Wielka zmiana w polskim Internecie. Nowe prawo zaczyna działać

Rejestracja w wykazie do października

Podmioty kluczowe i ważne mają teraz dokładnie sześć miesięcy na dopełnienie pierwszych formalności. Do 3 października 2026 roku muszą złożyć wniosek o wpis do specjalnego wykazu. Zgłoszenia odbywają się drogą elektroniczną przez system S46. Przedsiębiorcy powinni najpierw samodzielnie sprawdzić swoją wielkość oraz rodzaj prowadzonej działalności, aby ustalić, czy podlegają ustawie.

Kogo dotyczą nowe przepisy?

Ustawa dzieli instytucje na podmioty kluczowe oraz ważne. Do pierwszej grupy należą między innymi duże firmy z sektorów energii, transportu, bankowości czy ochrony zdrowia. Podmiotami ważnymi są zazwyczaj średnie przedsiębiorstwa z tych branż oraz firmy zajmujące się produkcją żywności, gospodarką odpadami czy usługami pocztowymi.

Nowelizacja wyznacza jasny harmonogram działań. Instytucje publiczne i przedsiębiorstwa mają teraz czas, aby odpowiednio przygotować swoje organizacje do nowych wymagań z zakresu cyberbezpieczeństwa. Dzięki temu możemy stopniowo i skutecznie wzmacniać bezpieczeństwo cyfrowe kraju. To realna zmiana w stronę większej stabilności usług, lepszej ochrony danych i skuteczniejszego reagowania na cyberzagrożenia.

Systemy bezpieczeństwa i audyty

Sama rejestracja w systemie to dopiero początek drogi. Do 3 kwietnia 2027 roku wszystkie objęte ustawą podmioty muszą wdrożyć system zarządzania bezpieczeństwem informacji, znany jako SZBI. Wymaga to prowadzenia systematycznego szacowania ryzyka oraz monitorowania systemów informatycznych w trybie ciągłym. Z kolei do 3 kwietnia 2028 roku podmioty kluczowe mają obowiązek przeprowadzić swój pierwszy audyt bezpieczeństwa.

Milionowe kary za brak ochrony

Nowe przepisy wprowadzają bardzo surową odpowiedzialność za brak odpowiednich zabezpieczeń. Administracyjne kary pieniężne zaczną być nakładane po 3 kwietnia 2028 roku. Dla podmiotów kluczowych mogą one wynieść nawet 10 milionów euro lub 2% rocznego przychodu. Co ważne, kara finansowa może zostać nałożona także bezpośrednio na kierownika danego podmiotu, jeśli nie dopełni on swoich obowiązków.

Resort cyfryzacji przygotował zestaw pytań i odpowiedzi, związanych z ustawą o KSC. Znajdziesz je w tym dokumencie PDF.