{"id":575,"date":"2026-09-08T01:34:00","date_gmt":"2026-09-08T01:34:00","guid":{"rendered":"https:\/\/www.blog.gridlink.pl\/?p=575"},"modified":"2026-09-07T08:40:17","modified_gmt":"2026-09-07T08:40:17","slug":"nikt-cie-nie-wezwie-do-wykazu-ksc-energetyka-ma-czas-do-3-pazdziernika-a-nadzor-sprawuje-prezes-ure","status":"publish","type":"post","link":"https:\/\/www.blog.gridlink.pl\/index.php\/2026\/09\/08\/nikt-cie-nie-wezwie-do-wykazu-ksc-energetyka-ma-czas-do-3-pazdziernika-a-nadzor-sprawuje-prezes-ure\/","title":{"rendered":"Nikt Ci\u0119 nie wezwie do Wykazu KSC. Energetyka ma czas do 3 pa\u017adziernika, a nadz\u00f3r sprawuje Prezes URE."},"content":{"rendered":"\n

Nikt Ci\u0119 nie poinformuje. Do 3 pa\u017adziernika 2026 r. trzeba zg\u0142osi\u0107 si\u0119 samemu, a organem, kt\u00f3ry potem sprawuje nadz\u00f3r nad sektorem energii, jest Prezes URE. Ten sam urz\u0105d, z kt\u00f3rym rozliczasz koncesj\u0119. Kary pieni\u0119\u017cne z nowelizacji le\u017c\u0105 pod dwuletnim moratorium do 3 kwietnia 2028 r., o czym prasa bran\u017cowa pisze rzadko, ale poza moratorium stoj\u0105 dwie rzeczy: kara nadzwyczajna do 100 mln z\u0142 oraz \u015brodki nadzorcze, w\u015br\u00f3d nich wstrzymanie koncesji i zakaz pe\u0142nienia funkcji zarz\u0105dczych przez kierownika podmiotu.<\/p><\/div>\n

Koniec decyzji administracyjnej, teraz liczysz sam<\/h2>\n

Do tej pory obj\u0119cie ustaw\u0105 o krajowym systemie cyberbezpiecze\u0144stwa wymaga\u0142o decyzji administracyjnej. Organ analizowa\u0142 skal\u0119 dzia\u0142alno\u015bci, sprawdza\u0142 progi istotno\u015bci skutku zak\u0142\u00f3caj\u0105cego i dopiero wtedy nadawa\u0142 status operatora us\u0142ugi kluczowej. Regulacj\u0105 obj\u0119te by\u0142o kilkaset podmiot\u00f3w w ca\u0142ym kraju, a g\u00f3rna granica kary wynosi\u0142a 200 tys. z\u0142.<\/p>\n

Nowelizacja z 23 stycznia 2026 r. (Dz.U. 2026 poz. 252), obowi\u0105zuj\u0105ca od 3 kwietnia 2026 r., odwraca t\u0119 logik\u0119. Zamiast decyzji obowi\u0105zuje regu\u0142a wielko\u015bci. Prowadzisz dzia\u0142alno\u015b\u0107 z za\u0142\u0105cznika nr 1 do ustawy i przekraczasz pr\u00f3g \u015bredniego przedsi\u0119biorcy, wi\u0119c jeste\u015b podmiotem kluczowym z mocy prawa, bez \u017cadnego post\u0119powania. Ustalenie w\u0142asnego statusu i zg\u0142oszenie si\u0119 do wykazu to obowi\u0105zek przedsi\u0119biorcy. Liczba sektor\u00f3w obj\u0119tych regulacj\u0105 posz\u0142a z siedmiu do osiemnastu, a Ministerstwo Cyfryzacji szacuje, \u017ce przepisy obejm\u0105 oko\u0142o 38 tys. podmiot\u00f3w, w tym oko\u0142o 27 tys. publicznych i oko\u0142o 11 tys. firm.<\/p>\n

Zmieni\u0142a si\u0119 te\u017c skala sankcji. Z 200 tys. z\u0142 na 10 mln euro albo 2 procent przychodu, przy czym stosuje si\u0119 kwot\u0119 wy\u017csz\u0105.<\/p>\n

