Wykaz KSC. Ostatni dzwonek dla firm komunalnych

To już ostatnie dni na samorejestrację spółek samorządowych w Wykazie Krajowego Systemu Cyberbezpieczeństwa. Obowiązek ten mają podmioty kluczowe i ważne, które spełniają ustawowe kryteria. Jeżeli podmiot spełniał kryteria ustawy o Krajowym Systemie Cyberbezpieczeństwa już 3 kwietnia 2026 r., czyli w dniu wejścia w życie nowelizacji przepisów o KSC, termin upływa 3 października 2026 r. Za złożenie wniosku odpowiada zarząd.

Podmioty, które prowadzą działalność w sektorach objętych nowelizacją ustawy o KSC, muszą ocenić, czy podlegają nowym regulacjom. To dotyczy również spółek należących do samorządów. Wyjątkiem są podmioty wpisywane z urzędu do wykazu (prowadzonego w Systemie S46).

Spółki nie są automatycznie kwalifikowane jako podmioty podlegające pod KSC. Muszą spełniać wymagania podmiotowe oraz przedmiotowe z załącznika do ustawy nr 1 - podmioty kluczowe albo z załącznika nr 2 - podmioty ważne np. w zakresie gospodarki odpadami – tłumaczy mecenas Sylwester Szczepaniak z Kancelarii Traple Konarski Podrecki i Wspólnicy.

W Polsce działa ponad 2600 spółek samorządowych (dane Centralnego Ośrodka Informacji Gospodarczej). Są wśród nich giganci np. Koleje Mazowieckie,  KM sp. z o.o, czy MPWiK w m. st. Warszawie SA – i niewielkie firmy komunalne należące do gmin. Każda z nich musi zbadać:

• czy prowadzi działalność w sektorze objętym ustawą (działalność znajduje się w załącznikach nr 1 lub nr 2 do ustawy o KSC),
• jaką ma wielkość (liczba zatrudnionych, obrót lub suma bilansowa, uwzględnienie przedsiębiorstw powiązanych i partnerskich),
• czy spełnia przesłanki z art. 5 ustawy o KSC (m.in. niektóre podmioty podlegają rejestracji niezależnie od wielkości).

Co ważne, liczy się faktyczny zakres świadczonych usług lub wykonywanych zadań. To znaczy, że kody PKD pełnią rolę pomocniczą. O obowiązku wpisu może przesądzić wąski wycinek prowadzonej działalności.

Spółki komunalne kluczowe i ważne

Do sektorów kluczowych z załącznika 1 należą krytyczne dla państwa branże, zajmujące się m.in. energią, transportem, wodą, zdrowiem, infrastrukturą cyfrową. To również urzędy gmin liczące ponad 50 osób, jednostki samorządu województwa i starostwa.

Sektory ważne (załącznik 2) obejmują m.in. gospodarowanie odpadami, wytwarzanie i dystrybucję chemikaliów, żywności, wyrobów elektrycznych oraz maszyn, badania naukowymi. Do grupy z załącznika 2 (ważne) należą też podmioty publiczne samorządowe. To samorządowe: jednostki budżetowe, zakłady budżetowe, instytucje kultury oraz spółki wykonujące zadania o charakterze użyteczności publicznej w rozumieniu art. 1 ust. 2 ustawy z dnia 20 grudnia 1996 r. o gospodarce komunalnej jeżeli realizują zadanie publiczne z wykorzystaniem systemów informacyjnych. Zadania użyteczności publicznej to zadania służące bieżącemu i nieprzerwanemu zaspokajaniu zbiorowych potrzeb ludności poprzez usługi powszechnie dostępne, np. doprowadzanie wody i odprowadzanie ścieków.

Jeżeli z analizy wynika, że spółka kwalifikuje się jako kluczowa lub ważna, to powinna złożyć wniosek o wpis do 3 października 2026 r. 

Poza obowiązkiem wpisu mogą pozostać spółki komunalne, które prowadzą wyłącznie działalność komercyjną i nie wykonują zadania użyteczności publicznej objętego ustawą o KSC ani nie działają w jednym z sektorów wskazanych w załącznikach do ustawy. Gminna spółka np. prowadząca targowisko lub zarządzająca obiektami sportowymi czy rekreacyjnymi zazwyczaj nie będzie musiała składać wniosku, o ile jej działalność nie wchodzi do innego sektora ustawy o KSC. Jednak są wyjątki. W tej grupie podmiotów publicznych umieszczony w wykazie z urzędu jest np. spółka komunalna z Puław w województwie lubelskim.

