Planowana data efektywnego wejścia w życie nowelizacji Ustawy o Krajowym Systemie Cyberbezpieczeństwa

Nowelizacja ustawy o Krajowym Systemie Cyberbezpieczeństwa została zatwierdzona przez Sejm i Senat w styczniu 2026 roku, a Prezydent Karol Nawrocki podpisał ją 19 lutego 2026 roku. Głowa państwa zdecydowała się na skierowanie ustawy do kontroli następczej (a nie prewencyjnej) przez Trybunał Konstytucyjny. Oznacza to, że ustawa wchodzi w życie. Po podpisaniu przez prezydenta przepisy i wymogi zaczną realnie obowiązywać po upływie 13 miesięcy (1 miesiąc vacatio legis oraz12 miesięcy na dostosowanie się). Oznacza to, że planowana data efektywnego wejścia w życie nowelizacji Ustawy o Krajowym Systemie Cyberbezpieczeństwa to kwiecień 2027 roku.

 

Vacatio legis

Nowelizacja UoKSC została opublikowana w Dzienniku Ustaw 02.03.2026 roku, jednak nowe przepisy nie zaczęły obowiązywać natychmiast. Po publikacji w Dzienniku Ustaw trwa miesięczny okres Vacatio Legis.

Vacatio Legis pełni funkcję „okresu przejściowego” - daje instytucjom czas na zapoznanie się z nowymi regulacjami, przygotowanie procedur i rozpoczęcie wdrożeń.

 

6 miesięcy na samorejestrację w systemie S46

Zgodnie z aktualnymi przepisami, po wejściu w życie nowelizacji, podmioty objęte ustawą będą miały 6 miesięcy na dokonanie samorejestracji w systemie S46. System ten będzie również służył do dwukierunkowej komunikacji dotyczącej incydentów bezpieczeństwa, w tym wysyłania wczesnych ostrzeżeń, zgłoszeń i raportów.

Samorejestracja to jeden z pierwszych formalnych obowiązków, od którego zależeć będzie dalsze monitorowanie zgodności z ustawą i egzekwowanie wymogów cyberbezpieczeństwa.

 

12 miesięcy na pełne dostosowanie do nowelizacji UoKSC

Po wejściu ustawy w życie przewidziany jest dodatkowy dwunastomiesięczny okres dostosowawczy. W tym czasie podmioty objęte regulacjami będą musiały w pełni dostosować się do wymogów zaktualizowanej Ustawy o Krajowym Systemie Cyberbezpieczeństwa.

Oznacza to, że efektywne obowiązywanie przepisów nastąpi w kwietniu 2027 roku. Warto zaznaczyć, że kary pieniężne za naruszenie przepisów będą mogły być nakładane po 2 latach od wejścia Ustawy w życie.

Dla przypomnienia, nowelizacja UoKSC nakłada na podmioty następujące obowiązki:

1. Samorejestracja w systemie S46 - wniosek składa kierownik podmiotu, 6 miesięcy od spełnienia przesłanek (Art. 7, 46).
2. Wyznaczenie osób do kontaktu - min. 2 osoby (dla mikro i małych firm - 1 osoba) (Art. 9).
3. Dokumentacja bezpieczeństwa - opracowanie, stosowanie i aktualizacja dokumentacji normatywnej i operacyjnej (Art. 10).
4. Struktura odpowiedzialna za cyberbezpieczeństwo - powołanie wewnętrznej struktury lub umowa z dostawcą usług zarządzania cyberbezpieczeństwem (Art. 14).
5. Audyty bezpieczeństwa (tylko podmioty kluczowe) - pierwszy audyt w ciągu 24 miesięcy, kolejne co 3 lata, możliwe audyty ad hoc (Art. 15).
6. Informowanie użytkowników - o zagrożeniach i incydentach poważnych oraz środkach zapobiegawczych (Art. 11 ust. 2a i 2b).
7. Obsługa i raportowanie incydentów:
   1. wczesne ostrzeżenie - do 24 h,
   2. zgłoszenie incydentu - do 72 h,
   3. raport końcowy - do 1 miesiąca,
   4. współpraca z CSIRT (Art. 11, 12, 13).
8. Usuwanie podatności - obowiązek usunięcia podatności na wniosek CSIRT (Art. 32 ust. 2).
9. Wdrożenie SZBI (Systemu Zarządzania Bezpieczeństwem Informacji) - m.in. szacowanie ryzyka, polityki bezpieczeństwa, ciągłość działania, monitorowanie, aktualizacje, edukacja, szyfrowanie, MFA (Art. 8).
   Podmioty publiczne-ważne - wdrażają uproszczony SZBI (załącznik nr 4).
10. Odpowiedzialność kierownika podmiotu - pełna odpowiedzialność za cyberbezpieczeństwo, zapewnienie finansowania, nadzór nad realizacją, obowiązkowe szkolenia raz w roku (Art. 8 c, d, e).

 

Dlaczego nie warto czekać z wdrożeniem wymogów nowelizacji UoKSC?

Choć formalnie firmy i instytucje będą miały łącznie około 13 miesięcy od publikacji ustawy na wdrożenie wymogów (1 miesiąc vacatio legis + 12 miesięcy na pełne dostosowanie), rozpoczęcie przygotowań dopiero po jej ogłoszeniu może oznaczać ryzyko:

• braku czasu na rzetelne wdrożenie,
• wyższych kosztów realizacji projektów „na ostatnią chwilę”,
• problemów z dostępnością ekspertów i dostawców usług bezpieczeństwa.

Z naszego doświadczenia we wdrażaniu wymogów NIS 2 i UoKSC wynika, że proces ten zajmuje średnio 9-12 miesięcy w zależności od dojrzałości organizacji pod kątem cyberbezpieczeństwa. W związku z faktem, że ustawa weszła w życie, jest coraz mniej czasu na dostosowanie się do nowych obowiązków.

Zachęcamy do umówienia bezpłatnej konsultacji i przedyskutowania tematu wdrożenia wymogów NIS 2/UoKSC z naszymi ekspertami wykorzystując formularz kontaktowy.