Harmonogram, kt\u00f3ry ju\u017c obowi\u0105zuje<\/h2>\n

  • 3 kwietnia 2026.<\/strong> Nowelizacja wchodzi w \u017cycie.<\/p><\/li>

  • 13 kwietnia 2026.<\/strong> Startuje Wykaz KSC pod adresem wykaz-ksc.gov.pl, prowadzony w Systemie S46 jako osobna aplikacja webowa.<\/p><\/li>

  • 13 kwietnia do 6 maja 2026.<\/strong> Minister Cyfryzacji wpisuje z urz\u0119du dotychczasowych operator\u00f3w us\u0142ug kluczowych, dostawc\u00f3w us\u0142ug zaufania, przedsi\u0119biorc\u00f3w telekomunikacyjnych i podmioty publiczne.<\/p><\/li>

  • 7 maja do 3 pa\u017adziernika 2026.<\/strong> Samorejestracja wszystkich pozosta\u0142ych.<\/p><\/li>

  • 12 czerwca 2026.<\/strong> Nowe podmioty mog\u0105 zacz\u0105\u0107 korzysta\u0107 z Systemu S46.<\/p><\/li>

  • 3 kwietnia 2027.<\/strong> Koniec okresu dostosowawczego: SZBI, obowi\u0105zki z rozdzia\u0142u 3 i realne korzystanie z S46.<\/p><\/li>

  • 3 kwietnia 2028.<\/strong> Pierwszy audyt bezpiecze\u0144stwa dla podmiot\u00f3w kluczowych, kt\u00f3re nie by\u0142y dotychczas operatorami us\u0142ug kluczowych. Kto by\u0142 operatorem, zachowuje sw\u00f3j trzyletni cykl audytowy bez odroczenia, a je\u017celi termin audytu wypada przed 4 kwietnia 2027 r., audyt przeprowadza si\u0119 wed\u0142ug wymaga\u0144 sprzed nowelizacji.<\/p><\/li> <\/ul><\/div>\n

    Kto z sektora energii ma obowi\u0105zek wpisu<\/h2>\n

    Za\u0142\u0105cznik nr 1 rozszerza katalog dzia\u0142alno\u015bci znacznie poza to, co wynika\u0142o z ustawy z 2018 r. W podsektorze energii elektrycznej obowi\u0105zek obejmuje wytwarzanie, przesy\u0142anie, dystrybucj\u0119 i obr\u00f3t, ale te\u017c agregacj\u0119, odpowied\u017a odbioru, magazynowanie energii, przedsi\u0119biorc\u00f3w zarz\u0105dzaj\u0105cych punktami \u0142adowania pojazd\u00f3w elektrycznych oraz wyznaczonych operator\u00f3w rynku energii elektrycznej, czyli NEMO. W podsektorze gazu dosz\u0142a rafinacja i przetwarzanie gazu ziemnego. Ca\u0142kiem nowe s\u0105 dwa podsektory: energetyka j\u0105drowa oraz wod\u00f3r, w tym jego wytwarzanie, przesy\u0142anie, magazynowanie i dystrybucja.<\/p>\n

    Pr\u00f3g wielko\u015bci i wyj\u0105tki<\/h3>\n

    Podmiotem kluczowym jest co do zasady du\u017cy przedsi\u0119biorca prowadz\u0105cy dzia\u0142alno\u015b\u0107 z za\u0142\u0105cznika nr 1, czyli taki, kt\u00f3ry przekracza pr\u00f3g \u015bredniego przedsi\u0119biorcy, a podmiotem wa\u017cnym \u015bredni przedsi\u0119biorca z tego samego za\u0142\u0105cznika. Progi liczy si\u0119 wed\u0142ug unijnej definicji M\u015aP, gdzie obok liczby 250 pracownik\u00f3w i obrotu 50 mln euro stoi jeszcze suma bilansowa 43 mln euro, o kt\u00f3rej teksty bran\u017cowe zwykle zapominaj\u0105.<\/p>\n

