NIS2 i KSC 2.0: samoidentyfikacja i wpis do wykazu do 3 października 2026 — co musisz zrobić i jak pomaga partner data center

Jeśli Twoja firma działa w jednym z sektorów objętych nową ustawą o krajowym systemie cyberbezpieczeństwa, masz przed sobą termin, którego nie da się odłożyć: 3 października 2026 r. Do tego dnia podmioty kluczowe i ważne muszą się samookreślić i złożyć wniosek o wpis do wykazu KSC. To pierwszy, formalny krok do zgodności z dyrektywą NIS2 — i punkt, od którego zaczyna się bieg kolejnych obowiązków. W tym wpisie tłumaczymy, co dokładnie trzeba zrobić, jakie daty pilnować i w którym miejscu drogę do zgodności realnie skraca wybór dostawcy infrastruktury.

Co zmieniła nowelizacja ustawy o KSC

Nowelizacja ustawy o krajowym systemie cyberbezpieczeństwa (potocznie „KSC 2.0”) wdraża do polskiego prawa unijną dyrektywę NIS2. Została opublikowana w Dzienniku Ustaw 2 marca 2026 r. i weszła w życie 3 kwietnia 2026 r. Najważniejsza zmiana to znaczne poszerzenie katalogu podmiotów objętych regulacją — z wąskiego grona operatorów infrastruktury krytycznej na dziesiątki tysięcy firm z sektorów takich jak ICT, energetyka, transport, ochrona zdrowia, gospodarka odpadami, produkcja czy usługi cyfrowe.

Ustawa dzieli adresatów na podmioty kluczowe i podmioty ważne. Obie kategorie mają obowiązek wdrożyć system zarządzania bezpieczeństwem informacji (SZBI) — czyli zestaw środków technicznych i organizacyjnych adekwatnych do ryzyka. Za nadzór nad realizacją tych zadań odpowiada osobiście kierownictwo podmiotu, a kary za zaniedbania są dotkliwe: dla podmiotów kluczowych sięgają do 10 mln euro lub 2% rocznego światowego obrotu.

Trzy daty, które musisz znać

Cały harmonogram NIS2 w Polsce można sprowadzić do trzech punktów:

• 3 kwietnia 2026 r. — nowelizacja ustawy o KSC weszła w życie. Od tego momentu liczą się obowiązki i okresy przejściowe.
• 3 października 2026 r. — ostateczny termin samoidentyfikacji i złożenia wniosku o wpis do wykazu KSC. Aplikacja webowa umożliwiająca wpis została uruchomiona 7 maja 2026 r. i działa pod adresem wykaz-ksc.gov.pl (w ramach systemu S46).
• 3 kwietnia 2027 r. — koniec 12-miesięcznego okresu przejściowego na pełne wdrożenie środków zarządzania ryzykiem (SZBI). Podmioty kluczowe muszą dodatkowo przeprowadzić pierwszy audyt bezpieczeństwa w ciągu 24 miesięcy.

Najbliższy z tych terminów — październikowy wpis do wykazu — jest też najczęściej pomijany, bo wymaga decyzji prawnej (czy w ogóle jesteśmy podmiotem kluczowym lub ważnym?), a nie tylko zakupu technologii.

Samoidentyfikacja krok po kroku

Obowiązek samoidentyfikacji oznacza, że to firma sama musi ocenić, czy spełnia kryteria podmiotu kluczowego lub ważnego — państwo nie przyśle tu wezwania. W praktyce proces wygląda następująco:

1. Sprawdź, czy działasz w sektorze objętym ustawą i czy przekraczasz progi (m.in. wielkość przedsiębiorstwa). To analiza prawno-organizacyjna, najlepiej z udziałem działu prawnego lub doradcy.
2. Zarejestruj wpis w wykazie KSC przez aplikację na wykaz-ksc.gov.pl przed 3 października 2026 r. Podajesz dane podmiotu, osobę kontaktową ds. cyberbezpieczeństwa i zakres działalności.
3. Zaplanuj wdrożenie SZBI w okresie przejściowym — to już praca techniczna: zarządzanie ryzykiem, ciągłość działania, kontrola dostępu, monitorowanie i obsługa incydentów. O samym zgłaszaniu incydentów w wymaganych terminach pisaliśmy szerzej we wpisie NIS2: zgłaszanie incydentów w 24h, 72h i miesiąc.

