KSC: wpis do 3 października. Które spółki muszą go sprawdzić?

fot. Munipro Ai

Do 3 października 2026 r. podmioty kluczowe i ważne, które już 3 kwietnia spełniały kryteria KSC i nie zostały objęte wpisem z urzędu, mają czas na złożenie wniosku do Wykazu KSC. Dla spółek komunalnych największym ryzykiem jest dziś nie sam formularz, lecz błędne założenie, że ustawa ich nie obejmuje albo że Minister Cyfryzacji wpisze je automatycznie.

Na 31 sierpnia do terminu zostały 33 dni. Spółki działające m.in. w wodociągach, kanalizacji, ciepłownictwie i gospodarce odpadami powinny więc sprawdzić nie tylko status wpisu, ale przede wszystkim własną kwalifikację według nowych przepisów. Nie każda spółka komunalna musi się rejestrować. Ministerstwo Cyfryzacji wskazuje, że przed wpisem trzeba przeanalizować sektor działalności, wielkość przedsiębiorstwa oraz szczególne przesłanki z art. 5 ustawy o krajowym systemie cyberbezpieczeństwa.

KSC daje czas do 3 października, ale nie wszystkim na to samo

Nowelizacja ustawy o krajowym systemie cyberbezpieczeństwa weszła w życie 3 kwietnia 2026 r. Ustawa z 23 stycznia 2026 r. została opublikowana w Dzienniku Ustaw pod poz. 252. Dla podmiotów, które w dniu wejścia w życie nowych przepisów spełniały kryteria podmiotu kluczowego albo ważnego, jednym z pierwszych terminów jest 3 października 2026 r.

Nie oznacza to jednak, że dokładnie tego dnia kończy się identyczny obowiązek dla wszystkich organizacji. Podmioty, które nie podlegają wpisowi z urzędu, składają wniosek samodzielnie. Samorejestrację uruchomiono 7 maja 2026 r.

Spółka komunalna najpierw musi ustalić, czy podlega KSC

Pierwszy błąd może pojawić się jeszcze przed otwarciem formularza. Ministerstwo Cyfryzacji wskazuje, że podmiot powinien zacząć od sprawdzenia, czy rzeczywiście prowadzi działalność w sektorze lub podsektorze wymienionym w załączniku nr 1 albo nr 2 do ustawy.

Nie wystarczy przy tym spojrzeć wyłącznie na kod Polskiej Klasyfikacji Działalności. Resort podkreśla, że decydujący jest faktyczny zakres świadczonych usług lub wykonywanych zadań, a PKD pełni funkcję pomocniczą. Dopiero później należy przeanalizować kryteria wielkościowe oraz art. 5 ustawy. Przepis przewiduje również przypadki, w których organizacja może zostać objęta KSC niezależnie od swojej wielkości.

Wodociągi i kanalizacja są w sektorach kluczowych

Dla branży komunalnej szczególne znaczenie ma zaopatrzenie w wodę pitną i jej dystrybucja. Załącznik nr 1 obejmuje podmioty dostarczające wodę przeznaczoną do spożycia przez ludzi, w tym przedsiębiorstwa wodociągowo-kanalizacyjne, z określonym w ustawie wyłączeniem dotyczącym podmiotów, dla których taka działalność nie stanowi istotnej części działalności ogółem.

Ten sam załącznik obejmuje zbiorowe odprowadzanie ścieków. Wskazuje podmioty odprowadzające lub oczyszczające ścieki, w tym przedsiębiorstwa wodociągowo-kanalizacyjne, również z ustawowym zastrzeżeniem dotyczącym znaczenia tej działalności. Dla zarządu spółki wod-kan pytanie nie powinno więc brzmieć wyłącznie: „czy jesteśmy spółką gminną?”. Ważniejsze jest ustalenie, czy rzeczywista działalność oraz pozostałe kryteria prowadzą do statusu podmiotu kluczowego lub ważnego.

Ciepłownictwo również trzeba sprawdzić

KSC obejmuje także sektor energii, a jednym z jego podsektorów jest ciepło. W załączniku nr 1 wskazano m.in. przedsiębiorstwa energetyczne posiadające koncesję na wykonywanie działalności gospodarczej w zakresie wytwarzania ciepła. Ustawowy katalog jest bardziej szczegółowy, dlatego kwalifikację trzeba odnieść do konkretnego rodzaju prowadzonej działalności.

Sama nazwa „miejska spółka ciepłownicza” nie rozstrzyga jeszcze całej analizy. Zarząd powinien zestawić działalność przedsiębiorstwa z załącznikiem do ustawy, kryteriami wielkościowymi oraz art. 5.

KSC obejmuje również gospodarowanie odpadami

Gospodarowanie odpadami znalazło się w katalogu sektorów ważnych. Załącznik nr 2 obejmuje określone rodzaje działalności związane m.in. ze zbieraniem odpadów. Dlatego przedsiębiorstwa komunalne odbierające, zbierające lub przetwarzające odpady powinny sprawdzić dokładny zakres ustawowego katalogu zamiast zakładać, że nowe obowiązki dotyczą tylko energetyki czy wodociągów.

Ministerstwo Rozwoju i Technologii również wskazuje gospodarkę odpadami jako jeden z sektorów ważnych objętych nowymi zasadami KSC.

Cztery obszary komunalne, które warto sprawdzić w pierwszej kolejności

Poniższe zestawienie nie przesądza o statusie konkretnej spółki. Pokazuje natomiast, gdzie ryzyko błędnego pominięcia KSC jest szczególnie istotne.