    Regu\u0142a wielko\u015bci ma wyj\u0105tki w obie strony. Art. 5 ust. 1 wskazuje kategorie podmiot\u00f3w, kt\u00f3re s\u0105 kluczowe niezale\u017cnie od liczby pracownik\u00f3w i obrotu. Wniosek \u201ejeste\u015bmy za mali, wi\u0119c nas to nie dotyczy<\/em>” trzeba wi\u0119c sprawdzi\u0107 w przepisie, zanim si\u0119gnie si\u0119 po kalkulator.<\/p>\n

    Grupa kapita\u0142owa i sp\u00f3\u0142ki celowe<\/h3>\n

    Kryteria pracownik\u00f3w i obrotu liczy si\u0119 na poziomie grupy kapita\u0142owej. Dla w\u0142a\u015bciciela portfela projekt\u00f3w OZE, gdzie ka\u017cda elektrownia jest osobn\u0105 sp\u00f3\u0142k\u0105 celow\u0105, ma to bardzo konkretny skutek. Pojedyncze SPV zatrudnia trzy osoby i le\u017cy daleko pod progiem, a mimo to wpada w obowi\u0105zek, bo liczy si\u0119 suma zatrudnienia i obrotu ca\u0142ej grupy.<\/p>\n

    Ustawa daje od tego wyj\u015bcie. Zgodnie z art. 5 ust. 6 sp\u00f3\u0142ka, kt\u00f3ra przekracza pr\u00f3g wy\u0142\u0105cznie przez doliczenie przedsi\u0119biorstw powi\u0105zanych, nie staje si\u0119 podmiotem kluczowym, je\u017celi jej system informacyjny jest niezale\u017cny od ich system\u00f3w albo je\u017celi nie \u015bwiadczy us\u0142ug wsp\u00f3lnie z nimi. Art. 5 ust. 7 wprowadza analogiczn\u0105 regu\u0142\u0119 dla podmiot\u00f3w wa\u017cnych. Przepis operuje alternatyw\u0105, wi\u0119c wystarczy spe\u0142ni\u0107 jeden z dw\u00f3ch warunk\u00f3w, i to jest r\u00f3\u017cnica, kt\u00f3ra potrafi zdj\u0105\u0107 z portfela kilkana\u015bcie sp\u00f3\u0142ek albo nie zdj\u0105\u0107 \u017cadnej.<\/p>\n

    Odpowied\u017a le\u017cy w architekturze systemu SCADA i w tym, sk\u0105d fizycznie prowadzi si\u0119 nadz\u00f3r nad portfelem. Elektrownia z w\u0142asnym, odseparowanym systemem sterowania daje inn\u0105 odpowied\u017a ni\u017c pi\u0119tna\u015bcie farm zarz\u0105dzanych z jednej dyspozytorni na wsp\u00f3lnej infrastrukturze, a ci\u0119\u017car wykazania tej niezale\u017cno\u015bci spoczywa na sp\u00f3\u0142ce. To ocena in\u017cynierska. Ten sam test dzia\u0142a dla zagranicznego funduszu, kt\u00f3ry wszed\u0142 w polskie aktywa przez lokalne SPV, bo liczy si\u0119 wielko\u015b\u0107 ca\u0142ej grupy.<\/p>\n

    Co naprawd\u0119 grozi przed kwietniem 2028<\/h2>\n

    Tu jest miejsce, w kt\u00f3rym nag\u0142\u00f3wki prasowe mijaj\u0105 si\u0119 z ustaw\u0105. Art. 35 nowelizacji odracza kary pieni\u0119\u017cne z art. 73 ust. 1 do 4, z art. 73a do 73c oraz z art. 76b o dwa lata, czyli do 3 kwietnia 2028 r. Obejmuje to r\u00f3wnie\u017c osobist\u0105 kar\u0119 dla kierownika podmiotu. Obowi\u0105zek istnieje od kwietnia 2026 r., ale kara pieni\u0119\u017cna za jego naruszenie przed kwietniem 2028 r. na\u0142o\u017cona by\u0107 nie mo\u017ce.<\/p>\n

    Poza moratorium stoj\u0105 dwie rzeczy i to one wyznaczaj\u0105 realne ryzyko na najbli\u017csze p\u00f3\u0142tora roku.<\/p>\n

