NIS2 KSC: wpis do wykazu — termin minął, co dalej?

Jesteś software house'em lub MSP i obsługujesz producenta albo firmę logistyczną. 3 października 2026 r. minął termin na złożenie wniosku o wpis do wykazu podmiotów kluczowych i ważnych. Klient złożył wniosek albo nie. W obu przypadkach pytanie jest dziś inne niż pół roku temu. Nie brzmi już „czy jesteśmy w wykazie?”, tylko „co będziemy mogli pokazać 3 kwietnia 2027 r.?”.

Dlatego NIS2 KSC i wpis do wykazu to dopiero początek, a nie koniec pracy. Zaczyna się dowodzenie, że środki faktycznie działają.

NIS2 KSC i wpis do wykazu: co dokładnie się zamknęło w Polsce

Ustawa z dnia 23 stycznia 2026 r. o zmianie ustawy o krajowym systemie cyberbezpieczeństwa oraz niektórych innych ustaw (Dz.U. 2026 poz. 252) weszła w życie 3 kwietnia 2026 r. To nowelizacja ustawy o krajowym systemie cyberbezpieczeństwa (KSC), która wdraża NIS2.

Terminy, które mają znaczenie dla Twoich klientów:

• 3 października 2026 r.: koniec sześciu miesięcy na wniosek o wpis do wykazu dla podmiotów kluczowych i ważnych.
• 3 kwietnia 2027 r.: wdrożenie obowiązków, czyli środków technicznych i organizacyjnych dla systemów informacyjnych. Dotyczy podmiotów spełniających kryteria ustawowe w dniu wejścia ustawy w życie.
• 3 kwietnia 2028 r.: pierwszy obowiązkowy audyt cyberbezpieczeństwa podmiotów kluczowych, powtarzany co najmniej raz na trzy lata.

Według Ministerstwa Cyfryzacji kary administracyjne za większość obowiązków można nakładać dopiero po dwóch latach od wejścia ustawy w życie, czyli od 3 kwietnia 2028 r. To realne okno na przygotowanie. Ale termin audytu jest ten sam, a audytor zapyta o dowody z całego okresu, nie tylko z ostatnich tygodni.

Ustawa czyni też kierownictwo odpowiedzialnym za realizację zadań w zakresie cyberbezpieczeństwa. Ministerstwo zapowiada wsparcie, m.in. materiały pytań i odpowiedzi oraz mapowanie standardów.

Co z klientem, który nie złożył wniosku

Nie zakładaj, że sprawa jest zamknięta albo że można ją odłożyć. Sprawdź trzy rzeczy:

1. Czy klient spełniał kryteria ustawowe w dniu wejścia ustawy w życie. Od tego zależy termin 3 kwietnia 2027 r.
2. Jaki jest jego faktyczny status w wykazie i kto w firmie to potwierdził.
3. Co kierownictwo wie o swojej roli. Odpowiedzialność jest po jego stronie, nie po stronie dostawcy IT.

Jeśli status jest niejasny, zdokumentuj to i ustal z klientem dalsze kroki. Dokładnych konsekwencji proceduralnych nie opisujemy tutaj, bo nie wynikają z zweryfikowanych źródeł. Sprawdź je u ustawodawcy i w opinii prawnej.

Wpis do wykazu to najłatwiejszy etap

Wpis potwierdza jedno: firma istnieje i zadeklarowała, że podlega przepisom. Nie mówi nic o tym, czy zabezpieczenia działają.

Dla doradcy zmienia się praktyka. Pierwsze pytanie klienta brzmiało „czy nas to dotyczy?”. Drugie brzmi teraz „czy potrafimy pokazać, co robimy?”. Segregator polityk, których nikt nie stosuje, nie obroni się przy kontroli. Datowane, zaprotokołowane i przetestowane zapisy – tak.

Od czego zacząć przed kwietniem 2027 r.

Niezależnie od tego, kto i kiedy zapyta, wczesne kroki wyglądają podobnie. W przybliżeniu w tej kolejności:

1. Aktualny profil podmiotu. Zły sektor, zła kategoria wielkości albo nieaktualny punkt kontaktowy to najtańsze do uniknięcia ustalenie.
2. Odpowiedzialność kierownictwa. Datowana uchwała lub decyzja zarządu zatwierdzająca środki bezpieczeństwa oraz ślad szkoleń. W Niemczech zarząd odpowiada osobiście na podstawie § 38 ust. 2 BSIG, co pokazuje, w którą stronę idzie Europa.
3. Procedura zgłaszania incydentów z trzema zegarami. 24 godziny na wczesne ostrzeżenie, 72 godziny na zgłoszenie, miesiąc na raport końcowy.
4. Inwentarz zasobów i usług. Powinien odpowiadać temu, co klient zadeklarował we wniosku.
5. Dowody, że środki działają. Testy odtwarzania kopii zapasowych z datami, przeglądy dostępów, zapisy obsługi podatności, umowy z dostawcami z klauzulami bezpieczeństwa.

Kontekst transgraniczny: Niemcy, Włochy, Holandia

Jeśli klient ma spółki w kilku krajach, ma kilka zegarów naraz.

