Organizacje, które spełniały kryteria podmiotu kluczowego lub ważnego, powinny do 3 kwietnia 2027 roku wdrożyć obowiązki wynikające z uKSC, w tym SZBI, systematyczną analizę ryzyka, procesy obsługi i zgłaszania incydentów oraz przygotowanie do korzystania z systemu S46. Kary pieniężne można nakładać najwcześniej od 3 kwietnia 2028 roku. Ocena luk (gap analysis) nie zastępuje obowiązkowego audytu ustawowego. W przedsiębiorstwach przemysłowych ocena gotowości powinna obejmować również infrastrukturę OT/ICS.

---

Termin samorejestracji w Wykazie KSC dla organizacji, które spełniały kryteria podmiotu kluczowego lub ważnego już 3 kwietnia 2026 roku, minął 3 października 2026 roku. Nie oznacza to jednak końca prac nad zgodnością z NIS2 i nowelizacją ustawy o krajowym systemie cyberbezpieczeństwa. Wręcz przeciwnie. Dla wielu podmiotów był to dopiero pierwszy formalny krok. 

Do 3 kwietnia 2027 roku organizacje objęte nowymi przepisami powinny między innymi wdrożyć System Zarządzania Bezpieczeństwem Informacji, uporządkować procesy zarządzania ryzykiem i incydentami oraz przygotować się do korzystania z systemu S46, czyli systemu służącego do zgłaszania incydentów.  

W praktyce oznacza to konieczność połączenia wymagań regulacyjnych z realnym bezpieczeństwem środowisk IT i OT. Sama dokumentacja nie wystarczy. Organizacja powinna potrafić wykazać, że zabezpieczenia działają, ryzyko jest systematycznie oceniane, a zespół wie, jak postępować w przypadku incydentu. 

Co zmieniło się po 3 października 2026 roku? 

Data 3 października 2026 roku zamknęła pierwszy etap wdrażania nowych przepisów dla podmiotów, które spełniały kryteria ustawowe w dniu wejścia nowelizacji w życie. Był to termin na złożenie wniosku o wpis do Wykazu KSC przez organizacje niepodlegające wpisowi z urzędu.  

Od tego momentu punkt ciężkości przesuwa się z odpowiedzi na pytanie „czy podlegamy ustawie?” na pytanie „czy potrafimy wykazać, że realizujemy wynikające z niej obowiązki?”. 

Ważne jest również to, że 3 października nie był jedynym możliwym terminem rejestracji. Podmiot, który zacznie spełniać kryteria uznania za kluczowy lub ważny później, ma sześć miesięcy od momentu ich spełnienia na zgłoszenie do wykazu. Zmiany danych ujętych w wykazie wymagają natomiast aktualizacji w terminie wskazanym w ustawie.  

Oznacza to, że samoidentyfikacja nie powinna mieć charakteru jednorazowego. Należy do niej wracać między innymi po zmianie profilu działalności, reorganizacji grupy kapitałowej, uruchomieniu nowych usług, przejęciu innego podmiotu lub zmianie wielkości przedsiębiorstwa. 

Co zrobić, jeśli organizacja nie złożyła wniosku w terminie? 

Wniosek należy złożyć jak najszybciej. Brak wniosku nie zwalnia z obowiązków, a organ właściwy może wpisać podmiot do wykazu z urzędu. Zwłoka w rejestracji nie przesuwa terminu wdrożenia obowiązków, dlatego uzupełnienie wpisu warto połączyć z oceną luk. 

Dlaczego samoidentyfikacja była dopiero pierwszym krokiem? 

Samoidentyfikacja służy ustaleniu, czy organizacja spełnia kryteria podmiotu kluczowego albo podmiotu ważnego. Pod uwagę bierze się przede wszystkim sektor i rodzaj prowadzonej działalności, świadczone usługi, wielkość podmiotu oraz pozostałe kryteria wskazane w art. 5 i załącznikach do ustawy.  

