycznie spełniła przesłanki wynikające z ustawy.
Wniosek składa się przez S46
FAQ Ministerstwa Cyfryzacji wskazuje, że wnioski o wpis do wykazu są składane w systemie teleinformatycznym S46.
Wniosek może być podpisany kwalifikowanym podpisem elektronicznym, podpisem zaufanym, podpisem osobistym kierownika podmiotu kluczowego lub ważnego albo osoby upoważnionej, a także kwalifikowaną pieczęcią elektroniczną.
W praktyce organizacja powinna wcześniej ustalić, kto będzie upoważniony do złożenia wniosku i kto będzie odpowiadał za poprawność danych. FAQ odnosi się także do sytuacji, w której wniosek przygotowuje dział IT, a podpisuje go dyrektor albo prezes. Ministerstwo wyjaśnia, że wniosek wypełnia i podpisuje osoba upoważniona do jego złożenia. Jeżeli osoba z działu IT posiada pełnomocnictwo do działania w imieniu podmiotu w zakresie wykazu, może wypełnić, podpisać i złożyć wniosek.
Jeżeli podmiot działa przez pełnomocnika, do wniosku trzeba dołączyć pełnomocnictwo w postaci elektronicznej, podpisane odpowiednim podpisem albo pieczęcią elektroniczną. FAQ wskazuje też wyjątek: pełnomocnictwa nie dołącza się w przypadku, gdy pełnomocnik podmiotu jest ujawniony w CEIDG albo prokurent jest ujawniony w KRS.
Jakie dane trzeba przygotować?
Ustawa szczegółowo określa zakres danych, które znajdują się w Wykazie KSC. W praktyce organizacja powinna przygotować dane identyfikacyjne podmiotu, informacje o sektorze, podsektorze i rodzaju działalności, adres siedziby i adres do korespondencji, adres do doręczeń elektronicznych, adres poczty elektronicznej, NIP, REGON oraz dane z właściwych rejestrów, jeżeli zostały nadane.
Ważne są również informacje techniczne i organizacyjne, w tym zakresy publicznych adresów IP wykorzystywanych przez podmiot w sposób ciągły, domeny internetowe wykorzystywane w sposób ciągły, osoby do kontaktu z podmiotami krajowego systemu cyberbezpieczeństwa oraz administrator konta podmiotu w S46.
Do danych wymaganych ustawą należą także m.in. numer telefonu przyporządkowany do wykonywanej działalności, deklaracja dotycząca wielkości podmiotu, informacja o działalności wykonywanej w innych państwach członkowskich Unii Europejskiej oraz informacja o zawarciu umowy z dostawcą usług zarządzanych w zakresie cyberbezpieczeństwa, jeżeli taka umowa została zawarta.
To pokazuje, że wpis do wykazu wymaga przygotowania danych z różnych obszarów organizacji. Nie jest to wyłącznie zadanie techniczne. W praktyce dotyczy także obszaru organizacyjnego, prawnego, zarządczego i kontaktowego.
Adresy IP i domeny
Jednym z praktycznych elementów wpisu są domeny i publiczne adresy IP wykorzystywane przez podmiot w sposób ciągły.
FAQ Ministerstwa Cyfryzacji wskazuje, że dane w wykazie powinny być aktualne, a ich aktualizacja jest możliwa przez złożenie wniosku o zmianę danych w Wykazie KSC.
Oznacza to, że jeżeli zmieniają się domeny albo adresy IP objęte wpisem, organizacja nie powinna traktować tego jako drobnej zmiany technicznej bez znaczenia dla wykazu. Są to dane, które mają znaczenie dla funkcjonowania podmiotu w krajowym systemie cyberbezpieczeństwa.
Wpis z urzędu: co to oznacza?
Nie wszystkie podmioty dokonują wpisu wyłącznie z własnej inicjatywy. FAQ Ministerstwa Cyfryzacji wyjaśnia, że minister właściwy do spraw informatyzacji dokonuje z urzędu wpisu do wykazu m.in. przedsiębiorców telekomunikacyjnych, dostawców usług zaufania, podmiotów publicznych oraz dotychczasowych operatorów usług kluczowych.
