Punkt przewodnika: obowiązki jednorazowe J1-J4 – formalności otwierające wdrożenie. Poziom: start. Zakładamy, że znasz już swój status podmiotu; jeśli nie, wróć do artykułu pierwszego.
Jest taki moment w każdym remoncie, w którym nie kładziesz jeszcze ani jednej płytki, a bez niego nie położysz żadnej: podpisanie umowy, odbiór kluczy, podłączenie licznika. Formalności jesieni 2026 r. działają dokładnie tak samo. Uchwała zarządu, osoba odpowiedzialna, wpis do Wykazu KSC i konto w systemie S46 nie budują jeszcze żadnego zabezpieczenia – ale warunkują wszystko, co przyjdzie potem, i mają twardy termin.
Ten materiał prowadzi Cię przez cztery pierwsze obowiązki jednorazowe (J1-J4) plus podłączenie do S46 (J10), które w praktyce robi się razem z nimi. Zaplanuj na to sierpień i wrzesień 2026 r., z wpisem do Wykazu KSC domkniętym najpóźniej 3 października.
Czego się nauczysz
- Co musi zawierać uchwała zarządu otwierająca wdrożenie.
- Dlaczego brak wskazania jednej osoby oznacza odpowiedzialność całego zarządu.
- Jak wygląda wniosek o wpis do Wykazu KSC i czego potrzebujesz, żeby go złożyć.
- Ile osób kontaktowych musisz wyznaczyć i czym one nie są.
- Czym jest S46 i dlaczego nieczytana skrzynka nie zatrzymuje terminów.
- Jak działa reżim 14 dni na aktualizację wpisu.
- Co w grupie spółek trzeba zrobić osobno dla każdego podmiotu.
1. Uchwała zarządu jako punkt zero wdrożenia – co musi zawierać
Uchwała jest momentem, w którym analiza staje się decyzją organizacji. Do tej pory masz arkusz kwalifikacji – czyjąś pracę, choćby bardzo dobrą. Po uchwale masz stanowisko podmiotu, za które ktoś konkretny odpowiada.
Podstawa jest dwuwarstwowa. Art. 8c przypisuje odpowiedzialność za wykonywanie obowiązków cyberbezpieczeństwa kierownikowi podmiotu, a art. 8c ust. 2 pozwala wskazać osobę odpowiedzialną w zarządzie. Art. 8d wymienia zadania kierownika: podejmowanie decyzji, zapewnienie środków finansowych, przydział zadań, nadzór, dbanie o świadomość personelu i zgodność. Uchwała jest naturalnym miejscem, w którym te dwie rzeczy się spotykają: kto odpowiada i czym dysponuje.
Co zalecamy w treści uchwały:
- Wynik samoidentyfikacji – status podmiotu (kluczowy albo ważny) wraz z odwołaniem do arkusza kwalifikacji (art. 5, 5a). Jeśli robisz to jedną uchwałą, zamykasz J1 i J2 razem.
- Wskazanie osoby odpowiedzialnej w zarządzie – imiennie, ze wskazaniem zakresu (art. 8c ust. 2).
- Podział zadań i macierz odpowiedzialności – kto wykonuje, kto nadzoruje, kto raportuje (art. 8d).
- Zobowiązanie do zapewnienia środków finansowych na wdrożenie i utrzymanie systemu (art. 8d).
- Harmonogram z trzema datami – 3.10.2026, 3.04.2027, 3.04.2028 – i decyzję o rejestracji w Wykazie KSC.
- Zapowiedź cyklicznego przeglądu zarządczego, bo ten obowiązek wróci co roku, a nie raz.
Termin jest prosty i wynika z kolejności: uchwałę podejmujesz przed rejestracją. Wniosek o wpis wymaga podania osób i danych, które właśnie w uchwale zapadają.
Rekap: uchwała zamienia analizę w decyzję, przypisuje odpowiedzialność i uwalnia budżet. Bez niej rejestracja jest przedwczesna.
Zrób teraz: wpisz punkt „cyberbezpieczeństwo – KSC” do porządku obrad najbliższego posiedzenia zarządu i dołącz do materiałów arkusz kwalifikacji. Jedno posiedzenie zamyka dwa obowiązki.
