Nowelizacja ustawy o krajowym systemie cyberbezpieczeństwa obowiązuje od 3 kwietnia 2026 roku. Dla wielu przedsiębiorstw z sektora energii najpilniejszym zadaniem jest obecnie ustalenie, czy spełniają kryteria podmiotu kluczowego albo ważnego, a następnie prawidłowe zgłoszenie do Wykazu KSC. Termin dla podmiotów, które spełniały kryteria w dniu wejścia przepisów w życie, upływa 3 października 2026 roku. Kolejna graniczna data to 3 kwietnia 2027 roku, ponieważ do tego czasu trzeba wdrożyć ustawowe obowiązki i rozpocząć korzystanie z Systemu S46.
Wpis do KSC? Energetyka znalazła się wśród sektorów kluczowych
Zakres ustawy Krajowym Systemie Cyberbezpieczeństwa jest szerszy niż grupa największych operatorów infrastruktury energetycznej. Załącznik nr 1 do uKSC obejmuje w sektorze energii m.in. wydobywanie gazu, ropy i węgla, wytwarzanie, przesyłanie, dystrybucję oraz obrót energią elektryczną, wybrane usługi rynku energii, a także operatorów punktów ładowania. Wskazuje również ciepło, ropę i paliwa, gaz, energetykę jądrową oraz wytwarzanie, przesyłanie, magazynowanie czy dystrybucję wodoru. Czy wpis do KSC jest konieczny? O podleganiu decyduje faktycznie wykonywana działalność, nawet poboczna, a także wielkość przedsiębiorstwa.
Zasadniczo średni przedsiębiorca z sektora wskazanego w załączniku nr 1 będzie podmiotem ważnym, a duży – kluczowym. Istnieją jednak przypadki, w których wielkość firmy nie rozstrzyga o statusie. Ocena wielkości obejmuje zatrudnienie, obrót i sumę bilansową, a niekiedy także dane przedsiębiorstw partnerskich i powiązanych. W grupach kapitałowych znaczenie mają m.in. rodzaj usług i zależności między systemami. Sama liczba pracowników jednej spółki ani kod PKD nie zapewniają więc bezpiecznej odpowiedzi. Wynik analizy warto odpowiednio udokumentować i przedłożyć do zatwierdzenia przez kierownictwo.
Samoidentyfikacja i wpis do KSC – termin mija już 3 października 2026 roku
Podmioty, które 3 kwietnia 2026 roku spełniały przesłanki uznania za kluczowe lub ważne i nie zostały wpisane z urzędu, muszą złożyć wniosek o wpis do KSC do 3 października 2026 roku. Wykaz Krajowego Systemu Cyberbezpieczeństwa jest prowadzony w Systemie S46, lecz działa jako odrębna aplikacja internetowa pod adresem wykaz-ksc.gov.pl. Wniosek składa się elektronicznie i potwierdza odpowiednim podpisem lub pieczęcią elektroniczną.
Rejestracja wymaga zebrania danych z kilku obszarów organizacji, począwszy od rodzaju działalności i danych rejestrowych, przez publiczne adresy IP i stale używane domeny, po kategorię wielkości, działalność w innych państwach UE oraz osoby do kontaktu. Co do zasady, wyznacza się co najmniej dwie takie osoby, ale mikro- i małe przedsiębiorstwa mogą wskazać jedną. Kierownik podmiotu oświadcza, że dane są prawdziwe, ze świadomością odpowiedzialności karnej za fałszywe oświadczenie.
W przypadku przedsiębiorstw, które zaczną spełniać przesłanki później, należy złożyć wniosek o wpis do KSC w ciągu sześć miesięcy, a zmiany danych objętych wpisem trzeba zgłosić w terminie do 14 dni. Potrzebny jest zatem stały nadzór nad statusem spółki, działalnością, strukturą grupy i danymi kontaktowymi.
Trzy daty, które powinny znaleźć się w planie zarządu
Harmonogram najważniejszych wydarzeń dla podmiotów objętych przepisami jest następujący:
- 3 października 2026 r. – termin samoidentyfikacji i złożenia wniosku o wpis do KSC dla podmiotów spełniających kryteria 3 kwietnia 2026 r.,
- 3 kwietnia 2027 r. – termin rozpoczęcia korzystania z Systemu S46 i wdrożenia obowiązków wynikających z uKSC,
- 3 kwietnia 2028 r. – termin pierwszego audytu dla podmiotów kluczowych, które wcześniej nie były operatorami usług kluczowych oraz dzień, od którego po raz pierwszy mogą być nakładane kary przewidziane w nowych przepisach
Dotychczasowi operatorzy usług kluczowych zachowują swój cykl audytowy i przeprowadzają audyt co najmniej raz na trzy lata, licząc od sporządzenia i podpisania ostatniego raportu. Odroczenie kar do 2028 roku nie przesuwa terminów rejestracji i wdrożenia.
