W środę 9 września 2026 roku o 18:33 Krzysztof Pasławski opublikował w CRN notatkę, która w codziennym szumie branżowym mogła przejść bez echa. Powoływał się na ustalenia Prawo.pl: w wykazie podmiotów kluczowych i podmiotów ważnych, prowadzonym w ramach krajowego systemu cyberbezpieczeństwa, figuruje już ponad osiemdziesiąt tysięcy organizacji. Ponad połowa z nich to podmioty publiczne. Liczba sama w sobie brzmi jak dobra wiadomość — skoro tylu się wpisało, system działa.

Problem polega na tym, że w kwietniu, kiedy nowelizacja ustawy o krajowym systemie cyberbezpieczeństwa wchodziła w życie, Ministerstwo Cyfryzacji szacowało zakres jej zastosowania na trzydzieści osiem tysięcy podmiotów, w tym mniej więcej dwadzieścia siedem tysięcy publicznych. Rejestr przekroczył ten szacunek dwukrotnie i wciąż rośnie, a do granicznej daty — 3 października 2026 roku — pozostały dwadzieścia dwa dni. Rozjazd między prognozą regulatora a stanem faktycznym rzadko bywa przypadkiem. Zwykle oznacza, że ktoś źle policzył albo że ktoś inny źle zrozumiał, czego się od niego oczekuje. Tutaj prawdopodobnie zdarzyło się jedno i drugie naraz.

Liczba, która nie jest wynikiem, tylko objawem

Dwukrotne przekroczenie rządowej prognozy da się wytłumaczyć na dwa sposoby, które wzajemnie się nie wykluczają. Pierwszy jest optymistyczny: resort niedoszacował, bo liczył sektorami i progami wielkościowymi, a rzeczywista gospodarka nie układa się w tabelki z załączników. Drugi jest mniej wygodny: część podmiotów wpisała się na zapas, bo tak było prościej niż przeprowadzić uczciwą analizę klasyfikacyjną, a wpis wydawał się czynnością bez konsekwencji.

Ten drugi mechanizm zasługuje na nazwanie po imieniu, bo jest kosztowny. Wpis do wykazu nie jest deklaracją intencji ani gestem dobrej woli wobec państwa. Jest oświadczeniem o stanie faktycznym, które uruchamia cały rozdział trzeci ustawy: system zarządzania bezpieczeństwem informacji z artykułu 8, obowiązek podłączenia do systemu teleinformatycznego S46, reżim zgłaszania incydentów poważnych w oknach dwudziestu czterech i siedemdziesięciu dwóch godzin, obowiązkowy audyt bezpieczeństwa, dokumentację, przeglądy. Organizacja, która wpisała się „żeby mieć spokój", nie kupiła sobie spokoju. Kupiła sobie zestaw obowiązków, których nikt w niej nie planuje wykonać, oraz widoczność dla organu nadzoru, który te obowiązki będzie weryfikował.

Symetryczne ryzyko leży po drugiej stronie. Skoro w rejestrze jest dwa razy więcej podmiotów, niż zakładano, to niemal na pewno brakuje w nim takich, które powinny się tam znaleźć. Statystyka zbiorcza tego nie pokaże — osiemdziesiąt tysięcy wygląda imponująco niezależnie od tego, kto się w tej liczbie mieści. Dopiero pierwszy incydent u podmiotu nieobecnego w wykazie pokaże, że liczba nie odpowiadała na właściwe pytanie.

Dlaczego jeden kod PKD to za mało

Aleksander Elmerych, radca prawny i senior associate w kancelarii Traple Konarski Podrecki i Wspólnicy, sformułował w rozmowie z Prawo.pl diagnozę, którą warto przepisać do wewnętrznej procedury każdej organizacji: przy samoidentyfikacji nie wystarczy sprawdzić głównego kodu PKD, trzeba przeanalizować rzeczywisty zakres całej działalności, w tym działalność poboczną i usługi wewnątrzgrupowe, bo właśnie tam najczęściej kryje się haczyk.

To zdanie trafia w sedno błędu metodologicznego, który powtarza się w polskich firmach od maja. Klasyfikację robi się „od firmy", a ustawa klasyfikuje „od usługi". Spółka, której podstawową działalnością jest produkcja, może zostać podmiotem ważnym dlatego, że w ramach grupy kapitałowej utrzymuje serwerownię i świadczy usługi IT dla spółek siostrzanych. Firma budowlana może wejść do wykazu przez segment utrzymania ruchu na obiektach infrastruktury. Dostawca oprogramowania w modelu abonamentowym może zostać zakwalifikowany jako podmiot z sektora zarządzania usługami ICT, choć w swoim rozumieniu sprzedaje tylko licencje. Hurtownia spożywcza — jako ogniwo dystrybucji żywności. Żaden z tych przypadków nie wynika z głównego przedmiotu działalności ujawnionego w rejestrze.