2. Wyznaczenie osoby odpowiedzialnej za cyberbezpieczeństwo – dlaczego bez tego odpowiadają wszyscy członkowie zarządu
To najtańsza decyzja w całym wdrożeniu i jednocześnie ta, którą najczęściej się odkłada. Mechanizm z art. 8c ust. 2 działa tak: jeśli kierownikiem podmiotu jest organ wieloosobowy i nie została wskazana osoba odpowiedzialna, odpowiedzialność ponoszą wszyscy członkowie tego organu. Nic się nie „rozpuszcza” przez brak decyzji – odpowiedzialność po prostu zostaje przy każdym.
Warto wiedzieć, gdzie jest granica tego przypisania. Art. 8c ust. 3 mówi jasno: odpowiedzialność kierownika podmiotu nie znika po powierzeniu zadań komukolwiek innemu – ani działowi IT, ani zewnętrznemu dostawcy usług bezpieczeństwa. Wskazanie osoby porządkuje więc wykonanie i nadzór, ale nie jest przelewem odpowiedzialności na inne konto.
Tu przyda się rozróżnienie trzech ról, które w rozmowach zlewają się w jedno, a w ustawie są osobne:
| Rola | Podstawa | Po co jest |
| Kierownik podmiotu | art. 8c, 8d | odpowiada za wykonanie obowiązków, decyduje, zapewnia budżet |
| Osoba odpowiedzialna w zarządzie | art. 8c ust. 2 | imienne przypisanie odpowiedzialności wewnątrz zarządu |
| Osoby kontaktowe | art. 9 | kanał komunikacji z organami i użytkownikami, praca w S46 |
Z wyznaczeniem osób wiążą się dwa obowiązki, o których łatwo zapomnieć na etapie uchwały, a które dotyczą tych samych ludzi. Pierwszy: szkolenie. Kierownik oraz osoba, której powierzono obowiązki kierownika w zakresie cyberbezpieczeństwa, przechodzą udokumentowane szkolenie raz w roku kalendarzowym, a jego zakres wyznacza art. 8e ust. 2 (obowiązki z art. 7b ust. 4, 7c, 7f ust. 3, 8, 8d, 8f ust. 1 i 2, 9-12b, 14 i 15).
Drugi: weryfikacja niekaralności. Osoba, która ma realizować zadania z art. 8 lub 11, przed rozpoczęciem ich realizacji przedstawia podmiotowi informację o osobie z Krajowego Rejestru Karnego, stwierdzającą niekaralność za przestępstwa przeciwko ochronie informacji; kierownik dopuszcza ją do zadań po otrzymaniu tej informacji (art. 8f ust. 1). Alternatywą jest ważne poświadczenie bezpieczeństwa do klauzuli „poufne” lub wyższej (art. 8f ust. 3). Dokument zamawia się z wyprzedzeniem – to nie jest formalność na ostatni dzień.
Rekap: brak wskazania to nie brak odpowiedzialności, a odpowiedzialność wszystkich członków organu. Powierzenie zadań nie zdejmuje odpowiedzialności z kierownika.
Zrób teraz: wypisz na jednej kartce trzy nazwiska: osoba odpowiedzialna w zarządzie i dwie osoby kontaktowe. Przy każdym dopisz „KRK: zamówione / w aktach” oraz „szkolenie: data”.
3. Rejestracja w Wykazie KSC: 18 kategorii danych, podpis elektroniczny, termin 3.10.2026
Wykaz KSC to rejestr podmiotów kluczowych i ważnych, prowadzony przez ministra właściwego do spraw informatyzacji. Wniosek o wpis składasz w postaci elektronicznej w systemie teleinformatycznym z art. 46 ust. 1 i podajesz w nim dane z art. 7 ust. 2 pkt 1-18 (art. 7c ust. 2 i 6, art. 7d). Termin 3.10.2026 r. wynika z harmonogramu ogłaszanego przez ministra w komunikacie (art. 33 ust. 3 ustawy zmieniającej w zw. z art. 34 ust. 3 pkt 1) – harmonogram wskazuje terminy dla poszczególnych rodzajów podmiotów i może być zmieniany, więc sprawdź w nim swoją kategorię. Niezależnie od tego wniosek składa się w terminie 6 miesięcy od dnia spełnienia przesłanek (art. 7c ust. 1).
