Harmonogram KSC 2026–2028: wszystkie terminy w jednym miejscu

Najważniejsze daty w skrócie

Data	Co się dzieje	Kogo dotyczy	Podstawa
3.04.2026	Nowelizacja ustawy o krajowym systemie cyberbezpieczeństwa wchodzi w życie	wszystkich objętych ustawą	Dz.U. 2026 poz. 252
7.05–3.10.2026	Wnioski o wpis do wykazu podmiotów kluczowych i ważnych (system S46) — termin minął	podmioty, które spełniały kryteria w dniu wejścia ustawy w życie	art. 7c ust. 1, komunikat ministra
3.04.2027	Wdrożenie obowiązków z rozdziału 3 ustawy, m.in. systemu zarządzania bezpieczeństwem informacji	podmioty kluczowe i ważne	art. 33 ust. 1
3.04.2028	Pierwszy audyt bezpieczeństwa	podmioty kluczowe	art. 33 ust. 2
3.04.2028	Koniec dwuletniego okresu, w którym nie nakłada się kar z art. 73 ust. 1–4 i art. 73a–73c	podmioty kluczowe i ważne oraz ich kierownicy	art. 35

Ten harmonogram dotyczy organizacji, które spełniały kryteria podmiotu kluczowego albo ważnego w dniu wejścia ustawy w życie. Jeśli Twoja zaczęła je spełniać później — na przykład urosła albo zmieniła działalność — terminy mogą być inne; sprawdź to z prawnikiem.

3 października 2026: wpis do wykazu — termin minął

Podmioty, które spełniały kryteria podmiotu kluczowego albo ważnego już 3 kwietnia 2026 roku, miały sześć miesięcy na złożenie wniosku o wpis do wykazu. Wnioski składa się przez system teleinformatyczny S46; według komunikatu Ministerstwa Cyfryzacji samorejestracja trwała od 7 maja do 3 października 2026 roku.

Jeśli Twoja organizacja nie złożyła wniosku, zrób to jak najszybciej i ustal z prawnikiem, jak udokumentować opóźnienie. Jeśli nie wiesz, czy w ogóle podlegasz ustawie, zacznij od sektora i wielkości organizacji — test samooceny prowadzi przez to w kilka minut.

3 kwietnia 2027: wdrożenie obowiązków

To najważniejsza data najbliższych miesięcy. Art. 33 ust. 1 daje podmiotom kluczowym i ważnym 12 miesięcy od wejścia ustawy w życie na wykonanie obowiązków z rozdziału 3 ustawy — w tym na wdrożenie systemu zarządzania bezpieczeństwem informacji (SZBI).

Na dzień tego wpisu (29 października 2026 roku) zostało około pięciu miesięcy. Z naszego doświadczenia w praktyce wdrożenie systemu zarządzania bezpieczeństwem informacji opiera się na kilku elementach, które warto mieć gotowe przed kwietniem:

1. Wyznaczone osoby odpowiedzialne — kto koordynuje (CISO, pełnomocnik), kto jest właścicielem procesów i systemów, kto raportuje do zarządu.
2. Rejestr procesów z analizą wpływu na działalność (BIA) — co jest krytyczne i jak długo może nie działać.
3. Rejestr aktywów i dostawców — systemy, dane, infrastruktura i firmy zewnętrzne, od których zależą krytyczne procesy.
4. Szacowanie ryzyka z decyzją, co z każdym ryzykiem robimy, i z zadaniami, które je ograniczają.
5. Dokumentacja — polityki i procedury zatwierdzone, z wersjami i terminami przeglądów.
6. Obsługa incydentów — kto ocenia zgłoszenie, kto i w jakim terminie przekazuje je dalej.
7. Plany ciągłości działania i odtwarzania dla procesów i systemów, które nie mogą stać długo.

Ta lista to nasza praktyka, a nie wyliczenie z ustawy — zakres obowiązków rozdziału 3 dla konkretnej organizacji warto potwierdzić w tekście ustawy i rozporządzeń.