Taki wpis dokonywany jest na podstawie danych zawartych w rejestrach publicznych, bazie adresów elektronicznych oraz danych przekazanych przez właściwe organy nadzorcze.
Jeżeli brakuje danych wymaganych do wpisu, podmiot otrzyma wezwanie do ich uzupełnienia. FAQ wskazuje, że wezwanie zawiera m.in. dane podmiotu wpisane do Wykazu KSC, wskazanie brakujących danych oraz dane pozwalające zalogować się do aplikacji Wykaz KSC na konto podmiotu.
Wpis z urzędu nie oznacza więc, że podmiot nie musi nic robić. Jeżeli dane są niepełne, trzeba je uzupełnić.
Co zrobić, jeśli wpis jest błędny?
FAQ Ministerstwa Cyfryzacji przewiduje także sytuację, w której podmiot otrzyma zawiadomienie o wpisie z urzędu, ale uważa, że nie spełnia przesłanek uznania za podmiot kluczowy lub ważny.
W takim przypadku powinien złożyć wniosek o wykreślenie z Wykazu KSC. Wniosek ten ma zostać rozpatrzony w ciągu miesiąca przez organ właściwy do spraw cyberbezpieczeństwa.
Jeżeli natomiast podmiot zgadza się z wpisem, ale dane wpisane z urzędu są nieprawidłowe albo niepełne, powinien złożyć wniosek o zmianę wpisu i podać prawidłowe dane.
FAQ wskazuje również, że niektórych pól we wpisie podmiot nie może samodzielnie zmienić, na przykład przypisanego właściwego zespołu CSIRT. Jeżeli podmiot widzi w takich polach nieprawidłowość, powinien zgłosić to na adres S46-admin@nask.pl, a zgłoszenie zostanie zweryfikowane przez operatora Wykazu.
Korekta danych wymaga wniosku
Ustawa przewiduje, że podmiot kluczowy lub ważny składa wniosek o zmianę wpisu w wykazie w zakresie danych wskazanych w ustawie w terminie 14 dni od dnia ich zmiany.
FAQ Ministerstwa Cyfryzacji odpowiada wprost, że korekta danych podmiotu wymaga złożenia i podpisania wniosku o zmianę danych w wykazie.
To oznacza, że aktualizacja danych w Wykazie KSC nie powinna być odkładana „na później”. Dane mają być aktualne, a zmiany powinny być zgłaszane w przewidzianym trybie.
Wpis ma charakter deklaratoryjny
Ustawa wskazuje, że wpis, zmiana wpisu oraz wykreślenie wpisu z wykazu są czynnościami materialno-technicznymi i mają charakter deklaratoryjny.
To ważne sformułowanie. W praktyce oznacza, że sam wpis nie tworzy dopiero statusu podmiotu kluczowego albo ważnego. Status wynika ze spełnienia przesłanek określonych w ustawie.
Dlatego tak ważne jest prawidłowe ustalenie, czy podmiot spełnia przesłanki, od kiedy je spełnia i jakiego rodzaju obowiązki z tego wynikają.
Kiedy podmiot otrzyma dostęp do S46 Cyber Hub?
FAQ Ministerstwa Cyfryzacji wyjaśnia, że podmioty kluczowe i ważne, które zostały wpisane do Wykazu KSC z urzędu lub na wniosek i uzupełniły komplet niezbędnych danych, od 12 czerwca 2026 r. mogą rozpocząć korzystanie z Systemu S46 Cyber Hub.
Informacje pozwalające zalogować się do konta podmiotu mają zostać wysłane na adres poczty elektronicznej administratora konta podmiotu w Systemie S46, wskazany w Wykazie KSC.
Dostęp do S46 Cyber Hub będzie przyznawany sukcesywnie także podmiotom, które będą dokonywać wpisu na wniosek albo uzupełniać dane na wezwanie po wpisie z urzędu.
