Obowiązujące przepisy nowelizacji zmieniającej ustawę z dnia 5 lipca 2018 r. o krajowym systemie cyberbezpieczeństwa przewidują 6-miesięczny termin na złożenie wniosku o wpis do wykazu podmiotów kluczowych i ważnych. Dla tych, którzy spełniali przesłanki kwalifikujące do ww. wpisu już w dniu wejścia w życie noweli (3 kwietnia 2026 r.) – termin upłynął 3 października 2026 r.
Co jeśli nadal nie wiesz, czy Twoja organizacja musi spełnić ww. obowiązek?
Jeśli dotąd jeszcze nie przeprowadziłeś oceny kwalifikującej w zakresie przesłanek przesądzających o obowiązku uzyskania wpisu do wykazu podmiotów kluczowych i ważnych – zrób to niezwłocznie. Nowe przepisy dot. cyberbezpieczeństwa obejmują szeroki zakres podmiotów, w tym m.in. dużych i średnich przedsiębiorców działających w określonych sektorach gospodarki. Brak kompleksowej analizy uniemożliwia rzetelną ocenę oraz oznacza realne ryzyko uchybienia aktualnym obowiązkom (m.in. w zakresie ww. wpisu). Kluczowy jest przy tym moment spełnienia przesłanek przez dany podmiot – termin na złożenie wniosku biegnie bowiem właśnie od tej chwili.
Co jeśli już wiesz, że Twoja organizacja podlega pod obowiązek wpisu do wykazu, a wniosek o wpis nie został złożony w terminie?
Ustawa o krajowym systemie cyberbezpieczeństwa nie przewiduje przywrócenia terminu na złożenie wniosku o wpis do wykazu – dla podmiotów, które nie wykonały obowiązku na czas jest to istotne utrudnienie. Nie oznacza to jednak, że po upływie terminu wniosek formalnie nie może być złożony. W takiej sytuacji, należy działać jak najszybciej.
Co więcej, choć ustawodawca przewidział kary pieniężne za brak wniosku o wpis lub wniosek nieterminowy, nałożenie kary nie jest obowiązkowe. W praktyce oznacza to, że decyzja o nałożeniu sankcji leżeć będzie w gestii organu, przy czym kara może być nałożona tylko, jeżeli przemawia za tym waga i znaczenie naruszonych przepisów. Z uwagi na fakt, że regulacje przewidujące sankcje oraz mechanizm ich nakładania są w systemie prawnym nowe, dopiero kształtująca się obecnie praktyka pokaże jak właściwe organy będą interpretować i stosować ww. normy.
Wobec podmiotów, które nie złożyły w terminie wniosku, może zostać dokonany wpis z urzędu – wówczas właściwy organ informuje podmiot o wpisie i wzywa do uzupełnienia brakujących danych w wykazie, w terminie 6 miesięcy od dnia otrzymania zawiadomienia (również pod rygorem kary). Wpis z urzędu nie uchyla jednak uchybienia w zakresie niezłożenia wniosku samodzielnie – nie oznacza to zatem, że w takim wypadku kara za niezłożenie wniosku w terminie nie będzie mogła być nałożona.
Poniżej dla przypomnienia regulacje dot. wysokości kar:
- dla podmiotów kluczowych – do 10 000 000 euro, wyrażonej w złotych i ustalanej przy zastosowaniu kursu średniego ogłaszanego przez NBP lub 2% przychodów z działalności gospodarczej – jednak minimum 20 000 zł;
- dla podmiotów ważnych – do 7 000 000 euro, wyrażonej w złotych i ustalanej przy zastosowaniu kursu średniego ogłaszanego przez NBP lub 1,4% przychodów z działalności gospodarczej – jednak minimum 15 000 zł.
Warto dodać, że obowiązujące przepisy przewidują odroczenie orzekania kar (m.in. za niezłożenie w terminie wniosku o wpis do ww. wykazu) – kary te mogą być po raz pierwszy nałożone po upływie 2 lat od dnia wejścia w życie ustawy – czyli po 3 kwietnia 2028 r. Decyzja o objęciu sankcją może zatem pojawić się dopiero za dwa lata.
Jeżeli:
- nie wiesz, czy Twoja organizacja ma obowiązek złożyć wniosek o wpis
- Twoja organizacja podlega pod ww. obowiązek, ale wniosek nie został złożony w terminie
nie zwlekaj – czas podjęcia dalszych działań może mieć znaczenie dla decyzji organu w zakresie kary pieniężnej. Jeśli masz wątpliwości – skontaktuj się z nami – pomożemy Ci ustalić, czy musisz złożyć wniosek oraz przygotować uzasadnienie dla wniosku spóźnionego.