Wpis do Wykazu KSC nie jest jednak potwierdzeniem pełnej zgodności. Identyfikuje organizację jako uczestnika krajowego systemu cyberbezpieczeństwa i umożliwia komunikację z organami właściwymi oraz zespołami CSIRT. Dopiero kolejne działania pokazują, czy organizacja rzeczywiście zarządza cyberbezpieczeństwem w sposób systemowy. 

Właśnie dlatego po zakończeniu samoidentyfikacji należy przejść do oceny luk. Organizacja powinna sprawdzić nie tylko, czy posiada wymagane polityki, ale również: 

• czy zna wszystkie systemy wpływające na świadczenie usług, 
• czy posiada aktualną inwentaryzację aktywów IT i OT, 
• czy regularnie analizuje ryzyko, 
• czy procedury reagowania na incydenty zostały przetestowane, 
• czy wymagania bezpieczeństwa obejmują dostawców i podwykonawców, 
• czy środki techniczne są dostosowane do rzeczywistego ryzyka, 
• czy zarząd otrzymuje informacje pozwalające skutecznie nadzorować proces. 

Jakie obowiązki trzeba wdrożyć do 3 kwietnia 2027 roku? 

Dla podmiotów, które spełniały kryteria ustawowe 3 kwietnia 2026 roku, okres dostosowawczy kończy się 3 kwietnia 2027 roku. Do tego dnia powinny one wdrożyć obowiązki wynikające z nowych przepisów oraz przygotować się do korzystania z systemu S46.  

Kary a termin wdrożenia. Obowiązki obowiązują od 3 kwietnia 2027 roku, ale kary pieniężne za ich naruszenie można nakładać najwcześniej od 3 kwietnia 2028 roku. Wyjątkiem jest kara za bezpośrednie i poważne zagrożenie (art. 73 ust. 5), która nie podlega temu odroczeniu. To nie powód do zwłoki. Incydent nie czeka na koniec okresu przejściowego, a braki w zabezpieczeniach wychodzą na jaw przy pierwszym poważnym zdarzeniu, nie dopiero przy kontroli. 

Podmiot kluczowy a podmiot ważny: co się różni 

Wymagania dotyczące zarządzania ryzykiem, SZBI i zgłaszania incydentów są wspólne dla obu grup. Różnice dotyczą przede wszystkim audytu i sankcji: 

• obowiązek okresowego audytu zgodności dotyczy podmiotów kluczowych (pierwszy do 3 kwietnia 2028 roku dla podmiotów spełniających przesłanki od wejścia w życie nowelizacji, kolejne co najmniej raz na trzy lata), 
• kary są wyższe dla podmiotów kluczowych (do 10 mln euro lub 2% rocznego światowego obrotu) niż dla ważnych (do 7 mln euro lub 1,4% obrotu). 

Wśród najważniejszych działań znajdują się: 

• Wdrożenie Systemu Zarządzania Bezpieczeństwem Informacji 

SZBI powinien obejmować systemy informacyjne wykorzystywane w procesach wpływających na świadczenie usług. Nie powinien funkcjonować wyłącznie jako zbiór dokumentów. Musi przekładać wymagania na odpowiedzialności, procesy, zabezpieczenia oraz dowody ich stosowania.  

• Systematyczne szacowanie ryzyka 

Organizacja powinna identyfikować zagrożenia, podatności, aktywa i możliwe skutki incydentów, a następnie wdrażać środki odpowiednie i proporcjonalne do oszacowanego ryzyka. Ustawa nakazuje uwzględniać między innymi wielkość podmiotu, prawdopodobieństwo incydentów, ekspozycję na ryzyko oraz skutki społeczne i gospodarcze.  