    Pierwsza to kara nadzwyczajna z art. 73 ust. 5, do 100 mln z\u0142. Art. 35 jej nie wymienia. Jej przes\u0142anki skraca si\u0119 w prasie do zagro\u017cenia bezpiecze\u0144stwa pa\u0144stwa, a przepis obejmuje tak\u017ce zagro\u017cenie wywo\u0142ania powa\u017cnej szkody maj\u0105tkowej lub powa\u017cnych utrudnie\u0144 w \u015bwiadczeniu us\u0142ug. Dla dystrybutora albo w\u0142a\u015bciciela jednostki wytw\u00f3rczej ten pr\u00f3g le\u017cy ni\u017cej, ni\u017c sugeruje skr\u00f3t. Kara pozostaje przy tym instrumentem wyj\u0105tkowym, bo wymaga wykazania bezpo\u015bredniego i powa\u017cnego cyberzagro\u017cenia, wi\u0119c scenariuszem bazowym nie jest.<\/p>\n

    Druga, w praktyce wa\u017cniejsza, to \u015brodki nadzorcze. Karami pieni\u0119\u017cnymi nie s\u0105, wi\u0119c moratorium ich nie obejmuje. Art. 53 ust. 4 nakazuje organowi zacz\u0105\u0107 od pisma z ostrze\u017ceniem ze wskazaniem czynno\u015bci i terminu. Je\u017celi to nie wystarczy, w art. 53 ust. 5 znajdujemy osiem \u015brodk\u00f3w, w\u015br\u00f3d nich wyznaczenie urz\u0119dnika monitoruj\u0105cego na okres do miesi\u0105ca, z prawem wst\u0119pu na teren podmiotu i wgl\u0105du w dokumenty, oraz nakaz podania narusze\u0144 do publicznej wiadomo\u015bci.<\/p>\n

    Na ko\u0144cu tej \u015bcie\u017cki stoi art. 53 ust. 9. Wobec podmiotu kluczowego pozwala wstrzyma\u0107 udzielon\u0105 koncesj\u0119 albo ograniczy\u0107 jej zakres, wstrzyma\u0107 dzia\u0142alno\u015b\u0107 wpisan\u0105 do rejestru przedsi\u0119biorc\u00f3w KRS oraz zakaza\u0107 kierownikowi podmiotu pe\u0142nienia funkcji zarz\u0105dczych do czasu usuni\u0119cia uchybie\u0144. Dla sp\u00f3\u0142ki koncesjonowanej to jest zdanie, kt\u00f3re w tym tek\u015bcie wa\u017cy najwi\u0119cej. Zanim ktokolwiek policzy 10 mln euro, organ mo\u017ce si\u0119gn\u0105\u0107 po koncesj\u0119.<\/p>\n

    Jest jeszcze r\u00f3\u017cnica w samym trybie nadzoru, kt\u00f3ra przes\u0105dza, jak cz\u0119sto organ interesuje si\u0119 danym przypadkiem. Wobec podmiot\u00f3w kluczowych nadz\u00f3r jest prewencyjny i nast\u0119pczy, wi\u0119c kontrola nie wymaga incydentu ani podejrzenia naruszenia, a wobec podmiot\u00f3w wa\u017cnych pozostaje wy\u0142\u0105cznie nast\u0119pczy, w szczeg\u00f3lno\u015bci przy uzasadnionym podejrzeniu naruszenia przepis\u00f3w ustawy. Klasyfikacja \u201ena wszelki wypadek w g\u00f3r\u0119” kosztuje wi\u0119c nie tylko wy\u017csze wymagania, ale i sta\u0142\u0105 ekspozycj\u0119 na kontrol\u0119 z urz\u0119du.<\/p>\n

    Kary od kwietnia 2028, czyli na co si\u0119 umawiasz<\/h2>\n

    Dla podmiotu kluczowego g\u00f3rna granica to 10 mln euro albo 2 procent przychodu z roku poprzedzaj\u0105cego, kwota wy\u017csza, i nie mniej ni\u017c 20 tys. z\u0142 (art. 73 ust. 3). Dla podmiotu wa\u017cnego 7 mln euro albo 1,4 procent, nie mniej ni\u017c 15 tys. z\u0142 (art. 73 ust. 4), a przy dzia\u0142alno\u015bci kr\u00f3tszej ni\u017c dwana\u015bcie miesi\u0119cy podstaw\u0105 wymiaru jest odpowiednio 500 tys. i 250 tys. euro (art. 73 ust. 3a), co dotyczy \u015bwie\u017co zawi\u0105zanych sp\u00f3\u0142ek celowych.<\/p>\n

