3 października mija termin wpisu do KSC. Dotyczy to także OZE i magazynów energii

Jutro, tj. 3 października 2026 r. mija termin składania wniosków o wpis do wykazu podmiotów kluczowych i ważnych Krajowego Systemu Cyberbezpieczeństwa. Jest to pokłosie nowelizacji ustawy o KSC i dot. firm, które spełniają kryteria. Jednak jest to tylko jeden z obowiązków, bo 3 kwietnia 2027 r. mija termin podłączenia do systemu S46.

Kto ma obowiązek wpisu do KSC? Dotyczy to także sektora energii

Nowe przepisy obowiązują od 3 kwietnia 2026 r. i służą wdrożeniu do polskiego prawa unijnej dyrektywy NIS2. Jedną z najważniejszych zmian było zastąpienie dotychczasowego modelu nowym systemem podmiotów kluczowych i ważnych oraz uruchomienie ich wykazu.

Sektor energii także został uwzględniony. W części dot. prądu wskazano m.in. przedsiębiorstwa posiadające koncesje na wytwarzanie, przesyłanie, dystrybucję i obrót energią elektryczną. Regulacje uwzględniają ponadto określonych uczestników rynku, agregację, odpowiedź odbioru, elektromobilność oraz działalność związaną z magazynowaniem energii.

Osobne kategorie obejmują również gaz. W wykazie znajdują się m.in. podmioty zajmujące się wytwarzaniem paliw gazowych, przesyłem, obrotem gazem ziemnym i paliwami gazowymi, a także operatorzy systemów przesyłowych, dystrybucyjnych, magazynowania paliw gazowych i skraplania gazu ziemnego.

Firmy związane z magazynami energii też mają termin do 3 października

Szczególne znaczenie nowych regulacji może mieć dla szybko rozwijającego się rynku magazynowania energii. Załącznik dot. sektorów kluczowych wymienia w podsektorze energii elektrycznej uczestników rynku świadczących usługi, do których Prawo energetyczne zalicza magazynowanie energii elektrycznej oraz szerzej rozumiane magazynowanie energii. Taki zapis oznacza, że przedsiębiorstwa związane z komercyjnym wykorzystaniem magazynów powinny uwzględnić KSC podczas analizy własnego statusu.

Sama własność baterii czy magazynu nie przesądza jednak jeszcze o obowiązku wpisu, ponieważ znaczenie mają także sposób prowadzenia działalności, status podmiotu oraz kryteria wielkościowe przewidziane w ustawie.

Ministerstwo Energii wskazuje, że przedsiębiorstwo powinno najpierw ustalić, czy wykonuje działalność wymienioną w załącznikach, a następnie określić swoją wielkość. Resort podkreśla, że jeśli organizacja spełnia lub przekracza kryteria średniego przedsiębiorstwa i prowadzi wskazaną w ustawie działalność, powinna złożyć wniosek do 3 października.

OZE także mogą się znaleźć w KSC

Farmy fotowoltaiczne, elektrownie wiatrowe i inni producenci zielonej energii nie występują w przepisach jako odrębna kategoria nazwana „OZE”. Kluczowy jest jednak rodzaj wykonywanej działalności, a ustawa wymienia przedsiębiorstwa energetyczne posiadające koncesję na wytwarzanie energii elektrycznej. W praktyce oznacza to, że źródło pochodzenia energii nie wyłącza przedsiębiorstwa spod regulacji. Wytwórca produkujący prąd z wiatru, słońca czy innych odnawialnych źródeł powinien więc ustalić, czy jego działalność oraz wielkość firmy powodują uzyskanie statusu podmiotu kluczowego albo ważnego.

Znaczenie cyberbezpieczeństwa OZE podkreślało już wcześniej Ministerstwo Cyfryzacji. W styczniowym komunikacie dotyczącym tego sektora zwrócono uwagę, że farmy wiatrowe i fotowoltaiczne wykorzystują systemy automatyki i rozwiązania umożliwiające zdalne zarządzanie, a skoordynowane zakłócenie ich pracy może oddziaływać na system elektroenergetyczny.

Nie każda firma energetyczna będzie musiała się zgłosić

Ustawa wiąże status m.in. z działalnością wymienioną w załączniku oraz wielkością organizacji, przewidując jednocześnie szczególne zasady i wyjątki.

Co do zasady podmiot wskazany w załączniku nr 1, który spełnia wymagania przewidziane dla średniego przedsiębiorcy i nie kwalifikuje się jako podmiot kluczowy, może zostać podmiotem ważnym. Organizacje przewyższające kryteria średniego przedsiębiorstwa mogą natomiast zostać zakwalifikowane jako podmioty kluczowe. Ustawa zawiera dodatkowe reguły dotyczące m.in. przedsiębiorstw partnerskich i powiązanych.

Dlatego w przypadku grup energetycznych, spółek celowych posiadających farmy OZE czy projektów magazynowych ocena nie powinna opierać się wyłącznie na nazwie spółki lub pojedynczym aktywie.

Koszty KSC mogą mieć znaczenie dla inwestycji energetycznych

Sam wpis do wykazu jest początkiem nowych obowiązków. Przedsiębiorstwa będą musiały m.in. zarządzać ryzykiem cyberbezpieczeństwa, zabezpieczać systemy informacyjne oraz przygotować rozwiązania służące obsłudze i zgłaszaniu incydentów. Ministerstwo Energii wskazuje te elementy jako kolejne obowiązki następujące po wpisie do wykazu.

Dodatkowe wymagania mogą mieć szczególne znaczenie dla firm inwestujących równocześnie w nowe moce wytwórcze, farmy OZE, infrastrukturę gazową czy magazyny energii. Budżetowanie wydatków na cyberbezpieczeństwo staje się w takim przypadku kolejnym elementem kosztów prowadzenia i rozwijania działalności.