• Obsługa i zgłaszanie incydentów 

Organizacja musi posiadać proces pozwalający szybko wykryć, ocenić, obsłużyć i zgłosić poważny incydent. Wczesne ostrzeżenie powinno zostać przekazane niezwłocznie, nie później niż w ciągu 24 godzin od wykrycia. Zgłoszenie poważnego incydentu powinno nastąpić nie później niż w ciągu 72 godzin, a sprawozdanie końcowe co do zasady w ciągu miesiąca od zgłoszenia.  

Do czasu ogłoszenia zdolności operacyjnej właściwego CSIRT sektorowego zgłoszenia trafiają do CSIRT poziomu krajowego (CSIRT MON, CSIRT NASK lub CSIRT GOV), dlatego aktualnego adresata należy sprawdzić w komunikacie dla danego sektora. 

• Wyznaczenie osób odpowiedzialnych za kontakt 

Podmiot kluczowy lub ważny wyznacza co najmniej dwie osoby odpowiedzialne za utrzymywanie kontaktów z uczestnikami krajowego systemu cyberbezpieczeństwa. W przypadku mikro- lub małego przedsiębiorcy może to być co najmniej jedna osoba.  

Przygotowanie dokumentacji i dowodów działania 

Potrzebne są zarówno dokumenty normatywne, takie jak polityki, procedury i plany, jak i dokumentacja operacyjna, czyli między innymi rejestry, logi, wyniki testów, raporty, protokoły szkoleń i zapisy realizacji procedur.  

Zapewnienie odpowiedzialności kierownictwa 

Kierownik podmiotu odpowiada za realizację obowiązków także wtedy, gdy zostały one powierzone innemu pracownikowi lub zewnętrznemu dostawcy. Do jego zadań należy między innymi podejmowanie decyzji dotyczących SZBI, zapewnienie finansowania, delegowanie zadań, nadzór nad ich realizacją i budowanie świadomości pracowników.  

Odpowiedzialność ma charakter osobisty. Kierownik podmiotu kluczowego lub ważnego, który nie jest podmiotem publicznym, może zostać ukarany karą do 300% wynagrodzenia (do 100% w podmiocie publicznym), a w przypadku podmiotu kluczowego organ może zakazać mu pełnienia funkcji zarządczych do czasu usunięcia uchybień. Kierownik musi też raz w roku kalendarzowym odbyć udokumentowane szkolenie z cyberbezpieczeństwa. Powierzenie zadań zewnętrznemu dostawcy tej odpowiedzialności nie zdejmuje. 

Jakich środków zarządzania ryzykiem wymagają NIS2 i uKSC? 

Środki bezpieczeństwa nie mogą być przypadkowym zestawem produktów. Powinny wynikać z analizy ryzyka i obejmować cały cykl życia systemów. 

Nowelizacja uKSC wskazuje między innymi na: 

polityki szacowania ryzyka i bezpieczeństwa systemów informacyjnych,
bezpieczeństwo nabywania, rozwoju, utrzymania i eksploatacji systemów,
testowanie systemów i zabezpieczeń,
bezpieczeństwo fizyczne i środowiskowe,
bezpieczeństwo personelu,
kontrolę dostępu i zarządzanie aktywami,
bezpieczeństwo oraz ciągłość łańcucha dostaw,
plany ciągłości działania i odtwarzania po awarii,
monitorowanie, wykrywanie oraz obsługę incydentów,
zarządzanie podatnościami i aktualizacjami,
kryptografię oraz zabezpieczoną komunikację,
cyberhigienę i szkolenia pracowników,
okresową ocenę skuteczności przyjętych zabezpieczeń.  

Istotne jest słowo „proporcjonalne”. Organizacja nie musi wdrażać wszystkich dostępnych technologii. Musi natomiast umieć uzasadnić, dlaczego wybrane środki odpowiadają konkretnym zagrożeniom oraz w jaki sposób ograniczają ryzyko do akceptowalnego poziomu. 