    Kierownik podmiotu prywatnego odpowiada osobno, do 300 procent otrzymywanego wynagrodzenia liczonego jak ekwiwalent za urlop (art. 73a ust. 4). Kar\u0119 na podmiot i kar\u0119 na kierownika nak\u0142ada si\u0119 niezale\u017cnie od siebie (art. 73a ust. 3), a delegowanie zada\u0144 na dzia\u0142 IT jej nie wy\u0142\u0105cza.<\/p>\n

    Samo niedope\u0142nienie obowi\u0105zku rejestracyjnego jest odr\u0119bn\u0105 podstaw\u0105 kary wobec podmiotu (art. 73 ust. 1 pkt 1 oraz ust. 1a, odsy\u0142aj\u0105cy do wniosku z art. 7c ust. 1) i osobn\u0105 podstaw\u0105 wobec kierownika (art. 73a ust. 1 pkt 1). Art. 73 ust. 1b przes\u0105dza przy tym, \u017ce karze podlega tak\u017ce zachowanie jednorazowe, wi\u0119c dawna praktyka wymagaj\u0105ca uporczywo\u015bci ju\u017c nie chroni. Osobna podstawa, o kt\u00f3rej \u0142atwo zapomnie\u0107: brak corocznego szkolenia kierownictwa z art. 8e (art. 73a ust. 1 pkt 4).<\/p>\n

    W tych dw\u00f3ch latach organ gromadzi materia\u0142 na temat tego, kto dzia\u0142a\u0142 z nale\u017cyt\u0105 staranno\u015bci\u0105 od pierwszego dnia, a kto zacz\u0105\u0142 w marcu 2028 r.<\/p>\n

    Co zrobi\u0107 do 3 pa\u017adziernika<\/h2>\n

    Sze\u015b\u0107 krok\u00f3w, w tej kolejno\u015bci.<\/p>\n

    • Ustal przynale\u017cno\u015b\u0107 sektorow\u0105 na podstawie faktycznie prowadzonej dzia\u0142alno\u015bci, nie kodu PKD: koncesja, rola NEMO, agregacja, odpowied\u017a odbioru, magazynowanie, punkty \u0142adowania, rafinacja gazu, wod\u00f3r, energetyka j\u0105drowa.<\/p><\/li>

    • Policz pr\u00f3g na poziomie grupy kapita\u0142owej, z sum\u0105 bilansow\u0105 w\u0142\u0105cznie, i sprawd\u017a osobno, czy nie wpadasz w kategori\u0119 obj\u0119t\u0105 obowi\u0105zkiem niezale\u017cnie od wielko\u015bci.<\/p><\/li>

    • Je\u017celi pr\u00f3g przekracza dopiero grupa, przetestuj wyj\u0105tek z art. 5 ust. 6, czyli niezale\u017cno\u015b\u0107 system\u00f3w informacyjnych albo brak wsp\u00f3lnego \u015bwiadczenia us\u0142ug, i zbierz dowody techniczne na wypadek sporu.<\/p><\/li>

    • Ustal, kto jest kierownikiem podmiotu w rozumieniu ustawy, i zaplanuj mu coroczne szkolenie z art. 8e, bo to najprostsza podstawa kary osobistej.<\/p><\/li>

    • Zaloguj si\u0119 do aplikacji Wykaz KSC przez W\u0119ze\u0142 Krajowy i z\u0142\u00f3\u017c wniosek podpisany przez kierownika podmiotu albo osob\u0119 upowa\u017cnion\u0105.<\/p><\/li>

    • Udokumentuj przebieg analizy klasyfikacyjnej razem z dat\u0105, \u017ceby przy kontroli mie\u0107 dow\u00f3d nale\u017cytej staranno\u015bci nawet wtedy, gdy kwalifikacja oka\u017ce si\u0119 sporna.<\/p><\/li> <\/ul><\/div>\n