3 kwietnia 2028: pierwszy audyt podmiotów kluczowych

Art. 33 ust. 2 wyznacza podmiotom kluczowym 24 miesiące od wejścia ustawy w życie na przeprowadzenie pierwszego audytu. Audyt sprawdza to, co zostało wdrożone do kwietnia 2027 roku — dlatego warto od początku zbierać dowody: daty przeglądów, zatwierdzenia dokumentów, wyniki testów planów, zamknięte zadania. Dokument zaktualizowany raz, tuż przed audytem, nie pokaże, że system działa na co dzień.

3 kwietnia 2028: od kiedy kary

Art. 35 przewiduje, że kary pieniężne z art. 73 ust. 1–4 oraz kary z art. 73a–73c nakłada się po raz pierwszy po upływie dwóch lat od wejścia ustawy w życie, czyli po 3 kwietnia 2028 roku. Dotyczy to także osobistej kary dla kierownika podmiotu — piszemy o niej we wpisie Odpowiedzialność zarządu za cyberbezpieczeństwo w KSC.

Wysokość kar dla organizacji (art. 73 ust. 3 i 4):

Podmiot	Kara do	Najniższa kara
kluczowy	10 mln € albo 2% przychodów z poprzedniego roku obrotowego — stosuje się kwotę wyższą	20 000 zł
ważny	7 mln € albo 1,4% przychodów z poprzedniego roku obrotowego	15 000 zł

Uwaga na wyjątek. Art. 35 nie wymienia kary z art. 73 ust. 5 — do 100 mln zł za naruszenie, które powoduje bezpośrednie, poważne zagrożenie dla państwa albo ludzi lub ryzyko poważnej szkody. Nie zakładaj więc, że przed kwietniem 2028 roku nic nie grozi; ten przepis warto omówić z prawnikiem.

Jak wykorzystać czas do kwietnia 2027

Pięć miesięcy to mało na budowę wszystkiego od zera i wystarczająco dużo, jeśli praca jest podzielona na etapy z właścicielami i terminami. W KSC Manager służy do tego Droga do zgodności: etapy przygotowania z kamieniami milowymi i wskaźnikiem gotowości liczonym z wykonanych zadań — zarząd widzi postęp, a zespół wie, co jest następne.

Najczęstsze pytania

Czy termin 3 kwietnia 2027 dotyczy też podmiotów ważnych?

Tak. Termin wdrożenia obowiązków z art. 33 ust. 1 dotyczy podmiotów kluczowych i ważnych, które spełniały kryteria w dniu wejścia ustawy w życie. Różnica między nimi pojawia się przy pierwszym audycie — art. 33 ust. 2 wyznacza go do 3 kwietnia 2028 roku podmiotom kluczowym.

Czy przed 3 kwietnia 2028 nie grożą żadne kary?

Art. 35 odracza do tego dnia kary z art. 73 ust. 1–4 i art. 73a–73c, w tym osobistą karę dla kierownika podmiotu. Nie wymienia jednak kary z art. 73 ust. 5 (do 100 mln zł za naruszenie powodujące bezpośrednie, poważne zagrożenie), więc nie należy zakładać, że do 2028 roku nic nie grozi.

Co zrobić, jeśli nie złożyliśmy wniosku o wpis do wykazu?

Złożyć go jak najszybciej przez system S46 i ustalić z prawnikiem, jak udokumentować opóźnienie. Termin dla podmiotów, które spełniały kryteria 3 kwietnia 2026 roku, minął 3 października 2026 roku.

Czy do zgodności z ustawą potrzebny jest certyfikat ISO 27001?

Nie. Certyfikacja ISO/IEC 27001 nie jest wymogiem ustawowym, choć wiele wymagań ustawy pokrywa się z tą normą i organizacja z wdrożonym systemem według normy ma łatwiejszy start.