Kogo dotyczył termin
Samorejestracja dotyczyła podmiotów, które spełniały przesłanki ustawowe już 3 kwietnia 2026 r., w dniu wejścia nowelizacji w życie, i nie zostały wpisane do wykazu z urzędu. Z urzędu minister wpisał między innymi podmioty publiczne, przedsiębiorców telekomunikacyjnych, dostawców usług zaufania oraz dotychczasowych operatorów usług kluczowych.
Co, jeśli wniosek nie został złożony
Wpis do wykazu ma charakter deklaratoryjny (art. 7d ust. 5 ustawy o KSC). Obowiązki wynikają z ustawy, a nie z wpisu, więc jego brak nie zwalnia z wymagań. Podmiot, który spełnia przesłanki, a wniosku nie złożył, powinien zrobić to niezwłocznie. Organizacja, która zacznie spełniać przesłanki dopiero później, ma na rejestrację 6 miesięcy od dnia ich spełnienia (art. 7c ust. 1).
Kolejne terminy
- 3 kwietnia 2027 r. - koniec okresu na wdrożenie obowiązków z rozdziału 3 ustawy dla podmiotów, które spełniały przesłanki w dniu wejścia nowelizacji.
- 3 kwietnia 2028 r. - termin pierwszego audytu podmiotów kluczowych (art. 15). Od tego dnia możliwe jest też pierwsze nałożenie większości kar pieniężnych (art. 35 ustawy nowelizującej); nie dotyczy to kary z art. 73 ust. 5.
Pełny harmonogram przejściowy pokazuje Kalendarz KSC, a zakres przygotowania do audytu opisuje artykuł Audyt KSC/NIS2.
Chcesz sprawdzić, co ta zmiana oznacza dla Twojej organizacji?
Podczas bezpłatnej, 30-60-minutowej konsultacji ustalamy, czy i jak nowe przepisy dotyczą organizacji, oraz wskazujemy pierwsze kroki. Bez zobowiązań.