      Dlaczego ta sprawa ko\u0144czy si\u0119 w URE<\/h2>\n

      Organem w\u0142a\u015bciwym do spraw cyberbezpiecze\u0144stwa dla sektora energii jest Prezes URE. Nie Ministerstwo Cyfryzacji, nie CSIRT. Ten sam organ, kt\u00f3ry wyda\u0142 koncesj\u0119, zatwierdza taryfy i ocenia wywi\u0105zywanie si\u0119 z obowi\u0105zk\u00f3w wynikaj\u0105cych z IRiESP oraz IRiESD, b\u0119dzie ocenia\u0142, czy sp\u00f3\u0142ka wdro\u017cy\u0142a SZBI i czy zg\u0142osi\u0142a si\u0119 do wykazu. To zmienia charakter sprawy: dokumentacja KSC l\u0105duje na tym samym biurku, na kt\u00f3rym le\u017cy historia relacji sp\u00f3\u0142ki z regulatorem.<\/p>\n

      Praktyka zgodno\u015bci regulacyjnej dla energetyki wygl\u0105da tak samo niezale\u017cnie od tego, czy chodzi o kodeks sieciowy, czy o KSC: klasyfikacja, dow\u00f3d techniczny, dokumentacja, termin. Sprawdzamy klasyfikacj\u0119 i przygotowujemy materia\u0142 do wniosku, wskazujemy ryzyka i rekomendacje. Nie zast\u0119pujemy kancelarii w wyk\u0142adni przepisu ani audytora w audycie z art. 15.<\/p>\n

      Jedno zastrze\u017cenie przeciwko nam. Je\u017celi Twoja sp\u00f3\u0142ka by\u0142a operatorem us\u0142ugi kluczowej, jeste\u015b ju\u017c w wykazie z urz\u0119du i wpis masz z g\u0142owy, wi\u0119c rozmowa o rejestracji jest bezprzedmiotowa, a zostaje z niej pytanie o SZBI i o termin audytu, czyli zupe\u0142nie inny temat i inny bud\u017cet.<\/p>\n

      GridStaff Compliance<\/h3>

      Odpisz na cztery pytania, a w jeden dzie\u0144 roboczy powiemy, czy warto pog\u0142\u0119bia\u0107 temat. Ile os\u00f3b zatrudnia ca\u0142a grupa kapita\u0142owa i jaki ma obr\u00f3t. Kt\u00f3re z dzia\u0142alno\u015bci wymienionych w za\u0142\u0105czniku nr 1 sp\u00f3\u0142ki w grupie faktycznie prowadz\u0105, licz\u0105c wed\u0142ug stanu faktycznego zamiast wpisu w KRS. Czy sp\u00f3\u0142ki celowe maj\u0105 odr\u0119bne systemy sterowania. I kto jest u Was kierownikiem podmiotu w rozumieniu ustawy.<\/p>

      Je\u017celi ju\u017c wiesz, \u017ce wpadasz w re\u017cim KSC<\/strong>, zarezerwuj termin na pe\u0142n\u0105 klasyfikacj\u0119 i przygotowanie wniosku do po\u0142owy wrze\u015bnia. Zostaje wtedy margines na komplet dokument\u00f3w i podpis kierownika przed 3 pa\u017adziernika, zamiast sk\u0142adania wniosku w ostatnim tygodniu.<\/p> <\/div>\n

      \u0179r\u00f3d\u0142a: ustawa z 5 lipca 2018 r. o krajowym systemie cyberbezpiecze\u0144stwa, t.j. Dz.U. 2026 poz. 20; ustawa z 23 stycznia 2026 r. o zmianie ustawy o krajowym systemie cyberbezpiecze\u0144stwa oraz niekt\u00f3rych innych ustaw, Dz.U. 2026 poz. 252, w tym art. 35; komunikat Ministerstwa Cyfryzacji o terminach KSC z kwietnia 2026 r.; dyrektywa (UE) 2022\/2555 (NIS2).<\/p>\n\n\n\n

      \n
      \n

      <\/p>

        <\/ul><\/div>\n
        \n
        \n<\/fieldset>\n

        Szukasz kontaktu? Masz pytanie?
        \n