Terminarz wdrażania SZBI według ustawy o KSC — kto, co i do kiedy

Podmiot kluczowy — jednostka publiczna

Przykłady: starostwo powiatowe — zawsze podmiot kluczowy; urząd gminy, który na 1 stycznia ma co najmniej 50 etatów na umowę o pracę.

SZBI: pełny katalog środków z art. 8 ust. 1 ustawy o KSC. Incydenty: incydent poważny — wczesne ostrzeżenie do 24 h od wykrycia, zgłoszenie do 72 h od wykrycia, sprawozdanie końcowe do miesiąca od zgłoszenia (art. 11 ust. 1 pkt 4–4c ustawy o KSC).

1. bez terminu ustawowego — do sprawdzenia, czy jednostka dostała zawiadomienie o wpisie z urzędu — Wpis do wykazu podmiotów kluczowych i ważnych
   Jednostki publiczne wpisuje do wykazu z urzędu Minister Cyfryzacji — termin 3 października 2026 r. nie obowiązuje jednostek wpisanych z urzędu. Sprawdźcie, czy dostaliście zawiadomienie o wpisie i wezwanie do uzupełnienia danych: jeśli tak, macie 6 miesięcy od doręczenia wezwania, a późniejsze zmiany zgłaszacie w 14 dni. Jeśli nie — sprawdźcie wpis albo zapytajcie NASK, bo bez wpisu z urzędu termin 3 października 2026 r. mógł Was dotyczyć. Podmioty niewpisane z urzędu składają wniosek o wpis do 3 października 2026 r. (art. 33 ust. 3 nowelizacji, komunikat MC, Dz. Urz. MC 2026 poz. 7). Podstawa: komunikat Ministra Cyfryzacji z 8.04.2026 (Dz. Urz. MC poz. 7), art. 33 ust. 3 nowelizacji; podmioty publiczne: art. 7a ust. 2 pkt 3 i art. 7b.
2. 03.04.2027 — Podłączenie do systemu S46
   Wykaz zawiera dane administratora konta jednostki w systemie (art. 7 ust. 2 pkt 11 ustawy o KSC). Konto musi istnieć, zanim wydarzy się incydent — zakładanie go po fakcie jest za późno. Podstawa: art. 46 ust. 4 ustawy o KSC (12 miesięcy od spełnienia przesłanek); harmonogram z komunikatu Ministra Cyfryzacji (art. 34 ust. 3 pkt 2 nowelizacji); system S46 — art. 46 ust. 1 ustawy o KSC.
3. 03.04.2027 — Wdrożenie SZBI, procedur ryzyka i incydentów oraz dokumentacji
   Pełny katalog art. 8 ust. 1 albo Załącznik nr 4 — zależnie od trybu SZBI jednostki. Podstawa: art. 33 ust. 1 nowelizacji — 12 miesięcy od jej wejścia w życie; podmiot, który spełni przesłanki później, ma 12 miesięcy od dnia ich spełnienia (art. 16 pkt 1 ustawy o KSC).
4. 03.04.2028 — Pierwszy audyt bezpieczeństwa (tylko podmiot kluczowy)
   Na własny koszt, co najmniej raz na 3 lata (art. 15 ust. 1). Obejmuje system informacyjny wykorzystywany w procesie świadczenia usługi. Przeprowadza jednostka oceniająca zgodność akredytowana, co najmniej dwóch audytorów z certyfikatami albo wymaganą praktyką lub CSIRT sektorowy (art. 15 ust. 2). Podstawa: art. 33 ust. 2 nowelizacji — 24 miesiące od jej wejścia w życie; podmiot, który spełni przesłanki później, ma 24 miesiące od dnia ich spełnienia (art. 16 pkt 2 ustawy o KSC). Byłych operatorów usług kluczowych, którzy wykonali audyt, art. 16 pkt 2 nie dotyczy (art. 25 nowelizacji).

Podmiot ważny — jednostka publiczna

Przykłady: szkoła prowadzona przez gminę, powiat albo województwo; przedszkole samorządowe; jednostka pomocy społecznej gminy albo powiatu; urząd gminy, który ma mniej niż 50 etatów na umowę o pracę; samorządowa instytucja kultury. Jednostka publiczna jest podmiotem ważnym, jeżeli realizuje zadanie publiczne z wykorzystaniem systemów informacyjnych (art. 5 ust. 2 pkt 8 ustawy o KSC).