Wpis do KSC to dopiero początek – co trzeba wdrożyć do 3 kwietnia 2027 roku?
Punktem wyjścia jest identyfikacja usług objętych ustawą, procesów wpływających na ich świadczenie oraz wspierających je systemów IT i automatyki przemysłowej. Następnie organizacja powinna przeprowadzić analizę ryzyka i wdrożyć System Zarządzania Bezpieczeństwem Informacji obejmujący środki proporcjonalne do rozpoznanego ryzyka. Prace obejmują m.in. inwentaryzację aktywów i zależności, bezpieczeństwo dostawców, zarządzanie dostępem, podatnościami oraz aktualizacjami, monitorowanie, kryptografię czy uwierzytelnianie wieloskładnikowe, a także ciągłość działania i odtwarzanie po awarii. Potrzebne są procedury obsługi incydentów, dokumentacja, rejestry oraz dowody, że zabezpieczenia rzeczywiście działają.
W przypadku poważnego incydentu organizacja musi być gotowa do przekazania wczesnego ostrzeżenia w ciągu 24 godzin od wykrycia, zgłoszenia w czasie do 72 godzin i złożenia sprawozdania końcowego zasadniczo w ciągu miesiąca. Raportowanie będzie realizowane przez S46. Ustawa wymaga również wyznaczenia osób kontaktowych, weryfikacji niekaralności personelu wykonującego określone zadania, edukacji pracowników oraz corocznego, udokumentowanego szkolenia kierownika podmiotu.
Sama dokumentacja nie wystarczy. Podczas audytu lub kontroli oceniane będą procesy, rozwiązania techniczne, decyzje zarządcze, wyniki testów, rejestry, protokoły i inne dowody stosowania przyjętych zabezpieczeń. W energetyce szczególnej uwagi wymagają zależności pomiędzy IT i OT, zdalny dostęp serwisowy, podmioty utrzymujące automatykę, ciągłość dostaw oraz scenariusze odtworzenia procesów krytycznych.
Kary obejmują spółkę i osoby zarządzające
Za naruszenia uKSC podmiot kluczowy może otrzymać karę od 20 tys. zł do 10 mln euro lub 2% przychodów z działalności gospodarczej za poprzedni rok obrotowy (ma tu zastosowanie wyższa kwota). Dla podmiotu ważnego minimum wynosi 15 tys. zł, a górna granica to 7 mln euro lub 1,4% przychodów. Naruszenie powodujące bezpośrednie i poważne cyberzagrożenie albo ryzyko poważnej szkody majątkowej lub utrudnień w świadczeniu usług może skutkować karą nawet do 100 mln zł. Organ może również nałożyć okresową karę od 500 zł do 100 tys. zł za każdy dzień opóźnienia w wykonaniu decyzji nadzorczej.
Ustawa przewiduje też odpowiedzialność kierownika podmiotu. Kara może wynieść do 300% jego wynagrodzenia, a w określonych podmiotach publicznych do 100%. Jeżeli podmiotem zarządza organ wieloosobowy i nie wskazano osoby odpowiedzialnej, odpowiedzialność ponoszą wszyscy jego członkowie. Powierzenie zadań pracownikowi albo zewnętrznemu dostawcy nie zwalnia kierownictwa z nadzoru.
PKF Polska już od wpisu do KSC poprowadzi organizację przez cały proces
PKF Polska wspiera podmioty z sektora energii od samoidentyfikacji do gotowości operacyjnej i audytowej. Zakres może obejmować kwalifikację jako podmiot kluczowy lub ważny, przygotowanie oraz złożenie wniosku do Wykazu KSC, uruchomienie pracy w S46, audyt otwarcia, analizę ryzyka IT i OT, plan wdrożenia, SZBI oraz dokumentację, ciągłość działania, zarządzanie incydentami i dostawcami, szkolenia, testy techniczne oraz stałe wsparcie zewnętrznego CISO.
Pierwszy etap można zamknąć w krótkim projekcie – potwierdzić status spółki, wskazać podstawę prawną, przygotować rejestrację i ustalić plan prac do 3 kwietnia 2027 roku. Jeśli nie ma pewności, czy organizacja podlega uKSC albo od czego zacząć, warto sprawdzić to już teraz. PKF Polska zapewnia jedną ścieżkę łączącą perspektywę prawną, zarządczą, audytową i techniczną.
Kontakt z PKF Polska
Tomasz Janas
tel. +48 531 700 531, tomasz.janas@pkfpolska.pl.
Więcej informacji znajduje się na stronie PKF Polska dostępnej TUTAJ!
Publikacja artykułu: wrzesień 2026 r.
