Rejestracja w wykazie KSC to formalność na jedno popołudnie — pod warunkiem że dane masz przygotowane wcześniej. Bez przygotowania to trzy podejścia, dwa telefony do księgowej i jedno odkrycie, że osoba, która ma podpisać zgłoszenie, jest akurat na urlopie.
Czym jest wykaz i kto musi się w nim znaleźć
Wykaz to prowadzony przez państwo rejestr podmiotów objętych ustawą o krajowym systemie cyberbezpieczeństwa. Wpis jest obowiązkowy dla każdego podmiotu kluczowego i ważnego, a zgłoszenia dokonuje sam podmiot — nie urząd, nie firma IT, nie kontrahent. Rejestr działa w trybie samoidentyfikacji: państwo nie przysyła zawiadomienia „zostaliście objęci”, tylko oczekuje, że firma sama oceni swoją sytuację i się zgłosi.
To ta sama logika, co przy wielu obowiązkach rejestrowych. Różnica polega na tym, że tutaj skutkiem zaniechania nie jest tylko kara, ale też utrata kontroli nad tym, jak jesteś zaklasyfikowany.
Ile masz czasu
Na samodzielne zgłoszenie przewidziano ograniczone okno — liczone w miesiącach od uruchomienia rejestru wiosną 2026 roku, z terminem przypadającym jesienią 2026. Po jego upływie wpis następuje z urzędu. Brzmi wygodnie? Nie jest.
Wpis z urzędu oznacza, że kategorię i zakres danych ustala organ na podstawie tego, co ma — czyli rejestrów publicznych i danych o działalności. Nie masz wtedy wpływu na to, jak opisano twój sektor ani które usługi uznano za objęte. Prostowanie tego po fakcie jest wyraźnie bardziej pracochłonne niż wypełnienie formularza samemu. Do tego dochodzi sygnał wysyłany kontrolującemu: podmiot, który sam się nie zgłosił, startuje z gorszej pozycji.
Nie traktuj żadnej daty dziennej jako pewnika. Terminy w tym obszarze bywały przesuwane, a komunikaty publikowane etapami — przed rejestracją sprawdź aktualny komunikat organu prowadzącego wykaz. Ten tekst jest poradnikiem informatyka, nie poradą prawną.
Co przygotować przed otwarciem formularza
Zbierz to wszystko w jednym pliku, zanim usiądziesz do zgłoszenia. Oszczędza minimum jedno podejście.
- Dane identyfikacyjne podmiotu: pełna nazwa zgodna z rejestrem, NIP, KRS lub numer z CEIDG, adres siedziby, adres do doręczeń elektronicznych.
- Sektor i podsektor według klasyfikacji z ustawy, wraz z kategorią: podmiot kluczowy albo ważny. To pole determinuje resztę — jeśli nie masz pewności, wróć najpierw do kwalifikacji.
- Rodzaj świadczonej usługi objętej przepisami, opisany konkretnie. Nie „usługi IT”, tylko na przykład „utrzymanie i administracja infrastrukturą serwerową klientów”.
- Osoba do kontaktu w sprawach cyberbezpieczeństwa: imię, nazwisko, telefon, adres e-mail. Kontakt musi być dostępny całą dobę, siedem dni w tygodniu.
- Zastępca tej osoby. Formalnie bywa opcjonalny. Praktycznie — obowiązkowy, bo urlopy i choroby zdarzają się także w sierpniu.
- Adresy sieciowe: publiczne adresy IP i zakresy używane przez podmiot, nazwy domen, numer systemu autonomicznego, jeśli firma taki posiada.
- Państwa członkowskie UE, w których świadczysz objęte usługi, jeśli działasz poza Polską.
Największy kłopot sprawia zwykle ostatnia grupa. W firmach, gdzie internet i hosting podpisywano latami u różnych dostawców, nikt nie ma jednej listy adresów. Wyciągam ją wtedy z faktur operatorów, panelu rejestratora domen i konfiguracji brzegu sieci — i praktycznie zawsze znajduje się przy okazji domena, o której firma zapomniała, albo adres wystawiony w internet bez potrzeby.
Kto formalnie zgłasza podmiot
Za zgłoszenie odpowiada kierownik podmiotu: zarząd, dyrektor, właściciel jednoosobowej działalności. Nie administrator systemów, nie zewnętrzna firma IT. Można przygotować dane, wypełnić pola, opisać infrastrukturę — ale podpis i odpowiedzialność zostają po stronie kierownictwa.
Jeśli reprezentacja spółki jest łączna, sprawdź to przed wypełnianiem formularza. Kilkakrotnie widziałem sytuację, w której zgłoszenie było gotowe, a drugi członek zarządu nie miał aktywnego podpisu kwalifikowanego i całość stanęła na tydzień.
Jak potwierdzasz tożsamość
Zgłoszenie składa się elektronicznie i wymaga uwierzytelnienia osoby podpisującej. W praktyce dostępne są trzy drogi: kwalifikowany podpis elektroniczny, profil zaufany albo e-dowód z warstwą elektroniczną i czytnikiem NFC.
