Branża wod-kan i odpadowa w KSC. Jak sprawdzić obowiązki i dopełnić ich do 3 października?

W czwartek 7 maja 2026, ruszyły obowiązkowe zapisy do wykazu dla firm objętych Krajowym Systemem Cyberbezpieczeństwa. Obowiązek dotyczy szerokiego spektrum gospodarki: od zarządzania usługami ICT i produkcji żywności, aż po gospodarkę ściekową. Co istotne, firmy muszą same ustalić, czy podlegają pod nowe przepisy.

Nowelizacja ustawy o KSC, która w większości weszła w życie 3 kwietnia br., wprowadziła podział na podmioty kluczowe i ważne. Do katalogu podmiotów objętych ustawą dołączyły nowe sektory, takie jak przestrzeń kosmiczna czy właśnie zbiorowe odprowadzanie ścieków. Zgodnie z nowelą, podmioty te muszą wpisać się do Wykazu KSC przez stronę https://wykaz-ksc.gov.pl w nieprzekraczalnym terminie do 3 października br.

Kto jest zwolniony z obowiązku samodzielnego wpisu?

Wniosku o wpisanie do wykazu nie muszą składać podmioty, które zostały objęte wpisem realizowanym z urzędu. Chodzi o podmioty publiczne, przedsiębiorców telekomunikacyjnych, dostawców usług cyfrowych oraz podmioty, które miały status operatorów usług kluczowych przed nowelizacją ustawy. Do 6 maja Ministerstwo Cyfryzacji miało obowiązek wpisać te podmioty do wykazu automatycznie. Pozostałe firmy, w tym wiele przedsiębiorstw wod-kan, muszą to zrobić samodzielnie.

Sektory kluczowe vs. sektory ważne – gdzie jest wod-kan i odpady?

Jak podał resort cyfryzacji, pierwszym krokiem jest weryfikacja załączników do ustawy. Podział wygląda następująco:

• Sektory kluczowe (Załącznik 1): energia; transport; ochrona zdrowia; bankowość; infrastruktura cyfrowa i przestrzeń kosmiczna oraz – co istotne dla samorządów – zaopatrzenie w wodę pitną i jej dystrybucja oraz zbiorowe odprowadzanie ścieków.

• Sektory ważne (Załącznik 2): usługi pocztowe; inwestycje energetyki jądrowej; gospodarowanie odpadami; produkcja i dystrybucja chemikaliów oraz żywności; dostawcy usług cyfrowych i badania naukowe. Do tej grupy należą też producenci wyrobów medycznych, komputerów, urządzeń elektronicznych czy pojazdów.

Kryterium wielkości firmy a obowiązki KSC

Po ustaleniu sektora, należy sprawdzić wielkość podmiotu, biorąc pod uwagę progi dla mikro, małych i średnich przedsiębiorstw (uwzględniając firmy powiązane):

• Mikro: < 10 pracowników i ≤ 2 mln euro obrotu.

• Małe: < 50 pracowników i ≤ 10 mln euro obrotu.

• Średnie: < 250 pracowników i ≤ 50 mln euro obrotu (lub 43 mln euro sumy bilansowej).

• Duże: przekraczające powyższe progi.

Wszyscy przedsiębiorcy telekomunikacyjni podlegają ustawie niezależnie od wielkości. W przypadku branży wod-kan, kluczowy jest art. 5 ustawy o KSC, który wskazuje sytuacje, w których podmiot zostaje objęty ustawą niezależnie od swojej wielkości.

Jak zarejestrować firmę wod-kan w Wykazie KSC?

Podmiot, który ustalił swoją podległość pod KSC, powinien:

1. Założyć konto: Na stronie wykaz-ksc.gov.pl należy zalogować się przez login.gov.pl.

2. Zarejestrować konto: Wypełnić formularz rejestracji i zweryfikować e-mail kodem.

3. Złożyć wniosek: Za ten krok odpowiada kierownik podmiotu lub osoba upoważniona. Należy wypełnić dane identyfikacyjne (NIP, REGON, nazwa) oraz dane kontaktowe.

4. Podpis i zatwierdzenie: Wniosek należy podpisać elektronicznie (np. Profil Zaufany). Komunikat „Zatwierdzony” w systemie oznacza poprawny wpis.

Nowe wymogi i system s46

Nowelizacja to nie tylko wpis do rejestru. Organizacje z sektorów kluczowych i ważnych (w tym wodociągi i firmy odpadowe) będą musiały wdrożyć systemy zarządzania bezpieczeństwem informacji, oceniać ryzyko i zarządzać incydentami. Od 12 czerwca br. podmioty te będą wymieniać się informacjami o zagrożeniach przez system s46.

Czas na pełne dostosowanie się do nowych przepisów upływa 3 kwietnia 2027 r., a kary finansowe za uchybienia mają być nakładane od kwietnia 2028 r.