Do tego dochodzi warstwa, o której przypomniał niedawno Urząd Dozoru Technicznego, prowadzący CSIRT sektorowy dla branży produkcyjnej, chemicznej i kosmicznej: o objęciu przepisami nie decyduje wyłącznie branża, lecz także charakter prowadzonej działalności, zakres świadczonych usług i wielkość przedsiębiorstwa. Wielkość liczy się z uwzględnieniem podmiotów partnerskich i powiązanych, zgodnie z metodologią rozporządzenia 651/2014. Spółka zatrudniająca osiemdziesiąt osób, ale należąca do grupy o obrocie przekraczającym pięćdziesiąt milionów euro, liczy się inaczej niż spółka niezależna o identycznym zatrudnieniu.

Trzydzieści osiem procent zarządów zna datę

Skalę problemu z klasyfikacją potwierdza badanie firmy Blackpartners, zrealizowane w sierpniu 2026 roku wśród tysiąca trzystu pięćdziesięciu sześciu członków zarządów, z Bitdefenderem jako partnerem. Dwie liczby z tego badania warto zapamiętać, bo opisują dwa różne rodzaje nieprzygotowania.

Pierwsza: pięćdziesiąt siedem procent respondentów nie potwierdziło analizą prawną, czy ich organizacja podlega ustawie. Nie chodzi o to, że uznali, iż nie podlegają. Chodzi o to, że nie sprawdzili — mają na ten temat przekonanie, nie ustalenie. Przekonanie zarządu nie jest dowodem w postępowaniu nadzorczym i nie chroni kierownika podmiotu przed odpowiedzialnością osobistą, która od 3 kwietnia 2026 roku jest w tej ustawie zapisana wprost.

Druga: tylko trzydzieści osiem procent wie, do kiedy trwa rejestracja w wykazie. To znaczy, że blisko dwie trzecie zarządów, w organizacjach o wielkości uzasadniającej udział w takim badaniu, nie ma w kalendarzu daty 3 października 2026 roku. Część z nich nie potrzebuje jej mieć, bo ustawie nie podlega. Ale wobec pierwszej liczby nie wiadomo, która to część — i oni sami też tego nie wiedzą.

Zestawienie obu wyników z osiemdziesięcioma tysiącami wpisów daje obraz rynku, na którym rejestracja przebiega w dwóch skrajnych trybach. Jedni wpisują się bez analizy, na wszelki wypadek. Drudzy nie wpisują się bez analizy, też na wszelki wypadek. Wspólną cechą obu grup jest to, że w aktach nie ma dokumentu, który tłumaczyłby decyzję. A pierwsze pytanie organu przy czynnościach sprawdzających brzmi dokładnie tak: na jakiej podstawie ustalili państwo swój status.

Wpis niczego nie tworzy, tylko potwierdza

Artykuł 7d ustęp 5 ustawy o krajowym systemie cyberbezpieczeństwa zawiera zdanie, które przesądza o całej logice tego obowiązku: wpis, zmiana wpisu oraz wykreślenie wpisu z wykazu są czynnością materialno-techniczną i mają charakter deklaratoryjny. Nie ma decyzji administracyjnej, nie ma postępowania, nie ma weryfikacji wstępnej. Wpisu dokonuje się z chwilą złożenia wniosku w systemie S46.

Konsekwencja jest brutalna w swojej prostocie. Skoro wpis jedynie potwierdza istniejący stan, to obowiązki z rozdziału trzeciego ciążą od dnia spełnienia przesłanek, a nie od dnia wpisu. Organizacja, która stała się podmiotem kluczowym 3 kwietnia 2026 roku i zarejestruje się 2 października, nie zyskała sześciu miesięcy karencji. Przez sześć miesięcy nie wykonywała obowiązków, które już na niej ciążyły. Data wpisu nie jest datą początkową odpowiedzialności — jest tylko datą, od której organ o niej wie.