Środki techniczne i organizacyjne — gdzie wchodzi partner data center

SZBI nie da się „kupić w pudełku”, ale dużą część wymogów dotyczących dostępności, bezpieczeństwa fizycznego i środowiskowego oraz monitorowania można przenieść na dostawcę infrastruktury. To właśnie obszar, w którym dobrze dobrane środowisko serwerowe realnie skraca drogę do zgodności.

Decydując się na kolokację w Sprint Data Center, oddajesz swoje serwery do środowiska zaprojektowanego pod ciągłość działania:

• Gwarantowane, dwutorowe zasilanie w oparciu o zasilacze UPS i agregat prądotwórczy — ochrona przed zanikami napięcia w sieci publicznej.
• Klimatyzacja precyzyjna utrzymująca stabilną temperaturę i wilgotność.
• Całodobowa ochrona fizyczna i monitoring 24/7/365, kontrolowany dostęp do serwerów wyłącznie w asyście specjalisty oraz systemy przeciwpożarowe.
• Redundantne łącza operatorskie, ograniczające ryzyko utraty łączności.

Te elementy odpowiadają wprost na wymagania SZBI w zakresie ciągłości działania i bezpieczeństwa fizycznego — i są udokumentowane w umowie, co ułatwia wykazanie zgodności podczas audytu. Jeśli zamiast utrzymywać własny sprzęt wolisz gotowe zasoby, podobne gwarancje środowiskowe obejmują serwery dedykowane, a bieżącą administrację możesz powierzyć w ramach usług dodatkowych. Argument „polska jurysdykcja” przestał być przy tym hasłem marketingowym — dla wielu podmiotów objętych KSC 2.0 to twarda przesłanka wyboru lokalnego operatora.

Podsumowanie

NIS2 i KSC 2.0 to nie odległa perspektywa, lecz harmonogram, który już biegnie. Najpierw — do 3 października 2026 r. — samoidentyfikacja i wpis do wykazu KSC. Potem, do kwietnia 2027 r., pełne wdrożenie SZBI. Im wcześniej uporządkujesz infrastrukturę, tym mniej zostanie do nadrobienia pod presją terminu i ryzyka kar.

Chcesz omówić, jak przenieść część wymagań NIS2 na sprawdzone, polskie środowisko data center? Sprawdź ofertę kolokacji w Sprint Data Center lub skontaktuj się z naszym zespołem — pomożemy dobrać rozwiązanie do skali i profilu Twojej organizacji.

FAQ – najczęściej zadawane pytania o NIS2 i wpis do wykazu KSC

Kto musi dokonać samoidentyfikacji i wpisu do wykazu KSC?

Obowiązek dotyczy podmiotów kluczowych i ważnych z sektorów wskazanych w znowelizowanej ustawie o KSC (m.in. ICT, energetyka, transport, ochrona zdrowia, produkcja, usługi cyfrowe). To firma sama ocenia, czy spełnia kryteria — państwo nie wysyła indywidualnych wezwań. W razie wątpliwości warto skonsultować klasyfikację z doradcą prawnym.

Do kiedy trzeba dokonać wpisu do wykazu?

Termin samoidentyfikacji i złożenia wniosku o wpis do wykazu KSC mija 3 października 2026 r. Wpisu dokonuje się online przez aplikację dostępną pod adresem wykaz-ksc.gov.pl, uruchomioną 7 maja 2026 r. To najbliższy z obowiązków wynikających z nowelizacji.

Czy wpis do wykazu oznacza, że jestem już zgodny z NIS2?

Nie. Wpis to dopiero formalne zgłoszenie. Pełne wdrożenie środków zarządzania ryzykiem (SZBI) trzeba zrealizować w 12-miesięcznym okresie przejściowym, czyli do 3 kwietnia 2027 r. Podmioty kluczowe mają też obowiązek przeprowadzenia pierwszego audytu bezpieczeństwa w ciągu 24 miesięcy.

Czy kolokacja serwerów pomaga spełnić wymagania NIS2?

Tak, w obszarze dostępności oraz bezpieczeństwa fizycznego i środowiskowego. Kolokacja w profesjonalnym data center zapewnia redundantne zasilanie, precyzyjną klimatyzację, całodobową ochronę i monitoring oraz kontrolowany dostęp do sprzętu — a parametry te są zapisane w umowie, co ułatwia wykazanie zgodności podczas audytu. Odpowiedzialność za klasyfikację podmiotu i obowiązki organizacyjne pozostaje jednak po stronie firmy.