Zgodnie ze znowelizowaną ustawą o krajowym systemie cyberbezpieczeństwa, tylko część podmiotów kluczowych i ważnych jest wpisywana do wykazu podmiotów kluczowych i ważnych z urzędu. Nowe przepisy mają zaś taki skutek, że ustawą objęte są nowe grupy podmiotów.

Do wykazu z urzędu wpisywani są:

• przedsiębiorcy telekomunikacyjni;
• dostawcy usług zaufania;
• podmioty publiczne;
• podmioty krytyczne.

Jednak i te podmioty mają pewne obowiązki związane z wykazem. Chodzi o to, że minister na podstawie danych zawartych w rejestrach publicznych, bazie adresów elektronicznych lub przekazanych przez właściwe organy nadzorcze jest w stanie uzupełnić w wykazie tylko część wymaganych danych tych podmiotów. Dlatego – w terminie 6 miesięcy od dnia doręczenia im wezwania do uzupełnienia brakujących danych w wykazie – podmioty te muszą samodzielnie uzupełnić swoje dane pod rygorem nałożenia kary pieniężnej.

Słowem dygresji, warto zwrócić uwagę na to, że każdy przedsiębiorca telekomunikacyjny podlega pod UKSC. Jedynie wielkość jego przedsiębiorstwa decyduje o tym, czy jest podmiotem kluczowym czy ważnym.

Pozostali przedsiębiorcy – czyli te podmioty, które nie są wpisywane do wykazu z urzędu – muszę najpierw dokonać samoidentyfikacji (czyli ustalić, czy spełniają kryteria podmiotu ważnego lub kluczowego na gruncie UKSC), a dalej – jeśli ustalą, że podlegają pod nowe przepisy – dokonać samorejestracji w wykazie.

No i teraz do brzegu – podmioty, które w dniu wejścia w życie ustawy o zmianie ustawy o krajowym systemie cyberbezpieczeństwa spełniały przesłanki uznania ich za podmiot kluczowy albo podmiot ważny, do dnia 3 października 2026 r. muszą złożyć wnioski o wpis do wykazu podmiotów kluczowych i podmiotów ważnych. Oznacza, to, że na identyfikację danej organizacji zostało już naprawdę niewiele czasu.

Co istotne, te podmioty, które do wykazu nie są wpisywane z urzędu, nie otrzymają informacji, że powinny się wpisać w wykazie, jak i nie otrzymają wezwania do uzupełnienia braków w wykazie. To wyłącznie ich obowiązkiem jest ustalić, czy do wykazu powinny się wpisać, a co z tym związane, czy spełniają kryteria podmiotu ważnego lub podmiotu kluczowego.

Jeśli Twoja organizacja nie mieści się w grupie podmiotów wpisywanych do wykazu z urzędu, nie czekaj zatem na pismo z informacją o Twoim statusie na gruncie UKSC, bo takowego nie otrzymasz.