Przejdź do treści
ZalogujUmów rozmowę
ZalogujUmów rozmowę

Ustawa o KSC · implementacja NIS2 · w mocy od kwietnia 2026

Czy Twoja firma podlega pod KSC? Sprawdź, zanim zrobi to regulator.

Nowa ustawa o Krajowym Systemie Cyberbezpieczeństwa objęła ok. 40 tysięcy polskich podmiotów — sto razy więcej niż dotychczas. Termin samoidentyfikacji i wniosku o wpis do wykazu minął 3 października 2026. Za zaniedbania odpowiada osobiście kierownictwo.

Sprawdź swoją firmę w 3 minutyOferta
Archiwum z segregatorami dokumentów na stalowych regałach
Stan prawny: lipiec 2026
Status · 5.10.2026

Ustawa obowiązuje. Termin wpisu do wykazu minął 3.10.2026 — jeśli podlegasz, a wniosku nie złożono, zrób to niezwłocznie. Kolejny termin: pełne wdrożenie wymogów do kwietnia 2027.

objętych podmiotów
~40tys.
maksymalna kara (kluczowe)
10mln €
na wczesne ostrzeżenie o incydencie
24h
pełne wdrożenie wymogów
04.2027

01 Samoidentyfikacja · kryteria ustawy o KSC

Kalkulator samoidentyfikacji.

Trzy kroki, które ustawa każe przejść każdej firmie: profil podmiotu, sektor działalności, skala. Odpowiedz zgodnie ze stanem faktycznym — wynik pokaże Twój prawdopodobny status i obowiązki.

01 · Profil podmiotuWybierz jedną odpowiedź

→Odpowiedz na pytania powyżej — wynik pojawi się tutaj.

02Harmonogram ustawowy

Cztery daty, które musi znać zarząd.

  1. Kwiecień 2026 · Za nami

    Ustawa weszła w życie

    Nowelizacja ustawy o KSC wdraża dyrektywę NIS2. Katalog objętych podmiotów rośnie z ~400 do ~40 000. Od tego dnia biegną wszystkie terminy.

  2. 3 października 2026 · Termin minął

    Koniec samoidentyfikacji i wpisów do wykazu

    Każdy podmiot kluczowy lub ważny musiał sam ustalić swój status i złożyć wniosek o wpis do wykazu prowadzonego przez ministra cyfryzacji. Jeśli podlegasz, a wniosku nie złożono — zrób to niezwłocznie. Brak wpisu to pierwsza rzecz, którą zobaczy organ nadzoru.

  3. Kwiecień 2027 · Następny termin

    Pełne wdrożenie wymogów

    System zarządzania bezpieczeństwem informacji, analiza ryzyka, procedury zgłaszania incydentów (24h/72h), bezpieczeństwo łańcucha dostaw, przeszkolone kierownictwo — wszystko udokumentowane.

  4. Kwiecień 2028

    Pierwsze audyty i sankcje

    Podmioty kluczowe muszą mieć za sobą pierwszy audyt bezpieczeństwa. Organy nadzoru mogą nakładać kary do 10 mln € lub 2% obrotu (kluczowe) i do 7 mln € lub 1,4% (ważne) — plus osobiste kary dla kierownictwa.

03Oferta · stałe ceny

Od klasyfikacji do zgodności.

Dostarczamy wdrożoną zgodność i dokumenty, które przejdą kontrolę — nie segregator opinii. Stała cena znana przed startem.

01 Start

Samoidentyfikacja i wpis do wykazu

1 900 zł netto

Wiążąca odpowiedź na pytanie „czy i jak podlegamy” — zanim odpowie na nie organ nadzoru.

  • Analiza klasyfikacji z podstawą prawną
  • Rejestracja w wykazie podmiotów KSC
  • Memo dla zarządu: obowiązki i terminy

Realizacja: 5 dni roboczych

02 Diagnoza

Przegląd zgodności — gap analysis

od 9 900 zł netto

Mapa luk między stanem obecnym a wymogami ustawy, z planem dojścia do zgodności przed kwietniem 2027.

  • Przegląd techniczny i organizacyjny
  • Rejestr ryzyk i priorytety wdrożenia
  • Mapa drogowa z budżetem działań

Firmy 50–250 osób · 2–3 tygodnie

03 Obowiązek coroczny

Szkolenie zarządu z KSC

od 4 900 zł netto

Ustawa wymaga corocznego, udokumentowanego szkolenia kadry kierowniczej — a kierownictwo odpowiada osobiście.