Trzy rzeczy, które sprawiają, że ten wniosek warto zacząć wcześniej niż tydzień przed terminem.
Podpis elektroniczny – masz cztery dopuszczone drogi. Art. 7c ust. 6 pozwala opatrzyć wniosek kwalifikowanym podpisem elektronicznym, podpisem zaufanym, podpisem osobistym kierownika podmiotu lub osoby przez niego upoważnionej albo kwalifikowaną pieczęcią elektroniczną. To ważna praktyczna informacja: brak wykupionego podpisu kwalifikowanego nie blokuje rejestracji, bo wystarczy podpis zaufany. Sprawdź natomiast zawczasu dwie rzeczy – czy osoba podpisująca jest umocowana do reprezentacji albo ma pisemne upoważnienie kierownika, i czy jej podpis lub pieczęć nie wygasa przed październikiem.
18 kategorii danych to praca zbiorcza, nie jedna rubryka. Cały wpis w wykazie liczy 26 pozycji (art. 7 ust. 2), ale Twoim zadaniem jest tylko pierwszych 18 – pozycje 19-26 uzupełnia z urzędu minister właściwy do spraw informatyzacji (m.in. właściwy organ, CSIRT, numer w wykazie, data wpisu i podstawa prawna). Nie szukaj więc danych, których nie możesz znać. Kierunek przygotowań widać po tym, co ustawa nakazuje aktualizować po zmianie: adres, osoby, adresy IP, domeny oraz umowa z dostawcą usług zarządzanych bezpieczeństwem (art. 7c ust. 3). W praktyce zbierasz dane rejestrowe i adresowe, osoby kontaktowe, opis usług, zasoby techniczne widoczne z zewnątrz oraz model realizacji zadań bezpieczeństwa. Wymaga to IT, HR i działu prawnego, więc zacznij od rozesłania zapytań, nie od otwierania formularza.
Zegar biegnie od spełnienia przesłanek, nie od wpisu. To rozróżnienie warto zapisać dokładnie, bo bywa mylone: obowiązki z rozdziału 3 ustawy realizujesz w terminie 12 miesięcy, a pierwszy audyt zapewniasz w terminie 24 miesięcy od dnia spełnienia przesłanek (art. 16 pkt 1 i 2); podmioty, które spełniały je już 3.04.2026 r., liczą te terminy od wejścia nowelizacji w życie (art. 33 ust. 1 i 2 ustawy zmieniającej). Do wniosku dołącz też oświadczenie kierownika o zgodności danych z prawdą, składane pod odpowiedzialnością karną (art. 7c ust. 5) – a sam wpis następuje z chwilą złożenia wniosku w systemie i ma charakter deklaratoryjny (art. 7d ust. 1 i 5). Data wpisu do wykazu nie przesuwa tego terminu – dla podmiotów, które przesłanki spełniły z wejściem nowelizacji w życie, oba momenty są zbliżone, ale w dokumentacji odnotuj ten pierwszy. Osobno pamiętaj o obowiązku incydentowym: powstaje z chwilą objęcia podmiotu ustawą, niezależnie od okresu przejściowego na budowę SZBI. Dlatego procedura incydentowa i konto S46 muszą być gotowe równolegle z rejestracją, a nie po zakończeniu budowy systemu w 2027 r.
Rekap: wniosek elektroniczny, jeden z czterech dopuszczonych podpisów, 18 kategorii danych po Twojej stronie, termin 3.10.2026, a terminy wdrożeniowe liczone od spełnienia przesłanek.
Zrób teraz: ustal dziś dwie rzeczy – kto podpisze wniosek i którym z czterech dopuszczonych podpisów oraz czy ta osoba ma umocowanie albo pisemne upoważnienie kierownika. Jeśli stawiasz na podpis kwalifikowany lub pieczęć, sprawdź datę ważności.