Niemcy. Ustawa wdrażająca NIS2 (NIS2UmsuCG) zreformowała BSIG. Pierwotny termin rejestracji, 6 marca 2026 r., przedłużono, a źródła nie zgadzają się co do ostatniej daty: część podaje 31 lipca, część 30 września 2026 r. Sprawdź portal BSI. BSI zastrzegło sobie egzekwowanie z użyciem kar, które mogą sięgać 10 mln euro lub 2% obrotu.

Włochy. Zgodnie z D.Lgs. 138/2024 i decyzją ACN 379907/2025 podstawowe środki muszą działać 18 miesięcy po otrzymaniu zawiadomienia o wpisie dla podmiotów wpisanych w 2025 r. Źródła wskazują październik 2026 r., często 31 października. Zawiadomienia wysłano 12–13 kwietnia 2025 r., co daje połowę października. Przeczytaj datę na zawiadomieniu klienta. Kohorta 2026 ma czas do 31 lipca 2027 r. Zgłaszanie incydentów obowiązuje we Włoszech od stycznia 2026 r.

Holandia. Cyberbeveiligingswet (Cbw) wraz z Wwke weszła w życie 15 sierpnia 2026 r., a rejestracja odbywa się przez NCSC.

Francja i Hiszpania nie wdrożyły NIS2. Oba państwa skierowano do TSUE 8 lipca 2026 r., razem z Irlandią i Holandią. Chodzi o ryczałt i okresowe kary. Francuski projekt Résilience nie został jeszcze ogłoszony, a hiszpański projekt jest w parlamencie. Klient polskiego dostawcy z takim kontrahentem i tak dostanie kwestionariusz bezpieczeństwa. Obowiązek przychodzi przez umowę, nie przez ustawę.

Wspólny mianownik: zarządzanie ryzykiem

Wszystkie krajowe ustawy wdrażają te same dziesięć środków zarządzania ryzykiem z dyrektywy NIS2. To jedna ocena, którą da się powtórzyć w różnych krajach, z krajowymi nakładkami.

Praktyczne podejście dla klienta działającego w wielu krajach:

• Wykonaj jedną analizę luk względem dziesięciu środków i zmapuj ją na wymagania krajowe.
• Prowadź jedno repozytorium dowodów, uporządkowane według środków, nie według krajów.
• Utrzymuj kalendarz dla każdego kraju: aktualizacje wpisów, punkty kontaktowe do zgłaszania incydentów, terminy audytów.

Metodę opisujemy w przewodniku po analizie luk krok po kroku oraz w tekście o dowodach, o które pytają nadzorcy. Szczegóły krajowe znajdziesz w wpisach o Polsce, Holandii, Włoszech oraz Francji i Hiszpanii.

Dlaczego kolejność myli MSP

Wzorzec błędu jest przewidywalny. Dostawca załatwia wpis dla klienta w jednym kraju, składa wniosek i przechodzi do następnych zadań. Pół roku później włoska spółka córka ma termin, którego nikt nie wpisał do kalendarza, bo zawiadomienie trafiło na skrzynkę, której nikt nie czyta. We Włoszech o terminie decyduje data zawiadomienia, a nie rok kalendarzowy.

To samo dotyczy punktów kontaktowych. Osoba, która odeszła z firmy, a nadal figuruje jako kontakt, zamienia zwykłą wiadomość w niedopełniony obowiązek.

Jak rozmawiać z kierownictwem klienta

Zarząd rzadko chce słuchać o kontrolach technicznych. Chce wiedzieć, za co odpowiada i do kiedy. Przedstaw to w trzech zdaniach.

Po pierwsze, ustawa czyni kierownictwo odpowiedzialnym za realizację zadań w zakresie cyberbezpieczeństwa. Po drugie, środki muszą działać do 3 kwietnia 2027 r., a pierwszy audyt podmiotów kluczowych przypada na 3 kwietnia 2028 r. Po trzecie, kary za większość obowiązków mogą pojawić się dopiero od kwietnia 2028 r., ale to nie jest powód, żeby zaczynać późno. Dowody gromadzi się miesiącami.

Dobrze działa prosty harmonogram na jednej stronie: kto, co, do kiedy, jaki dowód. Zarząd zatwierdza go datowaną decyzją, a Ty aktualizujesz go co kwartał.

Co zrobić w tym tygodniu

Wybierz klienta o największej ekspozycji i zrób cztery rzeczy.

Po pierwsze, potwierdź status wpisu w każdym kraju, w którym działa, i zapisz datę widoczną w systemie, a nie tę, którą zakładasz. Po drugie, ustal, czy klient spełniał kryteria ustawowe w dniu wejścia ustawy w życie, i wpisz do kalendarza 3 kwietnia 2027 r. Po trzecie, sprawdź, czy zarząd ma datowane zatwierdzenie środków bezpieczeństwa. Po czwarte, przetestuj procedurę zgłaszania incydentów 24-godzinnym ćwiczeniem i zapisz wynik.

Na początek możesz użyć oceny gotowości NIS2. W kilka minut zestawia aktualny stan klienta ze środkami zarządzania ryzykiem i pokazuje luki w dowodach. To ocena gotowości, a nie potwierdzenie zgodności z prawem. Wiążące są wymagania ustawy i organów.

Wpis do wykazu był rozgrzewką. Audyt sprawdzi, czy zabezpieczenia kiedykolwiek były prawdziwe.