Odwrotna wersja tego samego rozumowania bywa jeszcze bardziej kosztowna. Przekonanie, że „jeszcze nas nie wpisali, więc nas to nie dotyczy", nie ma oparcia w tekście ustawy. Artykuł 7j pozwala organowi właściwemu wpisać podmiot do wykazu z urzędu, korzystając z danych z KRS, REGON i CEIDG, a następnie wezwać do uzupełnienia danych pod rygorem kary pieniężnej. W praktyce wpis z urzędu rzadko bywa działaniem prewencyjnym. Zwykle następuje po incydencie, po skardze albo po publikacji prasowej — czyli w momencie, w którym organizacja ma już problem techniczny i reputacyjny, a brak rejestracji dokłada do tego drugi problem regulacyjny.

Co naprawdę podpisuje kierownik podmiotu

Najczęściej lekceważony fragment całej procedury mieści się w artykule 7c ustęp 5. Wniosek o wpis — a także o zmianę wpisu i o wykreślenie — zawiera oświadczenie kierownika podmiotu o ustalonej treści: świadomy odpowiedzialności karnej za złożenie fałszywego oświadczenia wynikającej z artykułu 233 paragraf 6 Kodeksu karnego oświadczam, że dane zawarte we wniosku są zgodne z prawdą.

To nie jest formuła ozdobna. Artykuł 233 paragraf 1 Kodeksu karnego przewiduje karę pozbawienia wolności od sześciu miesięcy do lat ośmiu, a paragraf 6 rozciąga ten przepis na oświadczenia składane pod ustawowym rygorem prawdomówności. Ustawodawca przewidział jeden wyjątek, i to wyjątek zdradzający, że ktoś myślał o realiach eksploatacyjnych: odpowiedzialność karna nie obejmuje podania zakresów adresów IP oraz zakresów nazw domenowych. Adresacja zmienia się zbyt często, żeby kierownik mógł pod groźbą sankcji karnej gwarantować jej aktualność.

Wszystko pozostałe rygorem objęte jest w pełni. Dane identyfikacyjne, wskazanie sektora i podsektora z załącznika pierwszego albo drugiego, rodzaj działalności prowadzonej w tym sektorze, dane osób kontaktowych, deklaracja o korzystaniu z usług dostawcy zarządzanych usług cyberbezpieczeństwa. Pomyłka w sektorze nie jest więc wyłącznie usterką formalną — jest oświadczeniem niezgodnym z prawdą, złożonym przez imiennie wskazaną osobę, w dokumencie opatrzonym kwalifikowanym podpisem elektronicznym, podpisem zaufanym, podpisem osobistym albo kwalifikowaną pieczęcią elektroniczną. Trudno o czystszy materiał dowodowy.

Praktyczny wniosek jest jeden i niewygodny dla kalendarzy zarządów: treść wniosku powinna zostać zweryfikowana przez dział prawny albo compliance zanim kierownik go podpisze, a nie po. Dwadzieścia dwa dni to na taką weryfikację czas wystarczający wyłącznie wtedy, gdy zacznie się ją w poniedziałek.

Formularz, który jest gotowym profilem celu

Artykuł 7 ustęp 2 punkty od pierwszego do osiemnastego wylicza zawartość wniosku. Warto przeczytać tę listę nie okiem prawnika, tylko okiem osoby, która przygotowuje atak. Nazwa i forma prawna, numery rejestrowe, adres siedziby. Sektor i podsektor, czyli informacja o tym, jak krytyczna jest działalność. Zakresy adresów IP używanych przez podmiot oraz nazwy domen wykorzystywanych do świadczenia usług. Dane co najmniej dwóch osób kontaktowych odpowiedzialnych za utrzymywanie kontaktów z podmiotami krajowego systemu cyberbezpieczeństwa — imię, nazwisko, stanowisko, służbowy numer telefonu i służbowy adres poczty elektronicznej. Informacja o dostawcy zarządzanych usług cyberbezpieczeństwa, jeżeli podmiot zlecił te zadania na zewnątrz.

Zestawione razem, te pola tworzą profil, którego samodzielne zbudowanie kosztowałoby atakującego tygodnie pracy rozpoznawczej. Powierzchnia sieciowa, dwa nazwiska z telefonami i adresami, informacja o tym, kto realnie obsługuje bezpieczeństwo, oraz deklaracja przynależności do sektora krytycznego. Nie jest to argument przeciwko rejestracji — obowiązek jest obowiązkiem, a dane trafiają do systemu państwowego, nie do otwartego rejestru. Jest to natomiast bardzo mocny argument za tym, żeby dwie osoby wskazane w punkcie czternastym potraktować jako personel o podwyższonym profilu ryzyka i objąć je odrębnym reżimem: uwierzytelnianiem odpornym na phishing, osobną procedurą weryfikacji nietypowych próśb, świadomością, że ich dane kontaktowe są znane stronie trzeciej.