  • Zamknięte, dopasowane do sektora firmy
  • Obowiązki, odpowiedzialność, realne ataki
  • Zaświadczenia do dokumentacji zgodności

Online lub na miejscu · 3–4 godziny

Wdrażamy, nie tylko opiniujemy

Dokumentacja, konfiguracje i procesy, które działają w praktyce — nie wyłącznie rekomendacje na papierze.

Stała cena, jasny zakres

Cenę i zakres znasz przed startem. Dostajesz dokumentację, którą przyjmie audytor — bez rozliczania roboczogodzin.

Bez pośredników

Pracujesz bezpośrednio z osobami, które wykonują pracę — bez handlowców i podwykonawców.

Art. 21 NIS2 wymaga m.in. zarządzania kopiami zapasowymi i odtwarzania po incydencie. Raport z testu odtworzenia w Cyber Vault to gotowy dowód dla audytora.

Kopie a NIS2 →

04FAQ

Zanim zapytasz.

Mamy mniej niż 50 pracowników — czy na pewno nas to nie dotyczy?
Co do zasady mikro i małe firmy nie podlegają ustawie bezpośrednio. Są jednak dwa wyjątki. Pierwszy: kategorie szczególne (usługi zaufania, DNS, rejestry TLD, komunikacja elektroniczna) — tam wielkość nie ma znaczenia. Drugi, znacznie częstszy: łańcuch dostaw. Jeśli obsługujesz podmioty kluczowe lub ważne, one mają ustawowy obowiązek weryfikować bezpieczeństwo dostawców — i przeniosą te wymogi na Ciebie w umowach.
Termin wpisu minął 3 października. Co teraz?
Jeśli Twoja firma podlega ustawie, a wniosku nie złożono — trzeba to zrobić niezwłocznie. Samoidentyfikacja i wpis to obowiązek ustawowy — jego zaniechanie podlega karze administracyjnej i jest najprostszą do wykrycia nieprawidłowością: organ widzi po prostu, że firmy z objętego sektora nie ma w wykazie. Kary finansowe za naruszenia sięgają 10 mln € lub 2% obrotu (podmioty kluczowe) i 7 mln € lub 1,4% (ważne). Osobną karę pieniężną może dostać osobiście kierownik podmiotu.
Czym różni się podmiot kluczowy od ważnego?
Obowiązki merytoryczne są niemal identyczne — różnica leży w nadzorze i sankcjach. Podmioty kluczowe podlegają nadzorowi bieżącemu (kontrole planowe, obowiązkowe audyty bezpieczeństwa co kilka lat) i wyższym karom. Podmioty ważne kontrolowane są ex post — zwykle po incydencie lub sygnale — i mają niższy pułap kar.
Mamy RODO i ISO 27001 — czy to nie wystarczy?
To bardzo dobra baza, ale nie zastępuje zgodności z KSC. Ustawa dodaje własne obowiązki: wpis do wykazu, zgłaszanie incydentów do CSIRT w 24/72 godziny, wymogi wobec łańcucha dostaw, coroczne szkolenia kierownictwa i osobistą odpowiedzialność zarządu. Dobrze wdrożone ISO 27001 potrafi pokryć znaczną część wymagań — przegląd zgodności pokazuje dokładnie, czego brakuje.
Ile trwa dojście do pełnej zgodności?
Dla firmy średniej wielkości bez wdrożonego systemu zarządzania bezpieczeństwem: zwykle 4–8 miesięcy, zależnie od stanu wyjściowego IT i liczby lokalizacji. Ustawodawca dał na to czas do kwietnia 2027 — firmy, które zaczną w ostatnim kwartale, będą konkurować o tych samych specjalistów, w wyższych cenach.
Czy musimy już teraz przechodzić audyt bezpieczeństwa?
Obowiązkowy audyt (wykonywany przez certyfikowanych audytorów) dotyczy podmiotów kluczowych — pierwszy trzeba przeprowadzić do kwietnia 2028. Teraz priorytetem jest wpis do wykazu (jeśli jeszcze go nie ma) i plan wdrożenia do kwietnia 2027. Przygotowujemy organizacje do audytu — a sam audyt formalny, zgodnie z ustawowym zakazem łączenia ról, przeprowadza niezależny zespół audytorski.

Kontakt · odpowiadamy w 24 h

Porozmawiajmy o Twoim przypadku.

15 minut: potwierdzimy klasyfikację, wskażemy pierwsze kroki i powiemy wprost, czy w ogóle potrzebujesz pomocy. Bez zobowiązań.

Umów konsultacjęKalkulator