4. Osoby kontaktowe – minimalne wymagania
Art. 9 wymaga wyznaczenia osób kontaktowych do spraw cyberbezpieczeństwa: co najmniej dwóch, a w przypadku mikro- i małych podmiotów wystarczy jedna. Dowodem są pisemne powołania oraz zgłoszenie danych do wykazu, razem z rejestracją.
Dlaczego ustawodawca chce dwóch osób, widać dopiero przy incydencie. Zegar wczesnego ostrzeżenia to 24 godziny od wykrycia i biegnie także w nocy, w weekend i w środku urlopu. Jedna osoba kontaktowa to jeden pojedynczy punkt awarii w procesie, w którym termin jest zero-jedynkowy. Dlatego razem z powołaniem warto od razu opisać procedurę zastępstw i sposób osiągalności – przy obowiązkach incydentowych mówimy realnie o kontakcie w trybie 24/7.
Uważaj też na typowe pomieszanie ról. Osoba kontaktowa nie jest tym samym co osoba odpowiedzialna w zarządzie: to kanał komunikacji z organami, a nie właściciel odpowiedzialności. Nie musi być też najwyżej postawiona w hierarchii – musi być osiągalna, przeszkolona w obsłudze S46 i uprawniona do wysłania zgłoszenia bez zwoływania narady.
Rekap: minimum dwie osoby (mikro i mali: jedna), powołanie pisemne, wpis do wykazu, jasne zastępstwa.
Zrób teraz: dopisz do powołań jedno zdanie o osiągalności – numer telefonu, na którym te osoby odbierają poza godzinami pracy, i zasadę, kto przejmuje, gdy pierwsza osoba nie odpowiada w ustalonym czasie.
5. System S46 – jedno okno kontaktu z państwem i fikcja doręczenia po 14 dniach
S46 to państwowy system teleinformatyczny (art. 46) służący do wymiany informacji o incydentach i zagrożeniach; w nim prowadzony jest także Wykaz KSC. Traktuj go jak jedno okno kontaktu z państwem: tam wysyłasz zgłoszenia incydentów i tam przychodzą pisma organów. System jest dostępny od 12.06.2026 r., więc konto zakładasz spokojnie, z wyprzedzeniem – a nie w trakcie pierwszego incydentu, gdy trwa liczenie 24 godzin.
Teraz mechanizm, który zaskakuje najbardziej, bo działa bez Twojego udziału. W S46 obowiązuje fikcja doręczenia: pismo uznaje się za doręczone po 14 dniach od wysłania, nawet jeśli nikt go nie otworzył (art. 46b) – a od tej daty biegną terminy. Analogia jest prosta: to skrzynka pocztowa, w której listy same się otwierają. Możesz nie wiedzieć o wezwaniu i jednocześnie mieć już przeterminowaną odpowiedź.
Praktyczny wniosek jest jeden: konto S46 wymaga stałego monitoringu, a nie zaglądania przy okazji. Ustaw dwie rzeczy – stały rytm sprawdzania z osobą wyznaczoną i zastępcą oraz zasadę, że urlop tej osoby uruchamia przekazanie zadania. Zwróć uwagę, że niekorzystanie z S46 przy obowiązkach incydentowych, gdy jest wymagane, stanowi samodzielną podstawę kary dla podmiotu (art. 73 ust. 1 pkt 13) – bez związku z jakimkolwiek innym uchybieniem.
Rekap: jedno okno kontaktu, dostępne od 12.06.2026, z fikcją doręczenia po 14 dniach. Nieczytana skrzynka nie zatrzymuje zegara.
Zrób teraz: po założeniu konta wyślij osobom kontaktowym jedno zaproszenie do kalendarza: powtarzalne sprawdzenie S46 z przypisanym zastępcą. To pięć minut, które chronią terminy liczone w dniach.
6. Jak zaktualizować wpis w Wykazie KSC w 14 dni po każdej zmianie danych
Wpis do wykazu nie jest zdjęciem, lecz zapisem, który ma odpowiadać rzeczywistości. Art. 7c ust. 3 daje na to 14 dni od zmiany danych. Do tego dochodzi krótszy termin: gdy organ wezwie do korekty danych, masz 7 dni (art. 7k). Obowiązek bieżącej aktualizacji i uzupełniania danych rejestrowych wynika także z art. 7a i art. 7b ust. 4.
