Najważniejsze w 60 sekund
- Nie każda firma podlega KSC — najpierw trzeba potwierdzić status organizacji.
- Jeżeli wymagany wpis nie został złożony, dalsze czekanie nie rozwiąże problemu.
- Do 3 kwietnia 2027 r. trzeba przygotować m.in. SZBI, S46, procedury incydentowe i zarządzanie ryzykiem.
- Kierownictwo odpowiada za decyzje, budżet, zadania, nadzór i coroczne szkolenie.
Termin samorejestracji był pierwszym etapem. Dla organizacji objętych ustawą najważniejsze jest teraz przejście od formalności do rzeczywistego wdrożenia zabezpieczeń, procedur i odpowiedzialności.
Sprawdź gotowość organizacji
Zaznacz tylko obszary wdrożone i potwierdzone dokumentami albo testem.
Zacznij od kwalifikacji
Najpierw ustal status organizacji, tryb wpisu i osoby odpowiedzialne. Bez tego kolejne działania będą przypadkowe.
Wynik jest orientacyjny. Nie jest audytem, potwierdzeniem zgodności ani opinią prawną. Odpowiedzi nie opuszczają przeglądarki.
Co jest wymagane do 3 kwietnia 2027 r.?
- SZBI dla systemów wpływających na świadczenie usług.
- Systematyczne szacowanie ryzyka i zarządzanie tym ryzykiem.
- Proporcjonalne środki techniczne i organizacyjne, w tym bezpieczeństwo dostawców i personelu.
- Ciągłość działania, plan awaryjny i odtwarzanie po poważnym zdarzeniu.
- Monitoring, aktualizacje, zarządzanie aktywami i dostępem, z MFA tam, gdzie jest właściwe.
- Obsługa i zgłaszanie incydentów oraz współpraca z właściwym CSIRT.
- S46 i osoby kontaktowe gotowe do realizacji obowiązków.
- Odpowiedzialność kierownictwa, budżet, nadzór, szkolenia i wymagane sprawdzenie personelu.
24 godziny, 72 godziny i miesiąc
Procedura incydentowa nie może kończyć się na numerze telefonu do informatyka. Dla incydentu poważnego ustawa przewiduje konkretne ramy czasowe:
Wczesne ostrzeżenie od momentu wykrycia.
Zgłoszenie incydentu poważnego.
Sprawozdanie końcowe — co do zasady.
Kierownictwo nie przeniesie całej odpowiedzialności na IT
Kierownik podmiotu odpowiada m.in. za decyzje dotyczące SZBI, środki finansowe, przydzielenie zadań, nadzór i świadomość personelu. Powierzenie zadań pracownikowi albo dostawcy zewnętrznemu nie usuwa tej odpowiedzialności.
Co zrobić, jeśli termin wpisu został przeoczony?
Nie warto czekać na wezwanie. Organizacja powinna niezwłocznie potwierdzić swój status, ustalić właściwy tryb wpisu, zebrać brakujące dane i skonsultować sposób uzupełnienia obowiązku. Podmioty, które mogły zostać wpisane z urzędu, powinny najpierw sprawdzić e-Doręczenia i korespondencję papierową, a następnie — jeśli to właściwe — skorzystać z formularza weryfikacyjnego Ministerstwa.
Smart Systems pomoże przełożyć wymagania na działanie
Pomagamy w technicznej i organizacyjnej ocenie gotowości: od inwentaryzacji i analizy ryzyka, przez procedury incydentowe i backup, po ciągłość działania, monitoring oraz bezpieczeństwo dostawców.
Sprawdź gotowość swojej organizacji
Ustalimy priorytety i konkretny plan działania przed 3 kwietnia 2027 r.
Źródła
- Ministerstwo Cyfryzacji — weryfikacja podmiotów bez zawiadomienia, 27.10.2026
- Ministerstwo Cyfryzacji — obowiązki podmiotów kluczowych i ważnych
- Ustawa z 23 stycznia 2026 r., Dz.U. 2026 poz. 252
Materiał ma charakter informacyjny i nie zastępuje indywidualnej analizy prawnej. Został przygotowany na podstawie komunikatów dostępnych 27.10.2026 r.