CyberSec Update #35: Zanim klikniesz „wyślij”

Zanim klikniesz „wyślij” − jak dobrze przygotować się do wpisu w wykazie KSC 

1 września. Dzieci i młodzież z mniejszym lub większym entuzjazmem szturmują bramy szkół. A my przypominamy o innym terminie, który zbliża się równie nieubłaganie: już za miesiąc, 3 października 2026 r., mija czas na zgłoszenie do wykazu podmiotów kluczowych i podmiotów ważnych dla firm, które spełniały przesłanki kwalifikacji już w dniu wejścia ustawy w życie, tj. 3 kwietnia 2026 r. 

W siedemnastym wydaniu naszego cyklu CyberSec Update wyjaśnialiśmy, kto podlega obowiązkowi wpisu i jakie są jego konsekwencje. Dziś skupiamy się na tym, co warto zrobić zanim przystąpisz do samej rejestracji. 

Zanim złożysz wniosek − trzy kroki przygotowawcze 

Rejestracja w systemie S46 to ostatni krok, a nie pierwszy. Dobrze poprzedzić go rzetelnym przygotowaniem. 

1. Samoidentyfikacja

Zacznij od udokumentowanej analizy prawnej, która odpowie na trzy pytania: czy podlegamy ustawie, dlaczego (albo dlaczego nie) oraz w jakiej kategorii − jako podmiot kluczowy czy ważny. To wewnętrzny dokument, który warto sporządzić przed jakimkolwiek działaniem rejestracyjnym. Będzie on stanowił punkt wyjścia – ministerstwo cyfryzacji wprost wskazuje, że pierwszą czynnością jest ustalenie, czy podmiot spełnia kryteria podmiotowe i wielkościowe.  

Pamiętaj: o objęciu ustawą decyduje przede wszystkim rodzaj faktycznie wykonywanej działalności oraz wielkość podmiotu, a nie sama forma prawna.  

2. Zebranie niezbędnych danych do wniosku

Wniosek składany w systemie S46 wymaga konkretnego zestawu informacji. Warto skompletować je z wyprzedzeniem:  

• Dane identyfikujące − nazwa (firma), sektor, podsektor i rodzaj podmiotu zgodnie z załącznikiem nr 1 lub 2, adres siedziby i adres do korespondencji, adres do doręczeń elektronicznych, adres e-mail, NIP, REGON oraz numer we właściwym rejestrze działalności regulowanej.  

• Dane techniczne − zakresy publicznych adresów IP oraz domeny internetowe wykorzystywane przez podmiot w sposób ciągły.  

• Dane osób − dane osób do kontaktu z krajowym systemem cyberbezpieczeństwa oraz administratora konta podmiotu w systemie S46.  

3. Kluczowe ustalenia organizacyjne

Część decyzji trzeba podjąć wewnątrz organizacji, zanim ktokolwiek zaloguje się do systemu: 

• Osoby do kontaktu − ustawa wymaga wyznaczenia co najmniej dwóch osób odpowiedzialnych za utrzymywanie kontaktów z podmiotami KSC.  

• Administrator konta w S46 − wskaż osobę, która będzie zarządzać kontem podmiotu w systemie.  

• Kto podpisuje wniosek − wniosek wypełnia i podpisuje osoba upoważniona; może to być również pełnomocnik (np. adwokat, radca prawny, ktoś z działu IT) działający na podstawie udzielonego pełnomocnictwa. Pamiętaj, że w przypadku udzielenia pełnomocnictwa do reprezentowania podmiotu należy uiścić stosowną opłatę skarbową (system nie gromadzi przy tym dowodów opłat skarbowych).

• Struktura grupy − każdy podmiot rejestruje się samodzielnie, jeśli spełnia przesłanki. Dotyczy to także spółek zależnych, a nawet spółki, która świadczy usługi z zakresu cyberbezpieczeństwa wyłącznie na rzecz innych spółek w ramach własnej grupy kapitałowej − jako odrębny podmiot świadczący usługi innemu podmiotowi również podlega ustawie.  

Wpis to nie koniec − pamiętaj o aktualizacji danych 

Dane w wykazie muszą pozostawać aktualne. W razie ich zmiany podmiot ma 14 dni na złożenie wniosku o zmianę wpisu w zakresie danych z art. 7 ust. 2 pkt 1–18 ustawy o KSC, licząc od dnia ich zmiany. Dotyczy to również zmiany domen czy adresów IP.  

Co daje wpis w wykazie 

Rejestracja to nie tylko obowiązek − to również „przepustka” do systemu. Po uzyskaniu wpisu i uzupełnieniu kompletu danych podmiot rozpoczyna korzystanie z systemu teleinformatycznego S46 Cyber Hub. Służy on m.in. do zgłaszania incydentów w formule „jednego okienka”, ale jest też kanałem komunikacji i wymiany informacji w ramach KSC − dystrybucji ostrzeżeń o zagrożeniach, rekomendacji technicznych oraz przekazywania informacji o podatnościach i cyberzagrożeniach.  

Pro-tip na koniec − nie warto prokrastynować 

Nie zostawiaj wniosku na 3 października. Jeśli klikniesz „wyślij” dokładnie tego dnia razem z tysiącami innych spóźnialskich, możesz zupełnie niechcący wziąć udział w czymś na kształt niezamierzonego ataku DDoS na system − a to raczej nie ten rodzaj wkładu w cyberbezpieczeństwo, o który chodzi ustawodawcy. 

To kolejny wpis z cyklu #CyberSec update. Obserwuj profil KWKR na Linkedinie, aby być na bieżąco z wdrożeniem NIS2 i KSC. Nie masz pewności, jak przeprowadzić samoidentyfikację albo skompletować dane do wniosku? Zapraszamy do kontaktu z zespołem KWKR − pomożemy przejść przez ten proces krok po kroku.