Co uruchamia licznik 14 dni:
- zmiana adresu lub danych rejestrowych,
- zmiana osób – odpowiedzialnej w zarządzie lub kontaktowych,
- zmiana adresów IP i domen,
- zawarcie, zmiana lub rozwiązanie umowy z dostawcą usług zarządzanych bezpieczeństwem.
Ostatni punkt zasługuje na osobne zdanie, bo bywa niespodzianką dla działu zakupów: umowa z MSSP w zakresie zadań z art. 8 i 11 trafia do Wykazu KSC, więc jej podpisanie jest zdarzeniem rejestrowym. Podobnie jej zmiana.
I tu pojawia się różnica gatunkowa między tym obowiązkiem a wszystkimi wcześniejszymi. Uchwałę podejmujesz raz. Rejestrację przechodzisz raz. Ale reżim 14 i 7 dni jest zdarzeniowy: uruchamia go czynność wykonana zwykle poza działem bezpieczeństwa – rotacja pracownika w HR, migracja serwera w IT, podpis pod umową w zakupach. Segregator tego nie wyłapie, bo nie wie, że coś się stało. Dlatego to obowiązek, który trzeba obsłużyć procesem: wskazać właściciela, wpisać wyzwalacze do procedur HR, IT i zakupowych oraz prowadzić rejestr zgłoszonych zmian z datami.
Rekap: 14 dni na zmianę danych, 7 dni na korektę po wezwaniu. Wyzwalacze powstają w HR, IT i zakupach.
Zrób teraz: dopisz jedno pytanie do checklisty offboardingu i do procedury zakupowej: „czy ta zmiana dotyczy danych w Wykazie KSC?”. Jedna linijka w cudzym procesie działa lepiej niż przypomnienie w Twoim kalendarzu.
7. Wdrożenie w grupie spółek – co wymaga osobnego wniosku per spółka
W grupie kapitałowej ta sama jesień 2026 r. wygląda inaczej, bo część zadań mnoży się przez liczbę spółek, a część daje się zrobić raz. Rozdzielenie tych dwóch koszyków to najważniejsza decyzja planistyczna na tym etapie.
Mnoży się i nie ma efektu skali:
- rejestracja w Wykazie KSC – osobny wniosek i osobny podpis dla każdej spółki, z 18 kategoriami danych do zebrania per podmiot,
- uchwały zarządów – odpowiedzialność jest osobista i przypisana do podmiotu,
- konta S46 – per podmiot, z fikcją doręczenia działającą na każdym osobno,
- zgłoszenia incydentów – jedna awaria wspólnego systemu ERP to nawet kilkadziesiąt równoległych zgłoszeń w reżimie 24 i 72 godzin.
Skaluje się dobrze:
- wzory dokumentów: uchwały, powołania osób kontaktowych, procedura aktualizacji danych,
- wspólne osoby kontaktowe dla spółek grupy,
- jedna grupowa umowa z dostawcą usług bezpieczeństwa,
- jedno coroczne szkolenie zarządów.
Rekomendujemy model scentralizowany, czyli piastę i szprychy: centrala utrzymuje wzorce i metodykę, organizuje szkolenia oraz audyty pakietowo, a spółki wykonują minimum lokalne – uchwałę, podpis pod swoją instancją dokumentacji i udział kierownika w szkoleniu. Zasada jest jedna: co da się zrobić raz, zrób raz i instancjonuj; co jest per podmiot z mocy ustawy, zautomatyzuj i pilnuj systemowo.
Zwróć uwagę na jedno wąskie gardło kalendarza. Przy kilkudziesięciu spółkach nie chodzi o trudność wniosku, lecz o dostępność osób uprawnionych do podpisania wniosków i o terminy posiedzeń zarządów w tym samym okresie. To zadanie logistyczne i dlatego zaczyna się w sierpniu, a nie we wrześniu.
Rekap: wniosek, uchwała i konto S46 są per spółka. Wzory, osoby kontaktowe i umowa MSSP mogą być wspólne.