FAQ wskazuje również, że podmioty, które uzyskały dostęp do Systemu S46 Cyber Hub przed wejściem w życie nowelizacji ustawy o KSC, czyli przed 3 kwietnia 2026 r., zachowują przyznany dostęp do konta podmiotu. Jeżeli taki podmiot podlega wpisowi do Wykazu KSC, podaje w nim dodatkowo kod przestrzeni w Systemie S46 Cyber Hub, co pozwala powiązać wpis z istniejącą przestrzenią zamiast tworzenia nowej.
Czym jest S46?
FAQ Ministerstwa Cyfryzacji określa System S46 Cyber Hub jako kluczową aplikację stanowiącą fundament Krajowego Systemu Cyberbezpieczeństwa. System jest rozwijany przez NASK-PIB na zlecenie Ministra Cyfryzacji.
Zgodnie z FAQ, S46 ma pełnić rolę scentralizowanego hubu, który umożliwia podmiotom KSC realizację ustawowych obowiązków oraz wspiera budowanie wspólnej odporności cyfrowej.
W FAQ wskazano m.in., że system pełni funkcję „jednego okienka” do obsługi incydentów. Pozwala na zgłaszanie incydentów w jednym miejscu, skąd informacja trafia do właściwego CSIRT poziomu krajowego oraz docelowo do właściwego CSIRT sektorowego.
Dla podmiotów kluczowych i ważnych S46 jest więc nie tylko narzędziem rejestracyjnym. Jest także systemem, przez który będą realizowane określone obowiązki ustawowe.
Forma prawna nie wystarczy
W kontekście wpisu do wykazu warto przypomnieć jeszcze jedno wyjaśnienie z FAQ Ministerstwa Cyfryzacji.
Sama forma prawna podmiotu nie decyduje o objęciu ustawą o KSC. O obowiązkach wynikających z ustawy decyduje przede wszystkim rodzaj faktycznie wykonywanej działalności oraz spełnienie przesłanek uznania za podmiot kluczowy albo podmiot ważny, w szczególności wielkość podmiotu.
To oznacza, że organizacja nie powinna zaczynać analizy od pytania: „jak jesteśmy zarejestrowani?”, tylko od pytania: „co faktycznie robimy i czy ta działalność mieści się w zakresie ustawy?”.
Co organizacja powinna przygotować przed wpisem?
Na podstawie ustawy i FAQ można wskazać kilka praktycznych obszarów przygotowania.
Przed wpisem do Wykazu KSC organizacja powinna ustalić, czy spełnia przesłanki podmiotu kluczowego albo ważnego, określić właściwy sektor, podsektor i rodzaj działalności, przygotować dane identyfikacyjne i kontaktowe, zebrać informacje o domenach i publicznych adresach IP wykorzystywanych w sposób ciągły, wskazać osoby do kontaktu oraz administratora konta w S46.
Warto też ustalić, kto będzie uprawniony do złożenia i podpisania wniosku oraz kto będzie odpowiedzialny za późniejszą aktualizację danych w wykazie.
To szczególnie ważne, bo wpis do wykazu nie kończy obowiązku dbania o dane. Zmiany trzeba aktualizować, a błędy trzeba korygować w przewidzianym trybie.
Twoje bezpieczeństwo to nasza pasja! 🌐 Jeśli interesuje Cię ochrona danych osobowych, bezpieczeństwo informacji czy cyberbezpieczeństwo, zajrzyj na stronę CAB oraz Platformę Cyberbezpieczeństwa. Szukasz informacji o ochronie sygnalistów? 📢 Sprawdź stronę Kanału Zgłoszeniowego. Czekają tam praktyczne porady i ekspercka wiedza!
*Ten wpis porządkuje kwestie Wykazu KSC i S46 wyłącznie na podstawie ustawy o krajowym systemie cyberbezpieczeństwa oraz FAQ Ministerstwa Cyfryzacji.
Źródła:
FAQ – Krajowy System Cyberbezpieczeństwa
Ustawa z dnia 5 lipca 2018 r. o krajowym systemie cyberbezpieczeństwa