Wpis z urzędu i samorejestracja to dwie różne procedury

To właśnie tutaj może powstać jedno z najgroźniejszych uproszczeń. Ministerstwo Cyfryzacji wpisuje część organizacji do Wykazu KSC z urzędu. Według aktualnych informacji dotyczy to m.in. podmiotów publicznych, przedsiębiorców telekomunikacyjnych, dostawców usług zaufania oraz podmiotów mających wcześniej status operatora usługi kluczowej.

Taki podmiot nie składa ponownie wniosku o wpis. Po dokonaniu wpisu z urzędu otrzymuje zawiadomienie i wezwanie do uzupełnienia danych. Na przekazanie wymaganych informacji ma sześć miesięcy od doręczenia wezwania. Z kolei organizacja spełniająca kryteria KSC, która nie należy do grup wpisywanych z urzędu, powinna przejść samorejestrację.

Sam fakt, że właścicielem jest gmina, nie powinien kończyć analizy

W przypadku spółek komunalnych szczególnie ryzykowne jest automatyczne założenie: „należymy do samorządu, więc Minister Cyfryzacji wpisze nas z urzędu”. Ministerstwo opisuje samorejestrację jako procedurę dla podmiotów działających w sektorach objętych ustawą, spełniających odpowiednie kryteria i nieobjętych wpisem z urzędu.

Dlatego każda spółka powinna ustalić swój konkretny status wynikający z ustawy i Wykazu KSC, a nie opierać decyzji wyłącznie na strukturze właścicielskiej. Jeżeli podmiot został już wpisany z urzędu, ponowna próba samorejestracji może zakończyć się błędem systemowym. Taką sytuację opisuje Ministerstwo Energii w instrukcji dotyczącej Wykazu KSC.

KSC wymaga trzech kroków samoidentyfikacji

Ministerstwo Cyfryzacji proponuje praktyczny sposób sprawdzenia statusu. Najpierw trzeba porównać faktycznie prowadzoną działalność z załącznikami nr 1 i 2. Następnie należy sprawdzić wielkość podmiotu, uwzględniając wymagane zasady dotyczące przedsiębiorstw powiązanych i partnerskich.

Trzecim etapem jest analiza art. 5. Dopiero po tych krokach można stwierdzić, czy organizacja jest podmiotem kluczowym, podmiotem ważnym czy nie podlega ustawie.

Co spółka powinna sprawdzić przed 3 października?

Na miesiąc przed terminem nie zaczynałbym od pytania działu IT: „czy jesteśmy gotowi na NIS2?”. Najpierw zarząd powinien ustalić formalny status przedsiębiorstwa. Praktyczna ścieżka wygląda tak:

1. sprawdzić faktyczny zakres działalności spółki;
2. porównać go z załącznikami nr 1 i 2 ustawy o KSC;
3. ustalić wielkość przedsiębiorstwa zgodnie z zasadami wskazanymi dla KSC;
4. przeanalizować art. 5 i ewentualne wyjątki;
5. sprawdzić, czy podmiot został wpisany z urzędu;
6. jeśli podlega samorejestracji złożyć wniosek najpóźniej 3 października 2026 r.;
7. równolegle przygotować dalsze obowiązki wynikające z KSC.

Wnioski składa się elektronicznie w aplikacji Wykaz KSC.

Sam wpis nie kończy obowiązków KSC

Rejestracja jest pierwszym etapem, a nie końcem wdrożenia. Ministerstwo Cyfryzacji wskazuje, że podmioty spełniające kryteria w dniu wejścia w życie nowelizacji mają do 3 kwietnia 2027 r. czas na wdrożenie obowiązków przewidzianych w nowych przepisach.

KSC wymaga m.in. wdrażania odpowiednich środków technicznych i organizacyjnych oraz systemu zarządzania bezpieczeństwem informacji. Ustawa wprowadza również obowiązki dotyczące obsługi i raportowania incydentów. Dla podmiotów kluczowych kolejny termin to 3 kwietnia 2028 r. do tego dnia powinien zostać przeprowadzony pierwszy obowiązkowy audyt cyberbezpieczeństwa.

Przeoczenie wpisu może mieć konsekwencje finansowe

Nie warto traktować 3 października jako terminu czysto administracyjnego. Ministerstwo Rozwoju i Technologii wskazuje, że podmioty, które nie dokonają wymaganego wpisu albo nie wdrożą przewidzianych rozwiązań, mogą podlegać karom finansowym.

W przypadku spółki komunalnej ryzyko jest jednak szersze niż sama sankcja. Brak prawidłowej samoidentyfikacji może opóźnić przygotowanie systemu zarządzania bezpieczeństwem, procedur raportowania incydentów i odpowiedzialności kierownictwa.

Największym ryzykiem jest błędne „nas to nie dotyczy”

W branży komunalnej KSC przecina kilka podstawowych usług dla mieszkańców: wodę, ścieki, ciepło i odpady. Dlatego 3 października nie powinien być traktowany jako termin wyłącznie dla informatyków.

Najpierw potrzebna jest decyzja zarządcza i prawna: czy spółka spełnia kryteria KSC, do której kategorii należy i czy powinna dokonać samorejestracji, czy została wpisana z urzędu. Dopiero po ustaleniu tej odpowiedzi można bezpiecznie przejść do kolejnych etapów wdrożenia.

Źródła:

• USTAWA z dnia 23 stycznia 2026 r. o zmianie ustawy o krajowym systemie cyberbezpieczeństwa oraz niektórych innych ustaw
• Nowelizacja ustawy o krajowym systemie cyberbezpieczeństwa (KSC) – najważniejsze terminy

Zobacz również: Krajowy System Cyberbezpieczeństwa: co warto o nim wiedzieć?