SZBI: tryb uproszczony według Załącznika nr 4 (art. 8 ust. 3 ustawy o KSC) — bez pełnego katalogu z art. 8 ust. 1. Incydenty: incydent poważny — zgłoszenie do 72 h od wykrycia, bez wczesnego ostrzeżenia i bez sprawozdań (art. 12c ustawy o KSC).

1. bez terminu ustawowego — do sprawdzenia, czy jednostka dostała zawiadomienie o wpisie z urzędu — Wpis do wykazu podmiotów kluczowych i ważnych
   Jednostki publiczne wpisuje do wykazu z urzędu Minister Cyfryzacji — termin 3 października 2026 r. nie obowiązuje jednostek wpisanych z urzędu. Sprawdźcie, czy dostaliście zawiadomienie o wpisie i wezwanie do uzupełnienia danych: jeśli tak, macie 6 miesięcy od doręczenia wezwania, a późniejsze zmiany zgłaszacie w 14 dni. Jeśli nie — sprawdźcie wpis albo zapytajcie NASK, bo bez wpisu z urzędu termin 3 października 2026 r. mógł Was dotyczyć. Podmioty niewpisane z urzędu składają wniosek o wpis do 3 października 2026 r. (art. 33 ust. 3 nowelizacji, komunikat MC, Dz. Urz. MC 2026 poz. 7). Podstawa: komunikat Ministra Cyfryzacji z 8.04.2026 (Dz. Urz. MC poz. 7), art. 33 ust. 3 nowelizacji; podmioty publiczne: art. 7a ust. 2 pkt 3 i art. 7b.
2. 03.04.2027 — Podłączenie do systemu S46
   Wykaz zawiera dane administratora konta jednostki w systemie (art. 7 ust. 2 pkt 11 ustawy o KSC). Konto musi istnieć, zanim wydarzy się incydent — zakładanie go po fakcie jest za późno. Podstawa: art. 46 ust. 4 ustawy o KSC (12 miesięcy od spełnienia przesłanek); harmonogram z komunikatu Ministra Cyfryzacji (art. 34 ust. 3 pkt 2 nowelizacji); system S46 — art. 46 ust. 1 ustawy o KSC.
3. 03.04.2027 — Wdrożenie SZBI, procedur ryzyka i incydentów oraz dokumentacji
   Pełny katalog art. 8 ust. 1 albo Załącznik nr 4 — zależnie od trybu SZBI jednostki. Podstawa: art. 33 ust. 1 nowelizacji — 12 miesięcy od jej wejścia w życie; podmiot, który spełni przesłanki później, ma 12 miesięcy od dnia ich spełnienia (art. 16 pkt 1 ustawy o KSC).

Podmiot kluczowy — firma

Przykłady: duże przedsiębiorstwo z sektora z załącznika nr 1 do ustawy (energia, transport, ochrona zdrowia, woda, infrastruktura cyfrowa i inne).

SZBI: pełny katalog środków z art. 8 ust. 1 ustawy o KSC. Incydenty: incydent poważny — wczesne ostrzeżenie do 24 h od wykrycia, zgłoszenie do 72 h od wykrycia, sprawozdanie końcowe do miesiąca od zgłoszenia (art. 11 ust. 1 pkt 4–4c ustawy o KSC). Wyjątek: w sektorze bankowości i infrastruktury rynków finansowych ustawa o KSC wyłącza przepisy o SZBI i o zgłaszaniu incydentów poważnych, z wyjątkiem przepisów wskazanych w art. 8i ust. 1.