Rekomendacja praktyczna, która niewiele kosztuje: jedna z dwóch osób powinna odpowiadać za warstwę administracyjną, druga za techniczną. Dwa nazwiska z tego samego działu oznaczają jeden punkt awarii i jeden wektor socjotechniczny.

Kampania na Signalu uderza dokładnie w te osoby

Dzień przed notatką o osiemdziesięciu tysiącach, 8 września 2026 roku, pełnomocnik rządu do spraw cyberbezpieczeństwa i minister cyfryzacji Krzysztof Gawkowski wydał rekomendację dotyczącą kampanii socjotechnicznej wymierzonej w użytkowników komunikatora Signal. Atakujący podszywają się pod oficjalne konto Signal Support i nakłaniają rozmówcę do utworzenia kopii zapasowej oraz przekazania sześćdziesięcioczteroznakowego klucza odzyskiwania. Kto ma ten klucz, przejmuje konto razem z historią wiadomości i multimediami z backupu.

Rekomendacja zawiera zdanie, które w zestawieniu z kalendarzem rejestracyjnym przestaje być rutynowym ostrzeżeniem. Szczególnie narażone są osoby na stanowiskach kierowniczych, osoby pełniące funkcje publiczne oraz pracownicy podmiotów krajowego systemu cyberbezpieczeństwa. To nie jest ogólna kategoria. To opis dokładnie tej grupy, która właśnie wpisuje swoje nazwiska, stanowiska, telefony i adresy służbowe do formularza z artykułu 7 ustęp 2, i która w kolejnych miesiącach będzie prowadzić przez Signal, WhatsAppa i pocztę korespondencję dotyczącą incydentów.

Czerwcowe ostrzeżenie ministra dotyczyło tego samego wzorca w innym kostiumie: napastnicy kontaktowali się z szefami dużych firm na Signalu i WhatsAppie, podszywając się pod osoby pełniące funkcje kierownicze w administracji rządowej, wykorzystując zdjęcia i dane pobrane z oficjalnych kont. Wspólny mianownik obu kampanii jest taki, że celem nie jest system, tylko człowiek, który w systemie ma rolę. Rejestracja w wykazie właśnie przypisała tę rolę imiennie kilkudziesięciu tysiącom osób w Polsce. Zalecenia są banalnie proste — nigdy nie udostępniać kodów weryfikacyjnych, PIN-u ani klucza odzyskiwania, traktować z nieufnością każdą wiadomość nakłaniającą do wykonania kopii zapasowej lub weryfikacji konta, a przy podejrzeniu przejęcia klucza zmienić PIN, usunąć kopię z serwera, wyłączyć jej automatyczne tworzenie i zgłosić sprawę do CSIRT NASK. Banalne zalecenia przestają być banalne, kiedy nikt ich nie przekazał dwóm osobom wpisanym do formularza.

Siedem dni, czternaście dni, sześć miesięcy

Ustawa rozpisuje wokół wykazu siatkę terminów, z których żaden nie jest długi, a trzy są wręcz krótkie. Artykuł 7c ustęp 3 wymaga złożenia wniosku o zmianę wpisu w terminie czternastu dni od dnia zmiany którejkolwiek z danych z artykułu 7 ustęp 2. Zmiana siedziby, zmiana w zarządzie, rotacja osoby kontaktowej, przebudowa adresacji, dodanie nowego rodzaju działalności w sektorze — każde z tych zdarzeń uruchamia dwutygodniowe okno. Organizacja, która nie ma procesu wychwytującego te zdarzenia, przekroczy termin, nie wiedząc nawet, że zaczął biec.

Artykuł 7k ustęp 1 pozwala organowi właściwemu prowadzić czynności sprawdzające w celu weryfikacji zgodności danych w wykazie ze stanem faktycznym. Jeżeli stwierdzi niezgodność, wzywa do zmiany wpisu w terminie siedmiu dni od doręczenia wezwania, pod rygorem kary pieniężnej. Siedem dni w organizacji, w której korespondencję urzędową dekretuje się przez trzy dni, a odpowiedź uzgadnia międzydziałowo, nie jest terminem — jest formalnością prowadzącą do kary. Przypomnijmy, że ta sama mechanika kosztowała już podmioty w reżimie ochrony danych: brak reakcji na korespondencję organu potrafi stać się samodzielną podstawą odpowiedzialności, niezależną od sprawy głównej.

