Uwaga do daty: 6 miesięcy od wejścia w życie znowelizowanej ustawy o KSC w dniu 2026-04-03; termin ten został wydłużony z pierwotnie proponowanych 3 miesięcy podczas drugiego czytania w Sejmie. Podmioty, które zaczną spełniać kryteria później, nadal muszą zarejestrować się w ciągu 6 miesięcy od pierwszego spełnienia kryteriów - to zasada ciągła, a nie tylko jednorazowy termin dla tej pierwszej grupy.
Podmioty nowo objęte statusem „kluczowego” lub „ważnego” na mocy znowelizowanej polskiej ustawy o cyberbezpieczeństwie (KSC), wdrażającej NIS2, muszą złożyć wniosek o rejestrację do właściwego organu w ciągu 6 miesięcy od wejścia w życie ustawy.
Średnie i duże firmy w sektorach objętych NIS2, które są lub staną się objęte znowelizowaną ustawą o KSC, a także mniejsze podmioty uznane za krytyczne lub jedynych dostawców danej usługi.
Wielkości: średnia, duża · Sektory: Energetyka, Transport / logistyka, Finanse / ubezpieczenia, Ochrona zdrowia, Oprogramowanie / SaaS, Produkcja, Rolnictwo / żywność, Usługi profesjonalne · Dotyczy, jeśli: Działamy w sektorze krytycznym (NIS2); Korzystamy z usług chmurowych
Ustal, czy Twoja organizacja spełnia kryteria podmiotu kluczowego/ważnego zgodnie ze znowelizowaną ustawą o KSC. Jeśli spełniasz je od dnia wejścia w życie ustawy, złóż wniosek o rejestrację do 3 października 2026 r.; jeśli spełnisz je później, zarejestruj się w ciągu 6 miesięcy od momentu spełnienia kryteriów. Rozpocznij równolegle przygotowania do wdrożenia środków zarządzania ryzykiem i procedur zgłaszania incydentów, mając na uwadze termin wdrożenia przypadający na 3 kwietnia 2027 r.
Kary administracyjne przewidziane w ustawie, egzekwowalne po raz pierwszy od 3 kwietnia 2028 r. (2 lata od wejścia w życie).
Ostatnia weryfikacja: 8 września 2026. Wyłącznie w celach informacyjnych, nie stanowi porady prawnej.
Średnie i duże podmioty w sektorach objętych NIS2 (energetyka, transport, finanse, ochrona zdrowia, infrastruktura cyfrowa/oprogramowanie, produkcja, żywność/rolnictwo i inne wskazane w ustawie), a także mniejsze podmioty uznane przez organy za krytyczne lub jedynych dostawców danej usługi.