Firmy energetyczne mają czas tylko do października. Za brak zgłoszenia może być kara

Firmy z sektora energetycznego powinny sprawdzić, czy dotyczą ich nowe obowiązki. Ministerstwo Energii wskazuje termin, którego nie można przeoczyć. W grę wchodzą także konsekwencje finansowe.

Kogo dotyczy obowiązek?

Ministerstwo Energii przypomina podmiotom działającym w sektorze energii oraz sektorze inwestycji energii jądrowej o obowiązku samodzielnego zgłoszenia do Wykazu podmiotów kluczowych i podmiotów ważnych, czyli Wykazu KSC. Termin na złożenie wniosku upływa 3 października 2026 r.

Wykaz KSC obejmuje podmioty objęte przepisami ustawy o krajowym systemie cyberbezpieczeństwa. Zgodnie z ustawą Minister Energii jest organem właściwym do spraw cyberbezpieczeństwa dla sektora energii oraz sektora inwestycji energii jądrowej.

REKLAMA

REKLAMA

Obowiązek samodzielnego złożenia wniosku o wpis wynika z art. 7c ust. 1 ustawy o krajowym systemie cyberbezpieczeństwa.

Aby sprawdzić, czy organizacja podlega nowym przepisom, należy przede wszystkim zweryfikować, czy prowadzi działalność wymienioną w załącznikach do ustawy. Kolejnym krokiem jest określenie wielkości przedsiębiorstwa.

Jeżeli organizacja spełnia lub przekracza kryteria średniego przedsiębiorstwa określone w rozporządzeniu Komisji (UE) nr 651/2014 i prowadzi działalność wskazaną w załącznikach do ustawy o krajowym systemie cyberbezpieczeństwa, musi złożyć wniosek o wpis do 3 października 2026 r.

Do określenia wielkości przedsiębiorstwa można wykorzystać kwalifikatory przygotowane przez PARP oraz informacje dostępne na portalu biznes.gov.pl.

Sam wpis to nie wszystko

Wpis do Wykazu KSC jest jednym z pierwszych obowiązków związanych z dostosowaniem działalności do nowych przepisów. Podmioty kluczowe i podmioty ważne muszą następnie spełnić kolejne wymagania dotyczące m.in. zarządzania ryzykiem, bezpieczeństwa systemów informacyjnych oraz obsługi i zgłaszania incydentów.

Z informacji zamieszczonych w FAQ Ministerstwa Cyfryzacji wynika, że kolejne terminy są powiązane z momentem spełnienia przez podmiot przesłanek uznania go za podmiot kluczowy lub podmiot ważny. Nie są więc uzależnione od samego dnia dokonania wpisu do wykazu.

REKLAMA

REKLAMA

REKLAMA

Dla podmiotów objętych obecnym terminem harmonogram przewiduje m.in. 3 kwietnia 2027 r. jako termin na podłączenie do systemu S46 oraz pierwsze wdrożenie obowiązków dotyczących systemu zarządzania bezpieczeństwem informacji (SZBI). W przypadku podmiotów kluczowych pierwszy audyt powinien zostać przeprowadzony do 3 kwietnia 2028 r.

Oznacza to, że samo złożenie wniosku do 3 października nie zamyka procesu dostosowania się do przepisów. Podmioty objęte ustawą powinny odpowiednio wcześniej przygotować się także do realizacji kolejnych wymagań.

Co trzeba podać we wniosku?

Ministerstwo Cyfryzacji wskazuje, że we wniosku o wpis należy podać podstawowe informacje dotyczące podmiotu, dane osób do kontaktu oraz administratora konta podmiotu w systemie S46. Wymagane są również informacje dotyczące wykorzystywanych przez podmiot zakresów adresów IP i domen.

Zgodnie z FAQ dostosowanie działalności do wymogów KSC powinno rozpocząć się od ustalenia, czy dany podmiot spełnia kryteria podmiotu kluczowego lub ważnego oraz czy jego działalność podlega regulacjom sektorowym dotyczącym cyberbezpieczeństwa. Kolejnym etapem jest podłączenie do systemu S46, co wiąże się m.in. ze współpracą z NASK-PIB oraz wyznaczeniem administratora konta i użytkowników systemu po stronie podmiotu.

Brak wpisu może oznaczać karę

Przepisy przewidują możliwość nałożenia kary pieniężnej na podmiot, który nie złoży wniosku o wpis do Wykazu KSC w wymaganym terminie.

Zgodnie z art. 73 ust. 1a pkt 1 ustawy organ właściwy do spraw cyberbezpieczeństwa może nałożyć karę, jeżeli przemawia za tym waga i znaczenie naruszonych przepisów. Dotyczy to również sytuacji, w której podmiot nie złożył wniosku o wpis w terminie określonym w art. 7c ust. 1 ustawy.

Dla podmiotów objętych obecnym obowiązkiem oznacza to, że 3 października 2026 r. jest kluczową datą.