Trzeci termin dotyczy tych, którzy 3 października nic nie zrobią. Po wpisie z urzędu organ wzywa do uzupełnienia brakujących danych w terminie sześciu miesięcy, także pod rygorem kary. Pozornie to termin komfortowy. W praktyce oznacza, że podmiot spędzi pół roku w wykazie na warunkach ustalonych przez organ, z danymi zebranymi z rejestrów publicznych, bez wpływu na przypisany sektor i bez możliwości ułożenia sobie kalendarza wdrożenia. Skarga do sądu administracyjnego przysługuje, ale nie wstrzymuje biegu obowiązków.

Kary, których jeszcze nie ma, i jedna, która jest

Tutaj zaczyna się fragment, który w większości relacji prasowych ginie, a bez którego ocena ryzyka jest po prostu błędna. Przepisy przejściowe nowelizacji stanowią, że większość kar pieniężnych będzie mogła zostać nałożona po raz pierwszy dopiero po upływie dwóch lat od jej wejścia w życie — czyli po 3 kwietnia 2028 roku. Nagłówki o siedmiu i dziesięciu milionach euro oraz o dwustu, trzystu procentach wynagrodzenia kierownika opisują więc stan prawny, który dla większości przewinień uruchomi się za półtora roku.

Od tego ograniczenia jest jeden wyjątek i jest on wymowny. Nie obejmuje ono szczególnej kary do stu milionów złotych, którą organ może nałożyć, gdy naruszenie powoduje bezpośrednie i poważne cyberzagrożenie oraz grozi poważną szkodą majątkową lub poważnymi utrudnieniami w świadczeniu usług. Ustawodawca odroczył sankcje za papier, ale nie odroczył sankcji za realne zagrożenie. Dla przypomnienia, dolne progi też istnieją: dla podmiotu kluczowego kara nie może być niższa niż dwadzieścia tysięcy złotych, dla podmiotu ważnego niż piętnaście tysięcy.

Wniosek z tego układu jest inny niż ten, który sprzedaje się w wezwaniach do natychmiastowego działania. Realnym ryzykiem najbliższych osiemnastu miesięcy nie jest grzywna za brak wpisu. Realnym ryzykiem jest incydent, który zastanie organizację poza systemem: bez dostępu do S46, bez kanału do CSIRT sektorowego, bez wytycznych, które CSIRT ma obowiązek przekazać zgłaszającemu w ciągu dwudziestu czterech godzin, za to z otwartą kwestią, dlaczego podmiot spełniający przesłanki od kwietnia nie zrobił nic. Kara przyjdzie później i będzie wymierzana przy pełnej wiedzy o tym, jak organizacja zachowała się wcześniej.

Co dzieje się 4 października

Trzeci października jest datą graniczną tylko dla jednej czynności. Kalendarz, który zaczyna się dzień później, jest znacznie bardziej wymagający. Podmioty, które spełniały kryteria 3 kwietnia 2026 roku, mają czas do 3 kwietnia 2027 roku na rozpoczęcie korzystania z systemu S46 i wdrożenie pozostałych obowiązków: systemu zarządzania bezpieczeństwem informacji, analizy ryzyka, zasad reagowania na incydenty, zapewnienia ciągłości działania i kopii zapasowych, weryfikacji bezpieczeństwa dostawców, bezpiecznego nabywania i utrzymywania systemów, kryptografii, a w uzasadnionych przypadkach uwierzytelniania wieloskładnikowego. Do tego dochodzi obowiązkowy audyt bezpieczeństwa.

To jest miejsce, w którym decyzja o wpisaniu się „na wszelki wypadek" pokazuje swój rachunek. Podmiot, który znalazł się w wykazie bez podstawy, ma teraz do wykonania kompletne wdrożenie albo do przeprowadzenia procedurę wykreślenia z artykułu 7f — wniosek z uzasadnieniem, miesiąc na rozpatrzenie, prawo organu do odmowy, jeżeli uzna, że przesłanki nadal są spełnione, i skarga do sądu administracyjnego od tej odmowy. Żadna z tych ścieżek nie jest szybka.

