Czym jest Wykaz podmiotów kluczowych i ważnych?
Znowelizowana ustawa o KSC przewiduje wykaz podmiotów kluczowych i ważnych, który służy między innymi ich identyfikacji oraz prowadzeniu nadzoru. Za wykaz odpowiada Minister Cyfryzacji, a wpisy odbywają się elektronicznie w Systemie S46 Ministerstwa Cyfryzacji.
Do wykazu trafia się na jeden z dwóch sposobów:
| Tryb | Kogo dotyczy | Co trzeba zrobić |
|---|---|---|
| Samorejestracja | głównie podmioty prywatne spełniające kryteria ustawy | samodzielnie złożyć wniosek o wpis w aplikacji wykaz-ksc.gov.pl |
| Wpis z urzędu | podmioty publiczne, przedsiębiorcy telekomunikacyjni i dostawcy usług zaufania | po otrzymaniu wezwania uzupełnić dane – w ciągu 6 miesięcy od jego otrzymania |
Kto musi złożyć wniosek o wpis?
Obowiązek dotyczy podmiotów, które spełniają kryteria podmiotu kluczowego albo ważnego z art. 5 ustawy o KSC. Nie jest to więc obowiązek każdej firmy z branży IT – najpierw trzeba ustalić, czy firma świadczy usługę objętą ustawą, a dopiero potem, czy ma znaczenie jej wielkość.
Kategorie, w których wielkość firmy nie ma znaczenia
- podmiot świadczący usługi rejestracji nazw domen – definicja obejmuje m.in. odsprzedawców (KSC i NIS2 dla resellerów domen),
- dostawca usług DNS spełniający ustawową definicję (DNS a KSC),
- rejestr nazw domen najwyższego poziomu (TLD),
- kwalifikowany dostawca usług zaufania (SSL a KSC).
W tych kategoriach obowiązek może dotyczyć także mikroprzedsiębiorstwa i jednoosobowej działalności (JDG a KSC).
W pozostałych kategoriach z załącznika nr 1 – np. chmura obliczeniowa, CDN, centra przetwarzania danych, usługi zarządzane – liczy się wielkość przedsiębiorstwa: co do zasady powyżej kryteriów średniego przedsiębiorstwa podmiot jest kluczowy, a średnie przedsiębiorstwo – ważne. Szczególną kategorią są usługi zarządzane w zakresie cyberbezpieczeństwa, gdzie status podmiotu kluczowego może powstać już przy kryteriach małego przedsiębiorcy (outsourcing IT a KSC).
Nie masz pewności? Zacznij od przewodnika KSC w praktyce – kto podlega ustawie.
Terminy wpisu do Wykazu KSC
| Sytuacja | Termin |
|---|---|
| Podmiot spełniał kryteria w dniu wejścia w życie nowelizacji (3 kwietnia 2026 r.) | do 3 października 2026 r. |
| Podmiot zaczyna spełniać kryteria później | 6 miesięcy od dnia spełnienia przesłanek |
| Wpis z urzędu (podmioty publiczne, przedsiębiorcy telekomunikacyjni, dostawcy usług zaufania) | 6 miesięcy od otrzymania wezwania na uzupełnienie danych |
Ważne: termin liczy się od dnia spełnienia przesłanek, a nie od dnia, w którym firma dowiedziała się o obowiązku. Jeżeli Twoja działalność zmienia się – np. zaczynasz świadczyć usługę DNS lub rejestracji domen – sprawdź swój status od nowa.
Jak złożyć wniosek – krok po kroku
- Ustal, czy spełniasz kryteria
Sprawdź rodzaj świadczonych usług, kategorię podmiotu i – jeżeli ma znaczenie – wielkość przedsiębiorstwa. Pomogą w tym poradniki Czy obrót decyduje o KSC? i Czy liczba pracowników decyduje o KSC?.
- Wejdź do aplikacji Wykaz KSC
Wniosek składa się wyłącznie elektronicznie w aplikacji wykaz-ksc.gov.pl, działającej w ramach Systemu S46.
- Przygotuj dane
Nazwę podmiotu, NIP i REGON, dane administratora konta w Systemie S46, a jeżeli wniosek składa osoba inna niż kierownik podmiotu – pełnomocnictwo w postaci elektronicznej. Jeżeli podmiot ma już przestrzeń w S46, potrzebny będzie jej kod.
