Kalendarz KSC 2026-2028: najważniejsze terminy po nowelizacji ustawy o krajowym systemie cyberbezpieczeństwa

Jak czytać tę oś

Wszystkie terminy przejściowe noweli liczą się od 3 kwietnia 2026 r., czyli od dnia jej wejścia w życie. Ustawa została ogłoszona 2 marca 2026 r. i weszła w życie po upływie miesiąca od ogłoszenia (art. 49). To rozróżnienie ma znaczenie praktyczne: harmonogram zbudowany na dacie ogłoszenia jest przesunięty o miesiąc w stosunku do ustawowego. Nowela transponuje dyrektywę NIS2^[3]; Ministerstwo Cyfryzacji wydało do niej zestaw pytań i odpowiedzi, który pomaga w wykładni, ale nie ma mocy prawnej^[5].

Punkty na osi mają dwie wagi. Większe kropki oznaczają terminy, które obciążają sam podmiot kluczowy albo ważny - to one decydują o odpowiedzialności. Mniejsze oznaczają terminy administracji: utworzenie wykazu, sprawozdania do Komisji Europejskiej, ustanowienie CSIRT sektorowych. Te drugie nie są obowiązkiem podmiotu, ale zmieniają jego otoczenie, na przykład adresata zgłoszeń incydentów.

Zielona linia kończy się na dniu dzisiejszym i pokazuje, jaka część okresu przejściowego już upłynęła. Punkty za nią są wygaszone: ich termin minął. Licznik w lewym polu odnosi się zawsze do najbliższego nadchodzącego terminu, niezależnie od tego, co jest w danej chwili zaznaczone na osi.

Terminy, których nie ma na osi, bo liczą się indywidualnie

Oś przedstawia terminy wspólne - takie, które ustawa nowelizująca wiąże z dniem swojego wejścia w życie. Dotyczą one podmiotów, które spełniały przesłanki już 3 kwietnia 2026 r. Organizacja, która stała się podmiotem kluczowym albo ważnym później, ma własny zegar i punkty na osi jej nie dotyczą. Kryterium wielkości bierze się z załącznika I do rozporządzenia 651/2014/UE^[4], a progi istotności z uchylonego rozporządzenia z 2018 r. nie mają już znaczenia^[6].

• 6 miesięcy na wniosek o wpis do wykazu - od dnia spełnienia przesłanek uznania za podmiot kluczowy albo ważny (art. 7c ust. 1 ustawy o KSC). Podmioty objęte już 3 kwietnia 2026 r. składają wniosek według harmonogramu ogłaszanego przez ministra, a nie w tym ogólnym terminie.
• 12 miesięcy na obowiązki z rozdziału 3 - również od dnia spełnienia przesłanek (art. 16 pkt 1). Ten sam okres, ale liczony od innego zdarzenia niż punkt na osi.
• 24 miesiące na pierwszy audyt podmiotu kluczowego (art. 16 pkt 2). Operator usługi kluczowej, który audyt z art. 15 ust. 1 wykonał jeszcze pod poprzednimi przepisami, tego terminu nie stosuje.
• 12 i 24 miesiące od doręczenia decyzji - dla podmiotu uznanego za kluczowy indywidualnie, w trybie art. 7l albo art. 7m. Bieg terminu otwiera doręczenie decyzji, a nie jej wydanie.
• 14 dni na zgłoszenie zmiany danych w wykazie (art. 7c ust. 3). Termin krótki i łatwy do przegapienia, bo dotyczy zwykłych zmian organizacyjnych: adresu, osób do kontaktu, zakresów adresów IP.

Praktyczna konsekwencja jest taka, że data spełnienia przesłanek powinna być udokumentowana. Bez niej nie da się wykazać, że termin jeszcze nie upłynął - a ciężar wykazania spoczywa na podmiocie, nie na organie.

Obowiązki cykliczne - które dotyczą podmiotu kluczowego, a które ważnego

Po zakończeniu okresów przejściowych część obowiązków KSC trzeba wykonywać stale albo w określonych cyklach. Nie wszystkie są jednak takie same dla podmiotów kluczowych i ważnych. Szczególny reżim dotyczy podmiotu ważnego będącego podmiotem publicznym. Numeracja artykułów odsyła do tekstu ujednoliconego ustawy o KSC^[2].

Audyt KSC co najmniej raz na 3 lata - tylko podmiot kluczowy. Termin liczy się od dnia sporządzenia i podpisania przez audytorów raportu z poprzedniego audytu (art. 15 ust. 1). Podmiot kluczowy przekazuje kopię raportu organowi właściwemu do spraw cyberbezpieczeństwa w ciągu 3 dni roboczych od jego otrzymania (art. 15 ust. 1a). Podmiot ważny nie ma obowiązku takiego audytu okresowego, ale organ może nakazać mu audyt zewnętrzny po incydencie poważnym albo innym naruszeniu ustawy (art. 15 ust. 1b). Zob. audyt KSC i NIS2.