Profil zaufany jest najprostszy i dla większości małych firm wystarczy. Podpis kwalifikowany bywa niezbędny przy pełnomocnictwach i reprezentacji łącznej. Sprawdź daty ważności — to banał, ale certyfikat wygasa cicho i orientujesz się w momencie, w którym jest najmniej czasu.
Rejestracja krok po kroku
- Potwierdź kwalifikację. Sektor, wielkość, kategoria. Zapisz uzasadnienie na jednej stronie — przyda się przy kontroli i przy pytaniach kontrahentów.
- Skompletuj dane z listy powyżej w jednym dokumencie. Osobno oznacz to, czego jesteś pewien, i to, co wymaga sprawdzenia.
- Wyznacz osobę kontaktową i zastępcę uchwałą albo pisemnym poleceniem. Zapisz zakres zadań: odbieranie zgłoszeń, kontakt z zespołem reagowania, aktualizacja danych.
- Załóż skrzynkę funkcyjną typu
cyberbezpieczenstwo@twojafirma.pli skonfiguruj przekierowanie na dwie osoby. Nigdy prywatny adres jednego pracownika. - Sprawdź uwierzytelnienie osoby podpisującej — ważność certyfikatu albo działający profil zaufany. Wykonaj testowe logowanie.
- Wypełnij i podpisz zgłoszenie w systemie wskazanym w aktualnym komunikacie organu.
- Zarchiwizuj potwierdzenie — PDF, urzędowe poświadczenie odbioru, data. Trzymaj to tam, gdzie znajdzie je także osoba, która przyjdzie po tobie.
- Wpisz przegląd danych do kalendarza, raz na pół roku, z konkretnym właścicielem zadania.
Adres, który ktoś naprawdę czyta
Dane kontaktowe z wykazu nie leżą w szufladzie. Służą do dwustronnej komunikacji o incydentach: ty zgłaszasz zdarzenia u siebie, a zespół reagowania tą samą drogą przekazuje ostrzeżenia i wezwania. Termin na wstępne zgłoszenie poważnego incydentu liczy się w godzinach od jego wykrycia. Skrzynka sprawdzana w poniedziałki nie ma prawa zadziałać.
U siebie robię to tak: adres funkcyjny z przekierowaniem na dwie osoby, alert SMS na numer dyżurny przy wiadomości oznaczonej jako pilna i wpis w procedurze, kto odbiera po godzinach. Ta sama logika, co przy alertach z monitoringu — kanał, na który nikt nie patrzy, jest wart dokładnie tyle, co brak kanału.
Wpis do wykazu to nie deklaracja podatkowa, którą składa się raz. To dane kontaktowe, które muszą działać w środku nocy w sierpniu.
Co trzeba aktualizować później
Zmiana danych w wykazie wymaga zgłoszenia, i to szybkiego — mowa o dniach, nie miesiącach. Aktualizacji wymaga zmiana osoby kontaktowej lub jej numeru, zmiana nazwy albo adresu podmiotu, zmiana zakresu świadczonych usług, wejście lub wyjście z sektora objętego przepisami, a także zmiana adresacji sieciowej — nowe zakresy IP, nowe domeny, przeniesienie usług do innego dostawcy.
Najprościej powiązać to z procesem, który firma i tak ma: odejście pracownika z uprawnieniami powinno uruchamiać sprawdzenie, czy nie figurował jako kontakt w wykazie. Jedna pozycja na liście offboardingowej, dwie minuty roboty, zero ryzyka, że w rejestrze zostanie adres osoby, która pracuje już gdzie indziej.
Cztery błędy, na których wykładają się firmy
- Skrzynka, której nikt nie czyta. Klasyk:
biuro@obsługiwane przez recepcję albo adres wygenerowany na potrzeby formularza i nigdy nieskonfigurowany. - Brak zastępstwa. Jedna osoba, jeden numer, jeden urlop i podmiot jest formalnie nieosiągalny.
- Zgłoszenie przez informatyka „za zarząd”. Kierownik podmiotu odpowiada osobiście; wypełnienie może przygotować ktoś inny, podpis nie.
- Zero aktualizacji po zmianach. Wykaz z danymi sprzed dwóch lat jest gorszy niż brak wpisu, bo tworzy fałszywe poczucie, że temat jest zamknięty.
Ile to realnie zajmuje
Sam formularz — kilkadziesiąt minut. Przygotowanie danych — od pół dnia do dwóch dni, w zależności od tego, czy firma ma aktualną inwentaryzację zasobów. Jeśli nie ma, to właśnie ten etap zjada czas, i to jest dobra wiadomość: ta sama lista adresów, domen i usług posłuży potem do analizy ryzyka, dokumentacji i odpowiedzi na ankiety od kontrahentów. Robisz ją raz.
Jeśli utknąłeś na adresach sieciowych albo na tym, co wpisać w opisie usługi — pomagam to poskładać, łącznie z wyciągnięciem pełnej listy tego, co firma faktycznie wystawia do internetu.