- Złóż i podpisz wniosek
Wniosek składa i podpisuje kierownik podmiotu lub osoba przez niego upoważniona.
- Sprawdź status wpisu
Wpis do wykazu następuje z chwilą złożenia wniosku – wniosek otrzymuje status „Zatwierdzony”.
Szczegółową instrukcję publikuje Ministerstwo Cyfryzacji: Samorejestracja (wpis do Wykazu KSC) – gov.pl.
Resellerzy domen, hostingi i agencje – na co zwrócić uwagę?
Dla firm z rynku domen najważniejsze jest to, że podmiot świadczący usługi rejestracji nazw domen należy do podmiotów kluczowych niezależnie od wielkości, a ustawowa definicja jest szeroka – obejmuje m.in. rejestratora, agenta działającego w jego imieniu oraz odsprzedawców określonych usług związanych z rejestracją. Mała firma, która sprzedaje i fakturuje domeny swoim klientom, powinna więc sprawdzić, czy nie ma obowiązku złożenia wniosku do 3 października 2026 r.
Inaczej wygląda sytuacja przy hostingu, VPS, backupie czy tworzeniu stron – te usługi nie są osobnymi kategoriami KSC i ocenia się je według rzeczywistego charakteru usługi (reseller hostingu, VPS, backup, strony WWW).
Program Partnerski RejestracjaDomen.pl
W Programie Partnerskim obsługę techniczną i administracyjną domen Twoich klientów przejmuje operator programu – RejestracjaDomen.pl – i to on odpowiada za realizację obowiązków związanych z KSC i NIS2. Jak wyjaśniamy w FAQ programu: jeżeli Partner nie wystawia klientom faktur związanych z domenami i utrzymaniem DNS, przepisy KSC go nie dotyczą. Każdą pozostałą usługę, którą świadczysz samodzielnie, oceń według zasad opisanych wyżej.
Co dalej po wpisie do wykazu?
Wpis to pierwszy formalny krok. Podmioty kluczowe i ważne realizują dalsze obowiązki wynikające z ustawy, m.in. w zakresie zarządzania ryzykiem, bezpieczeństwa łańcucha dostaw i obsługi incydentów. Jeżeli współpracujesz z podwykonawcami IT, zobacz, jakich wymagań bezpieczeństwa możesz od nich oczekiwać: Czy podwykonawca usług IT podlega KSC?
Najczęściej zadawane pytania
Podmioty prywatne, które spełniały kryteria ustawy o KSC w dniu wejścia w życie nowelizacji (3 kwietnia 2026 r.), składają wniosek do 3 października 2026 r. Pozostałe – w ciągu 6 miesięcy od dnia spełnienia przesłanek.
Wyłącznie elektronicznie, w aplikacji Wykaz KSC pod adresem wykaz-ksc.gov.pl, która działa w ramach Systemu S46 Ministerstwa Cyfryzacji.
Kierownik podmiotu lub osoba przez niego upoważniona. Jeżeli wniosek składa pełnomocnik, potrzebne jest pełnomocnictwo w postaci elektronicznej.
Minister Cyfryzacji wpisuje bez wniosku m.in. podmioty publiczne, przedsiębiorców telekomunikacyjnych i dostawców usług zaufania. Po otrzymaniu wezwania mają oni 6 miesięcy na uzupełnienie danych w wykazie.
Może mieć taki obowiązek. Podmiot świadczący usługi rejestracji nazw domen – w tym odsprzedawca – jest podmiotem kluczowym niezależnie od wielkości, dlatego niski obrót ani mała liczba pracowników nie wyłączają obowiązku wpisu.
Z chwilą złożenia wniosku – wniosek otrzymuje w aplikacji status „Zatwierdzony”.
Źródła
Stan prawny: ustawa o krajowym systemie cyberbezpieczeństwa po nowelizacji z 23 stycznia 2026 r. (Dz.U. z 2026 r. poz. 252), obowiązującej od 3 kwietnia 2026 r.; informacje o samorejestracji według komunikatów Ministerstwa Cyfryzacji – stan na 24 września 2026 r.
Artykuł ma charakter informacyjny i nie stanowi indywidualnej opinii prawnej.