Do samorejestracji NIS2 tylko 2 dni. Czy na pewno?

Michał Nowakowski · 1 października 2026

Nasz doradca powiedział, że do S46 rejestrować się nie trzeba, bo dokonaliśmy oceny i wyszło, że ani z nas podmiot kluczowy, ani ważny. A organ nadzorczy ma wątpliwości, no bo ma prawo mieć. I co teraz? Czy jesteśmy na straconej pozycji?

Za 2 dni upływa pierwszy termin na zgłoszenie się jako adresat ustawy o krajowym systemie cyberbezpieczeństwa (uKSC) - pierwszy, bo dla tych, którzy przesłanki spełnią później, 6 miesięcy liczy się od tego dnia (art. 7c ust. 1), np. w sytuacji gdy zaczynamy nową działalność. W przypadku rejestracji sprawa jest dość prosta. Zrealizowaliśmy obowiązek.

Co jednak w przypadku, gdy z samooceny wynika, że nie spełniamy przesłanek?

❗Ocena musi być udokumentowana i "odłożona" na wypadek postępowania wyjaśniającego i ewentualnego sporu z organem. To nasza polisa❗

Wiemy już, że kar pieniężnych nie będzie do kwietnia 2028 roku (poza karą nadzwyczajną do 100 mln zł z art. 73 ust. 5). W tej kwestii możemy więc spać spokojnie, ale...

📄 organ może wpisać nas do wykazu z urzędu (i tym samym "nadać" status podmiotu kluczowego lub ważnego) na podstawie art. 7j, jeżeli jego zdaniem przesłanki spełniamy, a wniosku nie złożyliśmy; opiera się przy tym na rejestrach publicznych i danych, które już ma. Wpis wymaga uzasadnienia i można go zaskarżyć do sądu, a my mamy 6 miesięcy na uzupełnienie danych w wykazie pod rygorem kary.

⚖️ organ może też uznać nas decyzją z art. 7l, choć progów wielkości nie przekraczamy, gdy jesteśmy w załączniku i np. jako jedyni świadczymy istotną usługę, nasze zakłócenie grozi ryzykiem systemowym albo mamy znaczenie regionalne, krajowe lub dla dwóch sektorów. Kryteria nie są zupełnie uznaniowe, ale też nie nadmiernie precyzyjne : ) Decyzja podlega natychmiastowemu wykonaniu.

Częsty błąd - „organ sprawdzi nas z art. 7k”. Nie sprawdzi, bo czynności sprawdzające z 7k dotyczą danych podmiotów już wpisanych do wykazu.

Jeżeli znajdziemy się więc w sytuacji, w której myśleliśmy, że nie jesteśmy, a jednak jesteśmy, konsekwencje są takie, że:

✅ stajemy się podmiotem kluczowym lub ważnym i organ może podejmować względem nas czynności wyjaśniające i kontrolne (od ostrzeżenia po nakazy, bo tutaj moratorium na kary tego nie obejmuje),

✅ musimy dostosować się do wymagań uKSC, w tym stworzyć działający system zarządzania bezpieczeństwem informacji,

❌ musimy zatrudnić lepszego doradcę ; ) nie no, żartuję: błędy mogą zdarzyć się każdemu, szczególnie tam, gdzie wiele niejasnych przepisów.

Nie wiadomo, kiedy organy zaczną się aktywizować, ale w jakiejś perspektywie czasowej z pewnością to nastąpi. Dlatego tak ważne jest drobiazgowe sprawdzenie naszego statusu. Jeżeli nie jesteśmy pewni, to warto się „ubezpieczyć” zewnętrzną opinią lub skorzystaniem z narzędzi dostępnych w internecie (ale tutaj jedynie wspierająco!).