Zrób teraz: zrób tabelę spółek z czterema kolumnami: data uchwały, kto i jakim podpisem podpisuje wniosek, data złożenia wniosku, konto S46. Pusta komórka na tej tabeli to Twoje realne ryzyko terminowe.
Checklista do samodzielnego wykonania
- Podejmij uchwałę zarządu przypisującą odpowiedzialność za cyberbezpieczeństwo (J2, art. 8c ust. 2) – zrób to przed rejestracją.
- Wyznacz formalnie osobę odpowiedzialną za cyberbezpieczeństwo (może to być zarząd lub wyznaczony menedżer).
- Złóż wniosek o wpis do Wykazu KSC w systemie teleinformatycznym z art. 46 ust. 1 – termin z harmonogramu ministra, dla większości podmiotów 3.10.2026 (J3, art. 33 ust. 3 ustawy zmieniającej w zw. z art. 34 ust. 3 pkt 1; tryb wniosku: art. 7c, 7d). Ustal, kto podpisze wniosek i jakim podpisem (art. 7c ust. 6), oraz przygotuj dane z art. 7 ust. 2 pkt 1-18 i oświadczenie kierownika (art. 7c ust. 5).
- Wyznacz i powołaj pisemnie co najmniej dwie osoby kontaktowe (J4, art. 9) – wpis do Wykazu.
- Załóż konto w systemie S46 i przeszkol osoby kontaktowe w jego obsłudze (J10, art. 46).
- Ustaw monitoring systemu S46 – pamiętaj, że pismo uznaje się za doręczone po 14 dniach od wysłania, nawet jeśli nikt go nie otworzył (art. 46b).
- Przygotuj procedurę aktualizacji danych w wykazie – zmiany (adres, osoby, IP, domeny, umowa z MSSP) zgłoś w ciągu 14 dni (art. 7c ust. 3).
Mini-test – sprawdź się w 6 pytaniach
- Co się dzieje, jeśli zarząd nie wskaże osoby odpowiedzialnej za cyberbezpieczeństwo?
- Czego potrzebujesz, żeby technicznie złożyć wniosek o wpis do Wykazu KSC?
- Ile osób kontaktowych wyznacza podmiot, a ile podmiot mikro lub mały?
- Co oznacza fikcja doręczenia w systemie S46?
- Ile masz czasu na zgłoszenie zmiany danych w wykazie, a ile na korektę po wezwaniu organu?
- Które trzy zadania w grupie spółek trzeba wykonać osobno dla każdego podmiotu?
Odpowiedzi: 1. Odpowiedzialność ponoszą wszyscy członkowie organu wieloosobowego (art. 8c ust. 2). 2. Jednego z podpisów z art. 7c ust. 6 – kwalifikowanego, zaufanego, osobistego albo kwalifikowanej pieczęci elektronicznej – oraz danych z art. 7 ust. 2 pkt 1-18 (art. 7c ust. 2); pozostałe pozycje wykazu, do 26, uzupełnia minister z urzędu. 3. Co najmniej dwie; mikro i mali – jedną (art. 9). 4. Pismo uznaje się za doręczone po 14 dniach od wysłania, nawet nieotwarte, i od tej daty biegną terminy (art. 46b). 5. 14 dni na zmianę danych (art. 7c ust. 3) i 7 dni na korektę po wezwaniu (art. 7k). 6. Uchwałę zarządu, wniosek o wpis do Wykazu KSC i konto S46.
Co dalej
Formalności otwierają wdrożenie, ale nie są jego treścią. Kolejny krok ma wyższy priorytet niż intuicja podpowiada: procedura incydentowa i gotowość operacyjna, bo obowiązek zgłaszania incydentów poważnych działa od wpisu do wykazu, a nie od 2027 r. Potem dopiero rdzeń systemu – 14 środków bezpieczeństwa z art. 8 i dokumentacja z art. 10, z terminem 3.04.2027 r. O tym w następnych artykułach przewodnika.
Materiał ma charakter informacyjny i nie stanowi porady prawnej. Stan prawny: lipiec 2026 r. Przy wdrożeniu weryfikuj wydawane rozporządzenia wykonawcze oraz komunikaty Ministerstwa Cyfryzacji.
