Stan prawny: 21 października 2026 r.
Terminy KSC trzeba ustalić dla konkretnego podmiotu. Znaczenie ma moment spełnienia kryteriów, sposób wpisu do wykazu, ewentualna decyzja organu oraz wcześniejszy status organizacji. Wpisanie trzech dat do kalendarza bez tych informacji może prowadzić do błędnego harmonogramu.
Najpilniejszy krok w październiku 2026 r. to sprawdzenie stanu rejestracji oraz planu wdrożenia obowiązków. Podawany dla właściwej grupy podmiotów termin 3 października 2026 r. już minął. Jeżeli sprawa nie została zamknięta, trzeba ustalić jej stan i dalsze czynności.
Najpierw rozdziel trzy rodzaje terminów
Pierwszy rodzaj to terminy przejściowe związane z wejściem w życie nowelizacji. Drugi obejmuje okresy liczone od zdarzenia dotyczącego konkretnej organizacji, np. spełnienia przesłanek lub doręczenia decyzji. Trzeci dotyczy działań cyklicznych i aktualizacji danych.
Do tego dochodzą terminy obsługi i zgłaszania incydentów. Te powinny być wpisane w procedurę reagowania, z właściwym punktem rozpoczęcia liczenia czasu i wskazaniem osób działających także podczas nieobecności podstawowego koordynatora.
Własny harmonogram projektu, termin dostawy sprzętu i data szkolenia nie zmieniają obowiązku ustawowego. Jeżeli wykonawca proponuje zakończenie prac po właściwej dacie, potrzebna jest jawna decyzja o sposobie usunięcia tej rozbieżności.
Daty dla podmiotów spełniających kryteria 3 kwietnia 2026 roku
Ministerstwo Cyfryzacji opublikowało poniższe daty dla podmiotów spełniających kryteria w dniu wejścia w życie nowelizacji. Stosowanie tabeli wymaga uwzględnienia trybu wpisu i regulacji przejściowych.
| Data wskazana w komunikacie | Czego dotyczy | Co sprawdzić w organizacji |
|---|---|---|
| 3 października 2026 r. | Wpis do Wykazu KSC | Stan wniosku lub wpisu oraz wymagane uzupełnienia |
| 3 kwietnia 2027 r. | Wdrożenie nowych obowiązków i podłączenie do S46 | Plan prac, uprawnienia, kontakty, procedury i dowody wykonania |
| 3 kwietnia 2028 r. | Pierwszy obowiązkowy audyt właściwej grupy podmiotów kluczowych | Zakres audytu, uprawniony wykonawca i czas na przygotowanie |
Komunikat dotyczący pierwszego audytu wskazuje podmioty kluczowe, które nie były operatorami usług kluczowych. Wcześniejsi operatorzy potrzebują osobnej oceny historii audytów i przepisów przejściowych. Ministerstwo Cyfryzacji — obowiązki i terminy.
Podstawy przejściowe znajdują się m.in. w art. 22–25 oraz art. 33–34 ustawy nowelizującej. W szczególności trzeba uwzględnić już prowadzone postępowania, audyty i wcześniejsze obowiązki. Nowelizacja KSC z 23 stycznia 2026 r..
Co z organizacją, która spełniła kryteria później
W takim przypadku punktem wyjścia jest data spełnienia właściwych przesłanek. Art. 7c KSC przewiduje sześć miesięcy na wniosek o wpis. Art. 16 określa 12 miesięcy na realizację obowiązków rozdziału 3 oraz 24 miesiące na pierwszy audyt podmiotu kluczowego, liczone od spełnienia przesłanek. Trzeba również sprawdzić regulacje szczególne. KSC, art. 7c i art. 16.
Przykład modelowy: organizacja spełniająca kryteria już 3 kwietnia 2026 r. i organizacja, która spełni je dopiero 15 listopada 2026 r., nie powinny otrzymać automatycznie tego samego kalendarza. Druga musi udokumentować zdarzenie powodujące kwalifikację i wyliczyć właściwe terminy, uwzględniając zasady ich obliczania.
Nie należy przyjmować, że termin wdrożenia zaczyna się dopiero po przeczytaniu komunikatu lub po złożeniu wniosku. Właściwy punkt początkowy wynika z przepisu.
Wpis z urzędu i decyzja organu wymagają osobnej ścieżki
Przy wpisie z urzędu może pojawić się wezwanie do uzupełnienia danych. Art. 7b ust. 2 przewiduje sześć miesięcy od doręczenia takiego wezwania. Należy przechować samo pismo i informację o doręczeniu. Status podmiotu wpisanego z urzędu nie oznacza, że wszystkie dane są już kompletne.