Ocena gotowości i audyt OT jako punkt startowy 

W przedsiębiorstwach przemysłowych ocena gotowości nie może ograniczać się do klasycznego IT. Systemy OT i ICS sterują procesami produkcyjnymi, energetycznymi, logistycznymi lub infrastrukturalnymi. Ich bezpieczeństwo wpływa bezpośrednio na dostępność usług, ciągłość produkcji, jakość produktów, a czasem także na bezpieczeństwo ludzi i środowiska. 

Dlatego dobrym punktem startowym jest ocena luk (gap analysis) obejmująca cyberbezpieczeństwo OT oraz zgodność z NIS2/uKSC. Jego celem nie powinno być wyłącznie przygotowanie listy niezgodności, lecz stworzenie wiarygodnego obrazu infrastruktury i ryzyka. 

Ocena luk jest działaniem dobrowolnym i nie zastępuje audytu ustawowego z art. 15 uKSC. Audyt ustawowy wykonuje audytor spełniający wymogi ustawy, a kopię raportu należy przekazać organowi w ciągu trzech dni roboczych od jego otrzymania. Warto też pamiętać o niezależności: podmiot, który wdraża SZBI, nie powinien być tym samym, który później audytuje go w trybie ustawowym. 

Ocena powinna objąć między innymi: 

• inwentaryzację aktywów OT/ICS, 
• przegląd architektury i połączeń IT/OT, 
• zasady zdalnego dostępu, 
• segmentację sieci, 
• zarządzanie kontami i uprawnieniami, 
• kopie zapasowe sterowników, konfiguracji i systemów nadrzędnych, 
• zarządzanie podatnościami i aktualizacjami, 
• monitorowanie zdarzeń w sieci przemysłowej, 
• procedury reagowania na incydenty OT, 
• dostęp serwisowy dostawców, 
• zgodność procedur z rzeczywistym sposobem pracy zakładu. 

W TT-CS ocena infrastruktury OT jest powiązana z wymaganiami NIS2, uKSC oraz podejściem opartym na IEC 62443. Pozwala to przełożyć wyniki na plan zamykania luk, uwzględniający specyfikę i ograniczenia środowiska przemysłowego.  

Jak przygotować środowiska OT/ICS do wymagań regulacyjnych? 

W OT nie należy bezpośrednio kopiować zabezpieczeń stosowanych w IT. Aktualizacja systemu, skanowanie aktywne czy zmiana konfiguracji mogą wpłynąć na stabilność procesu technologicznego. Bezpieczeństwo trzeba więc budować etapowo, w porozumieniu z automatykami, utrzymaniem ruchu, produkcją, IT i zespołem cyberbezpieczeństwa. 

Poza elementami wymienionymi powyżej, w środowiskach OT/ICS szczególnie ważne są: 

• określenie krytyczności systemów dla procesu oraz właściciela odpowiedzialnego za bezpieczeństwo każdego z nich, 
• pasywna inwentaryzacja i monitoring (SPAN/TAP) zamiast skanowania aktywnego, 
• zabezpieczenie stacji inżynierskich i serwerów SCADA, 
• środki kompensacyjne dla systemów, których nie można aktualizować (segmentacja, ograniczenie komunikacji, kontrola dostępu), 
• plan pracy w trybie ręcznym lub zdegradowanym oraz sprawdzone odtwarzanie z kopii konfiguracji, 
• planowanie zmian w oknach serwisowych, uzgodnione z technologami i utrzymaniem ruchu, 
• wymagania cyberbezpieczeństwa wobec integratorów i dostawców zapisane w kontraktach, FAT/SAT i projektach inwestycyjnych (secure by design). 

Norma IEC 62443 jest dobrą praktyką, a nie wymogiem ustawowym, ale może w tym procesie pełnić rolę praktycznego punktu odniesienia: część 3-2 w zakresie oceny ryzyka systemu oraz modelu stref i kanałów komunikacyjnych, część 3-3 w zakresie wymagań dla systemów, część 2-4 w zakresie wymagań wobec integratorów i dostawców usług, a część 4-1 w zakresie bezpiecznego cyklu życia rozwiązań automatyki.  

