Wpis do Wykazu KSC i System S46

Wpis do Wykazu podmiotów objętych ustawą o KSC to formalny krok, który otwiera dostęp do Systemu S46 (Cyber Hub) i wiąże podmiot z obowiązkami raportowania incydentów oraz współpracy z CSIRT GOV. Wniosek składa podmiot, który spełnił przesłanki kwalifikacji — po uprzedniej analizie sektora i wielkości (czy firma podlega KSC).

Stan prawny sprawdzony: 27 lipca 2026 r. Materiał informacyjny, nie porada prawna. Szczegóły formularza i wymagań technicznych mogą być aktualizowane przez operatora Systemu S46 — sprawdzaj komunikaty na gov.pl.

Terminy: nowelizacja od 3.04.2026; dla podmiotów spełniających przesłanki 3.04.2026 wpis do 3.10.2026; ogólnie 6 miesięcy od spełnienia przesłanek; samorejestracja od 7.05.2026; wdrożenie obowiązków i S46 do 3.04.2027 (grupa początkowa).

Kto składa wniosek i kiedy

Wniosek składa podmiot kwalifikujący się jako podmiot kluczowy lub ważny — najczęściej spółka wpisana do KRS, jednostka sektora publicznego lub inny podmiot wskazany w ustawie. Osoba składająca wniosek musi mieć umocowanie (zarząd, pełnomocnictwo, upoważnienie w Systemie S46).

Harmonogram:

Sytuacja	Termin wpisu
Spełnienie przesłanek 3.04.2026 (grupa początkowa)	do 3.10.2026
Spełnienie przesłanek później	6 miesięcy od daty spełnienia
Samorejestracja w S46	dostępna od 7.05.2026
Wdrożenie obowiązków + korzystanie z S46	do 3.04.2027 (grupa początkowa)

Jeśli nie masz pewności co do kwalifikacji, najpierw domknij analizę z artykułu Jak sprawdzić podleganie KSC — wpis fałszywy lub opóźniony generuje ryzyko administracyjne od 3.04.2028 (kary).

Przygotowanie danych i dokumentów

Przed logowaniem do S46 przygotuj:

dane rejestrowe (NIP, REGON, KRS, siedziba, forma prawna),
opis działalności i sektora (PKD, usługi z załącznika),
kategorię podmiotu (kluczowy / ważny) z uzasadnieniem wewnętrznym,
dane kierownika ds. bezpieczeństwa informacji (w tym procedura art. 8f — weryfikacja niekaralności z wyjątkami ustawowymi),
kontakt do osoby ds. incydentów (24 h / 72 h),
listę systemów/usług istotnych dla analizy ryzyka (start pod SZBI),
ewentualne pełnomocnictwo dla osoby składającej wniosek, jeśli nie jest członkiem zarządu.

Dobrze mieć wewnętrzne memo kwalifikacji — organ może weryfikować spójność wpisu z faktyczną działalnością.

Samorejestracja w Systemie S46

Od 7 maja 2026 r. podmiot może przejść samorejestrację w Systemie S46 — pierwszy krok przed wnioskiem o wpis do Wykazu. Proces obejmuje utworzenie konta podmiotu, weryfikację tożsamości osób upoważnionych i konfigurację kanałów komunikacji z CSIRT GOV.

Po samorejestracji podmiot otrzymuje dostęp do modułów Cyber Hub, w tym m.in. zgłaszania incydentów (po wpisie). Instrukcje techniczne publikuje MC na stronie System S46 — wpis do Wykazu.

Wniosek o wpis — przebieg krok po kroku

1. Zaloguj się do Systemu S46 profilem z uprawnieniami administratora podmiotu.

2. Uzupełnij profil podmiotu — dane rejestrowe, sektor, kategoria (kluczowy/ważny), zakres usług.

3. Wskaż kierownika ds. bezpieczeństwa informacji — zgodnie z wymaganiami ustawy; pamiętaj o dokumentacji szkolenia rocznego i art. 8f.

4. Zdefiniuj osoby do incydentów — co najmniej kanał 24/7 lub procedura eskalacji na CSIRT GOV.

5. Dołącz dokumenty — pełnomocnictwo (jeśli wymagane), potwierdzenia wewnętrzne (w zależności od komunikatów S46).

6. Złóż wniosek o wpis do Wykazu KSC — system nada status (np. w trakcie weryfikacji).

7. Monitoruj status — uzupełniaj brakujące informacje w terminie wyznaczonym przez operatora.

8. Po pozytywnej decyzji — potwierdź wpis; rozpocznij obowiązkowe korzystanie z kanałów S46 (zgłoszenia, komunikacja).

9. Zaplanuj wdrożenie obowiązków do 3.04.2027 — SZBI, ryzyko, audyt (dla podmiotu kluczowego pierwszy do 3.04.2028).

Pełnomocnictwo i osoby upoważnione

Jeśli wniosek składa pracownik IT lub zewnętrzny doradca, pełnomocnictwo musi jasno określać zakres: złożenie wniosek, reprezentacja w S46, odbiór korespondencji. Pełnomocnictwo przechowuj w dokumentacji — audytor może pytać o umocowanie.