Symetrycznie: podmiot, który się nie wpisał, bo uznał, że go to nie dotyczy, właśnie skonsumował sześć z dwunastu miesięcy przewidzianych na wdrożenie. Rachunek za tę zwłokę nie przyjdzie w formie decyzji administracyjnej. Przyjdzie w formie kumulacji wydatków, których nie da się rozłożyć, i projektu, którego nie da się zrobić rzetelnie w kwartał.

Dlaczego z Fib.Code

Fib.Code prowadzi klasyfikacje na potrzeby ustawy o krajowym systemie cyberbezpieczeństwa od strony, z której zwykle wychodzą niespodzianki: nie od kodu PKD i nie od nazwy spółki, tylko od katalogu faktycznie świadczonych usług, powiązań kapitałowych i tego, co dzieje się w grupie poza głównym przedmiotem działalności. Łączymy w jednym zespole kompetencje pełnomocnika do spraw bezpieczeństwa informacji, audytora systemów zarządzania w normach ISO 27001 i ISO 22301 oraz praktyka ochrony danych osobowych, bo reżim KSC i reżim RODO nakładają się na siebie w każdym incydencie i rozdzielanie ich to strata czasu klienta.

Pracujemy według trzech zasad. Klasyfikacja musi być udokumentowana, nawet jeśli wynik jest negatywny — organizacja, która ustaliła, że nie podlega ustawie, powinna mieć na to dowód opatrzony datą, a nie wspomnienie rozmowy. Wniosek o wpis przechodzi weryfikację przed podpisem kierownika, nie po, bo oświadczenie z artykułu 7c ustęp 5 składa się pod rygorem odpowiedzialności karnej. Wdrożenie planuje się od terminu końcowego wstecz, a nie od dzisiejszego dnia w przód, bo tylko w ten sposób widać, co trzeba zacząć w tym kwartale.

Produktem końcowym nie jest opinia prawna do segregatora. Jest nim gotowy wniosek z kompletem danych z artykułu 7 ustęp 2, uzasadnienie klasyfikacji wytrzymujące czynności sprawdzające z artykułu 7k, procedura aktualizacji danych w oknie czternastu dni z wyznaczonymi zdarzeniami wyzwalającymi oraz harmonogram wdrożenia artykułu 8 rozpisany do kwietnia 2027 roku z przypisanymi właścicielami i budżetem.

Co zrobić w ten weekend

Zwołaj w poniedziałek jedno spotkanie na dziewięćdziesiąt minut, z udziałem kierownika podmiotu, osoby odpowiedzialnej za IT i osoby odpowiedzialnej za compliance lub obsługę prawną. Nie potrzebujesz na nie prezentacji ani analizy. Potrzebujesz odpowiedzi na sześć pytań, a brak odpowiedzi na którekolwiek z nich sam jest odpowiedzią.

Czy ktoś w organizacji przeprowadził i zapisał analizę klasyfikacyjną obejmującą wszystkie rodzaje działalności, nie tylko główny, i kiedy? Czy uwzględniono usługi świadczone wewnątrz grupy kapitałowej oraz progi wielkościowe liczone razem z podmiotami partnerskimi i powiązanymi? Jeżeli jesteśmy w wykazie — kto podpisał oświadczenie, jaki sektor zadeklarowano i czy ktoś to sprawdził przed podpisem? Kto jest wpisany jako dwie osoby kontaktowe, czy obie o tym wiedzą i czy przeszły rozmowę o kampaniach socjotechnicznych wymierzonych w pracowników podmiotów KSC? Jakie zdarzenie w firmie uruchamia czternastodniowy obowiązek aktualizacji wpisu i kto je wychwytuje? I wreszcie: co konkretnie z artykułu 8 musimy zacząć w tym kwartale, żeby zdążyć do 3 kwietnia 2027 roku?

Jeżeli na pytanie pierwsze pada odpowiedź „chyba ktoś to sprawdzał", masz dwadzieścia dwa dni na zamianę tego „chyba" w dokument. To wystarczająco dużo czasu, żeby zrobić to porządnie, i zdecydowanie za mało, żeby zacząć trzydziestego września.

Zapraszamy do kontaktu: l.grabowski@fibcode.com | fibcode.com/pl/kontakt. Bezpośrednio powiązane materiały: Samoidentyfikacja NIS-2 i wpis do wykazu, Nowelizacja KSC 2026 — co musisz wiedzieć po 3 kwietnia, Zarządzanie incydentami bezpieczeństwa — kolejno: jak ustalić status, co się zmieniło w kwietniu i co zrobić, gdy incydent już wystąpi.