Z kolei iSOC/SOC OT wspiera ciągłą obserwację infrastruktury, analizowanie anomalii oraz eskalowanie zdarzeń, które mogą wpływać na proces technologiczny. Samo wdrożenie monitoringu nie zastępuje jednak analizy ryzyka, procedur i przygotowania zespołu. Jest jednym z elementów szerszego systemu zarządzania bezpieczeństwem. 

Najczęstsze luki w audytach OT 

W środowiskach przemysłowych z roku na rok powtarzają się te same problemy. Przy ocenie gotowości najczęściej widzimy: 

• płaskie sieci i brak segmentacji pomiędzy IT i OT, 
• zdalny dostęp dostawców przez współdzielone konta lub narzędzia bez nadzoru i rejestrowania sesji, 
• brak aktualnej inwentaryzacji aktywów oraz brak jednej osoby odpowiedzialnej za bezpieczeństwo OT, 
• nieprzetestowane kopie konfiguracji sterowników, HMI i systemów SCADA, 
• systemy, których nie da się aktualizować, bez środków kompensacyjnych, 
• plany ciągłości działania bez trybu pracy ręcznej lub zdegradowanej, 
• brak procedur incydentowych właściwych dla OT oraz ścieżki zgłoszenia w terminach 24 i 72 godzin. 

Żaden z tych punktów nie wymaga skomplikowanej technologii, aby go zidentyfikować. Wymaga natomiast rozmowy z ludźmi z ruchu i sprawdzenia, jak zakład faktycznie pracuje. 

Roadmapa wdrożenia NIS2 i uKSC krok po kroku 

Do 3 kwietnia 2027 roku zostało około 23 tygodni, więc kroków nie da się realizować w pełni jeden po drugim. Poniższy model zakłada równoległość: ocena luk, analiza ryzyka i prace nad SZBI ruszają razem, a zabezpieczenia techniczne wdrażane są etapami, według priorytetów ryzyka. Podane tygodnie są orientacyjne i liczone od startu projektu. Model powinien zostać dopasowany do profilu i skali organizacji. 

Krok 1. Potwierdzenie statusu i zakresu (tygodnie 1-2) 

Należy zweryfikować wynik samoidentyfikacji, określić usługi objęte regulacją oraz wskazać procesy i systemy wpływające na ich świadczenie. 

Krok 2. Ocena luk NIS2/uKSC oraz OT (tygodnie 1-6) 

Kolejnym etapem jest ocena stanu obecnego: dokumentacji, odpowiedzialności, procesów, architektury technicznej, zabezpieczeń i gotowości operacyjnej. Rezultatem powinien być rejestr luk wraz z oceną ryzyka. 

Krok 3. Analiza ryzyka (tygodnie 3-8) 

Zidentyfikowane aktywa, zagrożenia, podatności i zależności należy powiązać z możliwymi skutkami biznesowymi i operacyjnymi. Analiza ryzyka powinna obejmować zarówno IT, jak i OT oraz łańcuch dostaw. 

Krok 4. Plan naprawczy i priorytety (tygodnie 6-9) 

Nie wszystkie luki można usunąć jednocześnie. Najpierw należy zająć się zagrożeniami o największym wpływie na ciągłość świadczenia usług, bezpieczeństwo procesu i zdolność reagowania na incydenty. 

Krok 5. Wdrożenie SZBI (tygodnie 4-16) 

Na podstawie rzeczywistych procesów organizacji należy przygotować lub zaktualizować polityki, procedury, role, plany ciągłości działania, zasady raportowania i dokumentację operacyjną. 

Krok 6. Wdrożenie zabezpieczeń technicznych (od tygodnia 10, etapami) 

Zakres może obejmować segmentację, kontrolę dostępu, monitoring OT, bezpieczny dostęp zdalny, kopie zapasowe, zarządzanie podatnościami oraz integrację środowiska z SOC lub iSOC. 

