3 października 2026 r. upłynął termin na złożenie wniosku o wpis do Wykazu KSC dla podmiotów, które już w dniu wejścia w życie uKSC 2.0 (3 kwietnia 2026 r.) spełniały przesłanki uznania za podmiot kluczowy lub ważny i nie zostały wpisane do wykazu z urzędu. Nie oznacza to jednak zakończenia procesu dostosowania organizacji do nowych wymogów ustawy.
Wpis do Wykazu KSC jest jednym z pierwszych etapów tego procesu. Kolejnym istotnym terminem jest 3 kwietnia 2027 r.
W praktyce obserwujemy, że wiele organizacji koncentrowało dotychczas swoje działania na ustaleniu statusu podmiotu kluczowego lub ważnego i terminowym dokonaniu wpisu do Wykazu KSC. Tymczasem z perspektywy zgodności z uKSC 2.0 jest to dopiero początek.
Do 3 kwietnia 2027 r. podmioty kluczowe i ważne, które spełniały ustawowe kryteria w dniu wejścia w życie uKSC 2.0, mają czas na rozpoczęcie korzystania z systemu S46 oraz wdrożenie obowiązków wynikających z nowych przepisów.
Zakres tych działań jest znacznie szerszy niż sam wpis do Wykazu KSC. Obejmuje m.in. wdrożenie systemu zarządzania bezpieczeństwem informacji (SZBI), a w jego ramach:
- systematyczne szacowanie ryzyka wystąpienia incydentu i zarządzanie tym ryzykiem,
- wdrożenie odpowiednich i proporcjonalnych środków technicznych i organizacyjnych,
- przygotowanie zasad i procedur dotyczących cyberbezpieczeństwa,
- wdrożenie procedur zarządzania incydentami i ich zgłaszania,
- zapewnienie ciągłości działania oraz bezpieczeństwa łańcucha dostaw,
- przygotowanie odpowiedniej dokumentacji,
- określenie odpowiedzialności za cyberbezpieczeństwo wewnątrz organizacji.
Zakres tych obowiązków wykracza poza obszar IT. Wdrożenie uKSC 2.0 wymaga zwykle zaangażowania również zarządu, działów prawnych, compliance, zarządzania ryzykiem oraz osób odpowiedzialnych za ciągłość działania.
Istotnym elementem nowych obowiązków będzie również korzystanie z systemu S46, który ma służyć m.in. do realizacji obowiązków raportowych oraz komunikacji z właściwymi organami w ramach krajowego systemu cyberbezpieczeństwa.
Dlatego wpis do Wykazu KSC należy traktować jako zamknięcie pierwszego etapu, a nie całego procesu dostosowania do uKSC 2.0. Przygotowań nie warto odkładać na ostatnie tygodnie przed upływem terminu 3 kwietnia 2027 r.