1. 03.10.2026 (termin minął) — Wpis do wykazu podmiotów kluczowych i ważnych
   Podmiot, którego minister nie wpisuje z urzędu, a który 3 kwietnia 2026 r. już spełniał przesłanki, składa wniosek o wpis do 3 października 2026 r. (art. 33 ust. 3 nowelizacji i komunikat Ministra Cyfryzacji z 8 kwietnia 2026 r., Dz. Urz. MC 2026 poz. 7). Jeśli termin minął, a wniosku nie było — trzeba go złożyć teraz; portal nie ocenia skutków spóźnienia. Podmiot, który przesłanki spełni później, składa wniosek w ciągu 6 miesięcy od ich spełnienia (art. 7c ust. 1). Późniejsze zmiany danych zgłasza się w ciągu 14 dni (art. 7c ust. 3). Podstawa: komunikat Ministra Cyfryzacji z 8.04.2026 (Dz. Urz. MC poz. 7), art. 33 ust. 3 nowelizacji; podmioty publiczne: art. 7a ust. 2 pkt 3 i art. 7b.
2. 03.04.2027 — Podłączenie do systemu S46
   Wykaz zawiera dane administratora konta jednostki w systemie (art. 7 ust. 2 pkt 11 ustawy o KSC). Konto musi istnieć, zanim wydarzy się incydent — zakładanie go po fakcie jest za późno. Podstawa: art. 46 ust. 4 ustawy o KSC (12 miesięcy od spełnienia przesłanek); harmonogram z komunikatu Ministra Cyfryzacji (art. 34 ust. 3 pkt 2 nowelizacji); system S46 — art. 46 ust. 1 ustawy o KSC.
3. 03.04.2027 — Wdrożenie SZBI, procedur ryzyka i incydentów oraz dokumentacji
   Pełny katalog art. 8 ust. 1 albo Załącznik nr 4 — zależnie od trybu SZBI jednostki. Podstawa: art. 33 ust. 1 nowelizacji — 12 miesięcy od jej wejścia w życie; podmiot, który spełni przesłanki później, ma 12 miesięcy od dnia ich spełnienia (art. 16 pkt 1 ustawy o KSC).
4. 03.04.2028 — Pierwszy audyt bezpieczeństwa (tylko podmiot kluczowy)
   Na własny koszt, co najmniej raz na 3 lata (art. 15 ust. 1). Obejmuje system informacyjny wykorzystywany w procesie świadczenia usługi. Przeprowadza jednostka oceniająca zgodność akredytowana, co najmniej dwóch audytorów z certyfikatami albo wymaganą praktyką lub CSIRT sektorowy (art. 15 ust. 2). Podstawa: art. 33 ust. 2 nowelizacji — 24 miesiące od jej wejścia w życie; podmiot, który spełni przesłanki później, ma 24 miesiące od dnia ich spełnienia (art. 16 pkt 2 ustawy o KSC). Byłych operatorów usług kluczowych, którzy wykonali audyt, art. 16 pkt 2 nie dotyczy (art. 25 nowelizacji).

Podmiot ważny — firma

Przykłady: średnie przedsiębiorstwo z sektora z załącznika nr 1 do ustawy. Wyjątek: rodzaje działalności, które ustawa czyni podmiotem kluczowym bez względu na wielkość albo już od małego lub średniego przedsiębiorstwa (art. 5 ust. 1 pkt 2–4), np. przedsiębiorca komunikacji elektronicznej, dostawca usług zarządzanych w zakresie cyberbezpieczeństwa; średnie albo duże przedsiębiorstwo z sektora z załącznika nr 2 do ustawy.

SZBI: pełny katalog środków z art. 8 ust. 1 ustawy o KSC. Incydenty: incydent poważny — wczesne ostrzeżenie do 24 h od wykrycia, zgłoszenie do 72 h od wykrycia, sprawozdanie końcowe do miesiąca od zgłoszenia (art. 11 ust. 1 pkt 4–4c ustawy o KSC). Wyjątek: w sektorze bankowości i infrastruktury rynków finansowych ustawa o KSC wyłącza przepisy o SZBI i o zgłaszaniu incydentów poważnych, z wyjątkiem przepisów wskazanych w art. 8i ust. 1.