Odrębne zasady dotyczą podmiotów uznanych decyzją na podstawie art. 7l lub 7m. Ustawa wiąże tam terminy z doręczeniem decyzji. Dlatego przed wpisaniem dat do kalendarza warto rozpoznać, z jakim dokumentem i podstawą mamy do czynienia. KSC, art. 7b, 7l i 7m.
Aktualizacja danych i działania cykliczne
Po wpisie trzeba utrzymywać aktualność informacji. Art. 7c ust. 3 przewiduje wniosek o zmianę wskazanych danych w ciągu 14 dni od zmiany. W praktyce oznacza to potrzebę przekazywania koordynatorowi informacji o zmianach organizacyjnych, kontaktowych i innych danych objętych wpisem.
KSC przewiduje również szkolenie kierownika oraz osoby, której powierzono obowiązki kierownika w zakresie cyberbezpieczeństwa, raz w roku kalendarzowym, z dokumentowaniem udziału. Właściwy harmonogram należy ustalić z uwzględnieniem stosowalności i przepisów przejściowych. Dla audytów podmiotów kluczowych art. 15 ustanawia cykl co najmniej raz na trzy lata. KSC, art. 7c, 8e i 15.
Jeżeli organizację obejmuje także KRI, jego audyt wewnętrzny ma własny cykl. Nie zastępuj jednego kalendarza drugim.
Incydenty: sprawdź właściwy tryb i działaj niezwłocznie
Pełny tryb dla incydentu poważnego obejmuje wczesne ostrzeżenie do 24 h i zgłoszenie do 72 h od wykrycia oraz dalsze sprawozdania. Podmiot ważny będący podmiotem publicznym stosuje wyjątek z art. 12c: zgłoszenie do 72 h bez wczesnego ostrzeżenia i wskazanych w tym przepisie sprawozdań. Stosowalność, progi, przepisy przejściowe i właściwy CSIRT potwierdź dla organizacji. Godziny nie zatrzymują się na weekend; nie czekaj na planową konsultację dostawcy. Tryby i wyjątki w kalendarzu DataOne.
Co zrobić, gdy właściwy termin już minął
Najpierw potwierdź fakt: czego dotyczył termin, czy czynność została wykonana i czy istnieje jej potwierdzenie. Wniosek zapisany jako szkic, złożony wniosek i zatwierdzony wpis to różne stany.
Następnie przypisz pilne działania: uzupełnienie danych, wyjaśnienie statusu z właściwym organem lub uzyskanie oceny prawnej. Zachowaj rzeczywiste daty. Nie twórz dokumentacji sugerującej wykonanie czynności wcześniej, niż miała miejsce.
Wdrożenia techniczne prowadź równolegle według priorytetów. Oczekiwanie na dostawę serwera nie powinno zatrzymywać ustalania osób kontaktowych, zakresu usług czy zasad zgłaszania problemów.
Wzór kalendarza dla koordynatora
| Pole | Co wpisać |
|---|---|
| Obowiązek | Konkretna czynność, np. aktualizacja danych |
| Podstawa i stosowalność | Przepis oraz uzasadnienie dla tego podmiotu |
| Zdarzenie początkowe | Spełnienie przesłanek, zmiana danych lub doręczenie |
| Termin | Wyliczona i zweryfikowana data |
| Wykonawca i zastępstwo | Osoby odpowiedzialne za doprowadzenie sprawy do końca |
| Dowód | Potwierdzenie złożenia, protokół, zapis wykonania |
| Status | Do wykonania, w toku, wymaga wyjaśnienia, zakończone |
Razem z kalendarzem utrzymuj listę zależności. Przy audycie będą to na przykład uzgodnienie zakresu i wykonawcy, przygotowanie materiałów oraz czas potrzebny na wyjaśnienia. Zaplanuj wewnętrzne daty wcześniej niż ostatni dopuszczalny dzień.
Jak DataOne może pomóc uporządkować prace
Porozmawiaj z DataOne Cyber o planie działań, jeśli terminy są znane, ale nie wiadomo, jakie prace techniczne muszą je poprzedzić. Połączymy rozmowę o monitoringu i źródłach danych z listą zadań, wykonawców i kryteriów odbioru. Kwestie kwalifikacji oraz wyliczenia spornych terminów kierujemy do właściwej weryfikacji prawnej, tak aby harmonogram techniczny opierał się na poprawnych założeniach.
Pobierz wzór CSV do uzupełnienia
Wzór roboczy — wymaga dopasowania do organizacji; nie stanowi kompletnej dokumentacji zgodności.