Szkolenie kierownika raz w roku kalendarzowym - podmiot kluczowy i ważny. Kierownik podmiotu oraz osoba, której powierzono obowiązki kierownika w zakresie cyberbezpieczeństwa, przechodzą raz w roku kalendarzowym udokumentowane szkolenie obejmujące wykonywanie obowiązków wskazanych w art. 8e.

Zgłaszanie incydentów poważnych - podmiot kluczowy i ważny, ale z wyjątkiem dla podmiotów publicznych. Co do zasady obowiązuje sekwencja: wczesne ostrzeżenie do 24 godzin, zgłoszenie incydentu do 72 godzin i sprawozdanie końcowe w ciągu miesiąca od zgłoszenia. W razie potrzeby dochodzi również sprawozdanie okresowe na wniosek CSIRT sektorowego albo sprawozdanie z postępu obsługi incydentu. Podmiot ważny będący podmiotem publicznym ma uproszczony tryb: nie przekazuje wczesnego ostrzeżenia, sprawozdania okresowego, sprawozdania z postępu obsługi incydentu ani sprawozdania końcowego (art. 12c). Nadal ma jednak obowiązek zgłoszenia incydentu poważnego do 72 godzin.

Ocena skuteczności zabezpieczeń - podmiot kluczowy i większość podmiotów ważnych. Art. 8 ust. 1 pkt 2 lit. h wymaga polityk i procedur oceny skuteczności środków technicznych i organizacyjnych, ale nie określa jednej częstotliwości dla wszystkich organizacji. Podmiot ważny będący podmiotem publicznym podlega odrębnemu reżimowi art. 8 ust. 3 i załącznika nr 4 oraz dokonuje przeglądu SZBI co najmniej raz w roku. Przegląd trzeba przeprowadzić również bezzwłocznie po wydaniu odpowiedniej rekomendacji Pełnomocnika Rządu do Spraw Cyberbezpieczeństwa albo w razie okoliczności mogących wpłynąć na ryzyko wystąpienia incydentu poważnego, jeżeli wymagają ponownego wykonania działań lub zmian w SZBI.

Audyt wewnętrzny KRI nie rzadziej niż raz na rok - niezależnie od kategorii KSC. To obowiązek wynikający z innego aktu prawnego. Dotyczy podmiotów objętych KRI, dlatego organizacja może jednocześnie podlegać KSC i KRI. Status podmiotu kluczowego lub ważnego sam w sobie nie przesądza o obowiązku audytu KRI. Zob. audyt KRI.

Kary: co odracza art. 35, a czego nie odracza

Art. 35 ustawy nowelizującej stanowi, że kary pieniężne z art. 73 ust. 1-4, art. 73a-73c i art. 76b ustawy o KSC mogą być po raz pierwszy nałożone po upływie 2 lat od dnia wejścia ustawy w życie. Dwuletni okres upływa 3 kwietnia 2028 r., czyli tego samego dnia co termin pierwszego audytu.

Trzy rzeczy warto z tego wyczytać dokładnie. Po pierwsze, przepis odracza nałożenie kary, a nie powstanie obowiązku - naruszenie popełnione wcześniej pozostaje naruszeniem i nie znika z akt. Po drugie, wyliczenie nie obejmuje art. 73 ust. 5, czyli kary do 100 mln zł za naruszenie powodujące bezpośrednie i poważne cyberzagrożenie dla obronności, bezpieczeństwa państwa, bezpieczeństwa i porządku publicznego albo życia i zdrowia ludzi, a także grożące poważną szkodą majątkową lub poważnym utrudnieniem w świadczeniu usług. Po trzecie, karencja nie dotyczy pozostałych środków nadzorczych: organ może w każdym czasie nakazać podmiotowi kluczowemu audyt zewnętrzny, a decyzja podlega natychmiastowemu wykonaniu (art. 15 ust. 1b i 1c).

Górne granice kar są takie same przez cały czas: do 10 mln EUR albo 2 proc. przychodu dla podmiotu kluczowego (nie mniej niż 20 000 zł) i do 7 mln EUR albo 1,4 proc. przychodu dla podmiotu ważnego (nie mniej niż 15 000 zł). Osobno odpowiada kierownik podmiotu - do 300 proc. własnego wynagrodzenia, a w podmiocie publicznym do 100 proc. (art. 73a).