MOSiR jest zarejestrowany w systemie teleinformatycznym prowadzonym przez Ministerstwo Cyfryzacji - System S46. Dokonali tego pracownicy Ministerstwa Cyfryzacji na podstawie danych zawartych w rejestrach publicznych, bazie adresów elektronicznych lub przekazanych przez właściwe organy nadzorcze - informuje Katarzyna Suszek z Miejskiego Ośrodka Sportu i Rekreacji w Puławach.

Odpowiedzialność zarządu i kary pieniężne

Mecenas Sylwester Szczepaniak podkreśla, że zgodnie z ustawą o KSC to zarząd odpowiada za spełnianie obowiązków wynikających z ustawy.

Wprost wskazana jest zasada, że delegowanie realizacji zadań wynikających z ustawy nie zwalnia zarządu z tej odpowiedzialności. Tak więc poszczególne zadania mogą realizować przedstawiciele wskazani przez zarząd, jednak tylko i wyłącznie z woli i na odpowiedzialność zarządu – stwierdza Sylwester Szczepaniak.

Czym może skutkować niezłożenie wniosku w terminie przed podmiot, który powinien to zrobić? 

- Potencjalnie jest to odpowiedzialność finansowa. A w przypadku spółek - także osobista dla członków zarządu, włącznie np. z zakazami prowadzenia określonej działalności, co de facto jest bardzo dużą sankcją osobistą - tłumaczy Sylwester Szczepaniak.

Jednak dodaje też, że dużo większym problemem niż sama kara jest brak wsparcia, bo KSC to również sieć bezpieczeństwa wspierana m.in. przez system S46 oraz wymianę informacji.

Jeżeli podmiot powinien być w Wykazie KSC, ale się nie wpisze, nie wdraża środków bezpieczeństwa, nie zgłasza incydentów, ignoruje wezwania lub decyzje CSIRT (zespołów reagowania na incydenty bezpieczeństwa komputerowego), nie prowadzi dokumentacji i nie wyznacza osoby kontaktowej, to grozi mu m.in. kara pieniężna (art. 73). Zgodnie z ustawą, wysokość kary pieniężnej nie może przekroczyć 10 000 000 euro lub 2 proc. przychodów osiągniętych przez podmiot kluczowy z działalności gospodarczej w roku obrotowym poprzedzającym wymierzenie kary (zastosowanie ma kwota wyższa). Kara ta nie może być niższa niż 20 000 zł.

W przypadku podmiotu ważnego, kara nie przekroczy 7 000 000 euro lub 1,4 proc. przychodów osiągniętych z działalności gospodarczej w roku obrotowym poprzedzającym wymierzenie kary. To minimalnie 15 000 zł. 

Niezależnie od kar nałożonych na podmiot kluczowy lub ważny, karze pieniężnej może też podlegać kierownik tego podmiotu.

Co ważne, podmioty publiczne (np. spółki komunalne) nie są zwolnione ustawowo z kar pieniężnych. Dla jednostek, które nie mają przychodu lub ich działalność gospodarcza trwa krócej niż rok, a nie dopełniły wymogów ustawy o KSC, stosowane będą kary ryczałtowe: 500 000 euro (podmioty kluczowe) lub 250 000 euro dla podmiotów ważnych (minimum to odpowiednio 20 000 zł lub 15 000 zł).

Harmonogram

Złożenie wniosków o wpis do Wykazu KSC dotyczy podmiotów, które w dniu wejścia w życie ustawy (3 kwietnia 2026 r.) spełniały przesłanki uznania za podmiot kluczowy lub ważny, z wyłączeniem podmiotów wpisywanych z urzędu: 7 maja – 3 października 2026 r.

Rozpoczęcie korzystania z systemu teleinformatycznego (art. 46 KSC)

A. Podmioty, które miały porozumienia o korzystaniu z systemu przed 3 kwietnia 2026 r.: 8 kwietnia 2026 r. – 3 kwietnia 2027 r.;

B. Pozostałe podmioty kluczowe i ważne: 12 czerwca 2026 r. – 3 kwietnia 2027 r.

12 miesięcy od wpisu – wdrożenie środków bezpieczeństwa (termin zależny od daty wpisu).

24 miesiące od wpisu – pierwszy audyt (podmiot kluczowy).

Podmioty, które powstały po 3 kwietnia (lub spełniły ustawowe przesłanki po tej dacie) mają 6 miesięcy na rejestrację, 12 miesięcy na wdrożenie obowiązków z rozdziału 3 ustawy o KSC oraz 24 miesiące na pierwszy audyt.