- Znaczenie
- Samodzielne zgłoszenie podmiotu objętego NIS2
- Wo
- Wykaz KSC, logowanie przez login.gov.pl
- Termin
- 3 października 2026 r. (nowe podmioty: 6 miesięcy)
- Związek z NIS2
- Konkretny obowiązek ustawowy
- Stan na
- czerwiec 2026
- Redakcja
- Compliance Compass
Czym jest samoidentyfikacja?
Podmioty objęte NIS2 mają obowiązek zgłosić się do wykazu prowadzonego przez Ministerstwo Cyfryzacji samodzielnie. Dzięki temu wiadomo, kto podlega obowiązkom i kto w razie incydentu wysyła zgłoszenie. Rejestr nosi nazwę Wykaz KSC – to narzędzie techniczne; samoidentyfikacja oznacza natomiast samą czynność, czyli zgłoszenie się do niego. Rzecz najważniejsza: państwo nie wyznacza podmiotów odgórnie. Każda organizacja sama sprawdza, czy ze względu na sektor i wielkość jest podmiotem kluczowym albo podmiotem ważnym, i sama składa wniosek o wpis.
Jakie dane są potrzebne
- Dane identyfikacyjne, jakimi legitymuje się podmiot
- Sektor i zaklasyfikowanie jako podmiot kluczowy lub podmiot ważny
- Osoby do kontaktu na potrzeby zgłoszeń (najlepiej dostępne całą dobę)
Termin i przebieg
Obowiązek wpisu istnieje od wejścia w życie ustawy o KSC 3 kwietnia 2026 r. Termin samoidentyfikacji upływa 3 października 2026 r. i jeszcze biegnie. Podmioty, które spełnią kryteria po tej dacie, mają na zgłoszenie 6 miesięcy od chwili ich spełnienia. Wniosek składa się w wykazie KSC pod adresem wykaz-ksc.gov.pl, logując się przez login.gov.pl.
Wpis to dopiero początek
Sam wpis obowiązków nie wypełnia – to formalne wejście w system. Dalej czekają: adekwatne zarządzanie ryzykiem, środki techniczne i organizacyjne oraz dotrzymanie terminów, jakie nakładają obowiązki zgłaszania incydentów. Kto nie dokona samoidentyfikacji, naraża się na karę pieniężną – podmiotom kluczowym grozi do 10 mln EUR lub 2 % rocznego obrotu światowego, podmiotom ważnym do 7 mln EUR lub 1,4 %.
Przypadek z praktyki
Typowa sytuacja: producent komponentów przemysłowych nie ma pewności, czy jest objęty ustawą. Po sprawdzeniu sektorów i progów wielkości dochodzi do wniosku, że jest podmiotem ważnym. Ponieważ termin samoidentyfikacji upływa 3 października 2026 r., bez zwłoki zgłasza się w wykazie KSC, wskazuje osobę do kontaktu na potrzeby zgłoszeń i równolegle zaczyna budować zarządzanie ryzykiem – dzięki temu ogranicza ryzyko sankcji.
Najczęstsze pytania
Czym jest samoidentyfikacja?
Samoidentyfikacja to ustawowy obowiązek samodzielnego zgłoszenia się do wykazu podmiotów kluczowych i podmiotów ważnych, prowadzonego pod adresem wykaz-ksc.gov.pl; logowanie odbywa się przez login.gov.pl. Państwo nikogo do wykazu nie wpisuje z urzędu – to organizacja sama ocenia, czy ze względu na sektor i wielkość jest podmiotem kluczowym albo podmiotem ważnym, a następnie sama składa wniosek o wpis, podając dane podmiotu i osoby do kontaktu.
Do kiedy trzeba dokonać samoidentyfikacji?
Obowiązek istnieje od wejścia w życie ustawy o krajowym systemie cyberbezpieczeństwa (Dz.U. 2026 poz. 252) 3 kwietnia 2026 r., a termin wpisu do wykazu KSC upływa 3 października 2026 r. Podmioty, które spełnią kryteria po tej dacie, mają na zgłoszenie 6 miesięcy od chwili ich spełnienia. Kto obowiązku nie dopełni, naraża się na karę pieniężną – w przypadku podmiotów kluczowych do 10 mln EUR lub 2 % rocznego obrotu światowego.
Czy sama samoidentyfikacja wystarczy?
Nie, wpis do wykazu KSC to dopiero formalne wejście w obowiązki, a nie ich wypełnienie. Potem zaczynają się właściwe zadania: adekwatne zarządzanie ryzykiem, środki techniczne i organizacyjne oraz dotrzymywanie trzystopniowej ścieżki zgłoszeń przy incydentach – wczesne ostrzeżenie w ciągu 24 godzin, zgłoszenie incydentu poważnego w ciągu 72 godzin i sprawozdanie końcowe w ciągu miesiąca. Pełny zakres obowiązków obowiązuje od 3 kwietnia 2027 r.
Źródło uzupełniające: Ministerstwo Cyfryzacji – cyberbezpieczeństwo