– Wpis do Wykazu KSC oznacza, że przedsiębiorstwo musi przygotować się na nowe, stałe obowiązki i związane z nimi wydatki. To mogą być nakłady na rozwiązania techniczne, procedury, organizację bezpieczeństwa, szkolenia czy obsługę incydentów. Dla firmy oznacza to konieczność uwzględnienia kolejnej kategorii kosztów w budżecie i cash flow. Im wcześniej przedsiębiorstwo określi skalę potrzebnych nakładów i zabezpieczy na nie środki, tym mniejsze ryzyko, że ich kumulacja zachwieje bieżącą płynnością. Szczególnie w średnich firmach nawet kilka nieplanowanych wydatków ponoszonych w krótkim czasie może ograniczyć kapitał dostępny na wynagrodzenia, podatki, zakup materiałów czy realizację kolejnych kontraktów – wyjaśnia Maciej Ostaszewski z eFaktor, firmy specjalizującej się w finansowaniu małych i średnich przedsiębiorstw.

Śpiesz się, termin upływa już jutro!

Firmy, które spełniały ustawowe przesłanki już 3 kwietnia 2026 r., miały sześć miesięcy na dokonanie zgłoszenia. Samorejestracja została uruchomiona 7 maja, natomiast graniczną datą dla tej grupy jest 3 października. Ministerstwo Energii potwierdza ten termin bezpośrednio w komunikacie skierowanym do sektora energii i inwestycji energetyki jądrowej.

Część organizacji została umieszczona w wykazie z urzędu. Pozostałe przedsiębiorstwa kwalifikujące się do systemu muszą natomiast samodzielnie przeanalizować swoją sytuację i, jeśli spełniają przesłanki, wystąpić o wpis.

Informacji o statusie nie można znaleźć w publicznej wyszukiwarce, ponieważ wykaz nie jest jawny. Dostęp do niego odbywa się poprzez system przeznaczony dla objętych regulacjami podmiotów.

Brak wpisu nie zwalnia firmy energetycznej z obowiązków

Niedokonanie zgłoszenia nie oznacza, że przedsiębiorstwo przestaje podlegać ustawie. Status podmiotu wynika ze spełnienia przesłanek określonych w przepisach, a organ właściwy może wpisać kwalifikującą się organizację do wykazu z urzędu.

Dla przedsiębiorstw energetycznych istotne jest również to, że organem właściwym do spraw cyberbezpieczeństwa sektora energii jest Minister Energii. Resort prowadzi analizę podmiotów w sektorze oraz przypomina przedsiębiorstwom o obowiązku samooceny. Niedotrzymanie terminu na złożenie wniosku może skutkować karą pieniężną, jeżeli organ uzna jej zastosowanie za uzasadnione wagą i znaczeniem naruszenia. Taką możliwość ustawa przewiduje wprost także w odniesieniu do niezłożenia wniosku w wymaganym czasie.

Sankcje mogą sięgać nawet 7 milionów euro

Dla podmiotu kluczowego ustawowa górna granica kary wynosi 10 mln euro albo 2 proc. przychodów z działalności gospodarczej za poprzedni rok obrotowy, przy czym zastosowanie ma wyższa wartość. Minimalny poziom takiej sankcji wynosi 20 tys. zł.

W odniesieniu do podmiotów ważnych maksymalny pułap określono na 7 mln euro albo 1,4 proc. przychodów, a minimalną kwotę na 15 tys. zł. Ustawa przewiduje też odrębne rozwiązania dla szczególnie poważnych naruszeń.

Ryzyko regulacyjne może jednocześnie stać się jednym z elementów analizowanych przy ocenie sytuacji finansowej przedsiębiorstwa.

– Z punktu widzenia instytucji finansującej wpis do Wykazu KSC może być dodatkową informacją o przedsiębiorstwie i sposobie, w jaki zarządza ono ryzykiem. Dotyczy to zarówno finansowania bankowego, jak i pozabankowego. Sam wpis oczywiście nie przesądza o przyznaniu finansowania, bo podstawą pozostają kondycja finansowa firmy, jej płynność, poziom zobowiązań czy historia płatnicza. Jeżeli jednak przedsiębiorstwo potrafi wykazać, że identyfikuje swoje obowiązki, zabezpiecza środki na ich realizację i odpowiednio zarządza ryzykiem operacyjnym, może to uzupełniać obraz firmy jako podmiotu świadomie zarządzanego. Z perspektywy finansującego istotne jest bowiem nie tylko to, ile firma zarabia, ale również jak przygotowuje się na zdarzenia, które mogą zakłócić jej działalność i przepływy pieniężne – podkreśla Maciej Ostaszewski.

Po wpisie przyjdą kolejne obowiązki. Jeden z nich upływa 3 kwietnia 2027 r.

Rejestracja nie kończy procesu dostosowania przedsiębiorstwa do nowych regulacji. Firmy, które spełniały warunki objęcia ustawą 3 kwietnia 2026 r., mają do 3 kwietnia 2027 r. na podłączenie do systemu S46 oraz realizację zasadniczej części obowiązków związanych z systemem zarządzania bezpieczeństwem informacji.

Za pośrednictwem infrastruktury KSC podmioty będą współpracować z właściwymi zespołami CSIRT, przekazywać informacje dotyczące incydentów i korzystać z informacji związanych z cyberzagrożeniami.

Dla przedsiębiorstw produkujących lub sprzedających energię, operatorów sieci, podmiotów gazowych, większych wytwórców OZE oraz firm działających na rynku magazynów energii oznacza to konieczność równoległego przygotowania procedur, zabezpieczeń technicznych, organizacji reagowania na incydenty i odpowiednich środków finansowych.