Krok 7. Testy i ćwiczenia (tygodnie 16-22) 

Procedury powinny zostać sprawdzone w praktyce. Ćwiczenia reagowania na incydent pozwalają zweryfikować ścieżki eskalacji, podejmowanie decyzji, komunikację i zdolność dotrzymania terminów raportowania. 

Krok 8. Utrzymanie i doskonalenie (od tygodnia 22, w sposób ciągły) 

Zgodność nie kończy się 3 kwietnia 2027 roku. System wymaga regularnych przeglądów, aktualizacji analizy ryzyka, kontroli skuteczności zabezpieczeń, szkoleń oraz utrzymywania dokumentacji. 

Minimum na 3 kwietnia 2027 roku i działania rozłożone w czasie 

Na 3 kwietnia 2027 roku organizacja powinna mieć wdrożony SZBI, przeprowadzoną analizę ryzyka, działający proces zgłaszania incydentów, wyznaczone osoby kontaktowe, udokumentowany nadzór kierownika oraz uzasadniony plan naprawczy. Część zabezpieczeń technicznych w OT, takich jak segmentacja czy monitoring, wymaga postojów i inwestycji i może być rozłożona w czasie. Ustawa wymaga środków proporcjonalnych do ryzyka, więc plan naprawczy z uzasadnionymi priorytetami i harmonogramem jest obronny, w przeciwieństwie do deklaracji pełnej zgodności, której nie da się wykazać. 

Nie czekaj z oceną gotowości do końca okresu dostosowawczego 

Największym ryzykiem nie jest brak pojedynczego dokumentu, lecz brak spójności pomiędzy dokumentacją, technologią i codzienną praktyką. Organizacja może posiadać rozbudowane procedury, a jednocześnie nie mieć pełnej wiedzy o aktywach OT, nie kontrolować dostępu serwisowego lub nie potrafić szybko odtworzyć systemu po incydencie. 

Dlatego przygotowania warto rozpocząć od rzetelnej diagnozy. Ocena luk NIS2/uKSC i OT oraz analiza ryzyka pozwalają ustalić rzeczywisty poziom gotowości i stworzyć roadmapę uwzględniającą priorytety, zasoby, budżet oraz wymagania operacyjne. 

Sprawdź gotowość organizacji do wymagań NIS2 i uKSC 

Zweryfikuj, czy Twoja organizacja posiada kompletny SZBI, aktualną analizę ryzyka oraz zabezpieczenia dostosowane do specyfiki środowisk IT i OT. 

Eksperci TT-CS wspierają organizacje w obszarach: 

• audytu cyberbezpieczeństwa OT, 
• oceny zgodności z NIS2/uKSC (gap analysis), 
• analizy ryzyka, 
• oceny i rozwoju bezpieczeństwa zgodnie z IEC 62443, 
• wdrażania monitoringu iSOC/SOC OT, 
• przygotowania roadmapy działań naprawczych. 

Skontaktuj się z ekspertami TT-CS, aby omówić zakres oceny gotowości dla Twojej organizacji. 

 

Nota redakcyjna: materiał ma charakter informacyjny i nie stanowi porady prawnej. Status organizacji oraz zakres obowiązków należy każdorazowo ocenić na podstawie jej działalności, wielkości, struktury i wykorzystywanych systemów. Stan prawny na dzień 22 października 2026 roku. 

 

Maciej Ramotowski
OT Cybersecurity Key Account Manager

Telefon: +48 789-996-657
E‑mail: Maciej.Ramotowski@tt-cs.com.pl

FAQ do artykułu 

Czy wpis do Wykazu KSC oznacza zgodność z NIS2 i uKSC? 