Równolegle ustal w organizacji matrycę ról: kierownik (odpowiedzialność mimo delegacji), zespół operacyjny incydentów, prawnik przy sprawozdaniu końcowym, zarząd przy decyzjach o ryzyku resztkowym.

Po wpisie: S46 Cyber Hub i obowiązki

Wpis otwiera platformę S46 Cyber Hub — kanał do wczesnego ostrzeżenia (24 h), zgłoszenia incydentu poważnego (72 h) i sprawozdania końcowego (zasadniczo do miesiąca). Procedurę opisuję w artykule Incydent poważny KSC.

Równolegle do 3.04.2027 wdrażasz obowiązki merytoryczne: SZBI, analiza ryzyka, ciągłość działania, szkolenia, współpraca z dostawcami. Wpis bez wdrożenia to „pusta skorupa” — ryzyko kar od 3.04.2028.

Podmiot kluczowy planuje też audyt co 3 lata (pierwszy do 3.04.2028, jeśli wcześniej nie był OUK). Podmiot ważny — audyt na nakaz organu. Więcej: podmiot kluczowy a ważny.

Typowe błędy

Opóźnienie wpisu — liczenie, że „najpierw SZBI, potem Wykaz”. Termin wpisu biegnie niezależnie; równolegle można budować SZBI.

Błędna kategoria — wpis jako ważny mimo spełnienia przesłanek kluczowego (lub odwrotnie) — wymaga korekty i dokumentacji.

Brak osoby na 24 h — procedura incydentowa „od jutra” bez dyżuru — naruszenie obowiązków już po wpisie.

Pełnomocnictwo ogólne — system odrzuca lub organ kwestionuje zakres.

Myślenie, że wpis = zgodność — wpis to rejestracja; dowody SZBI i działania kontroli to osobna ścieżka (audyt IT).

Brak synchronizacji z HR — kierownik w S46 niezgodny z faktycznym właścicielem procesu; przy audycie to rozjazd między systemem a organizacją.

Jeden login współdzielony do S46 — narusza zasadę rozliczalności; każda osoba składająca zgłoszenie powinna mieć identyfikowalne konto.

Po wpisie warto od razu przeprowadzić suchy test: czy osoba dyżurna potrafi w ciągu godziny złożyć testowe wczesne ostrzeżenie w środowisku szkoleniowym S46 (jeśli operator udostępnia taki moduł) — to tańsze niż pierwszy prawdziwy incydent bez ćwiczenia.

Aktualizacja wpisu i zmiana kategorii

Wpis do Wykazu nie jest statyczny. Gdy podmiot zmienia kategorię (np. z ważnego na kluczowego po przekroczeniu progu wielkości) lub rozszerza działalność o usługi z innego załącznika, obowiązek aktualizacji danych w S46 powstaje wraz ze zmianą przesłanek — z typowym terminem 6 miesięcy na uaktualnienie wpisu, analogicznie do pierwotnej kwalifikacji. W praktyce: każda fuzja, demergers, zmiana PKD istotna dla sektora lub wejście w nowy rynek sektorowy powinna uruchamiać mini-audyt kwalifikacji i checklistę: czy profil S46 nadal jest prawdziwy, czy kierownik nadal spełnia wymogi, czy matryca osób zgłaszających incydenty jest aktualna.

FAQ

Czy wpis można złożyć przed 7.05.2026?

Samorejestracja S46 od 7.05.2026 — przed tą datą sprawdź aktualne komunikaty operatora. Termin wpisu 3.10.2026 dotyczy grupy początkowej niezależnie od kolejności prac SZBI.

Czy jeden wniosek obejmuje grupę spółek?

Każdy podmiot prawny podlegający ustawie wpisuje się osobno, chyba że ustawa przewiduje inaczej dla konkretnej formy. Przesłanki wielkości mogą wynikać z grupy, ale wpisy są per podmiot.

Co jeśli spóźnię się z wpisem?

Ryzyko postępowania administracyjnego i kar — stosowane od 3.04.2028. Złóż wniosek niezwłocznie i udokumentuj plan naprawczy.

Czy zewnętrzny dostawca może złożyć wniosek za nas?

Tak, z ważnym pełnomocnictwem — odpowiedzialność i tak spoczywa na podmiocie wpisywanym.

Czy DevSentinel składa wniosek za klienta?

DevSentinel pomaga przygotować dane, procedury i SZBI; wniosek składa uprawniony reprezentant podmiotu w S46. Nie gwarantujemy zgodności z KSC.

Przygotowujesz wpis i wdrożenie? Zobacz cyberbezpieczeństwo i NIS2.

Wpis do Wykazu KSC i System S46 – krok po kroku