Do kiedy trzeba się zarejestrować w Wykazie KSC?

Termin samorejestracji (wpisu do Wykazu KSC przez system S46) to 3 października 2026.

Od kiedy grożą kary za NIS2/UKSC?

Kary są realne od 3 kwietnia 2028, od kiedy możliwy jest też pierwszy audyt podmiotów kluczowych. Wcześniej trzeba się zarejestrować (do 3.10.2026) i wdrożyć SZBI (do 3.04.2027).

Jakie są terminy zgłoszenia incydentu?

Wczesne ostrzeżenie do 24 godzin, właściwe zgłoszenie do 72 godzin, a sprawozdanie końcowe do miesiąca od zgłoszenia 72 h. Gdy obsługa incydentu trwa dłużej, co miesiąc idzie raport postępów, a sprawozdanie końcowe miesiąc po jej zakończeniu.

Terminy NIS2/UKSC 2026-2028 - kalendarium dla firm

Ustawa (nowela UKSC wdrażająca NIS2) obowiązuje od 3.04.2026. Najbliższy twardy termin to rejestracja do 3.10.2026 przez system S46. SZBI trzeba wdrożyć do 3.04.2027, a pierwszy audyt i kary są możliwe od 3.04.2028.

Kalendarz NIS2/UKSC to cztery twarde daty plus dwa cykle. Wejście ustawy, rejestracja w Wykazie KSC, wdrożenie SZBI i pierwszy audyt zamykają dwuletni okres przygotowań. Do tego dochodzą bieżące obowiązki: szkolenie zarządu co rok kalendarzowy i zgłaszanie incydentów w godzinach.

Kalendarium 2026 - 2028

3kwi 2026

Wejście ustawy

Nowela UKSC zaczyna obowiązywać. Dz.U. 2026 poz. 252
3paź 2026

Rejestracja w Wykazie KSC

Samoidentyfikacja przez system S46. najbliższy twardy termin
3kwi 2027

Wdrożenie SZBI

System zarządzania bezpieczeństwem informacji. 12 mies. od wejścia ustawy
3kwi 2028

Audyt + kary

Pierwszy audyt podmiotów kluczowych; kary realne od tej daty.

Obowiązki ciągłe

Szkolenie kierownictwa: Art. 8e - raz w roku kalendarzowym, udział udokumentowany. Zobacz zakres dla zarządu →
Zgłaszanie incydentu: 24 h wczesne ostrzeżenie → 72 h zgłoszenie → 1 miesiąc sprawozdanie. Pełny opis procedury →

Rejestracja do 3.10.2026 - najbliższy deadline dla większości firm.

Kalendarium NIS2/UKSC

Tabela poniżej zbiera to, co diagram pokazuje graficznie - jeśli wolisz czytać w wierszach zamiast oglądać oś czasu.

Data	Co się dzieje
3.04.2026	Wejście w życie noweli ustawy o KSC (Dz.U. 2026 poz. 252, wdrożenie NIS2). Od tej daty ustawa obowiązuje.
3.10.2026	Termin wpisu do Wykazu KSC (samoidentyfikacja przez system S46).
24 h / 72 h	Reżim zgłoszenia poważnego incydentu (wczesne ostrzeżenie / zgłoszenie), sprawozdanie końcowe do miesiąca.
raz w roku	Szkolenie kierownictwa z art. 8e - raz w roku kalendarzowym, udział udokumentowany. Zobacz zakres dla zarządu.
3.04.2027	Wdrożenie SZBI - systemu zarządzania bezpieczeństwem informacji (12 mies. od wejścia ustawy).
3.04.2028	Pierwszy audyt podmiotów kluczowych; od tej daty realne kary.

Uwaga na wpis z urzędu: jeśli powinieneś się zarejestrować, a tego nie zrobisz, organ może wpisać firmę z urzędu - często po incydencie lub zgłoszeniu.

Rejestracja - najbliższy twardy termin

Najpilniejsza data dla większości firm to 3 października 2026 - termin wpisu do Wykazu KSC. Rejestracja to samoidentyfikacja przez system S46. To dobry moment, by wcześniej ustalić, czy w ogóle podlegasz - bo od tego zależy, czy termin Cię dotyczy.

Terminy zgłoszenia incydentu

Gdy wydarzy się poważny incydent, liczą się godziny:

do 24 h - wczesne ostrzeżenie do CSIRT (przez S46),
do 72 h - właściwe zgłoszenie z oceną sytuacji,
do miesiąca - sprawozdanie końcowe, liczone od zgłoszenia 72 h.

Jeśli po miesiącu obsługa incydentu wciąż trwa, zamiast sprawozdania końcowego idzie raport postępów, powtarzany co miesiąc, a sprawozdanie końcowe składa się miesiąc po zakończeniu obsługi. Raport pośredni jest dobrowolny: składa się go tylko na wniosek CSIRT albo organu nadzoru, nie po każdym incydencie.

Co zrobić teraz

Nawet jeśli kary są dopiero od 2028, prace trzeba zacząć wcześniej - rejestracja i SZBI mają bliższe terminy. Sensowna kolejność:

Ustal, czy podlegasz: sześć pytań w kwalifikatorze.
Zarejestruj się w Wykazie KSC przed 3.10.2026.
Rozpisz wdrożenie SZBI na miesiące - tak wygląda nasza ścieżka.
Zaplanuj szkolenie kierownictwa na ten rok kalendarzowy, bo art. 8e liczy cykl rokiem, nie datą graniczną.

Zdąż z terminami bez chaosu

Zacznij od diagnozy: czy podlegasz i co zrobić najpierw. Umów bezpłatną konsultację.

Sprawdź, czy podlegasz

Wolisz najpierw posłuchać? Zapisz się na webinar.

Ekspert / cyberbezpieczeństwo / ISO

Paweł Walkowski

Praktyk cyberbezpieczeństwa i systemów zarządzania. Prowadzi audyty i incydenty, tłumaczy wymagania NIS2/UKSC na decyzje i procesy.

Czytaj dalej

Kwalifikacja Czy moja firma podlega NIS2/UKSC? Trzy warunki, które trzeba spełnić naraz. Sektor, wielkość i przypadek dostawcy - co z tego wynika dla Ciebie. 6 minut czytania Kwalifikacja Podmiot kluczowy czy ważny? Dwie kategorie o różnym nadzorze i różnych karach. Jak rozpoznać swoją i co się przez to zmienia. 5 minut czytania Po incydencie Zgłoszenie incydentu: 24 h, 72 h i miesiąc Dwa incydenty, różne skutki prawne. Terminy zgłoszenia i to, co decyduje, po której stronie wyląduje firma. 4 minuty czytania

Treść ma charakter informacyjny, nie stanowi porady prawnej. Daty 3.04.2026, 3.10.2026, 3.04.2027 i 3.04.2028 - oraz numer Dz.U. - wymagają potwierdzenia w aktualnym tekście ustawy o KSC (ISAP), komunikatach Ministerstwa Cyfryzacji i poradnikach na cyber.gov.pl. Artykuł odwołuje się do nich jako do roboczych punktów odniesienia, nie jako do twardych faktów.