Rejestracja w S46. Jakie konsekwencje?

Michał Nowakowski · 28 września 2026

Teoretycznie już po 3/10 powinniśmy mieć złożony wniosek o wpis do wykazu. Jako kto lub co? Jako podmiot ważny lub kluczowy. O ile oczywiście dotyczy nas uKSC.

Czas mija nieubłaganie i teoretycznie już po 3 października powinniśmy mieć złożony wniosek o wpis do wykazu. Jako kto lub co? Jako podmiot ważny lub kluczowy. O ile oczywiście dotyczy nas ustawa o krajowym systemie cyberbezpieczeństwa (uKSC).

Obowiązek rejestracji w systemie S46 dla wielu organizacji stanowił pewne wyzwanie, które udało się jednak okiełznać, także dzięki konkretnym wytycznym i Q&A Ministerstwo Cyfryzacji. Pytanie, co dalej i co z tymi, którzy się spóźnili.

Dzisiaj krótko, ale oczekujcie bardziej konkretnej analizy w niedługiej przyszłości. Tak więc najważniejsze informacje:

✅ obowiązek rejestracji w systemie dotyczy tych podmiotów, które spełniają przesłanki uznania za podmiot kluczowy bądź ważny - i które (mam nadzieję) dokonały w tym zakresie uzasadnionej i udokumentowanej oceny,

✅ obowiązek rejestracji powstaje także po tej dacie, jeżeli dopiero wtedy powstały przesłanki do uznania nas za taki „szczególny” podmiot (6 miesięcy od ich spełnienia),

✅ kary pieniężnej za niedokonanie zgłoszenia nie dostaniemy do 3 kwietnia 2028, ale nie oznacza to, że organ jest bezsilny, bo choć kary pieniężne objęto specjalnym (mało sensownym) moratorium, to możliwe jest wpisanie nas do wykazu z urzędu, wszczęcie kontroli i np. wydanie nakazu określonego działania czy ostrzeżenia,

✅ od 3 kwietnia 2027 roku powinniśmy dysponować wdrożeniem uKSC, a więc przede wszystkim powinniśmy posiadać adekwatny i skuteczny system zarządzania bezpieczeństwem informacji - uwagi dot. kontroli i środków nadzorczych pozostają w tym zakresie aktualne.

Co może się wydarzyć, jeżeli mamy opinię prawną, z której jasno wynika, że nie podlegamy uKSC, a organ jednak stwierdza, że jest inaczej?

Cóż, to zależy rzecz jasna od podstaw, bo organy właściwe dysponują „orężem”, który pozwala na wpis z urzędu ze względu na np. obsługę szczególnie istotnego sektora, ale także w sytuacji, gdy nasza opinia jest zgoła odmienna od tej forsowanej przez organ. O tym jeszcze porozmawiamy w innym poście.

Czy więc jest się czego bać? I tak, i nie. Większość kar pieniężnych jest na razie objęta moratorium (odroczeniem) - z wyjątkiem kary nadzwyczajnej do 100 mln zł, ale środki nadzorcze nadal mogą zostać zastosowane.

To raz. Dwa - odpowiedzialność odszkodowawcza względem podmiotów, których dane utraciliśmy, to temat zupełnie poza uKSC. Do tego dochodzi reputacja, którą nadszarpnąć może brak właściwych rozwiązań.

Nie warto więc czekać tylko dlatego, że kary pieniężne są odroczone. Serio.