Ustawa o Krajowym Systemie Cyberbezpieczeństwa. Termin samodzielnej kwalifikacji podmiotu obowiązanego reżimem UKSC

Dzień 3 października 2026 r. nie jest datą, którą można po prostu zignorować

Dla podmiotów spełniających przesłanki objęcia regulacjami UKSC od dnia wejścia nowelizacji w życie trwa okres przejściowy związany z wpisem do wykazu podmiotów kluczowych i ważnych. Konkretna data dokonania wpisu powinna być sprawdzona z właściwym harmonogramem ministra.

Największy błąd? Czekanie na pismo z urzędu

UKSC opiera się w znacznej części na samodzielnej kwalifikacji organizacji. Każdy przedsiębiorca zobowiązany jest do ustalenia:

• czy rzeczywiście świadczona usługa mieści się w sektorach wskazanych w ustawie,
• czy organizacja spełnia kryteria wielkości,
• jak należy uwzględnić przedsiębiorstwa partnerskie i powiązane,
• czy znajduje zastosowanie wyjątek albo szczególna podstawa kwalifikacji,
• jaki status ma organizacja: podmiotu kluczowego czy ważnego.

Sam kod PKD nie daje bezpiecznej odpowiedzi. Tak samo brak wpisu nie oznacza automatycznie, że obowiązki nie istnieją. Organ może dokonać wpisu z urzędu, natomiast organizacja nadal może odpowiadać za niewykonanie obowiązków.

Wspomniany wpis jest zresztą dopiero początkiem. Po kwalifikacji trzeba przejść do analizy ryzyka, audytu luk, wdrożenia SZBI, obsługi incydentów, nadzoru nad dostawcami i przygotowania zarządu.

Dlatego pierwszym dokumentem nie powinna być kolejna polityka bezpieczeństwa. Pierwszym krokiem powinna być rzetelna kwalifikacja prawna, oparta na rzeczywistej działalności organizacji.

Sprawdź z naszą Kancelarią, czy Twoja firma podlega UKSC, zanim zrobi to organ albo zapyta o to kluczowy klient.