Nie. Wpis identyfikuje organizację jako podmiot objęty przepisami, ale nie potwierdza wdrożenia SZBI, środków zarządzania ryzykiem ani procedur reagowania na incydenty. 

Jaki jest najważniejszy termin po samorejestracji? 

Dla organizacji spełniających kryteria 3 kwietnia 2026 roku termin na wdrożenie obowiązków i przygotowanie do korzystania z S46 upływa 3 kwietnia 2027 roku. Kary pieniężne można nakładać najwcześniej od 3 kwietnia 2028 roku.  

Czy obowiązkowy audyt trzeba przeprowadzić do 3 kwietnia 2027 roku? 

Nie w każdym przypadku. Ministerstwo Cyfryzacji wskazuje 3 kwietnia 2028 roku jako termin pierwszego obowiązkowego audytu dla podmiotów kluczowych, które wcześniej nie były operatorami usług kluczowych. Obowiązek okresowego audytu dotyczy podmiotów kluczowych, a kolejne audyty odbywają się co najmniej raz na trzy lata. Samą ocenę luk (gap analysis) warto jednak przeprowadzić wcześniej, aby zdążyć z wdrożeniem obowiązków do 3 kwietnia 2027 roku. Nie zastępuje ona audytu ustawowego z art. 15 uKSC, który wykonuje audytor spełniający wymogi ustawy.  

Czy wymagania NIS2 i uKSC obejmują systemy OT? 

Jeżeli systemy OT lub ICS są wykorzystywane w procesach wpływających na świadczenie usługi, powinny zostać uwzględnione w analizie ryzyka, SZBI oraz środkach bezpieczeństwa. Zakres należy określić na podstawie roli systemu w procesie świadczenia usługi.  

Czy outsourcing SOC lub iSOC przenosi odpowiedzialność na dostawcę? 

Nie. Organizacja może korzystać z zewnętrznego dostawcy usług cyberbezpieczeństwa, ale odpowiedzialność kierownika podmiotu za wykonywanie obowiązków pozostaje.  

Co zrobić, jeśli organizacja nie złożyła wniosku o wpis do Wykazu KSC do 3 października 2026 roku? 

Wniosek należy złożyć jak najszybciej. Brak wniosku nie zwalnia z obowiązków, a organ właściwy może wpisać podmiot do wykazu z urzędu. Termin wdrożenia obowiązków (3 kwietnia 2027 roku) nie przesuwa się z tego powodu. 

Czy kierownik podmiotu odpowiada osobiście za realizację obowiązków NIS2 i uKSC? 

Tak. Odpowiedzialność ma charakter osobisty: grożą kary finansowe do 300% wynagrodzenia (do 100% w podmiocie publicznym), a w podmiocie kluczowym także zakaz pełnienia funkcji zarządczych. Kierownik musi raz w roku odbyć udokumentowane szkolenie z cyberbezpieczeństwa. Odpowiedzialność pozostaje także wtedy, gdy zadania powierzono pracownikowi lub zewnętrznemu dostawcy. 

Główne źródła merytoryczne 

• Ostatnie dni na samorejestrację w Wykazie KSC. Termin mija 3 października, Ministerstwo Cyfryzacji.  
• Nowelizacja ustawy o KSC – obowiązki podmiotów kluczowych i ważnych, Ministerstwo Cyfryzacji.  
• NIS2 w Polsce – obowiązki firm w Krajowym Systemie Cyberbezpieczeństwa, Biznes.gov.pl.  
• Ustawa z dnia 23 stycznia 2026 r. o zmianie ustawy o krajowym systemie cyberbezpieczeństwa oraz niektórych innych ustaw, Dz.U. 2026 poz. 252.  
• Audyt Cyberbezpieczeństwa OT zgodny z NIS2 i ustawą o KSC, TT-CS.  
• Terminy uKSC 2026-2028, Entrast. 
• NIS2 i nowelizacja ustawy o krajowym systemie cyberbezpieczeństwa, Wolters Kluwer.