1. 03.10.2026 (termin minął) — Wpis do wykazu podmiotów kluczowych i ważnych
   Podmiot, którego minister nie wpisuje z urzędu, a który 3 kwietnia 2026 r. już spełniał przesłanki, składa wniosek o wpis do 3 października 2026 r. (art. 33 ust. 3 nowelizacji i komunikat Ministra Cyfryzacji z 8 kwietnia 2026 r., Dz. Urz. MC 2026 poz. 7). Jeśli termin minął, a wniosku nie było — trzeba go złożyć teraz; portal nie ocenia skutków spóźnienia. Podmiot, który przesłanki spełni później, składa wniosek w ciągu 6 miesięcy od ich spełnienia (art. 7c ust. 1). Późniejsze zmiany danych zgłasza się w ciągu 14 dni (art. 7c ust. 3). Podstawa: komunikat Ministra Cyfryzacji z 8.04.2026 (Dz. Urz. MC poz. 7), art. 33 ust. 3 nowelizacji; podmioty publiczne: art. 7a ust. 2 pkt 3 i art. 7b.
2. 03.04.2027 — Podłączenie do systemu S46
   Wykaz zawiera dane administratora konta jednostki w systemie (art. 7 ust. 2 pkt 11 ustawy o KSC). Konto musi istnieć, zanim wydarzy się incydent — zakładanie go po fakcie jest za późno. Podstawa: art. 46 ust. 4 ustawy o KSC (12 miesięcy od spełnienia przesłanek); harmonogram z komunikatu Ministra Cyfryzacji (art. 34 ust. 3 pkt 2 nowelizacji); system S46 — art. 46 ust. 1 ustawy o KSC.
3. 03.04.2027 — Wdrożenie SZBI, procedur ryzyka i incydentów oraz dokumentacji
   Pełny katalog art. 8 ust. 1 albo Załącznik nr 4 — zależnie od trybu SZBI jednostki. Podstawa: art. 33 ust. 1 nowelizacji — 12 miesięcy od jej wejścia w życie; podmiot, który spełni przesłanki później, ma 12 miesięcy od dnia ich spełnienia (art. 16 pkt 1 ustawy o KSC).

Dostawca, który sam nie jest podmiotem kluczowym ani ważnym, i podmiot spoza ustawy

Ustawa nie daje im własnych terminów: nie wpisują się do wykazu i nie wdrażają SZBI z art. 8. Obowiązki dostawcy wynikają z umowy z klientem. Klient stosujący art. 8 ust. 1 dba o bezpieczeństwo łańcucha dostaw (art. 8 ust. 1 pkt 2 lit. e i ust. 2 ustawy o KSC); podmiot ważny publiczny ujmuje usługi zewnętrzne w SZBI według Załącznika nr 4 (cz. I pkt 3 lit. c, cz. II pkt 7). Dostawca, który sam spełnia przesłanki z art. 5 — np. dostawca usług zarządzanych w zakresie cyberbezpieczeństwa (art. 5 ust. 1 pkt 3) — jest podmiotem kluczowym albo ważnym i ma własne terminy.

Jednostka, która stanie się podmiotem później

Powyższe terminy dotyczą podmiotów, które spełniały przesłanki w dniu wejścia w życie nowelizacji (3 kwietnia 2026 r.). Jednostka, która przekroczy próg albo zmieni działalność później, liczy terminy od dnia spełnienia przesłanek.

• 12 miesięcy od dnia spełnienia przesłanek — Realizacja obowiązków rozdziału 3 (SZBI, ryzyko, incydenty, łańcuch dostaw) — dotyczy: podmiot kluczowy i podmiot ważny
  Podstawa: art. 16 pkt 1 ustawy o KSC.
• 24 miesiące od dnia spełnienia przesłanek — Pierwszy audyt bezpieczeństwa — dotyczy: tylko podmiot kluczowy
  Podstawa: art. 16 pkt 2 ustawy o KSC; wyłączenie dla byłych OUK — art. 25 nowelizacji.
• 12 miesięcy od dnia spełnienia przesłanek — Korzystanie z systemu S46 — dotyczy: podmiot kluczowy i podmiot ważny
  Podstawa: art. 46 ust. 4 ustawy o KSC.
• 6 miesięcy od dnia spełnienia przesłanek — Wniosek o wpis do wykazu — dotyczy: podmiot kluczowy i podmiot ważny
  Podstawa: art. 7c ust. 1 ustawy o KSC; podmioty publiczne wpisuje minister z urzędu (art. 7a ust. 2 pkt 3).