Do 3 października 2026 podmioty kluczowe i ważne muszą zarejestrować się w wykazie KSC

Pierwszy termin z nowelizacji ustawy o krajowym systemie cyberbezpieczeństwa, która wdraża dyrektywę NIS2, mija 3 października 2026 r. Do tego dnia podmioty kluczowe i ważne muszą dokonać samoidentyfikacji i zarejestrować się w wykazie KSC. Zasady kwalifikacji, wpisu, aktualizacji danych i wykreślenia z wykazu opisują art. 7b ust. 4, art. 7c i art. 7f ust. 3 ustawy.

Przepisy czynią cyberbezpieczeństwo bezpośrednią odpowiedzialnością kadry zarządzającej, a nie tylko działu IT. Zgodnie z art. 8e kadra zarządzająca podmiotów kluczowych i ważnych ma obowiązek odbycia szkolenia z cyberbezpieczeństwa. Art. 8 i art. 10 dotyczą systemu zarządzania bezpieczeństwem informacji, obsługi ryzyka, ciągłości działania, bezpieczeństwa łańcucha dostaw i dokumentacji, a art. 8d i art. 14 zadań, nadzoru i podziału ról przypadających kierownikowi podmiotu.

Pierwszym krokiem dla właściciela firmy jest sprawdzenie, czy jego podmiot kwalifikuje się jako kluczowy lub ważny. Jeśli tak, wpis do wykazu trzeba złożyć do 3 października, a obowiązek szkolenia dotyczy zarządu osobiście, nie tylko informatyków.